deel-local-cli 1.17.9 → 1.19.0

package/src/commands.js

@@ -12,7 +12,7 @@ import { allowEndpoint } from './safety/network.js';
 import { 지금모드, 바깥인가, 나갈수있나 } from './safety/runmode.js';
 import { 주소가리기 } from './safety/secrets.js';
 import { pick, confirm } from './ui/prompt.js';
-import { load, save, 저장시도, resolveKey, upsert, 열쇠보관, configPath } from './config.js';
+import { load, 저장시도, resolveKey, upsert, 열쇠보관, configPath } from './config.js';
 import { 지금상태 as 지금열쇠상태, 받기설정, 잊기 as 받은열쇠잊기 } from './safety/authcmd.js';
 // 열쇠받기 명령을 정책이 못박아 뒀을 수 있다 — 받기설정 이 그 값을 같이 본다.
 import { 정책읽기 } from './safety/policy.js';
@@ -1142,7 +1142,9 @@ export async function handle(line, session, ctx) {
         const cfg2 = load();
         const ps = toProfiles(found, cfg2.profiles);
         for (const x of ps) upsert(cfg2, x);
-        save(cfg2);
+        // 설정남기기() 를 안 쓰고 있었다 — 못 남기면 명령이 그 자리에서 죽고,
+        // 남겼는데도 뭐가 틀리면 「등록했습니다」 만 보고 다음에 없는 것을 본다.
+        if (!설정남기기(cfg2)) return { handled: true };
         say(`  ${mark.ok} ${ps.length}개 등록했습니다. ${c.cyan('/model')} 로 고르세요.`);
       } else {
         say(`  ${c.gray('등록하려면')} ${c.cyan('/scan save')}   ${c.gray('고르려면')} ${c.cyan('/model')}`);
@@ -1829,11 +1831,16 @@ function showLevel(session, arg) {
     return;
   }
   session.level = 골라진;
+  /*
+   * 못 남기면 말한다. 바로 아래가 `✓ 개발자` 를 찍는데, 못 남긴 판에서는
+   * 그 말이 이번 판에서만 참이다 — 설정남기기() 가 아홉 자리에서 없앤 그
+   * 꼴인데 이 자리만 옛 모양으로 남아 있었다.
+   */
   try {
     const cfg = load();
     cfg.level = 골라진;
-    save(cfg);
-  } catch { /* 못 남겨도 이번 세션에는 먹는다 */ }
+    설정남기기(cfg);
+  } catch { /* 설정을 못 읽는 것은 위에서 따로 말한다 */ }
   const lv = LEVELS[골라진];
   say('');
   say(`  ${mark.ok} ${c.bold(lv.name)} ${c.gray('— ' + lv.hint)}`);
@@ -2845,11 +2852,12 @@ async function ctxLength(session, arg = '') {
     session.conn.ctx = 값;
     const cfg = load();
     const prof = cfg.profiles.find((p) => p.id === cfg.active) ?? cfg.profiles[0];
-    if (prof) { prof.ctx = 값; save(cfg); }
+    // 못 남기면 아래 「프로필에 저장했습니다」 가 거짓말이 된다. 살아있는지 들고 간다.
+    const 남김 = prof ? (prof.ctx = 값, 설정남기기(cfg)) : false;
     const b = session.breakdown();
     say(`  ${mark.ok} 컨텍스트 ${c.bold(값.toLocaleString())} 토큰 ${c.gray(`(${fmtSize(값)}) — ${어디서}`)}`);
     say(`     ${c.gray('지금 찬 양')} ${c.white(b.used.toLocaleString())} ${c.gray('· 남음')} ${c.white(b.left.toLocaleString())}`);
-    if (prof) say(`     ${c.gray('프로필에 저장했습니다. 다음에 켤 때도 이 값입니다.')}`);
+    if (남김) say(`     ${c.gray('프로필에 저장했습니다. 다음에 켤 때도 이 값입니다.')}`);
     say('');
   };
 

package/src/i18n/en.js

@@ -426,7 +426,6 @@ export const en = {
   'sum.justDone': '{n} just now',
   'sum.noChange': 'unchanged',
   'sum.verified': '{n} checked',
-  'sum.readAs': 'read via {쓴것}',
   'sum.encGuess': '{인코딩} (guessed)',
   'sum.linesOf': '{준}/{전체} lines',
   'sum.countOf': '{n}/{전체}',
@@ -496,7 +495,6 @@ export const en = {
   'paste.pasted': 'Pasted {n} lines — Enter sends them all at once',
   'run.thinking': 'thinking…',
   'run.thinkingChars': 'thinking… {n} chars',
-  'run.turnFoot': '{초}s · {n} tool calls · ↑{입력} ↓{출력}',
   'run.bye': 'Bye.',
   'run.byeStats': '{n} model calls · {초}s in tools · ↑{입력} ↓{출력}',
   'run.notMade': '— was not created',
@@ -596,9 +594,5 @@ export const en = {
   'undo.wayDeleted': 'deleted (did not exist before)',
 
   // ── Common ────────────────────────────────────────────────────────────
-  'common.unknownCommand': 'Unknown command',
-  'common.seeHelp': 'Run /help for the list',
-  'common.yes': 'yes',
-  'common.no': 'no',
   'common.cfgSaveFailed': 'Could not write the setting to disk ({왜}) — it applies now but reverts on restart.',
 };

package/src/i18n/ja.js

@@ -386,7 +386,6 @@ export const ja = {
   'sum.justDone': 'たった今{n}個',
   'sum.noChange': '変更なし',
   'sum.verified': '確認{n}個',
-  'sum.readAs': '{쓴것} で変換して読み込み',
   'sum.encGuess': '{인코딩}（推定）',
   'sum.linesOf': '{준}/{전체}行',
   'sum.countOf': '{n}/{전체}個',
@@ -454,7 +453,6 @@ export const ja = {
   'paste.pasted': '{n}行を貼り付けました — Enter で一度に送ります',
   'run.thinking': '考え中…',
   'run.thinkingChars': '考え中… {n}文字',
-  'run.turnFoot': '{초}秒 · ツール{n}回 · ↑{입력} ↓{출력}',
   'run.bye': '終了します。',
   'run.byeStats': 'モデル呼び出し{n}回 · ツール時間{초}秒 · ↑{입력} ↓{출력}',
   'run.notMade': '— 作られませんでした',
@@ -549,9 +547,5 @@ export const ja = {
   'undo.wayRestored': '戻しました',
   'undo.wayDeleted': '削除（元々なかったファイル）',
 
-  'common.unknownCommand': '知らないコマンド',
-  'common.seeHelp': '/help で一覧が出ます',
-  'common.yes': 'はい',
-  'common.no': 'いいえ',
   'common.cfgSaveFailed': '設定をファイルに保存できませんでした（{왜}）— 今回は効きますが、開き直すと元に戻ります。',
 };

package/src/i18n/ko.js

@@ -445,7 +445,6 @@ export const ko = {
   'sum.justDone': '방금 {n}개',
   'sum.noChange': '그대로 (바뀐 것 없음)',
   'sum.verified': '확인 {n}개',
-  'sum.readAs': '{쓴것} 로 바꿔 읽음',
   'sum.encGuess': '{인코딩} (추정)',
   'sum.linesOf': '{준}/{전체}줄',
   'sum.countOf': '{n}/{전체}개',
@@ -542,7 +541,6 @@ export const ko = {
   'paste.pasted': '{n}줄을 붙여넣었습니다 — Enter 로 한 번에 보냅니다',
   'run.thinking': '생각 중…',
   'run.thinkingChars': '생각 중… {n}자',
-  'run.turnFoot': '{초}초 · 도구 {n}회 · ↑{입력} ↓{출력}',
   'run.bye': '끝냅니다.',
   'run.byeStats': '모델 호출 {n}회 · 도구 시간 {초}초 · ↑{입력} ↓{출력}',
   'run.notMade': '— 만들어지지 않았습니다',
@@ -643,9 +641,5 @@ export const ko = {
   'undo.wayDeleted': '삭제됨(원래 없던 파일)',
 
   // ── 자주 나오는 것 ────────────────────────────────────────────────────
-  'common.unknownCommand': '모르는 명령입니다',
-  'common.seeHelp': '명령 목록은 /help',
-  'common.yes': '네',
-  'common.no': '아니요',
   'common.cfgSaveFailed': '설정을 파일에 남기지 못했습니다 ({왜}) — 이번 판에는 먹지만 다시 켜면 돌아갑니다.',
 };

package/src/i18n/zh.js

@@ -386,7 +386,6 @@ export const zh = {
   'sum.justDone': '刚完成{n}个',
   'sum.noChange': '没有变化',
   'sum.verified': '核对{n}项',
-  'sum.readAs': '用 {쓴것} 转换后读取',
   'sum.encGuess': '{인코딩}（推测）',
   'sum.linesOf': '{준}/{전체}行',
   'sum.countOf': '{n}/{전체}个',
@@ -454,7 +453,6 @@ export const zh = {
   'paste.pasted': '已粘贴 {n} 行 — 按 Enter 一次发送',
   'run.thinking': '思考中…',
   'run.thinkingChars': '思考中… {n}字',
-  'run.turnFoot': '{초}秒 · 工具{n}次 · ↑{입력} ↓{출력}',
   'run.bye': '结束。',
   'run.byeStats': '模型调用{n}次 · 工具耗时{초}秒 · ↑{입력} ↓{출력}',
   'run.notMade': '— 没有被创建',
@@ -549,9 +547,5 @@ export const zh = {
   'undo.wayRestored': '已还原',
   'undo.wayDeleted': '已删除（原本不存在的文件）',
 
-  'common.unknownCommand': '不认识的命令',
-  'common.seeHelp': '用 /help 看命令列表',
-  'common.yes': '是',
-  'common.no': '否',
   'common.cfgSaveFailed': '设置没能写入文件（{왜}）— 本次有效，重开就会恢复原样。',
 };

package/src/oneshot.js

@@ -506,6 +506,9 @@ export async function runOnce(opts = {}) {
       session.routed = 골라진.mode;
       const w = getWork(골라진.mode);
       곁(`  ${c.hcyan(w.glyph)} ${c.gray(`${w.name} (${w.en}) — 말 속에 ${골라진.why} 가 있어서`)}`);
+    } else if (골라진.일부러) {
+      // 일부러 안 보낸 자리만 말한다. 대화 화면과 같은 규칙이다 (repl.js 참고).
+      곁(`  ${c.gray(`◇ 종합 그대로 — ${골라진.why}`)}`);
     }
   }
 

package/src/repl.js

@@ -26,7 +26,7 @@ import { 언어서버있나 } from './tools/index.js';
 import { 모두끄기 as 언어서버다끄기 } from './lsp/client.js';
 import { History } from './safety/undo.js';
 import { Audit, 열쇠묻기 } from './safety/audit.js';
-import { activeProfile, load, resolveKey, save as saveCfg, homeDir, 잠금소식, 열쇠탈소식, 프로젝트설정소식 } from './config.js';
+import { activeProfile, load, resolveKey, save as saveCfg, 저장시도, homeDir, 잠금소식, 열쇠탈소식, 프로젝트설정소식 } from './config.js';
 import { 프로젝트설정줄들 } from './safety/trust.js';
 import { 남길것읽기 } from './safety/shellenv.js';
 import { discover } from './skills/discover.js';
@@ -1439,7 +1439,29 @@ export async function chatLoop(opts = {}) {
       // 알아낸 값은 프로필에 남긴다. 다음에 켤 때 화면이 곧바로 맞게 뜬다.
       if (prof.ctx !== r.value) {
         prof.ctx = r.value;
-        try { const cfg2 = load(); const t = cfg2.profiles.find((p) => p.id === prof.id); if (t) { t.ctx = r.value; saveCfg(cfg2); } } catch { /* 못 남겨도 이번 세션에는 먹는다 */ }
+        /*
+         * 못 남기면 **말한다.**
+         *
+         * 여기는 `try { … saveCfg(cfg2) } catch {}` 였다. 그런데 바로 다음
+         * 줄이 「컨텍스트를 32,768 → 128,000 로 맞췄습니다」 를 찍는다.
+         * 홈이 읽기 전용이거나 디스크가 차 있으면 그 말이 **그 자리에서만**
+         * 참이고, 다음에 켜면 옛 값으로 돌아가 있다. 사람은 왜 그런지 알
+         * 길이 없다 — commands.js 의 설정남기기() 가 아홉 자리에서 없앤
+         * 바로 그 꼴인데, 이 자리만 옛 모양으로 남아 있었다.
+         */
+        let 남김 = { ok: true };
+        const cfg2 = (() => { try { return load(); } catch (e) { 남김 = { ok: false, 왜: e?.message ?? String(e) }; return null; } })();
+        const t = cfg2?.profiles?.find((p) => p.id === prof.id);
+        /*
+         * 프로필을 못 찾으면 **그것도 못 남긴 것이다.** 처음 고칠 때 `if (t)`
+         * 하나로 끝냈더니, 못 찾은 판에서는 아무것도 안 남기고 `남김.ok` 가
+         * 처음값 그대로 참이라 경고도 안 나갔다 — 없애려던 그 모양이 한 갈래에
+         * 그대로 남아 있었다(2차 리뷰가 짚었다). 디스크의 설정이 이 판과 어긋난
+         * 때(다른 창에서 프로필을 지운 뒤)가 그 자리다.
+         */
+        if (t) { t.ctx = r.value; 남김 = 저장시도(cfg2); }
+        else if (cfg2) 남김 = { ok: false, 왜: '설정에서 이 프로필을 못 찾았습니다' };
+        if (!남김.ok) 길이경고.push(옮긴말('common.cfgSaveFailed', { 왜: String(남김.왜 ?? '').slice(0, 70) }));
       }
       if (전 !== r.value) 길이알림.push(`컨텍스트를 ${전.toLocaleString()} ${c.gray('→')} ${c.white(r.value.toLocaleString())} 로 맞췄습니다 ${c.gray('(' + (r.source ?? '서버') + '에서 읽음)')}`);
       if (r.max && r.loaded && r.max > r.loaded) {
@@ -1515,6 +1537,14 @@ export async function chatLoop(opts = {}) {
   }
   // 안 뜬 것은 조용히 빠지면 안 된다. "왜 그 도구가 없지" 를 영영 알 수 없다.
   for (const m of mcp붙임.못한것) warn.push(`MCP ${c.white(m.이름)} 을 못 붙였습니다 — ${m.왜}`);
+  /*
+   * 이 폴더에 스킬을 적어 뒀는데 안 믿는 폴더라 안 읽었다. **말해야 한다** —
+   * 제가 적은 스킬이 왜 안 뜨는지 모르는 것이 두 번째로 나쁜 일이다
+   * (safety/hooks.js 의 안믿음 과 같은 방식).
+   */
+  if (found.안믿음) {
+    warn.push(`이 폴더의 스킬은 안 읽었습니다 — 믿는 폴더가 아닙니다. 읽게 하려면 ${c.cyan('deel trust')}`);
+  }
   if (!conn.tools) warn.push(옮긴말('run.noTools'));
   if (!conn.streaming) warn.push(옮긴말('run.noStream'));
   warn.push(...길이경고);
@@ -1728,6 +1758,18 @@ export async function chatLoop(opts = {}) {
         } else {
           say(`  ${c.gray('다르면')} ${c.cyan('/code')} ${c.gray('처럼 직접 고르세요. 그때부터는 안 바뀝니다.')}`);
         }
+      } else if (골라진.일부러) {
+        /*
+         * 골랐어야 할 만한 신호가 있었는데 **일부러 안 보낸** 자리다.
+         *
+         * 「설계 신호가 있었지만 고치라는 말이라 안 보냈다」 와 「그냥
+         * 모르겠다」 는 사람에게 아주 다른 말이다. 앞엣것을 안 찍으면,
+         * 설계를 기대한 사람은 종합으로 도는 화면을 보고 자동 모드가
+         * 고장 났다고 여긴다. 뒤엣것은 안 찍는다 — 보통 한마디가 다
+         * 그쪽이라 매번 뜨면 소음이다. 가르는 일은 route 가 한다.
+         */
+        say('');
+        say(`  ${c.gray('◇ 종합 그대로 —')} ${c.gray(골라진.why)}`);
       }
     }
 

package/src/safety/guard.js

@@ -150,11 +150,50 @@ const BLOCKED = [
   // 가운데 `(-?[a-z]*\s*)*` 는 양쪽 다 빈 문자열을 허용해서, 안 맞는 긴 입력이
   // 들어오면 되돌아가는 경우의 수가 기하급수로 늘어난다 — guard 검사 자체가
   // 멈춰 버린다(ReDoS). 각 겹이 최소 한 글자는 먹게 고쳐서 그 길을 막는다.
+  /*
+   * ── 우리가 적어 둔 어순만 막고 있었다 ──────────────────────────────────
+   *
+   * 옛 규칙은 두 가지를 못박았다 — 플래그가 **경로보다 앞**에 오고, 드라이브
+   * 뒤가 **역빗금**일 것. 둘 다 그냥 우리가 예로 적은 모양이었지 파워셸이
+   * 요구하는 것이 아니다.
+   *
+   *     Remove-Item -Recurse -Force C:\    막힘   ← 예로 적어 둔 모양
+   *     Remove-Item C:\ -Recurse -Force    통과 ← 파워셸의 흔한 어순
+   *     Remove-Item -Recurse -Force C:/    통과 ← 파워셸은 빗금도 받는다
+   *     Remove-Item ~ -Recurse -Force      통과 ←
+   *
+   * 셋 다 드라이브나 집을 통째로 민다. 「막았다」 가 아니라 「내가 적은
+   * 모양으로 적은 사람만 막았다」 였다.
+   *
+   * 그래서 어순을 안 따진다. `-Recurse` 가 이 마디 안에 **있기만** 하면
+   * 되고(앞보기), 목표는 마디 어디에 있어도 된다. 뒤에 `\s|$` 를 붙여
+   * 「드라이브 **뿌리**」 일 때만 잡는다 — `C:\proj\tmp` 는 그대로 통과한다.
+   *
+   * 되돌아가는 길이 폭발하지 않게 별(`*`)은 하나씩만 둔다. 옛 주석이 적어
+   * 둔 ReDoS 자리를 다시 만들면 안 된다 — guard 검사 자체가 멈춰 선다.
+   */
   {
-    re: /Remove-Item\b[^|;&]*\s-(Recurse|r)\b[^|;&]*\s(?:-?[a-z]+\s+)*([a-z]:\\?|~|\$HOME|\$env:USERPROFILE)\s*$/i,
+    /*
+     * `-r[a-z]*` 인 까닭: 파워셸은 헷갈리지 않는 한 매개변수를 **줄여서**
+     * 받는다. Remove-Item 에서 `r` 로 시작하는 것은 `-Recurse` 하나뿐이라
+     * `-rec` · `-recur` 가 다 통한다. `-(?:Recurse|r)\b` 로 못박아 뒀더니
+     * 그 사이 철자가 전부 새어 나갔다.
+     *
+     * 목표에 `[\\/]` 한 갈래를 더 둔 까닭: 파워셸에서 `/` 나 `\` 하나만
+     * 적으면 **지금 드라이브의 뿌리**다. 둘 다 2차 리뷰가 짚었다.
+     */
+    re: /Remove-Item\b(?=[^|;&]*\s-r[a-z]*\b)[^|;&]*\s(?:(?:\$env:USERPROFILE|\$HOME|[a-z]:|~)[\\/]?|[\\/])(?=\s|$)/i,
     why: '드라이브나 집 폴더를 통째로 지웁니다',
   },
-  { re: /git\s+push\b[^|;&]*--force(?!-with-lease)/i, why: '원격 이력을 덮어씁니다 (--force-with-lease 를 쓰세요)' },
+  /*
+   * `--force` 만 보고 있었다. 짧은 꼴 `-f` 는 그대로 나갔다 —
+   * `git push -f origin main` 은 사람이 실제로 더 많이 치는 쪽이다.
+   * 긴 꼴만 막으면 「막았다」 가 아니라 「긴 꼴로 적은 사람만 막았다」 다.
+   */
+  {
+    re: /git\s+push\b[^|;&]*(?:--force(?!-with-lease)|\s-[a-z]*f[a-z]*\b)/i,
+    why: '원격 이력을 덮어씁니다 (--force-with-lease 를 쓰세요)',
+  },
   // 낱말만 보면 안 된다. `node scripts/shutdown.js` 나 `npm run reboot` 이
   // '시스템을 끕니다' 로 막히고 감사기록에까지 남았다. 명령의 **첫 낱말**일 때만 본다.
   { re: /(^|[|;&]\s*)(sudo\s+)?(shutdown|reboot|halt|poweroff)\b/i, why: '시스템을 끕니다' },
@@ -186,10 +225,74 @@ const BLOCKED = [
   { re: /\biwr\b[^|]*\|\s*iex\b/i, why: '받은 스크립트를 그대로 실행합니다' },
 ];
 
+/*
+ * ── 뒤에 한 마디만 붙이면 울타리가 통째로 열렸다 ────────────────────────
+ *
+ * 위 규칙 여럿이 `\s*$` 로 **글 끝**에 못을 박는다. `rm -rf /` 가 글 끝일
+ * 때만 걸린다는 뜻이다. 그런데 셸은 한 줄에 여러 마디를 넣는다.
+ *
+ *     rm -rf /                 막힘
+ *     rm -rf / ; echo done     통과 ←
+ *     rm -rf / && echo done    통과 ←
+ *     rm -rf ~ ; ls            통과 ←
+ *     del /f /s /q C:\ & echo done            통과 ←
+ *     Remove-Item -Recurse -Force C:\ ; ...   통과 ←
+ *
+ * 셸은 두 마디를 **둘 다** 실행한다. 즉 `; echo done` 여덟 글자로 이 파일이
+ * 파는 약속이 통째로 깨졌다. 앞에 붙이는 것은 막혔고(`echo hi && rm -rf /`
+ * 는 걸린다) 뒤에 붙이는 것만 샜다 — 한쪽만 막힌 울타리라 더 안 보였다.
+ *
+ * 그래서 **마디로 갈라 각 마디를 따로 본다.** 규칙은 그대로 두고 보는 자리만
+ * 늘린다 — 전체 글도 여전히 본다. 막는 쪽으로만 늘어나므로 여태 통과하던
+ * 것이 새로 막히는 일은 「위험한 것이 마디 안에 있었다」 뿐이다.
+ *
+ * 따옴표 안은 안 가린다. 가려서 얻는 것(`echo "rm -rf / ; x"` 를 안 막기)보다
+ * 잃는 것(`sh -c "rm -rf / ; x"` 를 못 막기)이 크다. 이 목록은 되돌릴 수
+ * 없는 것만 담으므로, 애매하면 막고 사람이 다시 적는 편이 낫다.
+ */
+const 마디로 = (s) => s
+  .split(/(?:\|\||&&|[;&|\n\r])+/)
+  .map((x) => x.trim())
+  .filter(Boolean);
+
 export function checkCommand(cmd) {
   const s = String(cmd);
+  /*
+   * ── 세지 말고 늘 같이 본다 ──────────────────────────────────────────
+   *
+   * 여기는 `마디로(s).length > 1` 일 때만 마디를 봤다. 2차 리뷰가 그 틈을
+   * 짚었다 — `rm -rf / ;` 는 마디가 **하나**다. 뒤가 빈 마디라 걸러지기
+   * 때문이다. 그래서 마디 목록이 통째로 버려지고, 남은 전체 글은 `\s*$` 에
+   * 안 걸린다. 「뒤에 한 마디 붙이면 샌다」 를 고치면서 **반 마디 붙이면
+   * 새는** 자리를 새로 만든 셈이다.
+   *
+   * 세는 것을 없앤다. 마디가 하나뿐이면 그 마디는 앞뒤 빈칸만 뺀 전체 글이라
+   * 더 볼 것도 덜 볼 것도 없다.
+   */
+  /*
+   * ── 따옴표를 **떼고도** 한 번 본다 ──────────────────────────────────
+   *
+   * 위 머리말은 「따옴표 안은 안 가린다」 고 적어 뒀다. 그런데 **안 가리는
+   * 것과 떼고 보는 것은 다르다.** 안 가리기만 했지 떼 보지는 않아서,
+   * 경로에 따옴표를 두르면 규칙이 그대로 빗나갔다 — 셸에서는 뜻이 하나도
+   * 안 바뀌는데.
+   *
+   *     rm -rf /                     막힘
+   *     rm -rf "/"                   통과 ←  같은 일을 한다
+   *     Remove-Item -Recurse "C:\"   통과 ←
+   *
+   * 그래서 따옴표를 뺀 꼴도 볼 것에 넣는다. 막는 쪽으로만 늘어난다 —
+   * `echo "결과" > out.txt` 처럼 따옴표를 떼도 아무 규칙에 안 걸리는 것은
+   * 그대로 통과한다. 반대로 `sh -c "rm -rf /"` 는 이제 걸린다. 이 목록은
+   * 되돌릴 수 없는 것만 담으므로, 애매하면 막고 사람이 다시 적는 편이 낫다.
+   */
+  const 따옴표뺀 = (x) => x.replace(/["'`]/g, '');
+  const 마디들 = 마디로(s);
+  const 볼것 = [...new Set([s, ...마디들, 따옴표뺀(s), ...마디들.map(따옴표뺀)])];
   for (const b of BLOCKED) {
-    if (b.re.test(s)) throw new BlockedError(`${b.why}\n  막힌 명령: ${s.slice(0, 120)}`);
+    for (const 하나 of 볼것) {
+      if (b.re.test(하나)) throw new BlockedError(`${b.why}\n  막힌 명령: ${s.slice(0, 120)}`);
+    }
   }
   return true;
 }