intentpatch 0.7.0 → 0.9.0

package/README.ko.md

@@ -19,9 +19,24 @@ IntentPatch는 이러한 질문에 답하기 위해 **Git diff, 정적 분석,
 LLM 없이도 재현 가능한 분석을 제공하고, AI 설명 기능은 선택적으로 결합하는 것을 목표로
 합니다.
 
+## 실제 보고서 바로 보기
+
+저장소를 복제한 뒤 실제 커밋 하나를 분석하는 명령을 실행합니다.
+
+```bash
+git clone https://github.com/xx2xxjaeil/intent-patch.git
+cd intent-patch
+npx --yes intentpatch@0.9.0 analyze --base '1cc489b^' --head 1cc489b --format html --output intentpatch-report.html
+```
+
+생성된 `intentpatch-report.html`을 로컬 브라우저에서 여세요. 이 변경에서는 나중에 수정된
+공개 API 위험과 중복 코드 후보가 보고됩니다. 판단 근거는 [실제 변경 사례](./docs/real-world-evaluation.md)에
+정리했고, [저장된 HTML 보고서](./docs/examples/intent-input-change.html)도 확인할 수 있습니다.
+GitHub에서는 HTML 화면 대신 소스가 보일 수 있습니다.
+
 ## 빠른 시작
 
-Node.js 20 이상과 Git이 설치되어 있어야 합니다. npm에 공개된 v0.7.0은 전역 설치 없이
+Node.js 20 이상과 Git이 설치되어 있어야 합니다. npm에 공개된 v0.9.0은 전역 설치 없이
 실행할 수 있습니다.
 
 ```bash
@@ -67,7 +82,7 @@ jobs:
 
       - name: Analyze pull request
         id: intentpatch
-        uses: xx2xxjaeil/intent-patch@v0.7.0
+        uses: xx2xxjaeil/intent-patch@v0.9.0
         with:
           fail-on: high
 
@@ -79,9 +94,11 @@ jobs:
           path: intentpatch-report
 ```
 
-Action은 릴리스 버전이나 불변 commit SHA로 고정하는 방식을 권장합니다. v0.7.0에는
+Action은 릴리스 버전이나 불변 commit SHA로 고정하는 방식을 권장합니다. v0.9.0에는 Yarn
+workspace dependency 분석과 Change Contract를 안전하게 만드는 `init` 명령이 추가되었습니다.
+Yarn 4 lockfile 분석, 소스와 테스트의 명시적 연결, 보고서 필터와 영향 그래프 탐색 개선,
 패키지 진입점 기준 공개 API 경고, 삭제된 모듈의 이전 import 영향 분석, 선택적 Claude Code·Codex·Cursor
-Hook이 포함됩니다. 공개 API 규칙의 별도 외부 평가 결과와 한계는
+Hook도 사용할 수 있습니다. 공개 API 규칙의 별도 외부 평가 결과와 한계는
 [평가 보고서](./docs/external-repository-evaluation.md)에 기록했습니다. `@main`은 미릴리스 변경을 따라갑니다.
 Action은 PR·push 이벤트의 commit 범위를 자동으로 선택하고 다음 결과를 남깁니다.
 
@@ -101,6 +118,7 @@ Action은 PR·push 이벤트의 commit 범위를 자동으로 선택하고 다
 ## Codex·Cursor Hook
 
 v0.7.0부터 선택형 [Codex](./docs/codex.md)·[Cursor](./docs/cursor.md) 턴 분석을 사용할 수 있습니다. 동일한 결정론적 분석기를 사용하며 API 키나 유료 모델은 필요하지 않습니다. Codex는 Hook에 개수만 요약하고, Cursor는 Git 메타데이터에 비공개 HTML 보고서를 저장한 뒤 경로를 로그로 남깁니다. Cursor에 새 AI 요청을 자동 제출하지 않습니다.
+[Hook 스모크 테스트 체크리스트](./docs/hook-smoke-test.md)는 패키지 CLI 테스트와 실제 앱 테스트를 구분합니다.
 
 ## 프로젝트가 지향하는 결과
 
@@ -139,15 +157,15 @@ LOW     구현체가 하나뿐인 추상화 추가
 
 실제 커밋을 분석한 [독립 실행형 HTML 예시](./docs/examples/intent-input-change.html),
 [자체 저장소 변경 3건의 사례 연구](./docs/real-world-evaluation.md),
-[외부 저장소 변경 26건·규칙별 판정 29건의 평가 결과](./docs/external-repository-evaluation.md)를 볼 수 있습니다. 저장소를 clone한
+[외부 저장소 변경 32건·규칙별 판정 38건의 평가 결과](./docs/external-repository-evaluation.md)를 볼 수 있습니다. 저장소를 clone한
 뒤 HTML 파일을 브라우저에서 열어 주세요. GitHub 파일 화면은 렌더링 대신 소스를 보여줄 수
 있습니다.
 
 ## 현재 구현된 기능
 
-현재 소스는 Git 변경사항 수집, 루트·npm workspace `package.json`의 직접 dependency와 npm lockfile 분석, TypeScript
-최상위 TypeScript·JavaScript 심볼과 공개 export 변경 분석, 기존 구현 중복·단일 구현 추상화 신호, import graph 기반
-영향 범위와 테스트 동반 변경 분석을 제공합니다.
+CLI는 Git 변경사항, 루트 및 npm·pnpm·Yarn workspace manifest의 직접 dependency,
+lockfile 변경, 최상위 TypeScript·JavaScript 심볼과 공개 export, 기존 구현 중복·단일 구현
+추상화 신호, import graph 기반 영향 범위와 테스트 동반 변경을 분석합니다.
 
 - `HEAD`와 현재 working tree 비교
 - 두 Git reference 또는 브랜치 비교
@@ -157,7 +175,7 @@ LOW     구현체가 하나뿐인 추상화 추가
 - working tree 분석 시 untracked 파일 포함
 - 터미널용 텍스트 보고서
 - 후속 도구 연동을 위한 JSON 보고서
-- 요약 카드, finding, 테스트 신호와 영향 그래프를 담은 단일 HTML 보고서
+- 요약 카드, 경로·심각도 필터, finding, 테스트 신호와 탐색 가능한 영향 그래프를 담은 단일 HTML 보고서
 - 외부 CDN이나 JavaScript dependency가 필요 없는 인라인 CSS·SVG 시각화
 - production·development dependency 추가 탐지
 - dependency 삭제, 버전 변경, 섹션 이동 탐지
@@ -168,6 +186,7 @@ LOW     구현체가 하나뿐인 추상화 추가
 - pnpm `pnpm-lock.yaml` v9의 레지스트리 패키지 추가·삭제·버전 변경 비교(2개 문서 형식 포함)
 - 잘못되었거나 미지원인 lockfile을 누락하지 않고 finding으로 보고
 - 루트 `workspaces` 패턴에 속한 변경 manifest의 직접 dependency를 workspace별로 보고
+- 루트 `workspaces` 패턴에 속한 Yarn workspace manifest 변경도 분석하고 Yarn 근거를 표시
 - `pnpm-workspace.yaml`의 포함·제외 패턴에 속한 변경 manifest의 직접 dependency를 보고
 - workspace 설정 변경과 manifest의 workspace 안팎 이동을 탐지
 - finding 심각도(`high`, `medium`, `low`) 집계
@@ -197,7 +216,7 @@ LOW     구현체가 하나뿐인 추상화 추가
 - CLI 요청 문서 또는 선택적으로 GitHub PR 본문에서 요청 의도를 입력
 - 예상·허용 패턴을 벗어난 변경 파일을 파일별 `medium` finding으로 탐지
 - 변경 파일 수와 측정 라인 예산 초과를 수치 근거가 있는 `low` finding으로 탐지
-- Contract가 지정한 소스·테스트 경로를 분류하고 파일명 기준으로 관련 변경 연결
+- Contract가 지정한 소스·테스트 경로를 분류하고 파일명 또는 명시적 매핑으로 관련 변경 연결
 - 테스트 변경 수와 추가·삭제 수를 별도의 분석 사실로 집계
 - 관련 테스트 변경이 없는 소스 파일을 `medium` finding으로 탐지
 - `*`, `**`, `?` 기반의 저장소 상대 경로 패턴 지원
@@ -261,6 +280,21 @@ intentpatch analyze --intent-file request.md --format html --output report.html
 
 ### Change Contract로 요청 범위 검사
 
+`intentpatch init` 명령은 기존 파일을 덮어쓰지 않고 `.intentpatch.json`을 생성합니다.
+자연어 요청만으로 경로를 추측하지 않으므로 이번 작업의 실제 경로를 전달하세요.
+
+```bash
+intentpatch init \
+  --intent "회원 탈퇴 기능 구현" \
+  --include 'src/user/**' --include 'tests/user/**' \
+  --allow package.json \
+  --test-source 'src/**/*.ts' --test-file 'tests/**/*.test.ts'
+```
+
+인자 없이 실행하면 비어 있지만 유효한 계약을 생성합니다. `scope.include` 경로를 지정하기
+전까지 범위 검사는 꺼져 있고, 테스트 변경 검사는 `--test-source`와 `--test-file`을 함께
+지정해야 켜집니다. 다른 디렉터리는 `--cwd`로 지정합니다. 이 명령은 v0.9.0부터 제공됩니다.
+
 분석할 저장소의 `.intentpatch.json`에 이번 요청의 기대 범위를 선언할 수 있습니다.
 
 ```json
@@ -287,9 +321,14 @@ intentpatch analyze --intent-file request.md --format html --output report.html
 - `tests.requireFor`: 테스트 동반 변경을 확인할 소스 경로
 - `tests.include`: 테스트 파일로 분류할 경로
 - `tests.exclude`: 생성 파일이나 선언 파일처럼 검사에서 제외할 소스 경로
+- `tests.related`: 소스 파일의 정확한 경로와 관련 테스트 경로 패턴의 명시적 연결.
+  해당 소스에는 파일명 기반 자동 연결 대신 이 설정을 적용합니다.
 
-테스트 연결은 결정적인 결과를 위해 파일명을 사용합니다. 예를 들어 `src/user.ts`는
+명시적 연결이 없으면 테스트 연결은 결정적인 결과를 위해 파일명을 사용합니다. 예를 들어 `src/user.ts`는
 `tests/user.test.ts`, `user.spec.ts`, `user.integration.test.ts` 같은 변경과 연결됩니다.
+이름이 다른 통합 테스트는 `tests` 객체 안에
+`"related": { "src/user.ts": ["tests/account-deletion*.test.ts"] }`처럼 지정할 수 있습니다.
+`tests.include`에 속한 변경 테스트만 인정합니다.
 
 기본 파일 대신 별도 계약을 사용하려면 `--config`를 지정합니다. 상대 경로는 `--cwd`를 기준으로
 해석합니다.
@@ -420,7 +459,7 @@ npm run check
 - 생성한 npm tarball을 임시 프로젝트에 설치하고 실행하는 패키지 통합 테스트
 - 계층 간 의존 방향을 검증하는 아키텍처 테스트
 
-외부 저장소의 실제 변경 26건에서 공개 API 규칙 4개의 경고를 사람이 검토한 기대 결과와 비교하는
+외부 저장소의 실제 변경 32건에서 공개 API·의존성·범위·테스트 규칙의 경고를 사람이 검토한 기대 결과와 비교하는
 방법은 [외부 저장소 평가 문서](./docs/external-repository-evaluation.md)에 정리했습니다.
 
 프로덕션 빌드만 확인하려면 다음 명령을 사용합니다.
@@ -437,7 +476,7 @@ npm pack --dry-run
 
 ## 릴리스
 
-`v0.7.0`처럼 `package.json` 버전과 일치하는 태그를 기본 브랜치의 커밋에 push하면 릴리스
+`v0.9.0`처럼 `package.json` 버전과 일치하는 태그를 기본 브랜치의 커밋에 push하면 릴리스
 워크플로가 다음 작업을 순서대로 수행합니다.
 
 1. 태그·버전·기본 브랜치 포함 여부 검증
@@ -464,7 +503,8 @@ npm provenance가 자동 생성됩니다. 아직 npm에 존재하지 않는 신
    - ✅ npm workspace manifest의 직접 dependency 변경
    - ✅ pnpm `pnpm-lock.yaml` v9의 레지스트리 패키지 변경
    - ✅ pnpm workspace manifest의 직접 dependency 변경
-   - Yarn adapter
+   - ✅ Yarn 4 metadata-v8 `yarn.lock` 레지스트리 패키지 변경
+   - ✅ Yarn workspace manifest의 직접 dependency 변경
 7. ✅ 직접 export된 공개 심볼 삭제와 export 해제 탐지
    - ✅ JavaScript ESM의 이름 있는 export·default export 삭제 탐지
 8. ✅ 단일 HTML 대시보드와 SVG 기반 dependency 영향 그래프
@@ -482,7 +522,7 @@ npm provenance가 자동 생성됩니다. 아직 npm에 존재하지 않는 신
 - 분석 대상은 최소 한 번 이상 커밋된 Git 저장소여야 합니다.
 - untracked symbolic link는 안전을 위해 내용을 읽지 않습니다.
 - 10 MiB를 초과하는 untracked 파일은 라인 수를 측정하지 않습니다.
-- 직접 dependency 선언 분석은 저장소 루트와 변경된 npm·pnpm workspace `package.json`의
+- 직접 dependency 선언 분석은 저장소 루트와 변경된 npm·pnpm·Yarn workspace `package.json`의
   `dependencies`와 `devDependencies`를 대상으로 합니다.
 - 정적 참조 없음 finding은 미사용 확정이 아닌 검토 후보입니다. 유지보수 대상 JS/TS
   소스의 명시적 import·re-export·문자열 `require()`·`import()`를 살펴봅니다. CLI나 설정
@@ -493,13 +533,19 @@ npm provenance가 자동 생성됩니다. 아직 npm에 존재하지 않는 신
 - pnpm `pnpm-lock.yaml` v9은 프로젝트 문서의 레지스트리 패키지 ID와 버전을 비교합니다.
   integrity만 바뀐 경우, 로컬·Git 패키지, snapshot의 peer 변형, 부모 dependency 귀속은 분석하지 않습니다.
   루트의 직접 dependency 여부는 루트 importer를 기준으로 표시합니다.
-- workspace 판별은 루트의 npm `workspaces` 배열과 명시 경로, `*`·`**`·`?` 패턴을 지원합니다.
+- npm·Yarn workspace 판별은 루트의 `workspaces` 배열과 명시 경로, `*`·`**`·`?` 패턴을 지원합니다.
   부정·중괄호·문자 클래스 패턴은 미지원 finding으로 보고합니다.
+- Yarn 여부는 루트 `packageManager` 또는 `yarn.lock`으로 구분합니다. pnpm 설정이 함께
+  있으면 중복 보고를 막기 위해 pnpm을 우선합니다.
 - pnpm workspace는 `pnpm-workspace.yaml`의 `packages`에 명시한 `*`·`**`·`?`와 선행 `!`
   제외 패턴을 지원합니다. npm 설정이 함께 있으면 중복 보고를 막기 위해 pnpm 설정을
   우선합니다. 그 외 glob 문법과 catalog는 해석하지 않습니다.
-- Yarn lockfile과 런타임에서의 실제 dependency 사용 여부는 아직 분석하지 않습니다.
-- working tree의 `package-lock.json`·`pnpm-lock.yaml`은 10 MiB, 그 외 텍스트 snapshot은 1 MiB로 제한합니다.
+- Yarn 4 metadata-v8 `yarn.lock`의 레지스트리 패키지 해석 결과와 버전은 비교합니다.
+  Yarn Classic·다른 metadata 버전은 미지원으로 보고합니다. workspace·patch·file·Git·virtual
+  해석 결과, checksum만 바뀐 경우, 부모 dependency 귀속은 분석하지 않습니다. 런타임에서의 실제
+  dependency 사용 여부도 판정하지 않습니다.
+- working tree의 `package-lock.json`·`pnpm-lock.yaml`·`yarn.lock`은 10 MiB,
+  그 외 텍스트 snapshot은 1 MiB로 제한합니다.
 - TypeScript 심볼 분석은 `.ts`와 `.tsx`의 이름이 있는 최상위 함수, 클래스, 인터페이스, 타입
   별칭만 지원합니다.
 - JavaScript 심볼 분석은 `.js`·`.jsx`·`.mjs`·`.cjs`의 최상위 함수·클래스·변수 및 식별 가능한
@@ -520,6 +566,9 @@ npm provenance가 자동 생성됩니다. 아직 npm에 존재하지 않는 신
   그대로인 기본형 인자가 합집합 타입으로 확장된 경우는 제한적인 구문 검사로도 확인합니다.
   그 밖의 미해결 타입 이름, 추론된 타입, 파싱할 수 없는 시그니처는 확인 불가로 남겨 검토
   경고를 유지합니다. 전체 프로젝트의 타입 검사나 런타임 호환성 보증은 아닙니다.
+- 인터페이스 속성 타입은 기존 타입이 같거나 지원하는 객체 리터럴 안에 선택 필드만 추가된
+  경우(`Readonly` 포함)에만 호환된다고 판단합니다. 다른 중첩 타입 변경은 호환을 단정하지
+  않고 검토 경고를 유지합니다.
 - 중복 구현 후보는 새로 추가된 최상위 함수와 기존 최상위 함수의 토큰이 공백·주석을 제외하고
   완전히 같으며 본문이 12토큰 이상일 때만 보고합니다. 식별자 이름이 바뀐 유사 코드, 메서드,
   의미적으로만 같은 구현은 탐지하지 않습니다.
@@ -548,10 +597,12 @@ npm provenance가 자동 생성됩니다. 아직 npm에 존재하지 않는 신
   0줄이라고 간주하지 않지만, 해당 파일의 크기를 라인 예산에 포함하지도 않습니다.
 - 테스트 분석은 실행 결과나 코드 커버리지를 측정하지 않고 Contract에 지정된 변경 파일만
   비교합니다.
-- 관련 테스트는 현재 소스와 테스트의 파일명이 같은지로 판단하므로 이름이 다른 통합 테스트나
-  하나의 테스트가 여러 소스를 검증하는 관계는 자동으로 연결하지 못합니다.
-- HTML 영향 그래프는 변경 모듈과 영향 파일을 결정적인 두 열 레이아웃으로 표시합니다. 노드 이동,
-  확대·축소와 필터링을 제공하는 대화형 웹 UI는 아직 구현하지 않았습니다.
+- 관련 테스트는 기본적으로 파일명으로 연결하지만 정확한 소스 경로에 `tests.related`를
+  선언하면 이름이 다른 테스트도 지정할 수 있습니다. 이는 테스트 실행이나 실제 커버리지 측정이
+  아니라 사용자가 선언한 연결입니다.
+- HTML 영향 그래프는 결정적인 두 열 레이아웃이며 노드를 누르면 보고서의 관련 행으로 이동합니다.
+  경로·심각도 필터는 보고서 행만 좁히고 그래프 자체를 필터링하지 않습니다. 노드 이동과 확대·축소는
+  아직 구현하지 않았습니다.
 
 ## 라이선스
 

package/README.md

@@ -16,9 +16,24 @@ AI coding agents such as Codex, Claude Code, and Cursor can change many files fr
 
 IntentPatch combines **Git diff analysis, static analysis, and dependency analysis** to answer those questions. Its core analysis is deterministic and works without an LLM. Optional AI explanations can be added later without making the core tool dependent on a model provider.
 
+## See a real report
+
+Clone the repository, then run one analysis command against a real change in its history:
+
+```bash
+git clone https://github.com/xx2xxjaeil/intent-patch.git
+cd intent-patch
+npx --yes intentpatch@0.9.0 analyze --base '1cc489b^' --head 1cc489b --format html --output intentpatch-report.html
+```
+
+Open `intentpatch-report.html` locally. This case reports a public-API risk and a duplicate-code
+candidate that were later fixed; [the case study](./docs/real-world-evaluation.md) explains the
+review decisions. The [checked-in HTML report](./docs/examples/intent-input-change.html) is the
+same real-change example, not a mockup. GitHub may show the HTML source rather than render it.
+
 ## Quick start
 
-IntentPatch requires Node.js 20 or later and Git. Run the published v0.7.0 CLI without
+IntentPatch requires Node.js 20 or later and Git. Run the published v0.9.0 CLI without
 installing it globally:
 
 ```bash
@@ -62,7 +77,7 @@ jobs:
 
       - name: Analyze pull request
         id: intentpatch
-        uses: xx2xxjaeil/intent-patch@v0.7.0
+        uses: xx2xxjaeil/intent-patch@v0.9.0
         with:
           fail-on: high
 
@@ -74,9 +89,11 @@ jobs:
           path: intentpatch-report
 ```
 
-Pin the action to a released version or an immutable commit SHA. v0.7.0 includes
-package-entrypoint-aware public API warnings, historical import impact for deleted modules,
-and opt-in Claude Code, Codex, and Cursor Hooks.
+Pin the action to a released version or an immutable commit SHA. v0.9.0 adds Yarn workspace
+dependency analysis and a safe `init` command for creating a Change Contract. It also includes
+Yarn 4 lockfile analysis, explicit source-to-test mappings, report filters, improved impact-graph
+navigation, package-entrypoint-aware public API warnings, historical import impact for deleted
+modules, and opt-in Claude Code, Codex, and Cursor Hooks.
 See [the evaluation report](./docs/external-repository-evaluation.md) for the separately measured
 public-API rules and their limits. `@main` follows unreleased changes.
 
@@ -97,6 +114,7 @@ An opt-in Hook adapter captures a turn's original prompt and starting commit, th
 ## Codex and Cursor Hooks
 
 Version 0.7.0 adds opt-in turn analysis for [Codex](./docs/codex.md) and [Cursor](./docs/cursor.md). These adapters use the same deterministic analyzer and require no API key or paid model. Codex returns a count-only Hook message. Cursor writes a private HTML report under Git metadata and logs its path without auto-submitting another AI prompt.
+The [Hook smoke-test checklist](./docs/hook-smoke-test.md) separates packaged CLI checks from live application checks.
 
 ## What the report looks like
 
@@ -135,12 +153,14 @@ Every finding includes the relevant file, a stable rule ID, and evidence for the
 For reports generated from actual commits, see the
 [standalone HTML example](./docs/examples/intent-input-change.html), the
 [three-case self-repository study](./docs/real-world-evaluation.md), and the
-[external evaluation of 26 changes and 29 rule checks](./docs/external-repository-evaluation.md). After cloning,
+[external evaluation of 32 changes and 38 rule checks](./docs/external-repository-evaluation.md). After cloning,
 open the HTML file locally in a browser; GitHub may show its source rather than render it.
 
 ## Implemented capabilities
 
-The current source tree analyzes Git changes, direct dependencies in the root `package.json`, top-level TypeScript and JavaScript symbols and public exports, possible duplicate implementations, single-implementation abstractions, import-graph impact, and related test changes.
+The CLI analyzes Git changes, direct dependencies in the root and npm/pnpm/Yarn workspace manifests,
+lockfile changes, top-level TypeScript and JavaScript symbols and public exports, possible duplicate
+implementations, single-implementation abstractions, import-graph impact, and related test changes.
 
 ### Git and reporting
 
@@ -151,7 +171,7 @@ The current source tree analyzes Git changes, direct dependencies in the root `p
 - Distinguish binary files.
 - Include untracked files in working-tree analysis.
 - Render terminal-friendly text and machine-readable JSON reports.
-- Generate a standalone HTML report containing summary cards, findings, test signals, and an impact graph.
+- Generate a standalone HTML report containing summary cards, path/severity filters, findings, test signals, and a navigable impact graph.
 - Render the visualization with inline CSS and SVG, without a CDN or runtime JavaScript dependency.
 - Aggregate findings by `high`, `medium`, and `low` severity.
 - Return a CI-friendly exit code through `--fail-on`.
@@ -168,6 +188,7 @@ The current source tree analyzes Git changes, direct dependencies in the root `p
 - Compare resolved registry package changes in pnpm `pnpm-lock.yaml` v9, including two-document lockfiles.
 - Report malformed or unsupported lockfiles as findings rather than silently skipping them.
 - Attribute direct dependency changes to changed npm workspace manifests selected by the root `workspaces` patterns.
+- Attribute changed Yarn workspace manifests using the same root `workspaces` patterns, with Yarn provenance when `packageManager` or `yarn.lock` identifies Yarn.
 - Analyze changed pnpm workspace manifests selected by `pnpm-workspace.yaml`, including exclusion patterns.
 - Report changes to workspace patterns and manifest moves into or out of a configured workspace.
 - Extract top-level named functions, classes, interfaces, and type aliases from `.ts` and `.tsx` files.
@@ -198,7 +219,7 @@ The current source tree analyzes Git changes, direct dependencies in the root `p
 - Accept a request text/Markdown file through the CLI, or opt in to using the PR body in the GitHub Action.
 - Report each file outside expected and allowed patterns as a medium-severity finding.
 - Report file-count and measurable-line budget overruns with numeric evidence.
-- Classify source and test paths declared by the contract and connect related changes by basename.
+- Classify source and test paths declared by the contract and connect related changes by basename or an explicit mapping.
 - Report test file counts and added or deleted tests as separate facts.
 - Report source files without a related test change as medium-severity findings.
 - Support repository-relative `*`, `**`, and `?` path patterns.
@@ -254,6 +275,22 @@ intentpatch analyze --intent-file request.md --format html --output report.html
 
 ### Check request scope with a Change Contract
 
+`intentpatch init` creates `.intentpatch.json` without overwriting an
+existing file. Supply actual paths for the requested change; it never guesses scope from the
+request text:
+
+```bash
+intentpatch init \
+  --intent "Implement account deletion" \
+  --include 'src/user/**' --include 'tests/user/**' \
+  --allow package.json \
+  --test-source 'src/**/*.ts' --test-file 'tests/**/*.test.ts'
+```
+
+`init` with no options creates a valid blank contract. Scope checks remain off until you add an
+expected `--include` path; test-change checks require both `--test-source` and `--test-file`.
+Use `--cwd` to target another directory. This command is included in v0.9.0 and later.
+
 Create `.intentpatch.json` in the repository being analyzed and declare the expected scope of the request:
 
 ```json
@@ -280,8 +317,18 @@ Create `.intentpatch.json` in the repository being analyzed and declare the expe
 - `tests.requireFor`: source paths that require a related test change;
 - `tests.include`: paths classified as tests;
 - `tests.exclude`: generated or declaration files excluded from the source check.
+- `tests.related`: optional exact source paths mapped to related test path patterns; an explicit
+  mapping overrides basename matching for that source.
+
+Without an explicit mapping, test matching uses basenames for deterministic results. For example,
+`src/user.ts` can match changed files such as `tests/user.test.ts`, `user.spec.ts`, or
+`user.integration.test.ts`. For a differently named integration test, add a mapping:
+
+```json
+"related": { "src/user.ts": ["tests/account-deletion*.test.ts"] }
+```
 
-Test matching uses basenames for deterministic results. For example, `src/user.ts` can match changed files such as `tests/user.test.ts`, `user.spec.ts`, or `user.integration.test.ts`.
+Place `related` inside the `tests` object. Only changed test files matching `tests.include` count.
 
 Use `--config` to select another contract. Relative paths are resolved from `--cwd`:
 
@@ -410,8 +457,8 @@ This command runs:
 - architecture tests that enforce dependency direction;
 - a reproducibility check for the bundled GitHub Action.
 
-For a reproducible check of four public-API rules against 18 reviewed changes in
-external repositories, see the [external evaluation](./docs/external-repository-evaluation.md).
+For a reproducible check of 38 rule decisions across 32 reviewed changes in external
+repositories, see the [external evaluation](./docs/external-repository-evaluation.md).
 
 Run only the production build with:
 
@@ -427,7 +474,7 @@ npm pack --dry-run
 
 ## Release process
 
-Pushing a tag such as `v0.7.0`, matching the version in `package.json`, from a commit contained in the default branch triggers the release workflow:
+Pushing a tag such as `v0.9.0`, matching the version in `package.json`, from a commit contained in the default branch triggers the release workflow:
 
 1. Validate the tag, package version, and default-branch ancestry.
 2. Run the full quality suite and inspect the npm package with a dry run.
@@ -450,7 +497,8 @@ No long-lived npm token is stored as a GitHub secret. Public packages published
    - ✅ npm workspace manifest dependency changes
    - ✅ pnpm `pnpm-lock.yaml` v9 resolved registry package changes
    - ✅ pnpm workspace manifest dependency changes
-   - Yarn adapter
+   - ✅ Yarn 4 metadata-v8 `yarn.lock` resolved registry package changes
+   - ✅ Yarn workspace manifest dependency changes
 7. ✅ Detection of removed public exports
    - ✅ Named and default ESM exports in JavaScript, without inferred type compatibility
 8. ✅ Standalone HTML dashboard and SVG dependency-impact graph
@@ -468,17 +516,23 @@ No long-lived npm token is stored as a GitHub secret. Public packages published
 - The target must be a Git repository with at least one commit.
 - Untracked symbolic links are not read for safety.
 - Line counts are skipped for untracked files larger than 10 MiB.
-- Direct dependency declarations are analyzed from `dependencies` and `devDependencies` in the root `package.json` and changed npm/pnpm workspace manifests.
+- Direct dependency declarations are analyzed from `dependencies` and `devDependencies` in the root `package.json` and changed npm/pnpm/Yarn workspace manifests.
 - The no-static-reference finding is a review candidate, not proof that a package is unused. It checks explicit JS/TS imports, re-exports, literal `require()` and `import()` across maintained source files; CLI-only/configuration usage may not appear. It does not emit a candidate if source reads or parsing are incomplete, a computed module load exists, no source was scanned, or more than 5,000 source files are present.
 - npm `package-lock.json` v2/v3 analysis compares installed package paths and versions, not dependency provenance, integrity hashes, or vulnerability data. It does not attribute transitive packages to their parents.
 - pnpm `pnpm-lock.yaml` v9 analysis compares registry package IDs and versions in the project document. It ignores integrity-only edits, local/Git packages, snapshot peer variants, and dependency provenance. Root-direct evidence comes from the root importer only.
-- Workspace detection supports the root npm `workspaces` array with explicit paths and `*`, `**`, and `?` globs. Negation, brace, and character-class patterns are reported as unsupported.
+- npm and Yarn workspace detection supports the root `workspaces` array with explicit paths and `*`, `**`, and `?` globs. Negation, brace, and character-class patterns are reported as unsupported. Yarn is identified by the root `packageManager` field or `yarn.lock`; when pnpm config also exists, pnpm takes precedence.
 - pnpm workspace detection reads `pnpm-workspace.yaml` `packages` patterns with `*`, `**`, `?`, and leading `!` exclusions. When both npm and pnpm workspace settings exist, pnpm settings take precedence to avoid duplicate findings. Other glob features and pnpm catalogs are not interpreted.
-- Yarn lockfiles and runtime dependency usage are not analyzed yet.
-- Working-tree `package-lock.json` and `pnpm-lock.yaml` files are limited to 10 MiB; other text snapshots retain the 1 MiB limit.
+- Yarn 4 `yarn.lock` metadata-v8 analysis compares registry package resolutions and versions.
+  Yarn Classic and other metadata versions are reported as unsupported. Workspace, patch, file,
+  Git, and virtual resolutions, checksum-only changes, and dependency provenance are not analyzed.
+  Runtime dependency usage is not established.
+- Working-tree `package-lock.json`, `pnpm-lock.yaml`, and `yarn.lock` files are limited to 10 MiB; other text snapshots retain the 1 MiB limit.
 - TypeScript symbol analysis supports named top-level functions, classes, interfaces, and type aliases in `.ts` and `.tsx` files. JavaScript symbol analysis supports named top-level functions, classes, variables, and identifiable ESM exports in `.js`, `.jsx`, `.mjs`, and `.cjs` files.
 - TypeScript public API analysis supports named top-level functions and interfaces, plus member removal from exported object type aliases composed of type literals and same-file, non-generic aliases/intersections. Local `export { name }`, external `export { name } from`, and `export * from` are tracked as export evidence. JavaScript supports identifiable named and default ESM export removal, but does not infer function signatures. Previous root or nested package `exports` are followed through explicit source targets and relative re-exports. This is a file-level approximation: a named re-export may still expose only some symbols from its module. If an entrypoint is generated, unresolved, or unsupported, IntentPatch retains the earlier conservative warnings instead of claiming a file is private. CommonJS `module.exports`, class contracts, generic alias instantiation, unions, cross-file type references, and full type assignability are not interpreted yet. Unsupported type-alias shapes do not produce member-removal findings.
 - Function compatibility first compares recorded signatures. For self-contained, explicitly typed declarations it then uses strict TypeScript assignability to avoid warning on compatible changes. A narrow syntactic check also accepts primitive parameters widened by union arms when the return text is unchanged. Other unresolved names, inferred types, malformed or unsupported signature shapes remain unverified and keep the review warning; this is not a whole-project type check or a runtime compatibility guarantee.
+- Interface property compatibility recognizes unchanged types and optional fields added inside
+  supported object literals, including `Readonly` wrappers. Other nested type transformations
+  remain unverified rather than being treated as compatible.
 - Duplicate candidates require a newly added top-level function and an existing top-level function to have exactly the same normalized tokens after comments and whitespace are removed, with at least 12 body tokens. Renamed identifiers, methods, and semantically equivalent implementations are not detected.
 - A single-implementation abstraction is reported only when exactly one named class explicitly uses `implements` for a new interface. Structural implementation, factory return types, and runtime registration are not calculated.
 - Methods, TypeScript variable declarations, enums, and nested declarations are not included in symbol analysis.
@@ -494,8 +548,11 @@ No long-lived npm token is stored as a GitHub secret. Public packages published
 - Path patterns support only repository-relative `*`, `**`, and `?`; negation and brace expansion are not supported.
 - `maxLines` sums only measurable added and deleted lines in text files. Binary or unmeasurable files are not treated as zero lines, but their size is not included in the budget.
 - Test analysis compares only the changed paths declared in the contract; it does not execute tests or measure coverage.
-- Related tests are matched by basename. Integration tests with different names or one test covering several source files cannot be linked automatically yet.
-- The HTML impact graph uses a deterministic two-column layout. Interactive node movement, zooming, and filtering are not implemented yet.
+- Related tests are matched by basename unless an exact source path has a `tests.related`
+  mapping. This is a declared relationship, not inferred test coverage; tests are not executed.
+- The HTML impact graph uses a deterministic two-column layout. Nodes link to report rows; path
+  search and severity filters narrow report rows, not the graph itself. Node movement and zoom
+  are not implemented.
 
 ## License
 

package/dist/application/ports/property-type-compatibility.d.ts

@@ -0,0 +1,5 @@
+/** 기존 객체 타입에 선택 필드만 더해졌는지 보수적으로 판정한다. */
+export interface PropertyTypeCompatibility {
+    preservesOptionalObjectExtensions(previous: string, current: string): boolean;
+}
+//# sourceMappingURL=property-type-compatibility.d.ts.map

package/dist/application/ports/property-type-compatibility.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"property-type-compatibility.d.ts","sourceRoot":"","sources":["../../../src/application/ports/property-type-compatibility.ts"],"names":[],"mappings":"AAAA,yCAAyC;AACzC,MAAM,WAAW,yBAAyB;IACxC,iCAAiC,CAAC,QAAQ,EAAE,MAAM,EAAE,OAAO,EAAE,MAAM,GAAG,OAAO,CAAC;CAC/E"}

package/dist/application/ports/property-type-compatibility.js

@@ -0,0 +1,2 @@
+export {};
+//# sourceMappingURL=property-type-compatibility.js.map

package/dist/application/ports/property-type-compatibility.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"property-type-compatibility.js","sourceRoot":"","sources":["../../../src/application/ports/property-type-compatibility.ts"],"names":[],"mappings":""}

package/dist/application/ports/yarn-lock-parser.d.ts

@@ -0,0 +1,19 @@
+/** Yarn 4 lockfile에서 검증된 레지스트리 해석 결과만 전달한다. */
+export interface YarnLockedPackage {
+    readonly id: string;
+    readonly name: string;
+    readonly version: string;
+    readonly rootDirect: boolean;
+}
+export type YarnLockParseResult = Readonly<{
+    ok: true;
+    packages: ReadonlyMap<string, YarnLockedPackage>;
+}> | Readonly<{
+    ok: false;
+    kind: "invalid" | "unsupported";
+    reason: string;
+}>;
+export interface YarnLockParser {
+    parse(content: string): YarnLockParseResult;
+}
+//# sourceMappingURL=yarn-lock-parser.d.ts.map

package/dist/application/ports/yarn-lock-parser.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"yarn-lock-parser.d.ts","sourceRoot":"","sources":["../../../src/application/ports/yarn-lock-parser.ts"],"names":[],"mappings":"AAAA,+CAA+C;AAC/C,MAAM,WAAW,iBAAiB;IAChC,QAAQ,CAAC,EAAE,EAAE,MAAM,CAAC;IACpB,QAAQ,CAAC,IAAI,EAAE,MAAM,CAAC;IACtB,QAAQ,CAAC,OAAO,EAAE,MAAM,CAAC;IACzB,QAAQ,CAAC,UAAU,EAAE,OAAO,CAAC;CAC9B;AAED,MAAM,MAAM,mBAAmB,GAC3B,QAAQ,CAAC;IAAE,EAAE,EAAE,IAAI,CAAC;IAAC,QAAQ,EAAE,WAAW,CAAC,MAAM,EAAE,iBAAiB,CAAC,CAAA;CAAE,CAAC,GACxE,QAAQ,CAAC;IAAE,EAAE,EAAE,KAAK,CAAC;IAAC,IAAI,EAAE,SAAS,GAAG,aAAa,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,CAAC,CAAC;AAE7E,MAAM,WAAW,cAAc;IAC7B,KAAK,CAAC,OAAO,EAAE,MAAM,GAAG,mBAAmB,CAAC;CAC7C"}

package/dist/application/ports/yarn-lock-parser.js

@@ -0,0 +1,2 @@
+export {};
+//# sourceMappingURL=yarn-lock-parser.js.map

package/dist/application/ports/yarn-lock-parser.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"yarn-lock-parser.js","sourceRoot":"","sources":["../../../src/application/ports/yarn-lock-parser.ts"],"names":[],"mappings":""}

package/dist/application/rules/added-dependency-usage-rule.js

@@ -1,6 +1,6 @@
 import { isMaintainedSourcePath } from "../services/is-maintained-source-path.js";
-import { NpmWorkspaceDependencyRule } from "./npm-workspace-dependency-rule.js";
 import { PackageDependencyRule } from "./package-dependency-rule.js";
+import { PackageJsonWorkspaceDependencyRule } from "./package-json-workspace-dependency-rule.js";
 import { PnpmWorkspaceDependencyRule } from "./pnpm-workspace-dependency-rule.js";
 const rootManifest = "package.json";
 /** 새 직접 dependency의 정적 소스 참조가 없을 때만 검토 후보를 제시한다. */
@@ -18,7 +18,7 @@ export class AddedDependencyUsageRule {
     async analyze(context) {
         const manifestFindings = (await Promise.all([
             new PackageDependencyRule(this.snapshots, rootManifest).analyze(context),
-            new NpmWorkspaceDependencyRule(this.snapshots).analyze(context),
+            new PackageJsonWorkspaceDependencyRule(this.snapshots).analyze(context),
             new PnpmWorkspaceDependencyRule(this.snapshots, this.pnpmWorkspaceParser).analyze(context),
         ])).flat();
         const added = manifestFindings.filter((finding) => finding.ruleId === "dependency/new-production" ||

package/dist/application/rules/added-dependency-usage-rule.js.map

@@ -1 +1 @@
-{"version":3,"file":"added-dependency-usage-rule.js","sourceRoot":"","sources":["../../../src/application/rules/added-dependency-usage-rule.ts"],"names":[],"mappings":"AAMA,OAAO,EAAE,sBAAsB,EAAE,MAAM,0CAA0C,CAAC;AAClF,OAAO,EAAE,0BAA0B,EAAE,MAAM,oCAAoC,CAAC;AAChF,OAAO,EAAE,qBAAqB,EAAE,MAAM,8BAA8B,CAAC;AACrE,OAAO,EAAE,2BAA2B,EAAE,MAAM,qCAAqC,CAAC;AAElF,MAAM,YAAY,GAAG,cAAc,CAAC;AACpC,oDAAoD;AACpD,MAAM,OAAO,wBAAwB;IAEhB;IACA;IACA;IACA;IAJnB,YACmB,SAA6B,EAC7B,KAAwB,EACxB,SAAmC,EACnC,mBAAwC;QAHxC,cAAS,GAAT,SAAS,CAAoB;QAC7B,UAAK,GAAL,KAAK,CAAmB;QACxB,cAAS,GAAT,SAAS,CAA0B;QACnC,wBAAmB,GAAnB,mBAAmB,CAAqB;IACxD,CAAC;IAEG,KAAK,CAAC,OAAO,CAAC,OAAwB;QAC3C,MAAM,gBAAgB,GAAG,CACvB,MAAM,OAAO,CAAC,GAAG,CAAC;YAChB,IAAI,qBAAqB,CAAC,IAAI,CAAC,SAAS,EAAE,YAAY,CAAC,CAAC,OAAO,CAAC,OAAO,CAAC;YACxE,IAAI,0BAA0B,CAAC,IAAI,CAAC,SAAS,CAAC,CAAC,OAAO,CAAC,OAAO,CAAC;YAC/D,IAAI,2BAA2B,CAAC,IAAI,CAAC,SAAS,EAAE,IAAI,CAAC,mBAAmB,CAAC,CAAC,OAAO,CAAC,OAAO,CAAC;SAC3F,CAAC,CACH,CAAC,IAAI,EAAE,CAAC;QACT,MAAM,KAAK,GAAG,gBAAgB,CAAC,MAAM,CACnC,CAAC,OAAO,EAAE,EAAE,CACV,OAAO,CAAC,MAAM,KAAK,2BAA2B;YAC9C,OAAO,CAAC,MAAM,KAAK,4BAA4B,CAClD,CAAC;QACF,IAAI,KAAK,CAAC,MAAM,KAAK,CAAC;YAAE,OAAO,EAAE,CAAC;QAElC,MAAM,KAAK,GAAG,CAAC,MAAM,IAAI,CAAC,KAAK,CAAC,SAAS,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,MAAM,CAC/D,CAAC,IAAI,EAAE,EAAE,CAAC,IAAI,CAAC,SAAS,CAAC,QAAQ,CAAC,IAAI,CAAC,IAAI,sBAAsB,CAAC,IAAI,CAAC,CACxE,CAAC;QACF,MAAM,UAAU,GAAG,IAAI,GAAG,EAAU,CAAC;QACrC,IAAI,KAAK,CAAC,MAAM,KAAK,CAAC,IAAI,KAAK,CAAC,MAAM,GAAG,KAAK;YAAE,OAAO,EAAE,CAAC;QAC1D,IAAI,QAAQ,GAAG,IAAI,CAAC;QAEpB,sDAAsD;QACtD,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;YACzB,MAAM,IAAI,GAAG,MAAM,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,OAAO,CAAC,MAAM,EAAE,IAAI,CAAC,CAAC;YACzD,IAAI,IAAI,CAAC,IAAI,KAAK,SAAS,EAAE,CAAC;gBAC5B,QAAQ,GAAG,KAAK,CAAC;gBACjB,MAAM;YACR,CAAC;YACD,MAAM,UAAU,GAAG,IAAI,CAAC,SAAS,CAAC,OAAO,CAAC,IAAI,EAAE,IAAI,CAAC,OAAO,CAAC,CAAC;YAC9D,IAAI,UAAU,CAAC,IAAI,KAAK,SAAS,IAAI,UAAU,CAAC,mBAAmB,KAAK,IAAI,EAAE,CAAC;gBAC7E,QAAQ,GAAG,KAAK,CAAC;gBACjB,MAAM;YACR,CAAC;YACD,KAAK,MAAM,SAAS,IAAI,UAAU,CAAC,UAAU,EAAE,CAAC;gBAC9C,MAAM,WAAW,GAAG,wBAAwB,CAAC,SAAS,CAAC,CAAC;gBACxD,IAAI,WAAW,KAAK,SAAS;oBAAE,UAAU,CAAC,GAAG,CAAC,WAAW,CAAC,CAAC;YAC7D,CAAC;QACH,CAAC;QACD,IAAI,CAAC,QAAQ;YAAE,OAAO,EAAE,CAAC;QAEzB,OAAO,KAAK,CAAC,OAAO,CAAC,CAAC,OAAO,EAAE,EAAE;YAC/B,MAAM,IAAI,GAAG,OAAO,CAAC,QAAQ,CAAC,OAAO,CAAC;YACtC,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,UAAU,CAAC,GAAG,CAAC,IAAI,CAAC;gBAAE,OAAO,EAAE,CAAC;YAChE,OAAO;gBACL;oBACE,MAAM,EAAE,gCAAgC;oBACxC,QAAQ,EAAE,KAAK;oBACf,KAAK,EAAE,+CAA+C;oBACtD,WAAW,EAAE,GAAG,IAAI,iBAAiB,OAAO,CAAC,IAAI,gHAAgH;oBACjK,IAAI,EAAE,OAAO,CAAC,IAAI;oBAClB,QAAQ,EAAE;wBACR,OAAO,EAAE,IAAI;wBACb,OAAO,EAAE,MAAM,CAAC,OAAO,CAAC,QAAQ,CAAC,OAAO,CAAC;wBACzC,YAAY,EAAE,KAAK,CAAC,MAAM;wBAC1B,GAAG,CAAC,OAAO,CAAC,QAAQ,CAAC,SAAS,KAAK,SAAS;4BAC1C,CAAC,CAAC,EAAE;4BACJ,CAAC,CAAC,EAAE,SAAS,EAAE,OAAO,CAAC,QAAQ,CAAC,SAAS,EAAE,CAAC;wBAC9C,GAAG,CAAC,OAAO,CAAC,QAAQ,CAAC,cAAc,KAAK,SAAS;4BAC/C,CAAC,CAAC,EAAE;4BACJ,CAAC,CAAC,EAAE,cAAc,EAAE,OAAO,CAAC,QAAQ,CAAC,cAAc,EAAE,CAAC;qBACzD;iBACgB;aACpB,CAAC;QACJ,CAAC,CAAC,CAAC;IACL,CAAC;CACF;AAED,SAAS,wBAAwB,CAAC,SAAiB;IACjD,IACE,SAAS,CAAC,UAAU,CAAC,GAAG,CAAC;QACzB,SAAS,CAAC,UAAU,CAAC,GAAG,CAAC;QACzB,SAAS,CAAC,UAAU,CAAC,GAAG,CAAC;QACzB,SAAS,CAAC,UAAU,CAAC,OAAO,CAAC;QAE7B,OAAO,SAAS,CAAC;IACnB,MAAM,KAAK,GAAG,SAAS,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;IACnC,OAAO,SAAS,CAAC,UAAU,CAAC,GAAG,CAAC,IAAI,KAAK,CAAC,MAAM,IAAI,CAAC,CAAC,CAAC,CAAC,GAAG,KAAK,CAAC,CAAC,CAAC,IAAI,KAAK,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC;AAC/F,CAAC"}
+{"version":3,"file":"added-dependency-usage-rule.js","sourceRoot":"","sources":["../../../src/application/rules/added-dependency-usage-rule.ts"],"names":[],"mappings":"AAMA,OAAO,EAAE,sBAAsB,EAAE,MAAM,0CAA0C,CAAC;AAClF,OAAO,EAAE,qBAAqB,EAAE,MAAM,8BAA8B,CAAC;AACrE,OAAO,EAAE,kCAAkC,EAAE,MAAM,6CAA6C,CAAC;AACjG,OAAO,EAAE,2BAA2B,EAAE,MAAM,qCAAqC,CAAC;AAElF,MAAM,YAAY,GAAG,cAAc,CAAC;AACpC,oDAAoD;AACpD,MAAM,OAAO,wBAAwB;IAEhB;IACA;IACA;IACA;IAJnB,YACmB,SAA6B,EAC7B,KAAwB,EACxB,SAAmC,EACnC,mBAAwC;QAHxC,cAAS,GAAT,SAAS,CAAoB;QAC7B,UAAK,GAAL,KAAK,CAAmB;QACxB,cAAS,GAAT,SAAS,CAA0B;QACnC,wBAAmB,GAAnB,mBAAmB,CAAqB;IACxD,CAAC;IAEG,KAAK,CAAC,OAAO,CAAC,OAAwB;QAC3C,MAAM,gBAAgB,GAAG,CACvB,MAAM,OAAO,CAAC,GAAG,CAAC;YAChB,IAAI,qBAAqB,CAAC,IAAI,CAAC,SAAS,EAAE,YAAY,CAAC,CAAC,OAAO,CAAC,OAAO,CAAC;YACxE,IAAI,kCAAkC,CAAC,IAAI,CAAC,SAAS,CAAC,CAAC,OAAO,CAAC,OAAO,CAAC;YACvE,IAAI,2BAA2B,CAAC,IAAI,CAAC,SAAS,EAAE,IAAI,CAAC,mBAAmB,CAAC,CAAC,OAAO,CAAC,OAAO,CAAC;SAC3F,CAAC,CACH,CAAC,IAAI,EAAE,CAAC;QACT,MAAM,KAAK,GAAG,gBAAgB,CAAC,MAAM,CACnC,CAAC,OAAO,EAAE,EAAE,CACV,OAAO,CAAC,MAAM,KAAK,2BAA2B;YAC9C,OAAO,CAAC,MAAM,KAAK,4BAA4B,CAClD,CAAC;QACF,IAAI,KAAK,CAAC,MAAM,KAAK,CAAC;YAAE,OAAO,EAAE,CAAC;QAElC,MAAM,KAAK,GAAG,CAAC,MAAM,IAAI,CAAC,KAAK,CAAC,SAAS,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,MAAM,CAC/D,CAAC,IAAI,EAAE,EAAE,CAAC,IAAI,CAAC,SAAS,CAAC,QAAQ,CAAC,IAAI,CAAC,IAAI,sBAAsB,CAAC,IAAI,CAAC,CACxE,CAAC;QACF,MAAM,UAAU,GAAG,IAAI,GAAG,EAAU,CAAC;QACrC,IAAI,KAAK,CAAC,MAAM,KAAK,CAAC,IAAI,KAAK,CAAC,MAAM,GAAG,KAAK;YAAE,OAAO,EAAE,CAAC;QAC1D,IAAI,QAAQ,GAAG,IAAI,CAAC;QAEpB,sDAAsD;QACtD,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;YACzB,MAAM,IAAI,GAAG,MAAM,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,OAAO,CAAC,MAAM,EAAE,IAAI,CAAC,CAAC;YACzD,IAAI,IAAI,CAAC,IAAI,KAAK,SAAS,EAAE,CAAC;gBAC5B,QAAQ,GAAG,KAAK,CAAC;gBACjB,MAAM;YACR,CAAC;YACD,MAAM,UAAU,GAAG,IAAI,CAAC,SAAS,CAAC,OAAO,CAAC,IAAI,EAAE,IAAI,CAAC,OAAO,CAAC,CAAC;YAC9D,IAAI,UAAU,CAAC,IAAI,KAAK,SAAS,IAAI,UAAU,CAAC,mBAAmB,KAAK,IAAI,EAAE,CAAC;gBAC7E,QAAQ,GAAG,KAAK,CAAC;gBACjB,MAAM;YACR,CAAC;YACD,KAAK,MAAM,SAAS,IAAI,UAAU,CAAC,UAAU,EAAE,CAAC;gBAC9C,MAAM,WAAW,GAAG,wBAAwB,CAAC,SAAS,CAAC,CAAC;gBACxD,IAAI,WAAW,KAAK,SAAS;oBAAE,UAAU,CAAC,GAAG,CAAC,WAAW,CAAC,CAAC;YAC7D,CAAC;QACH,CAAC;QACD,IAAI,CAAC,QAAQ;YAAE,OAAO,EAAE,CAAC;QAEzB,OAAO,KAAK,CAAC,OAAO,CAAC,CAAC,OAAO,EAAE,EAAE;YAC/B,MAAM,IAAI,GAAG,OAAO,CAAC,QAAQ,CAAC,OAAO,CAAC;YACtC,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,UAAU,CAAC,GAAG,CAAC,IAAI,CAAC;gBAAE,OAAO,EAAE,CAAC;YAChE,OAAO;gBACL;oBACE,MAAM,EAAE,gCAAgC;oBACxC,QAAQ,EAAE,KAAK;oBACf,KAAK,EAAE,+CAA+C;oBACtD,WAAW,EAAE,GAAG,IAAI,iBAAiB,OAAO,CAAC,IAAI,gHAAgH;oBACjK,IAAI,EAAE,OAAO,CAAC,IAAI;oBAClB,QAAQ,EAAE;wBACR,OAAO,EAAE,IAAI;wBACb,OAAO,EAAE,MAAM,CAAC,OAAO,CAAC,QAAQ,CAAC,OAAO,CAAC;wBACzC,YAAY,EAAE,KAAK,CAAC,MAAM;wBAC1B,GAAG,CAAC,OAAO,CAAC,QAAQ,CAAC,SAAS,KAAK,SAAS;4BAC1C,CAAC,CAAC,EAAE;4BACJ,CAAC,CAAC,EAAE,SAAS,EAAE,OAAO,CAAC,QAAQ,CAAC,SAAS,EAAE,CAAC;wBAC9C,GAAG,CAAC,OAAO,CAAC,QAAQ,CAAC,cAAc,KAAK,SAAS;4BAC/C,CAAC,CAAC,EAAE;4BACJ,CAAC,CAAC,EAAE,cAAc,EAAE,OAAO,CAAC,QAAQ,CAAC,cAAc,EAAE,CAAC;qBACzD;iBACgB;aACpB,CAAC;QACJ,CAAC,CAAC,CAAC;IACL,CAAC;CACF;AAED,SAAS,wBAAwB,CAAC,SAAiB;IACjD,IACE,SAAS,CAAC,UAAU,CAAC,GAAG,CAAC;QACzB,SAAS,CAAC,UAAU,CAAC,GAAG,CAAC;QACzB,SAAS,CAAC,UAAU,CAAC,GAAG,CAAC;QACzB,SAAS,CAAC,UAAU,CAAC,OAAO,CAAC;QAE7B,OAAO,SAAS,CAAC;IACnB,MAAM,KAAK,GAAG,SAAS,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;IACnC,OAAO,SAAS,CAAC,UAAU,CAAC,GAAG,CAAC,IAAI,KAAK,CAAC,MAAM,IAAI,CAAC,CAAC,CAAC,CAAC,GAAG,KAAK,CAAC,CAAC,CAAC,IAAI,KAAK,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC;AAC/F,CAAC"}

package/dist/application/rules/missing-test-change-rule.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"missing-test-change-rule.d.ts","sourceRoot":"","sources":["../../../src/application/rules/missing-test-change-rule.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,OAAO,EAAE,MAAM,yBAAyB,CAAC;AACvD,OAAO,KAAK,EAAE,eAAe,EAAE,YAAY,EAAE,MAAM,2BAA2B,CAAC;AAE/E,oDAAoD;AACpD,qBAAa,qBAAsB,YAAW,YAAY;IAC3C,OAAO,CAAC,OAAO,EAAE,eAAe,GAAG,OAAO,CAAC,SAAS,OAAO,EAAE,CAAC;CAsB5E"}
+{"version":3,"file":"missing-test-change-rule.d.ts","sourceRoot":"","sources":["../../../src/application/rules/missing-test-change-rule.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,OAAO,EAAE,MAAM,yBAAyB,CAAC;AACvD,OAAO,KAAK,EAAE,eAAe,EAAE,YAAY,EAAE,MAAM,2BAA2B,CAAC;AAE/E,oDAAoD;AACpD,qBAAa,qBAAsB,YAAW,YAAY;IAC3C,OAAO,CAAC,OAAO,EAAE,eAAe,GAAG,OAAO,CAAC,SAAS,OAAO,EAAE,CAAC;CA2B5E"}

package/dist/application/rules/missing-test-change-rule.js

@@ -8,18 +8,23 @@ export class MissingTestChangeRule {
         const testPatterns = context.contract?.tests?.include.join(", ") ?? "";
         return testChanges.sourceCoverage
             .filter((coverage) => coverage.matchingTests.length === 0)
-            .map((coverage) => ({
-            ruleId: "tests/missing-related-change",
-            severity: "medium",
-            title: "Source change without matching test change",
-            description: `${coverage.sourcePath} changed without a changed test sharing the same basename.`,
-            file: coverage.sourcePath,
-            evidence: {
-                sourceChangeKind: coverage.sourceChangeKind,
-                matchingStrategy: "basename",
-                testPatterns,
-            },
-        }));
+            .map((coverage) => {
+            const explicit = Object.hasOwn(context.contract?.tests?.related ?? {}, coverage.sourcePath);
+            return {
+                ruleId: "tests/missing-related-change",
+                severity: "medium",
+                title: "Source change without matching test change",
+                description: explicit
+                    ? `${coverage.sourcePath} changed without a changed test from its explicit related-test mapping.`
+                    : `${coverage.sourcePath} changed without a changed test sharing the same basename.`,
+                file: coverage.sourcePath,
+                evidence: {
+                    sourceChangeKind: coverage.sourceChangeKind,
+                    matchingStrategy: explicit ? "explicit" : "basename",
+                    testPatterns,
+                },
+            };
+        });
     }
 }
 //# sourceMappingURL=missing-test-change-rule.js.map

package/dist/application/rules/missing-test-change-rule.js.map

@@ -1 +1 @@
-{"version":3,"file":"missing-test-change-rule.js","sourceRoot":"","sources":["../../../src/application/rules/missing-test-change-rule.ts"],"names":[],"mappings":"AAGA,oDAAoD;AACpD,MAAM,OAAO,qBAAqB;IACzB,KAAK,CAAC,OAAO,CAAC,OAAwB;QAC3C,MAAM,WAAW,GAAG,OAAO,CAAC,WAAW,CAAC;QACxC,IAAI,WAAW,KAAK,SAAS,EAAE,CAAC;YAC9B,OAAO,EAAE,CAAC;QACZ,CAAC;QAED,MAAM,YAAY,GAAG,OAAO,CAAC,QAAQ,EAAE,KAAK,EAAE,OAAO,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,EAAE,CAAC;QACvE,OAAO,WAAW,CAAC,cAAc;aAC9B,MAAM,CAAC,CAAC,QAAQ,EAAE,EAAE,CAAC,QAAQ,CAAC,aAAa,CAAC,MAAM,KAAK,CAAC,CAAC;aACzD,GAAG,CAAC,CAAC,QAAQ,EAAE,EAAE,CAAC,CAAC;YAClB,MAAM,EAAE,8BAA8B;YACtC,QAAQ,EAAE,QAAQ;YAClB,KAAK,EAAE,4CAA4C;YACnD,WAAW,EAAE,GAAG,QAAQ,CAAC,UAAU,4DAA4D;YAC/F,IAAI,EAAE,QAAQ,CAAC,UAAU;YACzB,QAAQ,EAAE;gBACR,gBAAgB,EAAE,QAAQ,CAAC,gBAAgB;gBAC3C,gBAAgB,EAAE,UAAU;gBAC5B,YAAY;aACb;SACF,CAAC,CAAC,CAAC;IACR,CAAC;CACF"}
+{"version":3,"file":"missing-test-change-rule.js","sourceRoot":"","sources":["../../../src/application/rules/missing-test-change-rule.ts"],"names":[],"mappings":"AAGA,oDAAoD;AACpD,MAAM,OAAO,qBAAqB;IACzB,KAAK,CAAC,OAAO,CAAC,OAAwB;QAC3C,MAAM,WAAW,GAAG,OAAO,CAAC,WAAW,CAAC;QACxC,IAAI,WAAW,KAAK,SAAS,EAAE,CAAC;YAC9B,OAAO,EAAE,CAAC;QACZ,CAAC;QAED,MAAM,YAAY,GAAG,OAAO,CAAC,QAAQ,EAAE,KAAK,EAAE,OAAO,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,EAAE,CAAC;QACvE,OAAO,WAAW,CAAC,cAAc;aAC9B,MAAM,CAAC,CAAC,QAAQ,EAAE,EAAE,CAAC,QAAQ,CAAC,aAAa,CAAC,MAAM,KAAK,CAAC,CAAC;aACzD,GAAG,CAAC,CAAC,QAAQ,EAAE,EAAE;YAChB,MAAM,QAAQ,GAAG,MAAM,CAAC,MAAM,CAAC,OAAO,CAAC,QAAQ,EAAE,KAAK,EAAE,OAAO,IAAI,EAAE,EAAE,QAAQ,CAAC,UAAU,CAAC,CAAC;YAC5F,OAAO;gBACL,MAAM,EAAE,8BAA8B;gBACtC,QAAQ,EAAE,QAAQ;gBAClB,KAAK,EAAE,4CAA4C;gBACnD,WAAW,EAAE,QAAQ;oBACnB,CAAC,CAAC,GAAG,QAAQ,CAAC,UAAU,yEAAyE;oBACjG,CAAC,CAAC,GAAG,QAAQ,CAAC,UAAU,4DAA4D;gBACtF,IAAI,EAAE,QAAQ,CAAC,UAAU;gBACzB,QAAQ,EAAE;oBACR,gBAAgB,EAAE,QAAQ,CAAC,gBAAgB;oBAC3C,gBAAgB,EAAE,QAAQ,CAAC,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,UAAU;oBACpD,YAAY;iBACb;aACF,CAAC;QACJ,CAAC,CAAC,CAAC;IACP,CAAC;CACF"}

package/dist/application/rules/npm-workspace-dependency-rule.d.ts

@@ -1,7 +1,7 @@
 import type { Finding } from "../../domain/finding.js";
 import type { AnalysisContext, AnalysisRule } from "../ports/analysis-rule.js";
 import type { FileSnapshotSource } from "../ports/file-snapshot-source.js";
-/** npm workspaces에 속한 변경 manifest를 찾아 기존 직접 dependency 규칙으로 분석한다. */
+/** 기존 공개 클래스명을 유지하며 package.json workspaces를 npm 또는 Yarn으로 분류한다. */
 export declare class NpmWorkspaceDependencyRule implements AnalysisRule {
     private readonly snapshots;
     constructor(snapshots: FileSnapshotSource);

package/dist/application/rules/npm-workspace-dependency-rule.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"npm-workspace-dependency-rule.d.ts","sourceRoot":"","sources":["../../../src/application/rules/npm-workspace-dependency-rule.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,OAAO,EAAE,MAAM,yBAAyB,CAAC;AAEvD,OAAO,KAAK,EAAE,eAAe,EAAE,YAAY,EAAE,MAAM,2BAA2B,CAAC;AAC/E,OAAO,KAAK,EAAE,kBAAkB,EAAE,MAAM,kCAAkC,CAAC;AAY3E,qEAAqE;AACrE,qBAAa,0BAA2B,YAAW,YAAY;IAC1C,OAAO,CAAC,QAAQ,CAAC,SAAS;gBAAT,SAAS,EAAE,kBAAkB;IAEpD,OAAO,CAAC,OAAO,EAAE,eAAe,GAAG,OAAO,CAAC,SAAS,OAAO,EAAE,CAAC;CAsD5E"}
+{"version":3,"file":"npm-workspace-dependency-rule.d.ts","sourceRoot":"","sources":["../../../src/application/rules/npm-workspace-dependency-rule.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,OAAO,EAAE,MAAM,yBAAyB,CAAC;AAEvD,OAAO,KAAK,EAAE,eAAe,EAAE,YAAY,EAAE,MAAM,2BAA2B,CAAC;AAC/E,OAAO,KAAK,EAAE,kBAAkB,EAAE,MAAM,kCAAkC,CAAC;AAY3E,oEAAoE;AACpE,qBAAa,0BAA2B,YAAW,YAAY;IAC1C,OAAO,CAAC,QAAQ,CAAC,SAAS;gBAAT,SAAS,EAAE,kBAAkB;IAEpD,OAAO,CAAC,OAAO,EAAE,eAAe,GAAG,OAAO,CAAC,SAAS,OAAO,EAAE,CAAC;CA+D5E"}