leerness 1.30.0 → 1.32.0

package/lib/audit.js

@@ -8,7 +8,7 @@ const { log, ok, warn, fail, failJson, today, now, absRoot, exists, read, readBu
 const { SECRET_PATTERNS } = require('./catalogs');
 
 function audit(root, opts = {}, deps = {}) {
-  const { VERSION, arg, has, planPath, readProgressRows, currentStatePath, handoffPath, envDiff, _readFeatureGraph, _matchAPISkills, _listAPISkills } = deps;
+  const { VERSION, arg, has, planPath, readProgressRows, currentStatePath, handoffPath, envDiff, _readFeatureGraph, _matchAPISkills, _listAPISkills, _collectSecretFindings } = deps;
   root = absRoot(root);
   let warnings = 0, failures = 0;
   // 1.9.35 개선 #5: --fix 옵션 — 자동 수정 가능한 항목 적용
@@ -192,6 +192,22 @@ function audit(root, opts = {}, deps = {}) {
       }
     } catch {}
   }
+  // 1.30.1 (14th 외부리뷰 F1): 커밋된 시크릿(_collectSecretFindings.committed)을 failure 로 승격 — scan secrets 와 일관.
+  //   기존엔 .gitignore 패턴/.env 동기화만 검사해 소스에 노출된 실 시크릿(AWS/GitHub 등)을 통과시키고 healthy:true 를 반환하던 정직성 갭
+  //   (audit 기반 CI 게이트가 노출 시크릿을 통과). gitignored 보관 시크릿은 _collectSecretFindings 가 committed 에서 제외(FP 0). 끄기: --no-secret-scan.
+  if (!has('--no-secret-scan') && typeof _collectSecretFindings === 'function') {
+    try {
+      const { committed } = _collectSecretFindings(root);
+      if (committed && committed.length) {
+        failures++;
+        fail(`커밋된 시크릿 ${committed.length}건 발견 (소스 노출) — leerness scan secrets 로 상세 확인`);
+        committed.slice(0, 4).forEach(f => log(`    ${f.file}:${f.line}  ${f.name}`));
+        _finding('committed_secret', 'fail', '커밋된 시크릿 발견 (소스 노출)', { count: committed.length, sample: committed.slice(0, 10).map(f => ({ file: f.file, line: f.line, name: f.name })) });
+      } else {
+        ok('커밋된 시크릿 없음 (소스 스캔, 1.30.1)');
+      }
+    } catch {}
+  }
   // 1.9.71: .env / .env.example 동기화 감사 (--no-env-check로 끄기)
   if (!has('--no-env-check')) {
     try {

package/lib/catalogs.js

@@ -3,22 +3,23 @@
 // 런타임 변형 없음 — capabilitiesCmd/adapterCmd/_reuseDetect/reuseCheckCmd 소비처 모두 읽기 전용.
 'use strict';
 
+// 1.31.3 (UR-0010): desc/optOut/note 는 ko 기본 + *En 영어 변형 (capabilities --language en 렌더가 *En||원본 사용).
 const CAPABILITY_SURFACE = {
-  filesystem:        { risk: 'low',    desc: '.harness/ 메타파일 생성·갱신, 변경 전 .harness/archive/ 자동 백업. 소스코드는 직접 수정 안 함.', optOut: '핵심 동작 (백업으로 보호)' },
-  network:           { risk: 'low',    desc: 'npm 최신 버전 비교(update --check)만. 그 외 외부 URL 자동 fetch 안 함.', optOut: 'LEERNESS_OFFLINE=1' },
-  childProcess:      { risk: 'medium', desc: 'git(명시 명령 시 status/commit/push), npm test(verify-code), 외부 CLI --version 감지. 셸 spawn.', optOut: 'verify 계열 한정 · 외부 CLI 는 opt-in' },
-  externalAgents:    { risk: 'medium', desc: 'agents dispatch/multi — 외부 AI CLI(claude/codex/agy/grok/copilot) 호출. 기본은 명령 텍스트만 생성, multi --execute 시 실제 spawn.', optOut: 'LEERNESS_ENABLE_* 미설정 시 비활성 (기본 off)' },
-  automationBridges: { risk: 'high',   desc: 'web(playwright)/pc(robotjs)/lsp(typescript) 브리지 — opt-in 의존성. pc 는 마우스/키보드 제어(full 권한).', optOut: '의존성 미설치 시 비활성 (기본 off, 명시 설치 필요)' },
-  claudeHook:        { risk: 'low',    desc: 'init 시 .claude/settings.local.json 에 SessionStart hook(update --check) 설치.', optOut: 'leerness init . --no-auto-update' }
+  filesystem:        { risk: 'low',    desc: '.harness/ 메타파일 생성·갱신, 변경 전 .harness/archive/ 자동 백업. 소스코드는 직접 수정 안 함.', descEn: 'Create/update .harness/ metadata files, auto-backup to .harness/archive/ before changes. Does not modify source code directly.', optOut: '핵심 동작 (백업으로 보호)', optOutEn: 'core behavior (protected by backups)' },
+  network:           { risk: 'low',    desc: 'npm 최신 버전 비교(update --check)만. 그 외 외부 URL 자동 fetch 안 함.', descEn: 'Only npm latest-version comparison (update --check). No other external URL is fetched automatically.', optOut: 'LEERNESS_OFFLINE=1', optOutEn: 'LEERNESS_OFFLINE=1' },
+  childProcess:      { risk: 'medium', desc: 'git(명시 명령 시 status/commit/push), npm test(verify-code), 외부 CLI --version 감지. 셸 spawn.', descEn: 'git (status/commit/push on explicit commands), npm test (verify-code), external CLI --version detection. Shell spawn.', optOut: 'verify 계열 한정 · 외부 CLI 는 opt-in', optOutEn: 'limited to verify family · external CLIs are opt-in' },
+  externalAgents:    { risk: 'medium', desc: 'agents dispatch/multi — 외부 AI CLI(claude/codex/agy/grok/copilot) 호출. 기본은 명령 텍스트만 생성, multi --execute 시 실제 spawn.', descEn: 'agents dispatch/multi — calls external AI CLIs (claude/codex/agy/grok/copilot). By default only generates command text; spawns for real on multi --execute.', optOut: 'LEERNESS_ENABLE_* 미설정 시 비활성 (기본 off)', optOutEn: 'disabled unless LEERNESS_ENABLE_* is set (off by default)' },
+  automationBridges: { risk: 'high',   desc: 'web(playwright)/pc(robotjs)/lsp(typescript) 브리지 — opt-in 의존성. pc 는 마우스/키보드 제어(full 권한).', descEn: 'web(playwright)/pc(robotjs)/lsp(typescript) bridges — opt-in dependencies. pc controls mouse/keyboard (full access).', optOut: '의존성 미설치 시 비활성 (기본 off, 명시 설치 필요)', optOutEn: 'disabled when the dependency is not installed (off by default, explicit install required)' },
+  claudeHook:        { risk: 'low',    desc: 'init 시 .claude/settings.local.json 에 SessionStart hook(update --check) 설치.', descEn: 'On init, installs a SessionStart hook (update --check) into .claude/settings.local.json.', optOut: 'leerness init . --no-auto-update', optOutEn: 'leerness init . --no-auto-update' }
 };
 const POWERFUL_COMMANDS = [
-  { cmd: 'init',                   note: '.harness/ 50+ 파일 + .claude hook 생성 (변경 전 백업)' },
-  { cmd: 'update --yes',           note: '자동 마이그레이션 — 메타파일 갱신' },
-  { cmd: 'agents multi --execute', note: '외부 AI CLI 실제 spawn (병렬 실행)' },
-  { cmd: 'release publish / sync-main', note: 'git push + npm publish + GitHub release' },
-  { cmd: 'pc <click|type|...>',    note: '마우스/키보드 제어 (robotjs, full 권한)' },
-  { cmd: 'web <...>',              note: '헤드리스 브라우저 자동화 (playwright)' },
-  { cmd: 'setup-agents',           note: '외부 CLI 활성화 + 자동 설치 시도' }
+  { cmd: 'init',                   note: '.harness/ 50+ 파일 + .claude hook 생성 (변경 전 백업)', noteEn: 'creates .harness/ 50+ files + .claude hook (backup before changes)' },
+  { cmd: 'update --yes',           note: '자동 마이그레이션 — 메타파일 갱신', noteEn: 'auto migration — updates metadata files' },
+  { cmd: 'agents multi --execute', note: '외부 AI CLI 실제 spawn (병렬 실행)', noteEn: 'actually spawns external AI CLIs (parallel execution)' },
+  { cmd: 'release publish / sync-main', note: 'git push + npm publish + GitHub release', noteEn: 'git push + npm publish + GitHub release' },
+  { cmd: 'pc <click|type|...>',    note: '마우스/키보드 제어 (robotjs, full 권한)', noteEn: 'mouse/keyboard control (robotjs, full access)' },
+  { cmd: 'web <...>',              note: '헤드리스 브라우저 자동화 (playwright)', noteEn: 'headless browser automation (playwright)' },
+  { cmd: 'setup-agents',           note: '외부 CLI 활성화 + 자동 설치 시도', noteEn: 'enables external CLIs + attempts auto-install' }
 ];
 const ADAPTERS = {
   claude:   { label: 'Anthropic Claude Code', keys: ['CLAUDE.md', '.claude/commands/handoff.md', '.claude/commands/session-close.md', '.claude/commands/audit.md', '.claude/commands/lazy-detect.md', '.claude/commands/update.md', '.claude/skills/leerness.md'], mcp: true },
@@ -66,8 +67,8 @@ const _DEFAULT_PLATFORM_CONSTRAINTS = {
       docs: 'https://stripe.com/docs/rate-limits',
       constraints: [
         { kind: 'rate-limit', detail: 'read: 100 req/s, write: 100 req/s (live mode), test mode: 25 req/s' },
-        { kind: 'idempotency', detail: 'Idempotency-Key 헤더 24h 유지 — 중복 결제 방지 필수' },
-        { kind: 'webhook', detail: 'webhook 서명 검증 필수 (Stripe-Signature header + endpoint secret)' }
+        { kind: 'idempotency', detail: 'Idempotency-Key 헤더 24h 유지 — 중복 결제 방지 필수', detailEn: 'keep Idempotency-Key header for 24h — required to prevent duplicate charges' },
+        { kind: 'webhook', detail: 'webhook 서명 검증 필수 (Stripe-Signature header + endpoint secret)', detailEn: 'verify the webhook signature (Stripe-Signature header + endpoint secret) — required' }
       ]
     },
     openai: {
@@ -75,8 +76,8 @@ const _DEFAULT_PLATFORM_CONSTRAINTS = {
       docs: 'https://platform.openai.com/docs/guides/rate-limits',
       constraints: [
         { kind: 'rate-limit', detail: 'tier-based: Free 3 RPM / Tier 1 500 RPM / Tier 5 10,000 RPM' },
-        { kind: 'token-limit', detail: 'TPM (tokens/min) 별도 — 큰 입력 시 RPM 도달 전 차단 가능' },
-        { kind: 'cost', detail: 'gpt-4: $30/$60 per 1M input/output tokens — 대량 호출 전 비용 추정 필수' }
+        { kind: 'token-limit', detail: 'TPM (tokens/min) 별도 — 큰 입력 시 RPM 도달 전 차단 가능', detailEn: 'TPM (tokens/min) is separate — large inputs can hit it before RPM' },
+        { kind: 'cost', detail: 'gpt-4: $30/$60 per 1M input/output tokens — 대량 호출 전 비용 추정 필수', detailEn: 'gpt-4: $30/$60 per 1M input/output tokens — estimate cost before high volume' }
       ]
     },
     anthropic: {
@@ -84,7 +85,7 @@ const _DEFAULT_PLATFORM_CONSTRAINTS = {
       docs: 'https://docs.anthropic.com/claude/reference/rate-limits',
       constraints: [
         { kind: 'rate-limit', detail: 'tier-based: Free 5 RPM / Tier 1 50 RPM / Tier 4 4,000 RPM' },
-        { kind: 'context-window', detail: 'claude-sonnet 200K context, claude-opus 200K, 1M tier 별도' },
+        { kind: 'context-window', detail: 'claude-sonnet 200K context, claude-opus 200K, 1M tier 별도', detailEn: 'claude-sonnet 200K context, claude-opus 200K, 1M tier separate' },
         { kind: 'cost', detail: 'sonnet: $3/$15 per 1M tokens (1M context tier 2x)' }
       ]
     },
@@ -94,15 +95,15 @@ const _DEFAULT_PLATFORM_CONSTRAINTS = {
       constraints: [
         { kind: 'rate-limit', detail: 'authenticated: 5,000 req/hr, unauthenticated: 60 req/hr' },
         { kind: 'rate-limit', detail: 'search API: 30 req/min (authenticated)' },
-        { kind: 'secondary', detail: 'secondary rate limit — concurrent + content creation 별도 가드' }
+        { kind: 'secondary', detail: 'secondary rate limit — concurrent + content creation 별도 가드', detailEn: 'secondary rate limit — guard concurrent + content-creation separately' }
       ]
     },
     discord: {
       aliases: ['discord', 'discord api', 'discord bot'],
       docs: 'https://discord.com/developers/docs/topics/rate-limits',
       constraints: [
-        { kind: 'rate-limit', detail: 'global: 50 req/s, per-route 별도' },
-        { kind: 'invalid', detail: '10,000 invalid req/10min → 1h ban 위험' }
+        { kind: 'rate-limit', detail: 'global: 50 req/s, per-route 별도', detailEn: 'global: 50 req/s, per-route separate' },
+        { kind: 'invalid', detail: '10,000 invalid req/10min → 1h ban 위험', detailEn: '10,000 invalid req/10min → risk of a 1h ban' }
       ]
     },
     twitter: {
@@ -110,7 +111,7 @@ const _DEFAULT_PLATFORM_CONSTRAINTS = {
       docs: 'https://developer.twitter.com/en/docs/twitter-api/rate-limits',
       constraints: [
         { kind: 'rate-limit', detail: 'tier-based: Free 1,500 posts/month, Basic 50,000 posts/month' },
-        { kind: 'auth', detail: 'OAuth 2.0 PKCE 필수 (user context), App-only는 별도 endpoint' }
+        { kind: 'auth', detail: 'OAuth 2.0 PKCE 필수 (user context), App-only는 별도 endpoint', detailEn: 'OAuth 2.0 PKCE required (user context); App-only uses a separate endpoint' }
       ]
     }
   }

package/lib/pure-utils.js

@@ -462,7 +462,8 @@ function _parseSkillMd(text) {
 }
 
 // 1.9.333 (UR-0025 심층): 순수 플랫폼 제약 매칭 — catalog + 텍스트 → 매칭 플랫폼/제약/제안 (fs 의존 0, catalog 주입).
-function _matchConstraints(catalog, text) {
+// 1.31.2 (UR-0010): optional lang ('en') → 영어 suggestion. 기본 'ko' (무회귀, selftest 2-arg 호출 보존).
+function _matchConstraints(catalog, text, lang) {
   if (!text || typeof text !== 'string' || !catalog || !catalog.platforms) return { matched: [], suggestions: [] };
   const lower = text.toLowerCase();
   const matched = [];
@@ -474,7 +475,9 @@ function _matchConstraints(catalog, text) {
   const suggestions = [];
   const generic = /\bapi\b|연동|integration|호출|rate|limit|quota|webhook/i.test(text);
   if (generic && matched.length === 0) {
-    suggestions.push('일반적 API 연동 키워드 감지 — leerness constraints list 로 사전 등록된 플랫폼 catalog 확인 권장');
+    suggestions.push(lang === 'en'
+      ? 'generic API-integration keywords detected — run leerness constraints list to review the pre-registered platform catalog'
+      : '일반적 API 연동 키워드 감지 — leerness constraints list 로 사전 등록된 플랫폼 catalog 확인 권장');
   }
   return { matched, suggestions, totalPlatforms: Object.keys(catalog.platforms).length };
 }
@@ -807,10 +810,18 @@ function _composeTeamPlan(team, task) {
 }
 
 // 1.9.373 (UR-0073 Phase C): 비-manual·active 팀의 handoff 스케줄 알림 라인 (순수). 실행 트리거 아님 — 미리보기 안내만.
-function _teamHandoffReminders(teams) {
+// 1.31.3 (UR-0010): optional lang ('en') → 영어 라벨. 기본 'ko' (무회귀, 1-arg 호출 보존).
+function _teamHandoffReminders(teams, lang) {
+  const en = lang === 'en';
   return (teams || [])
     .filter(t => t && t.schedule && t.schedule !== 'manual' && (t.status || 'active') === 'active' && t.id)
-    .map(t => `🤝 ${t.id} (${t.schedule})${Array.isArray(t.members) && t.members.length ? ' · ' + t.members.length + '명' : ''}${t.review !== false ? ' · 검수필요' : ''} — 미리보기: leerness team preview ${t.id}`);
+    .map(t => {
+      const n = Array.isArray(t.members) ? t.members.length : 0;
+      const memberPart = n ? (en ? ` · ${n} member${n === 1 ? '' : 's'}` : ` · ${n}명`) : '';
+      const reviewPart = t.review !== false ? (en ? ' · review needed' : ' · 검수필요') : '';
+      const preview = en ? 'preview' : '미리보기';
+      return `🤝 ${t.id} (${t.schedule})${memberPart}${reviewPart} — ${preview}: leerness team preview ${t.id}`;
+    });
 }
 
 // 1.9.374 (UR-0074): 릴리스 케이던스 평가 (순수) — releases/day → 수준 + 권장. 외부리뷰 "릴리스 빈도 과다" 가시화.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "leerness",
-  "version": "1.30.0",
+  "version": "1.32.0",
   "description": "Leerness: 비파괴 마이그레이션, 자동 버전 감지·업데이트, 계획/진행/핸드오프 자동화, 게으름·시크릿·인코딩 자동 가드, Claude Code 슬래시 통합을 갖춘 한국어 우선 AI 개발 하네스.",
   "keywords": [
     "leerness",

package/scripts/e2e.js

@@ -830,13 +830,14 @@ total++;
 {
   // agents dispatch — 활성 미충족 시 거부
   const env = { ...process.env, LEERNESS_ENABLE_CODEX: '0' };
-  const r = cp.spawnSync(process.execPath, [CLI, 'agents', 'dispatch', 'test task', '--to', 'codex'], { encoding: 'utf8', timeout: 10000, env });
+  // 1.30.2: timeout 10s→30s flake 하드닝(1.9.375 계열) — 전체 e2e 부하(수백 spawn) 하에서 짧은 타임아웃이 간헐 빈-stdout→오판.
+  const r = cp.spawnSync(process.execPath, [CLI, 'agents', 'dispatch', 'test task', '--to', 'codex'], { encoding: 'utf8', timeout: 30000, env });
   const okBlocked = r.status !== 0 && /비활성|disabled|not-installed/i.test(r.stdout);
   // --to 누락 거부
-  const r2 = cp.spawnSync(process.execPath, [CLI, 'agents', 'dispatch', 'test'], { encoding: 'utf8', timeout: 10000 });
+  const r2 = cp.spawnSync(process.execPath, [CLI, 'agents', 'dispatch', 'test'], { encoding: 'utf8', timeout: 30000 });
   const okNoTarget = r2.status !== 0 && /--to.*필요/.test(r2.stdout + r2.stderr);
   // 알 수 없는 agent 거부
-  const r3 = cp.spawnSync(process.execPath, [CLI, 'agents', 'dispatch', 'test', '--to', 'jedi'], { encoding: 'utf8', timeout: 10000 });
+  const r3 = cp.spawnSync(process.execPath, [CLI, 'agents', 'dispatch', 'test', '--to', 'jedi'], { encoding: 'utf8', timeout: 30000 });
   const okBadAgent = r3.status !== 0 && /알 수 없는 agent/.test(r3.stdout + r3.stderr);
   const ok = okBlocked && okNoTarget && okBadAgent;
   console.log(ok ? '✓ B(1.9.30) agents dispatch: env=0/--to 누락/잘못된 agent 모두 거부' : `✗ dispatch 실패 (block=${okBlocked} noT=${okNoTarget} bad=${okBadAgent})`);
@@ -882,7 +883,7 @@ total++;
 total++;
 {
   // --version --banner: LEERNESS ASCII + 신규 슬로건 (1.9.144+ "AI 에이전트 검수·기억·드리프트 방지 하네스")
-  const r = cp.spawnSync(process.execPath, [CLI, '--version', '--banner'], { encoding: 'utf8', timeout: 10000, env: { ...process.env, TERM: 'dumb' } });
+  const r = cp.spawnSync(process.execPath, [CLI, '--version', '--banner'], { encoding: 'utf8', timeout: 30000, env: { ...process.env, TERM: 'dumb' } });
   const ok = r.status === 0
     && /╔═+╗/.test(r.stdout)
     && /███████╗/.test(r.stdout)
@@ -6041,6 +6042,229 @@ total++;
   if (!ok) failed++;
 }
 
+// 1.30.1 회귀 (14th 외부리뷰 F1+F2): audit/handoff 보안요약이 커밋된 시크릿을 정직하게 노출.
+//   F1: audit 가 _collectSecretFindings 콘텐츠 스캔을 돌려 committed 시크릿을 failure 로 승격(scan secrets 와 일관) — gitignored 는 무영향(FP 0).
+//   F2: handoff 🔒 보안요약 섹션이 .env 없어도 committed 시크릿을 노출(envExists 단독 게이팅 제거).
+total++;
+{
+  let ok = false;
+  try {
+    const H = /[가-힣]/;
+    // (F1) un-gitignored .env + 실 시크릿 → audit healthy:false exit1
+    const d1 = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-f1bad-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', d1, '--yes', '--language', 'ko'], { encoding: 'utf8', timeout: 30000 });
+    fs.writeFileSync(path.join(d1, '.gitignore'), 'node_modules/\n');
+    fs.writeFileSync(path.join(d1, '.env'), 'AWS=AKIAJQXMP7RZ2KL9WXYZ\nGH=ghp_aZ9bY8cX7dW6eV5fU4gT3hS2iR1jQ0kP9oN8\n');
+    const a1 = cp.spawnSync(process.execPath, [CLI, 'audit', d1, '--json'], { encoding: 'utf8', timeout: 20000 });
+    let f1bad = false; try { const j = JSON.parse(a1.stdout); f1bad = j.healthy === false && a1.status === 1 && j.findings.some(x => x.kind === 'committed_secret'); } catch {}
+    // (F1-noFP) gitignored .env + 시크릿 → audit healthy:true (no false-positive)
+    const d2 = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-f1ok-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', d2, '--yes', '--language', 'ko'], { encoding: 'utf8', timeout: 30000 });
+    fs.writeFileSync(path.join(d2, '.gitignore'), '.env\n.env.local\n.env.production\n.env.*.local\n*.pem\ncredentials.json\nnode_modules/\n');
+    fs.writeFileSync(path.join(d2, '.env'), 'AWS=AKIAJQXMP7RZ2KL9WXYZ\n');
+    const a2 = cp.spawnSync(process.execPath, [CLI, 'audit', d2, '--json'], { encoding: 'utf8', timeout: 20000 });
+    let f1ok = false; try { const j = JSON.parse(a2.stdout); f1ok = j.healthy === true && a2.status === 0; } catch {}
+    // (F2) committed secret in config.js, NO .env → handoff 보안요약 섹션이 노출(ko) + en 영어(섹션 한글 0)
+    const d3 = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-f2-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', d3, '--yes', '--language', 'ko'], { encoding: 'utf8', timeout: 30000 });
+    fs.writeFileSync(path.join(d3, '.gitignore'), 'node_modules/\n');
+    fs.writeFileSync(path.join(d3, 'config.js'), 'const k="AKIAJQXMP7RZ2KL9WXYZ";\nconst g="ghp_aZ9bY8cX7dW6eV5fU4gT3hS2iR1jQ0kP9oN8";\n');
+    const hoKo = (cp.spawnSync(process.execPath, [CLI, 'handoff', d3], { encoding: 'utf8', timeout: 25000 }).stdout) || '';
+    const f2ko = /🔒\s*보안 요약/.test(hoKo) && /커밋된 시크릿/.test(hoKo) && /config\.js/.test(hoKo);
+    const d4 = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-f2en-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', d4, '--yes', '--language', 'en'], { encoding: 'utf8', timeout: 30000 });
+    fs.writeFileSync(path.join(d4, '.gitignore'), 'node_modules/\n');
+    fs.writeFileSync(path.join(d4, 'config.js'), 'const k="AKIAJQXMP7RZ2KL9WXYZ";\n');
+    const hoEn = (cp.spawnSync(process.execPath, [CLI, 'handoff', d4], { encoding: 'utf8', timeout: 25000 }).stdout) || '';
+    const enSecLines = hoEn.split('\n').filter(l => /Security summary|committed secret/i.test(l));
+    const f2en = /Security summary/.test(hoEn) && /committed secret/i.test(hoEn) && enSecLines.length >= 1 && !enSecLines.some(l => H.test(l));
+    [d1, d2, d3, d4].forEach(d => { try { fs.rmSync(d, { recursive: true, force: true }); } catch {} });
+    ok = f1bad && f1ok && f2ko && f2en;
+  } catch {}
+  console.log(ok ? '✓ B(1.30.1) 14th외부리뷰 F1+F2: audit committed-secret→failure(scan 일관, gitignored FP0) + handoff 보안요약이 committed 시크릿 노출(ko/en)' : '✗ 보안 정직성 F1+F2 가드 실패');
+  if (!ok) failed++;
+}
+
+// 1.30.2 회귀 (#157 사용자명시, 하위 프로젝트 방향 — 외부AI+Claude 교차검토 → 방향 C): parent detect 가 상위 leerness 부모를 탐지(read-only) + handoff 헤드라인 노출 + 자동 적용 안 함.
+total++;
+{
+  let ok = false;
+  try {
+    const par = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-par-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', par, '--yes', '--language', 'ko'], { encoding: 'utf8', timeout: 30000 });
+    const sub = path.join(par, 'sub');
+    cp.spawnSync(process.execPath, [CLI, 'init', sub, '--yes', '--language', 'ko'], { encoding: 'utf8', timeout: 30000 });
+    // (1) parent detect --json from sub → parent detected, applied:false, assetCount≥1
+    const pj = cp.spawnSync(process.execPath, [CLI, 'parent', 'detect', '--path', sub, '--json'], { encoding: 'utf8', timeout: 15000 });
+    let detectOk = false; try { const j = JSON.parse(pj.stdout); detectOk = j.applied === false && j.parent && j.parent.workspaceDir === '.harness' && j.parent.assetCount >= 1; } catch {}
+    // (2) parent detect from standalone → null
+    const alone = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-alone-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', alone, '--yes', '--language', 'ko'], { encoding: 'utf8', timeout: 30000 });
+    const aj = cp.spawnSync(process.execPath, [CLI, 'parent', 'detect', '--path', alone, '--json'], { encoding: 'utf8', timeout: 15000 });
+    let aloneOk = false; try { const j = JSON.parse(aj.stdout); aloneOk = j.parent === null; } catch {}
+    // (3) handoff headline from sub shows 🔗 부모 프로젝트 (미적용); en shows "not applied"
+    const hoKo = (cp.spawnSync(process.execPath, [CLI, 'handoff', '--path', sub], { encoding: 'utf8', timeout: 25000 }).stdout) || '';
+    const hoEn = (cp.spawnSync(process.execPath, [CLI, 'handoff', '--path', sub, '--language', 'en'], { encoding: 'utf8', timeout: 25000 }).stdout) || '';
+    const headlineOk = /🔗 부모 프로젝트.*미적용/.test(hoKo) && /🔗 parent project.*not applied/.test(hoEn);
+    // (4) read-only: parent detect 가 sub 에 아무 파일도 쓰지 않음(adopt 미구현)
+    const before = fs.readdirSync(sub).sort().join(',');
+    cp.spawnSync(process.execPath, [CLI, 'parent', 'detect', '--path', sub], { encoding: 'utf8', timeout: 15000 });
+    const after = fs.readdirSync(sub).sort().join(',');
+    const readOnlyOk = before === after;
+    [par, alone].forEach(d => { try { fs.rmSync(d, { recursive: true, force: true }); } catch {} });
+    ok = detectOk && aloneOk && headlineOk && readOnlyOk;
+  } catch {}
+  console.log(ok ? '✓ B(1.30.2) #157 하위프로젝트: parent detect(상위 leerness 탐지·--json applied:false) + 독립 null + handoff 헤드라인 🔗(ko/en, 미적용) + read-only' : '✗ parent detect 가드 실패');
+  if (!ok) failed++;
+}
+
+// 1.30.3 회귀 (#158 사용자명시): parent adopt 게이트형 적용 — dry-run 기본(쓰기 0) + --apply(사용자 명시) 시에만 자식-로컬 참조 기록 + 자식 design-system.md 무변경(비파괴) + handoff 헤드라인 adopted 반영.
+total++;
+{
+  let ok = false;
+  try {
+    const par = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-adopt-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', par, '--yes', '--language', 'ko'], { encoding: 'utf8', timeout: 30000 });
+    const sub = path.join(par, 'sub');
+    cp.spawnSync(process.execPath, [CLI, 'init', sub, '--yes', '--language', 'ko'], { encoding: 'utf8', timeout: 30000 });
+    const childDs = path.join(sub, '.harness', 'design-system.md');
+    const childDsBefore = fs.readFileSync(childDs, 'utf8');
+    const inherited = path.join(sub, '.harness', 'inherited-from-parent.md');
+    const link = path.join(sub, '.harness', 'PARENT_LINK.json');
+    // (1) DRY-RUN: 쓰기 0
+    cp.spawnSync(process.execPath, [CLI, 'parent', 'adopt', '--path', sub], { encoding: 'utf8', timeout: 15000 });
+    const dryNoWrite = !fs.existsSync(inherited) && !fs.existsSync(link);
+    // (2) --apply: 참조파일+마커 기록, 자식 design-system.md 무변경
+    cp.spawnSync(process.execPath, [CLI, 'parent', 'adopt', '--apply', '--path', sub], { encoding: 'utf8', timeout: 15000 });
+    const wrote = fs.existsSync(inherited) && fs.existsSync(link);
+    const childUnchanged = fs.readFileSync(childDs, 'utf8') === childDsBefore;
+    let linkOk = false; try { const j = JSON.parse(fs.readFileSync(link, 'utf8')); linkOk = !!j.parentRoot && Array.isArray(j.adoptedKinds) && j.adoptedKinds.length >= 1; } catch {}
+    // (3) handoff 헤드라인 adopted 반영(ko/en)
+    const hoKo = (cp.spawnSync(process.execPath, [CLI, 'handoff', '--path', sub], { encoding: 'utf8', timeout: 25000 }).stdout) || '';
+    const hoEn = (cp.spawnSync(process.execPath, [CLI, 'handoff', '--path', sub, '--language', 'en'], { encoding: 'utf8', timeout: 25000 }).stdout) || '';
+    const headlineOk = /🔗 부모 프로젝트.*adopted/.test(hoKo) && /🔗 parent project.*adopted/.test(hoEn);
+    // (4) --json applied:true on apply
+    const aj = cp.spawnSync(process.execPath, [CLI, 'parent', 'adopt', '--apply', '--json', '--path', sub], { encoding: 'utf8', timeout: 15000 });
+    let jsonOk = false; try { const j = JSON.parse(aj.stdout); jsonOk = j.applied === true && typeof j.inheritedPath === 'string'; } catch {}
+    fs.rmSync(par, { recursive: true, force: true });
+    ok = dryNoWrite && wrote && childUnchanged && linkOk && headlineOk && jsonOk;
+  } catch {}
+  console.log(ok ? '✓ B(1.30.3) #158 parent adopt: dry-run 쓰기0 + --apply 참조파일/마커 + 자식 design-system 무변경(비파괴) + handoff adopted(ko/en) + --json applied:true' : '✗ parent adopt 가드 실패');
+  if (!ok) failed++;
+}
+
+// 1.30.4 회귀 (#155 / 14th리뷰 F5+F6+F7): add류 cli-ux 일관성 — decision/lesson dedup + rule/lesson 빈입력 --json 구조화 + task/rule bogus subcommand 토큰 명시.
+total++;
+{
+  let ok = false;
+  try {
+    const d = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-f567-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', d, '--yes', '--language', 'ko'], { encoding: 'utf8', timeout: 30000 });
+    const run = (args) => cp.spawnSync(process.execPath, [CLI, ...args, '--path', d], { encoding: 'utf8', timeout: 15000 });
+    const isJson = (s) => { try { JSON.parse((s||'').trim()); return true; } catch { return false; } };
+    // F5 dedup: decision/lesson 동일 입력 2회 → 1 copy, --force → 2
+    run(['decision', 'add', 'dupdec']); run(['decision', 'add', 'dupdec']);
+    const decCount = ((run(['decision', 'list']).stdout || '').match(/dupdec/g) || []).length;
+    run(['lesson', 'save', 'duples']); run(['lesson', 'save', 'duples']);
+    const lesCount = ((run(['lesson', 'list']).stdout || '').match(/duples/g) || []).length;
+    run(['decision', 'add', 'dupdec', '--force']);
+    const decForce = ((run(['decision', 'list']).stdout || '').match(/dupdec/g) || []).length;
+    const f5 = decCount === 1 && lesCount === 1 && decForce === 2;
+    // F6 빈입력 --json 구조화 + exit1 (성공경로도 JSON 유지)
+    const ra = run(['rule', 'add', '', '--json']); const ls = run(['lesson', 'save', '', '--json']);
+    const raOk = run(['rule', 'add', '룰F6', '--json']); const lsOk = run(['lesson', 'save', '레슨F6', '--json']);
+    const f6 = isJson(ra.stdout) && /empty_title/.test(ra.stdout) && ra.status === 1
+            && isJson(ls.stdout) && /empty_text/.test(ls.stdout) && ls.status === 1
+            && isJson(raOk.stdout) && isJson(lsOk.stdout);
+    // F7 bogus subcommand → 잘못된 토큰 명시 + exit1 (유효 하위명령 무회귀)
+    const tf = run(['task', 'frobnicate']); const rf = run(['rule', 'frobnicate']);
+    const f7 = /task 하위명령: frobnicate/.test(tf.stdout + tf.stderr) && tf.status === 1
+            && /rule 하위명령: frobnicate/.test(rf.stdout + rf.stderr) && rf.status === 1
+            && run(['task', 'list']).status === 0 && run(['rule', 'list']).status === 0;
+    fs.rmSync(d, { recursive: true, force: true });
+    ok = f5 && f6 && f7;
+  } catch {}
+  console.log(ok ? '✓ B(1.30.4) #155 cli-ux 일관성: decision/lesson dedup(--force 우회) + rule/lesson 빈입력 --json 구조화(exit1) + task/rule bogus subcommand 토큰 명시' : '✗ cli-ux 일관성 F5+F6+F7 가드 실패');
+  if (!ok) failed++;
+}
+
+// 1.31.1 회귀 (UR-0010): install-safety 출력 영어 opt-in — en 한글 0 + ko 보존 + 셸-무관 가드(npx --yes/PowerShell/no npm_config prefix) 양 언어 보존.
+total++;
+{
+  let ok = false;
+  try {
+    const H = /[가-힣]/;
+    const en = (cp.spawnSync(process.execPath, [CLI, 'install-safety', '--language', 'en'], { encoding: 'utf8', timeout: 15000 }).stdout) || '';
+    const ko = (cp.spawnSync(process.execPath, [CLI, 'install-safety'], { encoding: 'utf8', timeout: 15000 }).stdout) || '';
+    const enOk = /install safety profile/.test(en) && !H.test(en);
+    const koOk = /설치 안전 프로필/.test(ko);
+    let guardOk = false;
+    try { const j = JSON.parse(cp.spawnSync(process.execPath, [CLI, 'install-safety', '--json', '--language', 'en'], { encoding: 'utf8', timeout: 15000 }).stdout); guardOk = j.safeInstall.filter(x => x.includes('npx --yes')).length >= 2 && j.hardeningNote.includes('PowerShell') && !j.safeInstall.some(x => /^npm_config_\w+=/.test(String(x).trim())); } catch {}
+    ok = enOk && koOk && guardOk;
+  } catch {}
+  console.log(ok ? '✓ B(1.31.1) UR-0010: install-safety en 영어(한글 0) + ko 보존 + 셸-무관 가드(npx --yes/PowerShell/no npm_config prefix) 양 언어 보존' : '✗ install-safety 영어화 가드 실패');
+  if (!ok) failed++;
+}
+
+// 1.31.2 회귀 (UR-0010): constraints 영어화 — list/check 라벨 + 카탈로그 detailEn + suggestion 영어 / ko 보존 / 매칭(한국어 alias) 무회귀.
+total++;
+{
+  let ok = false;
+  try {
+    const H = /[가-힣]/;
+    const cap = (args) => (cp.spawnSync(process.execPath, [CLI, ...args], { encoding: 'utf8', timeout: 15000 }).stdout) || '';
+    const listEn = cap(['constraints', 'list', '--language', 'en']);
+    const listKo = cap(['constraints', 'list']);
+    const chkEn = cap(['constraints', 'check', 'stripe payment api integration', '--language', 'en']);
+    const noMatchEn = cap(['constraints', 'check', 'build a generic api integration widget xyz', '--language', 'en']);
+    // EN: zero Hangul + English catalog detail + English suggestion/labels surfaced
+    const enOk = !H.test(listEn) && /duplicate charges/.test(listEn) && /no platform matched/.test(noMatchEn)
+      && /review constraints before building/.test(chkEn) && !H.test(chkEn) && !H.test(noMatchEn)
+      && /review the pre-registered platform catalog/.test(noMatchEn);
+    // KO preserved: Korean catalog detail still present in default output
+    const koOk = H.test(listKo) && /필수|별도/.test(listKo) && /매칭된 플랫폼 없음|플랫폼 매칭/.test(cap(['constraints', 'check', '일반 api 연동 위젯 xyz']));
+    // matching unaffected: Korean alias still matches stripe (--json)
+    let matchOk = false;
+    try { const j = JSON.parse(cap(['constraints', 'check', 'stripe 결제 api 연동', '--json'])); matchOk = (j.matched || []).some(m => m.platform === 'stripe'); } catch {}
+    ok = enOk && koOk && matchOk;
+  } catch {}
+  console.log(ok ? '✓ B(1.31.2) UR-0010: constraints en 영어(list/check 라벨+카탈로그 detailEn+suggestion, 한글 0) + ko 보존 + 한국어 alias 매칭 무회귀' : '✗ constraints 영어화 가드 실패');
+  if (!ok) failed++;
+}
+
+// 1.31.3 회귀 (UR-0010): capabilities(권한·보안 표면) 영어화(라벨+카탈로그 descEn/optOutEn/noteEn+principles) + team reminder 본문 영어화 / ko 보존.
+total++;
+{
+  let ok = false;
+  try {
+    const H = /[가-힣]/;
+    const cap = (args) => (cp.spawnSync(process.execPath, [CLI, ...args], { encoding: 'utf8', timeout: 15000 }).stdout) || '';
+    const capEn = cap(['capabilities', '--language', 'en']);
+    const capKo = cap(['capabilities']);
+    const capJsonEn = cap(['capabilities', '--json', '--language', 'en']);
+    // EN: zero Hangul + English catalog desc/note + English labels; KO: preserved; JSON: English principles
+    const capOk = !H.test(capEn) && /metadata files|external AI CLIs|mouse\/keyboard/.test(capEn)
+      && /Permission surface/.test(capEn) && /Principles/.test(capEn)
+      && H.test(capKo) && /권한 표면|백업/.test(capKo)
+      && /0 runtime dependencies/.test(capJsonEn);
+    // team reminder body en/ko via handoff (full wiring: pure lang + caller _uiLang)
+    const d = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-team-i18n-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', d, '--yes'], { encoding: 'utf8', timeout: 30000 });
+    cp.spawnSync(process.execPath, [CLI, 'team', 'add', 'nightly', '--members', 'a,b', '--schedule', 'every-session', '--path', d], { encoding: 'utf8', timeout: 15000 });
+    const hoEn = (cp.spawnSync(process.execPath, [CLI, 'handoff', d, '--language', 'en'], { encoding: 'utf8', timeout: 30000 }).stdout) || '';
+    const hoKo = (cp.spawnSync(process.execPath, [CLI, 'handoff', d], { encoding: 'utf8', timeout: 30000 }).stdout) || '';
+    const teamEn = hoEn.split('\n').filter(l => /🤝|team preview nightly/.test(l));
+    const teamKo = hoKo.split('\n').filter(l => /🤝|team preview nightly/.test(l));
+    const teamOk = teamEn.length >= 2 && !teamEn.some(l => H.test(l))
+      && teamEn.some(l => /2 members/.test(l)) && teamEn.some(l => /review needed/.test(l)) && teamEn.some(l => /preview:/.test(l))
+      && teamKo.some(l => /2명/.test(l)) && teamKo.some(l => /검수필요/.test(l)) && teamKo.some(l => /미리보기/.test(l));
+    try { fs.rmSync(d, { recursive: true, force: true }); } catch {}
+    ok = capOk && teamOk;
+  } catch {}
+  console.log(ok ? '✓ B(1.31.3) UR-0010: capabilities en 영어(표면 desc/optOut/note/principles, 한글 0) + ko 보존 + team reminder 본문 en/ko(handoff 전체배선)' : '✗ capabilities/team reminder 영어화 가드 실패');
+  if (!ok) failed++;
+}
+
 // 1.9.430 (10th 외부평가 UR-0130): health 보안 CRITICAL(커밋 시크릿)은 --strict 없이도 exit 1(CI 게이트). 클린은 exit 0.
 total++;
 {
@@ -6297,9 +6521,22 @@ total++;
     const agEnOk = /CLI agent slash commands/.test(agEn) && agEnLines.length >= 2 && !agEnLines.some(l => H.test(l));
     const agKoOk = /에이전트 슬래시/.test(agKo);
     fs.rmSync(da, { recursive: true, force: true });
-    ok = lensKoOk && lensEnOk && noLeak && stOk && healthOk && driftOk && doctorOk && hoEnOk && hoKoOk && edEnOk && edKoOk && shEnOk && shKoOk && agEnOk && agKoOk;
-  } catch {}
-  console.log(ok ? '✓ B(1.25.1/1.25.2/1.27.2/1.28.2/1.29.1/1.29.2/1.29.3/1.29.4) i18n 행위: --language en 런타임 영어(lens/health/drift/doctor/handoff보안요약/env-detect/shell-guard/agent-slash) + ko 기본 보존 + --language positional 무누출 + status 에러 en/ko (UR-0010)' : '✗ i18n 행위 회귀 가드 실패');
+    // ⑫ (1.30.5 #156 F3+F4) handoff 본문 워크플로 가이드 + 메모리 변동 en 영어(섹션 한글 0) + ko 보존 · verify-claim/optimism-check 미입력 에러 en/ko.
+    const df3 = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-i18n-f3-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', df3, '--yes', '--language', 'en'], { encoding: 'utf8', timeout: 30000 });
+    const hf3En = out(cp.spawnSync(process.execPath, [CLI, 'handoff', df3], { encoding: 'utf8', timeout: 25000 }));
+    const wfLines = hf3En.split('\n').filter(l => /Session workflow|Analyze request|sub-agent work|to disable:/.test(l));
+    const f3En = /Session workflow/.test(hf3En) && wfLines.length >= 3 && !wfLines.some(l => H.test(l));
+    const df3ko = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-i18n-f3k-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', df3ko, '--yes', '--language', 'ko'], { encoding: 'utf8', timeout: 30000 });
+    const f3Ko = /세션 워크플로 6단계/.test(out(cp.spawnSync(process.execPath, [CLI, 'handoff', df3ko], { encoding: 'utf8', timeout: 25000 })));
+    const vcEn = out(cp.spawnSync(process.execPath, [CLI, 'verify-claim', '--path', df3, '--language', 'en'], { encoding: 'utf8', timeout: 15000 }));
+    const vcKo = out(cp.spawnSync(process.execPath, [CLI, 'verify-claim', '--path', df3ko], { encoding: 'utf8', timeout: 15000 }));
+    const f4 = /required\. ex:/.test(vcEn) && !H.test(vcEn) && /필요\. 예:/.test(vcKo);
+    [df3, df3ko].forEach(d => { try { fs.rmSync(d, { recursive: true, force: true }); } catch {} });
+    ok = lensKoOk && lensEnOk && noLeak && stOk && healthOk && driftOk && doctorOk && hoEnOk && hoKoOk && edEnOk && edKoOk && shEnOk && shKoOk && agEnOk && agKoOk && f3En && f3Ko && f4;
+  } catch {}
+  console.log(ok ? '✓ B(1.25.1/1.25.2/1.27.2/1.28.2/1.29.1/1.29.2/1.29.3/1.29.4/1.30.5) i18n 행위: --language en 런타임 영어(lens/health/drift/doctor/handoff보안요약/env-detect/shell-guard/agent-slash/워크플로가이드/verify-claim) + ko 기본 보존 + --language positional 무누출 + status 에러 en/ko (UR-0010)' : '✗ i18n 행위 회귀 가드 실패');
   if (!ok) failed++;
 }