intentpatch 0.1.1 → 0.3.0

package/README.ko.md

@@ -21,9 +21,16 @@ LLM 없이도 재현 가능한 분석을 제공하고, AI 설명 기능은 선
 
 ## 빠른 시작
 
-Node.js 20 이상과 Git이 설치되어 있어야 합니다. 현재 npm 공개 전에는 저장소를 빌드해 바로
+Node.js 20 이상과 Git이 설치되어 있어야 합니다. npm에 공개된 v0.3.0은 전역 설치 없이
 실행할 수 있습니다.
 
+```bash
+npx intentpatch analyze --cwd /path/to/repository
+npx intentpatch analyze --format html --output intentpatch-report.html
+```
+
+현재 소스 버전을 실행하려면 저장소를 빌드합니다.
+
 ```bash
 git clone https://github.com/xx2xxjaeil/intent-patch.git
 cd intent-patch
@@ -33,13 +40,6 @@ node dist/presentation/cli/main.js --version
 node dist/presentation/cli/main.js analyze --cwd /path/to/repository
 ```
 
-npm 릴리스가 공개된 뒤에는 설치 없이 같은 CLI를 실행할 수 있습니다.
-
-```bash
-npx intentpatch analyze --cwd /path/to/repository
-npx intentpatch analyze --format html --output intentpatch-report.html
-```
-
 핵심 분석에는 API key, 유료 AI 모델, 서버 또는 데이터베이스가 필요하지 않습니다. 분석할 Git
 저장소의 파일은 로컬에서 처리하며 LLM 연결은 현재 기본 실행 경로에 포함되지 않습니다.
 
@@ -67,7 +67,7 @@ jobs:
 
       - name: Analyze pull request
         id: intentpatch
-        uses: xx2xxjaeil/intent-patch@main
+        uses: xx2xxjaeil/intent-patch@v0.3.0
         with:
           fail-on: high
 
@@ -79,9 +79,10 @@ jobs:
           path: intentpatch-report
 ```
 
-현재 개발 버전은 `@main`으로 실행합니다. 첫 번째 정식 릴리스 후에는 불변 SHA 또는 `@v1`
-태그로 고정하는 방식을 권장합니다. Action은 PR·push 이벤트의 commit 범위를 자동으로
-선택하고 다음 결과를 남깁니다.
+Action은 릴리스 버전이나 불변 commit SHA로 고정하는 방식을 권장합니다. v0.3.0에는 pnpm
+lockfile/workspace 분석, 새 의존성의 정적 사용 검토, 명시적 요청문 입력이 포함됩니다.
+`@main`은 미릴리스 변경을 따라갑니다.
+Action은 PR·push 이벤트의 commit 범위를 자동으로 선택하고 다음 결과를 남깁니다.
 
 - GitHub Actions Job Summary의 Markdown 보고서
 - 심각도별 workflow annotation
@@ -127,9 +128,14 @@ LOW     구현체가 하나뿐인 추상화 추가
 분석 결과는 단순한 경고 문구가 아니라 관련 파일, 규칙 ID, 판단 근거와 함께 제공하는 것을
 원칙으로 합니다.
 
+실제 IntentPatch 커밋을 분석한 [독립 실행형 HTML 예시](./docs/examples/intent-input-change.html)와
+[3건의 검증 결과·재현 명령](./docs/real-world-evaluation.md)을 볼 수 있습니다. 저장소를 clone한
+뒤 HTML 파일을 브라우저에서 열어 주세요. GitHub 파일 화면은 렌더링 대신 소스를 보여줄 수
+있습니다.
+
 ## 현재 구현된 기능
 
-현재 버전은 Git 변경사항 수집, 루트 `package.json`의 직접 dependency 분석, TypeScript
+현재 소스는 Git 변경사항 수집, 루트·npm workspace `package.json`의 직접 dependency와 npm lockfile 분석, TypeScript
 최상위 심볼과 공개 API 변경 분석, 기존 구현 중복·단일 구현 추상화 신호, import graph 기반
 영향 범위와 테스트 동반 변경 분석을 제공합니다.
 
@@ -145,7 +151,15 @@ LOW     구현체가 하나뿐인 추상화 추가
 - 외부 CDN이나 JavaScript dependency가 필요 없는 인라인 CSS·SVG 시각화
 - production·development dependency 추가 탐지
 - dependency 삭제, 버전 변경, 섹션 이동 탐지
+- 새 직접 dependency에 정적 JS/TS 참조가 없으면 `low` 심각도의 검토 후보로 표시
 - 잘못된 `package.json`을 예외 대신 근거가 포함된 finding으로 보고
+- npm `package-lock.json` v2/v3의 실제 설치 패키지 추가·삭제·버전 변경 비교
+- scoped·중첩 설치 경로를 구분하고 로컬 workspace 링크는 제외
+- pnpm `pnpm-lock.yaml` v9의 레지스트리 패키지 추가·삭제·버전 변경 비교(2개 문서 형식 포함)
+- 잘못되었거나 미지원인 lockfile을 누락하지 않고 finding으로 보고
+- 루트 `workspaces` 패턴에 속한 변경 manifest의 직접 dependency를 workspace별로 보고
+- `pnpm-workspace.yaml`의 포함·제외 패턴에 속한 변경 manifest의 직접 dependency를 보고
+- workspace 설정 변경과 manifest의 workspace 안팎 이동을 탐지
 - finding 심각도(`high`, `medium`, `low`) 집계
 - CI 품질 게이트를 위한 `--fail-on` 종료 코드
 - 설치된 패키지 버전을 확인하는 `--version` 명령
@@ -160,11 +174,14 @@ LOW     구현체가 하나뿐인 추상화 추가
 - rename 전후 파일 경로를 사용한 심볼 비교
 - 구문 오류가 있는 파일을 누락시키지 않고 분석 불가 근거로 보고
 - `.ts`·`.tsx` 파일의 상대 경로 정적 import와 re-export 관계 수집
+- 가장 가까운 `tsconfig.json`·`jsconfig.json`의 `paths`·`baseUrl`과 상대 경로 `extends`를
+  사용해 로컬 별칭 import 해석
 - `.js`·`.jsx`·`.mjs`·`.cjs` specifier를 대응하는 TypeScript 소스로 해석
 - 변경 모듈을 import하는 직접 의존자와 여러 단계를 거친 간접 영향 파일 계산
 - 해결하지 못한 상대 import와 읽기·파싱 실패를 분석 근거로 보존
 - working tree의 tracked·untracked 파일 또는 지정한 head ref를 동일한 결과점에서 분석
 - `.intentpatch.json`에 요청 의도, 예상 경로, 허용 경로와 변경량 예산 선언
+- CLI 요청 문서 또는 선택적으로 GitHub PR 본문에서 요청 의도를 입력
 - 예상·허용 패턴을 벗어난 변경 파일을 파일별 `medium` finding으로 탐지
 - 변경 파일 수와 측정 라인 예산 초과를 수치 근거가 있는 `low` finding으로 탐지
 - Contract가 지정한 소스·테스트 경로를 분류하고 파일명 기준으로 관련 변경 연결
@@ -174,7 +191,7 @@ LOW     구현체가 하나뿐인 추상화 추가
 - Pull Request·push commit 범위를 자동 판별하는 GitHub Action
 - GitHub Job Summary, workflow annotation, JSON·HTML artifact용 보고서 생성
 
-아직 lockfile의 전이 dependency 분석, path alias 해석, JavaScript·메서드 구조 분석과 AI 리뷰
+아직 lockfile 전이 dependency의 부모 귀속 분석, JavaScript·메서드 구조 분석과 AI 리뷰
 기능은 구현되지 않았습니다.
 
 ## 상세 사용법
@@ -219,6 +236,16 @@ HTML 파일에는 스타일과 dependency 영향 SVG 그래프가 모두 포함
 IntentPatch를 실행한 현재 디렉터리를 기준으로 해석합니다. 기존 `--json`은
 `--format json`의 단축 옵션입니다.
 
+계약 파일 없이 원래 요청을 보고서에 담으려면 분석할 저장소 안에 텍스트·Markdown 파일을 저장하고 실행합니다.
+
+```bash
+intentpatch analyze --intent-file request.md --format html --output report.html
+```
+
+`--intent-file`은 계약의 `intent`만 덮어쓰며 기존 scope·테스트 정책은 유지합니다.
+요청 파일은 저장소 안의 일반 파일이어야 하고 64 KiB 이하여야 합니다. 요청 문장만으로
+예상 경로를 추측하거나 범위 검사를 활성화하지 않습니다.
+
 ### Change Contract로 요청 범위 검사
 
 분석할 저장소의 `.intentpatch.json`에 이번 요청의 기대 범위를 선언할 수 있습니다.
@@ -412,15 +439,23 @@ npm provenance가 자동 생성됩니다. 아직 npm에 존재하지 않는 신
 1. ✅ `package.json` 직접 dependency 변경 탐지와 규칙 엔진
 2. ✅ TypeScript AST 기반 함수·클래스·인터페이스·타입 변경 분석
 3. ✅ 상대 경로 정적 import graph 기반 변경 영향 범위 계산
+   - ✅ 가장 가까운 TypeScript 프로젝트 설정의 `paths`·`baseUrl` 별칭 해석
 4. ✅ Change Contract 기반 예상 범위 이탈과 변경량 예산 탐지
 5. ✅ Contract 기반 관련 테스트 변경 누락 탐지
 6. lockfile과 workspace를 고려한 package manager adapter
+   - ✅ npm `package-lock.json` v2/v3의 설치 패키지 변경
+   - ✅ npm workspace manifest의 직접 dependency 변경
+   - ✅ pnpm `pnpm-lock.yaml` v9의 레지스트리 패키지 변경
+   - ✅ pnpm workspace manifest의 직접 dependency 변경
+   - Yarn adapter
 7. ✅ 직접 export된 공개 심볼 삭제와 export 해제 탐지
 8. ✅ 단일 HTML 대시보드와 SVG 기반 dependency 영향 그래프
 9. ✅ re-export·함수/인터페이스 호환성과 기존 코드 중복 가능성 탐지
 10. ✅ 구현체가 하나뿐인 신규 인터페이스 탐지
 11. ✅ PR·push 비교, Job Summary와 artifact 출력을 제공하는 GitHub Action
-12. Codex·Claude Code·Cursor adapter
+12. 요청 입력과 에이전트 adapter
+    - ✅ CLI 요청 문서와 선택적 GitHub PR 본문 입력
+    - Codex·Claude Code·Cursor 전용 adapter
 13. 근거 기반 결과에 대한 선택적 LLM 설명
 
 ## 현재 제한사항
@@ -428,9 +463,24 @@ npm provenance가 자동 생성됩니다. 아직 npm에 존재하지 않는 신
 - 분석 대상은 최소 한 번 이상 커밋된 Git 저장소여야 합니다.
 - untracked symbolic link는 안전을 위해 내용을 읽지 않습니다.
 - 10 MiB를 초과하는 untracked 파일은 라인 수를 측정하지 않습니다.
-- dependency 분석은 저장소 루트의 npm `package.json`에 선언된 `dependencies`와
-  `devDependencies`를 대상으로 합니다.
-- lockfile의 전이 dependency, workspace package, 코드에서의 실제 사용 여부는 아직 분석하지 않습니다.
+- 직접 dependency 선언 분석은 저장소 루트와 변경된 npm·pnpm workspace `package.json`의
+  `dependencies`와 `devDependencies`를 대상으로 합니다.
+- 정적 참조 없음 finding은 미사용 확정이 아닌 검토 후보입니다. 유지보수 대상 JS/TS
+  소스의 명시적 import·re-export·문자열 `require()`·`import()`를 살펴봅니다. CLI나 설정
+  파일에서만 사용하는 경우는 놓칠 수 있습니다. 파일 읽기·파싱이 불완전하거나 계산된 module
+  load가 있거나, 스캔한 소스가 없거나, 소스 파일이 5,000개를 넘으면 후보를 보고하지 않습니다.
+- npm `package-lock.json` v2/v3은 설치 경로와 버전을 비교합니다. 부모 dependency 귀속,
+  integrity hash나 취약점 정보까지 분석하지는 않습니다.
+- pnpm `pnpm-lock.yaml` v9은 프로젝트 문서의 레지스트리 패키지 ID와 버전을 비교합니다.
+  integrity만 바뀐 경우, 로컬·Git 패키지, snapshot의 peer 변형, 부모 dependency 귀속은 분석하지 않습니다.
+  루트의 직접 dependency 여부는 루트 importer를 기준으로 표시합니다.
+- workspace 판별은 루트의 npm `workspaces` 배열과 명시 경로, `*`·`**`·`?` 패턴을 지원합니다.
+  부정·중괄호·문자 클래스 패턴은 미지원 finding으로 보고합니다.
+- pnpm workspace는 `pnpm-workspace.yaml`의 `packages`에 명시한 `*`·`**`·`?`와 선행 `!`
+  제외 패턴을 지원합니다. npm 설정이 함께 있으면 중복 보고를 막기 위해 pnpm 설정을
+  우선합니다. 그 외 glob 문법과 catalog는 해석하지 않습니다.
+- Yarn lockfile과 런타임에서의 실제 dependency 사용 여부는 아직 분석하지 않습니다.
+- working tree의 `package-lock.json`·`pnpm-lock.yaml`은 10 MiB, 그 외 텍스트 snapshot은 1 MiB로 제한합니다.
 - 심볼 분석은 `.ts`와 `.tsx`의 이름이 있는 최상위 함수, 클래스, 인터페이스, 타입
   별칭만 지원합니다.
 - 공개 API 분석은 이름이 있는 최상위 함수·인터페이스, 로컬 `export { name }`, 외부
@@ -445,10 +495,12 @@ npm provenance가 자동 생성됩니다. 아직 npm에 존재하지 않는 신
   보고합니다. TypeScript의 구조적 구현, factory 반환 타입과 런타임 등록은 계산하지 않습니다.
 - 메서드, 변수 선언, enum, 중첩 선언, JavaScript 파일은 아직 심볼 분석 대상이 아닙니다.
 - 선언 내부의 포맷이나 주석 변경도 심볼 수정으로 집계될 수 있습니다.
-- 영향 분석은 `.ts`·`.tsx` 파일의 상대 경로 정적 `import`, side-effect import,
-  `export ... from`, `import = require()`를 대상으로 합니다.
-- 외부 package import는 그래프에서 제외하며 path alias, dynamic `import()`, 일반 `require()`는
-  아직 해석하지 않습니다.
+- 영향 분석은 `.ts`·`.tsx` 파일의 정적 `import`, side-effect import, `export ... from`,
+  `import = require()`를 대상으로 합니다. 로컬 별칭은 가장 가까운 `tsconfig.json` 또는
+  `jsconfig.json`과 상대 경로 `extends`를 해석합니다.
+- 외부 패키지 설정을 참조하는 `extends`, project references, 임의 이름의 설정 파일,
+  package `imports`·`exports`, 외부 package import, dynamic `import()`, 일반 `require()`는
+  아직 그래프에 포함하지 않습니다.
 - 영향 그래프는 비교 결과점(working tree 또는 head ref)의 파일을 기준으로 만듭니다. 따라서
   삭제된 모듈을 가리키던 과거 import의 영향은 현재 단계에서 계산할 수 없습니다.
 - 영향 분석용 소스 파일은 파일당 1 MiB로 제한하며, symbolic link는 읽지 않습니다.

package/README.md

@@ -18,7 +18,15 @@ IntentPatch combines **Git diff analysis, static analysis, and dependency analys
 
 ## Quick start
 
-IntentPatch requires Node.js 20 or later and Git. Until the first public npm release is approved, build and run it directly from the repository:
+IntentPatch requires Node.js 20 or later and Git. Run the published v0.3.0 CLI without
+installing it globally:
+
+```bash
+npx intentpatch analyze --cwd /path/to/repository
+npx intentpatch analyze --format html --output intentpatch-report.html
+```
+
+To run the current source version instead, build it from the repository:
 
 ```bash
 git clone https://github.com/xx2xxjaeil/intent-patch.git
@@ -29,13 +37,6 @@ node dist/presentation/cli/main.js --version
 node dist/presentation/cli/main.js analyze --cwd /path/to/repository
 ```
 
-After the npm release becomes public, run the same CLI without installing it globally:
-
-```bash
-npx intentpatch analyze --cwd /path/to/repository
-npx intentpatch analyze --format html --output intentpatch-report.html
-```
-
 The core analyzer needs no API key, paid AI model, server, or database. Repository files are processed locally, and no LLM is used in the default execution path.
 
 ## GitHub Action
@@ -61,7 +62,7 @@ jobs:
 
       - name: Analyze pull request
         id: intentpatch
-        uses: xx2xxjaeil/intent-patch@main
+        uses: xx2xxjaeil/intent-patch@v0.3.0
         with:
           fail-on: high
 
@@ -73,7 +74,9 @@ jobs:
           path: intentpatch-report
 ```
 
-The development version currently runs from `@main`. After the first stable release, pin the action to an immutable commit SHA or a major tag such as `@v1`.
+Pin the action to a released version or an immutable commit SHA. The v0.3.0 release adds pnpm
+lockfile/workspace analysis, static dependency-use review, and explicit request input; `@main`
+follows unreleased changes.
 
 The action detects the comparison range for pull request and push events and produces:
 
@@ -119,9 +122,14 @@ LOW     New abstraction has only one implementation
 
 Every finding includes the relevant file, a stable rule ID, and evidence for the decision instead of only presenting an unexplained warning.
 
+For a report generated from an actual IntentPatch commit, see the
+[standalone HTML example](./docs/examples/intent-input-change.html) and the
+[three-case evaluation with reproduction commands](./docs/real-world-evaluation.md). After cloning,
+open the HTML file locally in a browser; GitHub may show its source rather than render it.
+
 ## Implemented capabilities
 
-The current version analyzes Git changes, direct dependencies in the root `package.json`, top-level TypeScript symbols and public API changes, possible duplicate implementations, single-implementation abstractions, import-graph impact, and related test changes.
+The current source tree analyzes Git changes, direct dependencies in the root `package.json`, top-level TypeScript symbols and public API changes, possible duplicate implementations, single-implementation abstractions, import-graph impact, and related test changes.
 
 ### Git and reporting
 
@@ -142,7 +150,15 @@ The current version analyzes Git changes, direct dependencies in the root `packa
 
 - Detect additions to production and development dependencies.
 - Detect dependency removal, version changes, and section moves.
+- Flag a newly added direct dependency with no static JS/TS import as a low-severity review candidate.
 - Report malformed `package.json` files as evidence-backed findings instead of crashing.
+- Compare resolved package additions, removals, and version changes in npm `package-lock.json` v2/v3.
+- Keep scoped and nested installation paths distinct, and exclude local workspace links.
+- Compare resolved registry package changes in pnpm `pnpm-lock.yaml` v9, including two-document lockfiles.
+- Report malformed or unsupported lockfiles as findings rather than silently skipping them.
+- Attribute direct dependency changes to changed npm workspace manifests selected by the root `workspaces` patterns.
+- Analyze changed pnpm workspace manifests selected by `pnpm-workspace.yaml`, including exclusion patterns.
+- Report changes to workspace patterns and manifest moves into or out of a configured workspace.
 - Extract top-level named functions, classes, interfaces, and type aliases from `.ts` and `.tsx` files.
 - Detect symbol additions, modifications, and removals with source locations.
 - Preserve direct exports, local export lists, and external re-exports as public-symbol evidence.
@@ -157,11 +173,14 @@ The current version analyzes Git changes, direct dependencies in the root `packa
 ### Impact, scope, and tests
 
 - Build relative static import and re-export relationships for `.ts` and `.tsx` files.
+- Resolve local imports through the nearest `tsconfig.json` or `jsconfig.json` `paths` and
+  `baseUrl`, including relative `extends` files.
 - Resolve `.js`, `.jsx`, `.mjs`, and `.cjs` import specifiers to matching TypeScript sources.
 - Calculate direct importers and transitively impacted files for changed modules.
 - Preserve unresolved relative imports and file read or parse failures as evidence.
 - Build the graph at the same result point as the diff: the working tree or the selected head ref.
 - Read intent, expected paths, allowed paths, and change budgets from `.intentpatch.json`.
+- Accept a request text/Markdown file through the CLI, or opt in to using the PR body in the GitHub Action.
 - Report each file outside expected and allowed patterns as a medium-severity finding.
 - Report file-count and measurable-line budget overruns with numeric evidence.
 - Classify source and test paths declared by the contract and connect related changes by basename.
@@ -169,7 +188,7 @@ The current version analyzes Git changes, direct dependencies in the root `packa
 - Report source files without a related test change as medium-severity findings.
 - Support repository-relative `*`, `**`, and `?` path patterns.
 
-Lockfile transitive dependency analysis, path aliases, JavaScript and method-level structure analysis, and optional AI review are not implemented yet.
+Transitive lockfile dependency provenance, JavaScript and method-level structure analysis, and optional AI review are not implemented yet.
 
 ## CLI usage
 
@@ -210,6 +229,14 @@ node dist/presentation/cli/main.js analyze \
 
 The HTML file contains all styles and the dependency-impact SVG, so it opens directly without a server or API key. `--output` also works with text and JSON formats. Relative output paths are resolved from the directory where IntentPatch is executed. `--json` is an alias for `--format json`.
 
+To include the original request without writing a contract, save it in the analyzed repository and run:
+
+```bash
+intentpatch analyze --intent-file request.md --format html --output report.html
+```
+
+`--intent-file` overrides only the contract's `intent`; existing scope and test policies remain intact. The file must be a regular file inside the analyzed repository and at most 64 KiB. Request text alone does not infer expected paths or activate scope checks.
+
 ### Check request scope with a Change Contract
 
 Create `.intentpatch.json` in the repository being analyzed and declare the expected scope of the request:
@@ -396,15 +423,23 @@ No long-lived npm token is stored as a GitHub secret. Public packages published
 1. ✅ Direct `package.json` dependency detection and rule engine
 2. ✅ TypeScript AST analysis for functions, classes, interfaces, and types
 3. ✅ Relative static import graph and change-impact calculation
+   - ✅ TypeScript `paths` and `baseUrl` aliases from the nearest project config
 4. ✅ Change Contract scope and change-budget analysis
 5. ✅ Contract-based detection of missing related test changes
 6. Package-manager adapters for lockfiles and workspaces
+   - ✅ npm `package-lock.json` v2/v3 resolved package changes
+   - ✅ npm workspace manifest dependency changes
+   - ✅ pnpm `pnpm-lock.yaml` v9 resolved registry package changes
+   - ✅ pnpm workspace manifest dependency changes
+   - Yarn adapter
 7. ✅ Detection of removed public exports
 8. ✅ Standalone HTML dashboard and SVG dependency-impact graph
 9. ✅ Re-export and function/interface compatibility checks plus possible code duplication
 10. ✅ Detection of newly introduced single-implementation interfaces
 11. ✅ GitHub Action with PR/push comparison, Job Summary, annotations, and artifacts
-12. Codex, Claude Code, and Cursor adapters
+12. Request capture and agent adapters
+    - ✅ CLI request file and opt-in GitHub PR body
+    - Codex, Claude Code, and Cursor-specific adapters
 13. Optional LLM explanations grounded in deterministic evidence
 
 ## Current limitations
@@ -412,8 +447,14 @@ No long-lived npm token is stored as a GitHub secret. Public packages published
 - The target must be a Git repository with at least one commit.
 - Untracked symbolic links are not read for safety.
 - Line counts are skipped for untracked files larger than 10 MiB.
-- Dependency analysis covers only `dependencies` and `devDependencies` in the root npm `package.json`.
-- Transitive lockfile dependencies, workspace packages, and real dependency usage in source code are not analyzed yet.
+- Direct dependency declarations are analyzed from `dependencies` and `devDependencies` in the root `package.json` and changed npm/pnpm workspace manifests.
+- The no-static-reference finding is a review candidate, not proof that a package is unused. It checks explicit JS/TS imports, re-exports, literal `require()` and `import()` across maintained source files; CLI-only/configuration usage may not appear. It does not emit a candidate if source reads or parsing are incomplete, a computed module load exists, no source was scanned, or more than 5,000 source files are present.
+- npm `package-lock.json` v2/v3 analysis compares installed package paths and versions, not dependency provenance, integrity hashes, or vulnerability data. It does not attribute transitive packages to their parents.
+- pnpm `pnpm-lock.yaml` v9 analysis compares registry package IDs and versions in the project document. It ignores integrity-only edits, local/Git packages, snapshot peer variants, and dependency provenance. Root-direct evidence comes from the root importer only.
+- Workspace detection supports the root npm `workspaces` array with explicit paths and `*`, `**`, and `?` globs. Negation, brace, and character-class patterns are reported as unsupported.
+- pnpm workspace detection reads `pnpm-workspace.yaml` `packages` patterns with `*`, `**`, `?`, and leading `!` exclusions. When both npm and pnpm workspace settings exist, pnpm settings take precedence to avoid duplicate findings. Other glob features and pnpm catalogs are not interpreted.
+- Yarn lockfiles and runtime dependency usage are not analyzed yet.
+- Working-tree `package-lock.json` and `pnpm-lock.yaml` files are limited to 10 MiB; other text snapshots retain the 1 MiB limit.
 - Symbol analysis supports named top-level functions, classes, interfaces, and type aliases in `.ts` and `.tsx` files.
 - Public API analysis supports named top-level functions and interfaces, local `export { name }`, external `export { name } from`, and `export * from`. Package `exports`, anonymous default exports, and detailed class or type-alias contracts are not interpreted yet.
 - Function compatibility compares explicitly written parameter and return-type text. It does not evaluate inferred return types or full TypeScript structural assignability.
@@ -421,8 +462,12 @@ No long-lived npm token is stored as a GitHub secret. Public packages published
 - A single-implementation abstraction is reported only when exactly one named class explicitly uses `implements` for a new interface. Structural implementation, factory return types, and runtime registration are not calculated.
 - Methods, variable declarations, enums, nested declarations, and JavaScript files are not included in symbol analysis.
 - Formatting or comment changes inside a declaration can be counted as symbol modifications.
-- Impact analysis covers relative static `import`, side-effect imports, `export ... from`, and `import = require()` in `.ts` and `.tsx` files.
-- External package imports, path aliases, dynamic `import()`, and ordinary `require()` are not included in the graph.
+- Impact analysis covers static `import`, side-effect imports, `export ... from`, and
+  `import = require()` in `.ts` and `.tsx` files. Local aliases use the nearest `tsconfig.json` or
+  `jsconfig.json`, with relative `extends` support.
+- Package-based config `extends`, project references, arbitrary config filenames, package
+  `imports`/`exports`, external package imports, dynamic `import()`, and ordinary `require()` are
+  not included in the graph.
 - The graph is built from files at the comparison result point: the working tree or head ref. Impact from historical imports that referenced a deleted module cannot be calculated yet.
 - Source files used for impact analysis are limited to 1 MiB per file, and symbolic links are not read.
 - IntentPatch does not infer expected paths from natural-language intent. Scope decisions use the contract's explicit `include` and `allow` patterns.

package/dist/application/ports/module-alias-resolver.d.ts

@@ -0,0 +1,11 @@
+import type { ImpactAnalysisIssue } from "../../domain/impact.js";
+import type { AnalysisTarget } from "../../domain/report.js";
+/** 분석 결과점에서 해석 가능한 비상대 경로 import를 찾는 언어별 출력 포트다. */
+export interface ModuleAliasResolver {
+    prepare(target: AnalysisTarget, repositoryPaths: readonly string[], sourcePaths: ReadonlySet<string>): Promise<PreparedModuleAliasResolver>;
+}
+export interface PreparedModuleAliasResolver {
+    readonly issues: readonly ImpactAnalysisIssue[];
+    resolve(importer: string, specifier: string): string | undefined;
+}
+//# sourceMappingURL=module-alias-resolver.d.ts.map

package/dist/application/ports/module-alias-resolver.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"module-alias-resolver.d.ts","sourceRoot":"","sources":["../../../src/application/ports/module-alias-resolver.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,mBAAmB,EAAE,MAAM,wBAAwB,CAAC;AAClE,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,wBAAwB,CAAC;AAE7D,oDAAoD;AACpD,MAAM,WAAW,mBAAmB;IAClC,OAAO,CACL,MAAM,EAAE,cAAc,EACtB,eAAe,EAAE,SAAS,MAAM,EAAE,EAClC,WAAW,EAAE,WAAW,CAAC,MAAM,CAAC,GAC/B,OAAO,CAAC,2BAA2B,CAAC,CAAC;CACzC;AAED,MAAM,WAAW,2BAA2B;IAC1C,QAAQ,CAAC,MAAM,EAAE,SAAS,mBAAmB,EAAE,CAAC;IAChD,OAAO,CAAC,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,MAAM,GAAG,MAAM,GAAG,SAAS,CAAC;CAClE"}

package/dist/application/ports/module-alias-resolver.js

@@ -0,0 +1,2 @@
+export {};
+//# sourceMappingURL=module-alias-resolver.js.map

package/dist/application/ports/module-alias-resolver.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"module-alias-resolver.js","sourceRoot":"","sources":["../../../src/application/ports/module-alias-resolver.ts"],"names":[],"mappings":""}

package/dist/application/ports/module-reference-extractor.d.ts

@@ -1,6 +1,7 @@
 export type ModuleReferenceExtractionResult = Readonly<{
     kind: "success";
     specifiers: readonly string[];
+    hasDynamicSpecifier?: boolean;
 }> | Readonly<{
     kind: "unavailable";
     reason: string;

package/dist/application/ports/module-reference-extractor.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"module-reference-extractor.d.ts","sourceRoot":"","sources":["../../../src/application/ports/module-reference-extractor.ts"],"names":[],"mappings":"AAAA,MAAM,MAAM,+BAA+B,GACvC,QAAQ,CAAC;IAAE,IAAI,EAAE,SAAS,CAAC;IAAC,UAAU,EAAE,SAAS,MAAM,EAAE,CAAA;CAAE,CAAC,GAC5D,QAAQ,CAAC;IAAE,IAAI,EAAE,aAAa,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,CAAC,CAAC;AAEtD,oDAAoD;AACpD,MAAM,WAAW,wBAAwB;IACvC,QAAQ,CAAC,IAAI,EAAE,MAAM,GAAG,OAAO,CAAC;IAChC,OAAO,CAAC,IAAI,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,GAAG,+BAA+B,CAAC;CACxE"}
+{"version":3,"file":"module-reference-extractor.d.ts","sourceRoot":"","sources":["../../../src/application/ports/module-reference-extractor.ts"],"names":[],"mappings":"AAAA,MAAM,MAAM,+BAA+B,GACvC,QAAQ,CAAC;IACP,IAAI,EAAE,SAAS,CAAC;IAChB,UAAU,EAAE,SAAS,MAAM,EAAE,CAAC;IAC9B,mBAAmB,CAAC,EAAE,OAAO,CAAC;CAC/B,CAAC,GACF,QAAQ,CAAC;IAAE,IAAI,EAAE,aAAa,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,CAAC,CAAC;AAEtD,oDAAoD;AACpD,MAAM,WAAW,wBAAwB;IACvC,QAAQ,CAAC,IAAI,EAAE,MAAM,GAAG,OAAO,CAAC;IAChC,OAAO,CAAC,IAAI,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,GAAG,+BAA+B,CAAC;CACxE"}

package/dist/application/ports/package-lock-parser.d.ts

@@ -0,0 +1,20 @@
+/** npm lockfile의 설치 위치를 기준으로 비교할 수 있는 패키지 정보다. */
+export interface LockedPackage {
+    readonly path: string;
+    readonly name: string;
+    readonly version: string;
+    readonly rootDirect: boolean;
+}
+export type PackageLockParseResult = Readonly<{
+    ok: true;
+    packages: ReadonlyMap<string, LockedPackage>;
+}> | Readonly<{
+    ok: false;
+    kind: "invalid" | "unsupported";
+    reason: string;
+}>;
+/** 패키지 매니저의 파일 형식을 분석 규칙에서 분리하는 입력 포트다. */
+export interface PackageLockParser {
+    parse(content: string): PackageLockParseResult;
+}
+//# sourceMappingURL=package-lock-parser.d.ts.map

package/dist/application/ports/package-lock-parser.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"package-lock-parser.d.ts","sourceRoot":"","sources":["../../../src/application/ports/package-lock-parser.ts"],"names":[],"mappings":"AAAA,kDAAkD;AAClD,MAAM,WAAW,aAAa;IAC5B,QAAQ,CAAC,IAAI,EAAE,MAAM,CAAC;IACtB,QAAQ,CAAC,IAAI,EAAE,MAAM,CAAC;IACtB,QAAQ,CAAC,OAAO,EAAE,MAAM,CAAC;IACzB,QAAQ,CAAC,UAAU,EAAE,OAAO,CAAC;CAC9B;AAED,MAAM,MAAM,sBAAsB,GAC9B,QAAQ,CAAC;IAAE,EAAE,EAAE,IAAI,CAAC;IAAC,QAAQ,EAAE,WAAW,CAAC,MAAM,EAAE,aAAa,CAAC,CAAA;CAAE,CAAC,GACpE,QAAQ,CAAC;IAAE,EAAE,EAAE,KAAK,CAAC;IAAC,IAAI,EAAE,SAAS,GAAG,aAAa,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,CAAC,CAAC;AAE7E,2CAA2C;AAC3C,MAAM,WAAW,iBAAiB;IAChC,KAAK,CAAC,OAAO,EAAE,MAAM,GAAG,sBAAsB,CAAC;CAChD"}

package/dist/application/ports/package-lock-parser.js

@@ -0,0 +1,2 @@
+export {};
+//# sourceMappingURL=package-lock-parser.js.map

package/dist/application/ports/package-lock-parser.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"package-lock-parser.js","sourceRoot":"","sources":["../../../src/application/ports/package-lock-parser.ts"],"names":[],"mappings":""}

package/dist/application/ports/parse-failure.d.ts

@@ -0,0 +1,7 @@
+/** 여러 package-manager 파서에서 같은 실패 형태를 사용한다. */
+export declare function invalidParseResult(reason: string): Readonly<{
+    ok: false;
+    kind: "invalid";
+    reason: string;
+}>;
+//# sourceMappingURL=parse-failure.d.ts.map

package/dist/application/ports/parse-failure.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"parse-failure.d.ts","sourceRoot":"","sources":["../../../src/application/ports/parse-failure.ts"],"names":[],"mappings":"AAAA,8CAA8C;AAC9C,wBAAgB,kBAAkB,CAChC,MAAM,EAAE,MAAM,GACb,QAAQ,CAAC;IAAE,EAAE,EAAE,KAAK,CAAC;IAAC,IAAI,EAAE,SAAS,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,CAAC,CAE1D"}

package/dist/application/ports/parse-failure.js

@@ -0,0 +1,5 @@
+/** 여러 package-manager 파서에서 같은 실패 형태를 사용한다. */
+export function invalidParseResult(reason) {
+    return Object.freeze({ ok: false, kind: "invalid", reason });
+}
+//# sourceMappingURL=parse-failure.js.map

package/dist/application/ports/parse-failure.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"parse-failure.js","sourceRoot":"","sources":["../../../src/application/ports/parse-failure.ts"],"names":[],"mappings":"AAAA,8CAA8C;AAC9C,MAAM,UAAU,kBAAkB,CAChC,MAAc;IAEd,OAAO,MAAM,CAAC,MAAM,CAAC,EAAE,EAAE,EAAE,KAAK,EAAE,IAAI,EAAE,SAAS,EAAE,MAAM,EAAE,CAAC,CAAC;AAC/D,CAAC"}

package/dist/application/ports/pnpm-lock-parser.d.ts

@@ -0,0 +1,20 @@
+/** pnpm v9 lockfile의 프로젝트 패키지 목록에서 비교할 사실이다. */
+export interface PnpmLockedPackage {
+    readonly id: string;
+    readonly name: string;
+    readonly version: string;
+    readonly rootDirect: boolean;
+}
+export type PnpmLockParseResult = Readonly<{
+    ok: true;
+    packages: ReadonlyMap<string, PnpmLockedPackage>;
+}> | Readonly<{
+    ok: false;
+    kind: "invalid" | "unsupported";
+    reason: string;
+}>;
+/** YAML 파일 형식 해석을 분석 규칙에서 분리하는 입력 포트다. */
+export interface PnpmLockParser {
+    parse(content: string): PnpmLockParseResult;
+}
+//# sourceMappingURL=pnpm-lock-parser.d.ts.map

package/dist/application/ports/pnpm-lock-parser.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"pnpm-lock-parser.d.ts","sourceRoot":"","sources":["../../../src/application/ports/pnpm-lock-parser.ts"],"names":[],"mappings":"AAAA,gDAAgD;AAChD,MAAM,WAAW,iBAAiB;IAChC,QAAQ,CAAC,EAAE,EAAE,MAAM,CAAC;IACpB,QAAQ,CAAC,IAAI,EAAE,MAAM,CAAC;IACtB,QAAQ,CAAC,OAAO,EAAE,MAAM,CAAC;IACzB,QAAQ,CAAC,UAAU,EAAE,OAAO,CAAC;CAC9B;AAED,MAAM,MAAM,mBAAmB,GAC3B,QAAQ,CAAC;IAAE,EAAE,EAAE,IAAI,CAAC;IAAC,QAAQ,EAAE,WAAW,CAAC,MAAM,EAAE,iBAAiB,CAAC,CAAA;CAAE,CAAC,GACxE,QAAQ,CAAC;IAAE,EAAE,EAAE,KAAK,CAAC;IAAC,IAAI,EAAE,SAAS,GAAG,aAAa,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,CAAC,CAAC;AAE7E,0CAA0C;AAC1C,MAAM,WAAW,cAAc;IAC7B,KAAK,CAAC,OAAO,EAAE,MAAM,GAAG,mBAAmB,CAAC;CAC7C"}

package/dist/application/ports/pnpm-lock-parser.js

@@ -0,0 +1,2 @@
+export {};
+//# sourceMappingURL=pnpm-lock-parser.js.map

package/dist/application/ports/pnpm-lock-parser.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"pnpm-lock-parser.js","sourceRoot":"","sources":["../../../src/application/ports/pnpm-lock-parser.ts"],"names":[],"mappings":""}

package/dist/application/ports/pnpm-workspace-parser.d.ts

@@ -0,0 +1,14 @@
+import type { WorkspacePatterns } from "../services/workspace-manifest-analysis.js";
+export type PnpmWorkspaceParseResult = Readonly<{
+    ok: true;
+    patterns: WorkspacePatterns;
+}> | Readonly<{
+    ok: false;
+    kind: "invalid" | "unsupported";
+    reason: string;
+}>;
+/** pnpm 설정 파일을 workspace glob 사실로 바꾸는 출력 포트다. */
+export interface PnpmWorkspaceParser {
+    parse(content: string | undefined): PnpmWorkspaceParseResult;
+}
+//# sourceMappingURL=pnpm-workspace-parser.d.ts.map

package/dist/application/ports/pnpm-workspace-parser.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"pnpm-workspace-parser.d.ts","sourceRoot":"","sources":["../../../src/application/ports/pnpm-workspace-parser.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,iBAAiB,EAAE,MAAM,4CAA4C,CAAC;AAEpF,MAAM,MAAM,wBAAwB,GAChC,QAAQ,CAAC;IAAE,EAAE,EAAE,IAAI,CAAC;IAAC,QAAQ,EAAE,iBAAiB,CAAA;CAAE,CAAC,GACnD,QAAQ,CAAC;IAAE,EAAE,EAAE,KAAK,CAAC;IAAC,IAAI,EAAE,SAAS,GAAG,aAAa,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,CAAC,CAAC;AAE7E,iDAAiD;AACjD,MAAM,WAAW,mBAAmB;IAClC,KAAK,CAAC,OAAO,EAAE,MAAM,GAAG,SAAS,GAAG,wBAAwB,CAAC;CAC9D"}

package/dist/application/ports/pnpm-workspace-parser.js

@@ -0,0 +1,2 @@
+export {};
+//# sourceMappingURL=pnpm-workspace-parser.js.map

package/dist/application/ports/pnpm-workspace-parser.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"pnpm-workspace-parser.js","sourceRoot":"","sources":["../../../src/application/ports/pnpm-workspace-parser.ts"],"names":[],"mappings":""}

package/dist/application/rules/added-dependency-usage-rule.d.ts

@@ -0,0 +1,16 @@
+import type { Finding } from "../../domain/finding.js";
+import type { AnalysisContext, AnalysisRule } from "../ports/analysis-rule.js";
+import type { FileSnapshotSource } from "../ports/file-snapshot-source.js";
+import type { ModuleReferenceExtractor } from "../ports/module-reference-extractor.js";
+import type { PnpmWorkspaceParser } from "../ports/pnpm-workspace-parser.js";
+import type { ProjectFileSource } from "../ports/project-file-source.js";
+/** 새 직접 dependency의 정적 소스 참조가 없을 때만 검토 후보를 제시한다. */
+export declare class AddedDependencyUsageRule implements AnalysisRule {
+    private readonly snapshots;
+    private readonly files;
+    private readonly extractor;
+    private readonly pnpmWorkspaceParser;
+    constructor(snapshots: FileSnapshotSource, files: ProjectFileSource, extractor: ModuleReferenceExtractor, pnpmWorkspaceParser: PnpmWorkspaceParser);
+    analyze(context: AnalysisContext): Promise<readonly Finding[]>;
+}
+//# sourceMappingURL=added-dependency-usage-rule.d.ts.map

package/dist/application/rules/added-dependency-usage-rule.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"added-dependency-usage-rule.d.ts","sourceRoot":"","sources":["../../../src/application/rules/added-dependency-usage-rule.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,OAAO,EAAE,MAAM,yBAAyB,CAAC;AACvD,OAAO,KAAK,EAAE,eAAe,EAAE,YAAY,EAAE,MAAM,2BAA2B,CAAC;AAC/E,OAAO,KAAK,EAAE,kBAAkB,EAAE,MAAM,kCAAkC,CAAC;AAC3E,OAAO,KAAK,EAAE,wBAAwB,EAAE,MAAM,wCAAwC,CAAC;AACvF,OAAO,KAAK,EAAE,mBAAmB,EAAE,MAAM,mCAAmC,CAAC;AAC7E,OAAO,KAAK,EAAE,iBAAiB,EAAE,MAAM,iCAAiC,CAAC;AAgBzE,oDAAoD;AACpD,qBAAa,wBAAyB,YAAW,YAAY;IAEzD,OAAO,CAAC,QAAQ,CAAC,SAAS;IAC1B,OAAO,CAAC,QAAQ,CAAC,KAAK;IACtB,OAAO,CAAC,QAAQ,CAAC,SAAS;IAC1B,OAAO,CAAC,QAAQ,CAAC,mBAAmB;gBAHnB,SAAS,EAAE,kBAAkB,EAC7B,KAAK,EAAE,iBAAiB,EACxB,SAAS,EAAE,wBAAwB,EACnC,mBAAmB,EAAE,mBAAmB;IAG9C,OAAO,CAAC,OAAO,EAAE,eAAe,GAAG,OAAO,CAAC,SAAS,OAAO,EAAE,CAAC;CAoE5E"}