connectbase-client 5.8.0 → 5.10.0

package/CHANGELOG.md

@@ -3,6 +3,86 @@
 본 SDK 의 모든 주요 변경사항을 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/) 형식으로 기록합니다.
 버전은 [Semantic Versioning](https://semver.org/lang/ko/) 을 따릅니다.
 
+## [5.10.0] - 2026-08-05
+
+### Added — 회원 탈퇴(멤버 삭제)를 SDK 로 열었습니다
+
+멤버 삭제가 **콘솔 User 토큰 전용**이라 앱에서도, 서버 함수에서도 탈퇴를 구현할 방법이
+없었습니다. `DELETE /v1/apps/:appID/app-members/:memberID` 는 `cb_sk_` 로 부르면 401 이었고,
+SDK 의 auth 모듈에는 삭제 계열 메서드가 아예 없었습니다(`adminUpdateMember` 다음이 바로
+`signOut`). 앱이 할 수 있는 최선은 자체 테이블만 지우는 것이었고, 멤버 레코드는 남아 같은
+소셜 계정으로 다시 로그인하면 **같은 member_id 로 되살아났습니다** — 이용자에게는
+"탈퇴했는데 계정이 남아 있다"로 보였습니다.
+
+이건 편의 문제가 아니라 배포 차단이었습니다. App Store 가이드라인 **5.1.1(v)** 는 앱에서
+가입이 되면 앱 안에서 탈퇴도 가능할 것을 요구하고 고객센터 안내로는 통과되지 않습니다.
+ConnectBase 로 만든 앱은 이 상태로 iOS 심사를 통과할 수 없었습니다.
+
+```typescript
+// 1) 앱 안의 "회원 탈퇴" 버튼 — 브라우저에서 그대로 (멤버 JWT)
+if (confirm('탈퇴하면 되돌릴 수 없습니다. 계속할까요?')) {
+    await cb.auth.deleteMyAccount()   // 토큰 정리까지 함께 됩니다
+    location.href = '/'
+}
+
+// 2) 서버/백엔드에서 관리자가 대신 (cb_sk_ + app_member:write)
+const cbAdmin = new ConnectBase({ publicKey: 'cb_pk_...', secretKey: 'cb_sk_...' })
+await cbAdmin.auth.adminDeleteMember(memberId)
+
+// 3) 함수 안에서 — 개인정보 삭제 요청 자동화
+//    management_scopes: ["app_member:read", "app_member:write"]
+await ctx.cbAdmin.database.delete('posts', { author_id: memberId })
+await ctx.cbAdmin.appMembers.remove(ctx.appId, memberId)
+```
+
+- `auth.deleteMyAccount()` — 로그인한 본인이 스스로 탈퇴. `cb_pk_` 만 있으면 되므로
+  브라우저에서 호출합니다. 성공/실패와 무관하게 로컬 토큰을 정리하므로 `signOut()` 을
+  따로 부를 필요가 없습니다.
+- `auth.adminDeleteMember(memberId)` — `adminUpdateMember` 와 같은 권한 컨텍스트
+  (`cb_pk_` + `cb_sk_`, 그 사용자에게 `app_member:write` 권한). secretKey 없이 부르면
+  네트워크를 타기 전에 던집니다.
+- `appMembers.remove(appId, memberId)` — service_role 함수용. 새 management scope
+  `app_member:write` 를 opt-in 해야 합니다. 조회용으로 받은 `app_member:read` 로는
+  삭제되지 않고, 반대로 `app_member:write` 만으로 이메일을 읽을 수도 없습니다.
+
+**세 경로 모두 되돌릴 수 없고, 로그인 수단(identities)까지 지웁니다** — 그래서 같은 소셜
+계정으로 재가입하면 새 `member_id` 를 받습니다. refresh token(세션)·결제·구독·빌링키·
+푸시 디바이스·웹 방문 기록도 함께 사라집니다. 앱이 `cb.database` 에 만든 자체 테이블
+데이터는 지우지 않으니 `service_role` 로 직접 정리하세요.
+
+이미 발급된 access token 은 만료(최대 1시간)까지 서명이 유효합니다. 즉시 차단이 필요하면
+삭제 전에 정지를 함께 쓰세요. 확인 UI 는 앱이 책임집니다 — 서버는 확인 없이 즉시 삭제합니다.
+
+멤버 생성/정지/수정은 여전히 콘솔 전용입니다.
+
+플랫폼 이슈 `019fd042`. 서버 측 라우트 개방이 함께 배포됩니다.
+
+## [5.9.0] - 2026-08-02
+
+### Fixed — `_redirects` / `_headers` 가 배포되지 않던 것
+
+`connectbase deploy` 가 `_redirects` 와 `_headers` 를 **조용히 건너뛰고 있었다**. 배포 대상
+판정이 확장자만 봤는데 이 둘은 확장자가 없어(`path.extname()` 이 빈 문자열) 허용목록에
+걸리지 않았다.
+
+두 파일은 플랫폼이 사이트 설정으로 읽는 파일이다 — `_redirects` 는 경로 매핑(프리렌더
+경로를 실제 HTML 로 연결), `_headers` 는 커스텀 응답 헤더. 즉 기능은 지원되는데 업로드
+경로만 비어 있었다. 그래서 배포 스크립트가 `deploy` 직후 MCP `write_file` 로 이 파일들을
+따로 얹는 우회가 관행이 됐다.
+
+```bash
+# 이제 dist 에 두기만 하면 함께 올라간다
+echo "/blog  /blog.html  200" > dist/_redirects
+npx connectbase deploy ./dist
+```
+
+- `_redirects`, `_headers` 만 이름 완전일치로 허용한다. `Dockerfile`·`Makefile`·`LICENSE`
+  같은 다른 확장자 없는 파일은 계속 제외된다 (공개 사이트에 소스가 실리면 안 되므로).
+- 두 파일은 `text/plain; charset=utf-8` 로 업로드된다.
+
+플랫폼 이슈 `019fc195` 의 SDK 측 대응. 같은 이슈에서 MCP `write_file` 자체가 프로덕션에서
+전부 실패하던 결함도 함께 고쳐졌다(서버 측, 별도 배포).
+
 ## [5.8.0] - 2026-08-02
 
 ### Fixed — `sync_lost` 재동기화: 설계만 있고 한 번도 돌지 않던 복구 경로

package/dist/cli.js

@@ -220,6 +220,7 @@ var ALLOWED_EXTENSIONS = /* @__PURE__ */ new Set([
   ".gltf",
   ".bin"
 ]);
+var ALLOWED_EXTENSIONLESS_FILES = /* @__PURE__ */ new Set(["_redirects", "_headers"]);
 var BINARY_EXTENSIONS = /* @__PURE__ */ new Set([
   ".png",
   ".jpg",
@@ -271,9 +272,15 @@ var MIME_BY_EXT = {
   ".bin": "application/octet-stream"
 };
 function guessMimeType(filePath) {
+  if (ALLOWED_EXTENSIONLESS_FILES.has(path2.basename(filePath))) {
+    return "text/plain; charset=utf-8";
+  }
   return MIME_BY_EXT[path2.extname(filePath).toLowerCase()] || "application/octet-stream";
 }
 function isAllowedDeployExt(filePath) {
+  if (ALLOWED_EXTENSIONLESS_FILES.has(path2.basename(filePath))) {
+    return true;
+  }
   return ALLOWED_EXTENSIONS.has(path2.extname(filePath).toLowerCase());
 }
 function isBinaryDeployExt(filePath) {
@@ -322,7 +329,7 @@ function collectFiles(dir, baseDir = dir) {
       }
     } else if (entry.isFile()) {
       const ext = path2.extname(entry.name).toLowerCase();
-      if (!ALLOWED_EXTENSIONS.has(ext)) {
+      if (!isAllowedDeployExt(entry.name)) {
         continue;
       }
       if (entry.name.startsWith(".")) {