leerness 1.36.27 → 1.36.28

package/CHANGELOG.md

@@ -1,5 +1,20 @@
 # Changelog
 
+## 1.36.28 — 2026-07-15 — 미검토 표면 헌트: 데이터 유실 클래스(손상 스토어 클로버 · URL 덮어쓰기) + 정확성(impact 전이 · alias 경계)
+
+rotate-review-targets 교훈 적용 — 최근 잘 검토된 표면(lens/memory/plan/requests/skill)을 **제외**하고 미검토 표면(state/team/api-skill/wakeup/intent/feature)을 codex 로 QA 헌트. 10 findings 중 결정적 5건을 맹신 X(전부 재현) 후, 데이터 유실 클래스 + 저위험 순수 교정 4건을 수정. 동시성 3건(크로스프로세스 락)은 0-deps rabbit-hole 위험이라 정직하게 이연.
+
+- **#3 P1 (데이터 유실 클래스) — 손상 JSON 스토어를 빈 값으로 오인해 덮어쓰기**: state.json/`teams.json`/`platform-constraints.json` 이 손상되면 fail-open 으로 빈 기본값이 되어 기존 데이터(진행 중 run·팀·커스텀 제약)를 소실시켰다. `_assertStoreParsable`(파일 "없음"과 "있으나 손상" 구분) + `_guardStore` 로 **변경(저장)을 거부하고 원본 보존** + `store_corrupt` 구조화 에러. 설계: SAVE 진입점에서만 던짐(handoff 등 비변경 읽기는 resilient 유지) — 단 state 는 카운터 리셋이 run 파일 클로버를 유발해 load 에서 던지고 stateCmd 를 감쌈.
+- **#4 P2 (데이터 유실) — api-skill 이 쿼리 다른 URL 을 같은 id 로 덮어씀**: `?doc=alpha` 와 `?doc=beta` 가 둘 다 `example.md` 로 슬러그돼 앞 URL·방향이 소실. 같은 id 파일의 저장 URL 이 다르면 정규화 URL 해시(`_shortHash`)를 붙여 분리, 같은 URL 재등록은 멱등 갱신 유지.
+- **#8 P2 (정확성) — feature impact 역의존 전이 누락**: `A←B←C` 에서 `impact A` 가 B 만 반환(C 누락). 역방향 depends-on 을 BFS 종료 후 1-홉이 아니라 BFS **안**에서 확장(visited 로 사이클 안전) → C 가 depth 2 로 포착.
+- **#10 P2 (정확성) — intent alias 부분문자열 오탐**: `restore`→'rest'(API), `client`→'cli'(CLI) 오분류. ASCII 단어 alias 는 단어경계를 요구(`_aliasHit`), 구두점/CJK alias 는 substring 유지.
+- **검증**: selftest 298/298(전이+사이클안전+alias 경계+가드 배선+해시), 4건 전부 원 재현본으로 before/after + 정상 무회귀 실측, 게이트 e2e, 게시본 클린룸.
+- 이연: #7(pre-wake-audit 테이블형 in-progress 미인식 — session-resume 매처 재사용), 동시성 #1/#2/#5(state/team 병렬 lost-update — 크로스프로세스 락 필요).
+
+**반복 마이그레이션 커스텀 유실 (사용자 보고, P1, 동일 릴리스 합류)**: "AI 에게 매번 최신 마이그레이션을 시키는" 표준 흐름에서 **2번째 마이그레이션부터 CLAUDE.md/AGENTS.md 의 사용자 커스텀 지시가 조용히 사라졌다** — `_managedMerge` 가 preserved 태그를 보면 병합 없이 새 템플릿만 반환했기 때문(구 `<details>` 중첩-방지 설계의 부작용). **실증**: 1.26.0/1.9.206 실제 구버전으로 워크스페이스 구축(23종 마커) → migrate: 1차는 유실 0 이지만, 커스텀 추가 후 2차에서 신·구 커스텀 모두 유실(archive 백업에만 잔존).
+- **재설계**: 라인-집합 diff — "새 템플릿에 없는 라인"만 Preserved 섹션에 평문 이월. 멱등(연속 5회 마이그레이션에서 커스텀 3종 전부 보존, 크기 고정), 중첩 없음, 레거시 `<details>` 형식에서도 커스텀 회수(래퍼 미이월), overwriteSet(통째 교체 파일) 존중. 편향은 명시적으로 false-PRESERVE(과보존 무해) — false-DROP(유실)이 버그.
+- 마이그레이션 유실 전수 검증 결과(이번 실측): `.harness/` 데이터 파일(task/lesson/decision/rule/request/plan/feature/team/skill + 수기 편집 project-brief/current-state/handoff/guideline/design-system)은 **1.26.0→최신, 1.9.206→최신, 반복 실행 모두 유실 0** — 유일한 유실 경로가 위 managed-merge 였고 이번에 봉합.
+
 ## 1.36.27 — 2026-07-15 — debug 렌즈 — "근본원인 조사 없이 수정 금지"를 자기질문으로 (obra/superpowers systematic-debugging)
 
 superpowers 검토 아크 마지막 채택분. 원문(systematic-debugging SKILL)의 규율을 **lens 카테고리 정합대로 자기질문 6문항으로 재작성** — 대문자 명령형/강제 게이트는 이식하지 않음(lens 는 advisory 표면, 강제로 포장하면 과장).

package/README.md

@@ -121,7 +121,7 @@ MIT
 <!-- leerness:project-readme:start -->
 ## Leerness Project Harness
 
-이 프로젝트는 Leerness v1.36.27 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
+이 프로젝트는 Leerness v1.36.28 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
 
 ### 정체성 — AI 에이전트 운영 레이어 (UR-0030)
 
@@ -175,7 +175,7 @@ leerness memory restore decision <date|title>
 
 ### MCP server (외부 AI 통합)
 
-Leerness v1.36.27는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **86개 도구**를 노출:
+Leerness v1.36.28는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **86개 도구**를 노출:
 
 ```jsonc
 // 카테고리별
@@ -196,7 +196,7 @@ Leerness v1.36.27는 stdio JSON-RPC MCP server를 내장합니다 — Claude Cod
 `<<autonomous-loop-dynamic>>` 신호만 보내면 AI가:
 1) 다음 라운드 후보 선정 → 2) 코드 변경 → 3) stress-v* 신규 작성 + 누적 회귀 → 4) e2e 219/219 → 5) npm pack + git tag + GitHub release → 6) main 자동 push → 7) session close → 8) 다음 라운드 예약.
 
-현재 누적: **70 라운드 (1.9.40 → 1.36.27)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
+현재 누적: **70 라운드 (1.9.40 → 1.36.28)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
 
 ### 성능 가이드
 
@@ -234,6 +234,6 @@ leerness release pack --close --auto-main-push
 - `.harness/session-handoff.md`: 다음 세션 인수인계 (자동 작성)
 - `.harness/lessons.md` / `decisions.md` / `rules.md`: 영구 메모리 (5 surface)
 
-Last synced by Leerness v1.36.27: 2026-07-15
+Last synced by Leerness v1.36.28: 2026-07-15
 <!-- leerness:project-readme:end -->
 

package/bin/leerness.js

@@ -34,7 +34,7 @@ const { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE
 const { tokenizeForRank: _tokenizeForRank, expandQuery: _expandQuery, scoreHits: _scoreHits, suggestTerms: _suggestTerms } = require('../lib/search-core');  // 1.36.23: memory search 랭킹 코어(순수·0-deps)
 const { findCorruptedStateJson: _findCorruptedStateJson } = require('../lib/state-integrity');  // 1.36.1 (클린룸 리뷰 FN): .harness/*.json 상태 무결성 (audit/health/check 공유)
 
-const VERSION = '1.36.27';
+const VERSION = '1.36.28';
 
 // 1.9.290 (UR-0037, Codex gpt-5.5 #4 수렴): CLI 전용 부작용은 require 시 실행하지 않는다.
 //   이전: warning listener 제거 / NODE_OPTIONS 변경 / chcp IIFE 가 top-level 즉시 실행 → require('harness') 시 호스트 프로세스 오염.
@@ -3027,6 +3027,47 @@ function _selfTestCases() {
       const encOk = s.includes("(result.applied || []).some(a => a.action === 'failed')) process.exitCode = 1");   // encoding: 실패 exit1
       return reuseOk && releaseOk && encOk;
     } },
+    { name: '미검토표면 헌트 (1.36.28, codex): #8 impact 역의존 전이 + #10 alias 단어경계 + #3 손상스토어 클로버 차단 + #4 URL 해시 — 순수/소스 행위검사', run: () => {
+      const p = require('../lib/pure-utils');
+      // #8: A←B←C 전이 (F-0003 이 depth 2 로 잡혀야)
+      const nodes = [{ id: 'F1', title: 'A', dependsOn: [] }, { id: 'F2', title: 'B', dependsOn: ['F1'] }, { id: 'F3', title: 'C', dependsOn: ['F2'] }];
+      const imp = p._featureImpactBfs(nodes, 'F1').map(x => x.id);
+      const transitiveOk = imp.includes('F2') && imp.includes('F3');
+      // 사이클 안전: F1↔F2 순환이어도 무한루프/중복 없이 종료
+      const cyc = p._featureImpactBfs([{ id: 'F1', dependsOn: ['F2'] }, { id: 'F2', dependsOn: ['F1'] }], 'F1');
+      const cycleSafe = Array.isArray(cyc) && cyc.length <= 2;
+      // #10: 부분문자열 오탐 차단 + 실매칭 유지
+      const aliasOk = typeof p._aliasHit === 'function'
+        && !p._aliasHit('restore deleted files', 'rest') && !p._aliasHit('the client cache', 'cli')
+        && p._aliasHit('call the rest endpoint', 'rest') && p._aliasHit('run cli now', 'cli')
+        && p._aliasHit('노드제이에스 node.js 설정', 'node.js');   // 구두점 alias 는 substring 유지
+      // #3/#4: 소스 배선 확인 (행위는 e2e/실측, 여기선 가드 존재)
+      const s = read(__filename);
+      const guardOk = s.includes('function _assertStoreParsable') && s.includes("code: 'E_STORE_CORRUPT'")
+        && s.includes('_guardStore(has(') && s.includes("_assertStoreParsable(teamsJsonPath")
+        && s.includes("_assertStoreParsable(_platformConstraintsPath");
+      const hashOk = s.includes('function _shortHash') && s.includes("id = id + '-' + _shortHash(url)") && s.includes('urls:\\s*\\r?\\n');
+      return transitiveOk && cycleSafe && aliasOk && guardOk && hashOk;
+    } },
+    { name: '반복 마이그레이션 커스텀 보존 (1.36.28, 사용자 보고): _managedMerge 라인-diff 이월 — 2번째부터 유실되던 CLAUDE/AGENTS 커스텀 지시 (행위검사)', run: () => {
+      const p = require('../lib/pure-utils');
+      const next = '# T\nline A\nline B\n';
+      const prev = '# T\nline A\nline B\nMY CUSTOM 1\n';
+      const m1 = p._managedMerge('CLAUDE.md', next, prev, '.harness/archive', null);
+      const m2 = p._managedMerge('CLAUDE.md', next, m1, '.harness/archive', null);
+      const m3 = p._managedMerge('CLAUDE.md', next, m2, '.harness/archive', null);
+      // 핵심 판별: 종전 구현은 m2 에서 MY CUSTOM 1 이 사라졌다 (previous 에 preserved 태그 있으면 next 만 반환)
+      const survived = m1.includes('MY CUSTOM 1') && m2.includes('MY CUSTOM 1') && m3.includes('MY CUSTOM 1');
+      const idem = m2 === m3;
+      // 레거시 <details> 형식에서 커스텀 회수 + 래퍼 미이월
+      const F = String.fromCharCode(96, 96, 96);
+      const legacy = next + '\n---\n<!-- leerness:migration-preserved -->\n## Preserved previous content\n\n<details>\n<summary>Previous CLAUDE.md</summary>\n\n' + F + 'md\n# T\nOLD CUSTOM X\n' + F + '\n\n</details>\n';
+      const lm = p._managedMerge('CLAUDE.md', next, legacy, '.harness/archive', null);
+      const legacyOk = lm.includes('OLD CUSTOM X') && !lm.includes('<details>');
+      const cleanOk = p._managedMerge('CLAUDE.md', next, next, '.harness/archive', null) === next;
+      const owOk = p._managedMerge('x.md', next, prev, '.', new Set(['x.md'])) === next;
+      return survived && idem && legacyOk && cleanOk && owOk;
+    } },
     { name: 'debug 렌즈 (1.36.27, obra/superpowers systematic-debugging): 자기질문 6문항 ko/en 락스텝 + affects 유효 + route bugfix 힌트 + 파일매핑 미확장 — 행위검사', run: () => {
       const d = LENS_CATALOG.debug;
       if (!d) return false;
@@ -4702,6 +4743,28 @@ function shellGuardCmd(root, cmd, opts = {}) {
   if (analysis.issues.some(i => i.severity === 'error')) process.exitCode = 1;
 }
 
+// 1.36.28 (codex 미검토표면 헌트 #3 — 데이터 유실 클래스): 손상된 JSON 스토어를 "빈 값"으로 오인해 덮어쓰는 fail-open 방지.
+//   파일이 "없음"과 "있으나 손상"을 구분 — 후자는 파싱 실패를 던져 변경(저장)을 거부하고 원본을 보존한다.
+//   설계: LOAD 가 아니라 SAVE/변경 진입점에서만 던진다(handoff 등 비변경 읽기 경로는 resilient 유지). state 는
+//   카운터 리셋이 run 파일 클로버를 유발하므로 예외적으로 load 에서 던지고 stateCmd 를 _guardStore 로 감싼다.
+function _assertStoreParsable(file, label) {
+  if (exists(file)) {
+    try { JSON.parse(read(file)); }
+    catch { throw Object.assign(new Error(`${label} 저장 파일이 손상돼(JSON 파싱 실패) 덮어쓰기를 거부합니다: ${file} — 파일을 복구하거나 삭제 후 재시도하세요`), { code: 'E_STORE_CORRUPT', file }); }
+  }
+}
+function _guardStore(jsonMode, fn) {
+  try { return fn(); }
+  catch (e) { if (e && e.code === 'E_STORE_CORRUPT') { failJson(jsonMode, 'store_corrupt', e.message); return undefined; } throw e; }
+}
+// 1.36.28 (#4): 0-deps 짧은 결정적 해시 (URL 충돌 구분용, 보안 아님).
+function _shortHash(s) {
+  let h = 5381;
+  const str = String(s || '');
+  for (let i = 0; i < str.length; i++) h = ((h << 5) + h + str.charCodeAt(i)) >>> 0;
+  return h.toString(36).slice(0, 6);
+}
+
 // 1.9.245: API skill cache — 공식 문서 + 관련 링크 자동 정리 (사용자 명시 UR-0015)
 //   .harness/api-skills/<id>.md 에 frontmatter + 본문 저장. handoff 자동 매칭.
 //   Node built-in https (의존성 0), depth=1 same-domain crawl, max 10 links.
@@ -4950,7 +5013,16 @@ async function apiSkillCmd(root, sub) {
     try {
       const doc = await _collectAPIDoc(url, { direction, noCrawl });
       const skillName = name || doc.title || new URL(url).hostname;
-      const id = _apiSkillId(url, name);
+      let id = _apiSkillId(url, name);
+      // 1.36.28 (#4): 쿼리/경로가 달라 URL 은 다른데 slug 가 같으면(예: example.com/?doc=alpha vs ?doc=beta) 기존 파일을
+      //   덮어써 이전 URL·방향이 유실됐다. 같은 id 파일이 이미 있고 저장된 URL 이 다르면 정규화 URL 해시를 붙여 분리한다.
+      const _idFile = (i) => path.join(dir, i + '.md');
+      if (fs.existsSync(_idFile(id))) {
+        const existing = fs.readFileSync(_idFile(id), 'utf8');
+        const um = existing.match(/^urls:\s*\r?\n\s*-\s*(\S.*)$/m);   // 'urls:' 블록의 첫 항목만 (--- 구분선 오매치 방지)
+        const storedUrl = um ? um[1].trim() : '';
+        if (storedUrl && storedUrl !== url) id = id + '-' + _shortHash(url);
+      }
       if (!fs.existsSync(dir)) fs.mkdirSync(dir, { recursive: true });
       const md = _serializeAPISkill(id, skillName, [url], direction, doc);
       fs.writeFileSync(path.join(dir, id + '.md'), md, 'utf8');
@@ -5551,6 +5623,7 @@ function _loadPlatformConstraints(root) {
   } catch { return _DEFAULT_PLATFORM_CONSTRAINTS; }
 }
 function _writePlatformConstraints(root, catalog) {
+  _assertStoreParsable(_platformConstraintsPath(root), 'platform-constraints');   // 1.36.28 (#3): 손상 파일 덮어써 커스텀 제약 유실 방지 (try 밖 — 삼켜지지 않게)
   try {
     mkdirp(path.join(root, '.harness'));
     writeUtf8(_platformConstraintsPath(root), JSON.stringify({ ...catalog, updatedAt: new Date().toISOString() }, null, 2));
@@ -7790,6 +7863,7 @@ function _loadTeams(root) {
 }
 function _saveTeams(root, teams) {
   const arr = Array.isArray(teams) ? teams : [];
+  _assertStoreParsable(teamsJsonPath(root), 'team');   // 1.36.28 (#3): 손상 teams.json 을 덮어써 기존 팀 유실 방지
   mkdirp(path.dirname(teamsJsonPath(root)));
   writeUtf8(teamsJsonPath(root), JSON.stringify(arr, null, 2) + '\n');
   writeUtf8(teamsPath(root), _renderTeamsMd(arr));
@@ -18632,7 +18706,8 @@ function _leernessStateDir(root) { return path.join(absRoot(root), '.leerness');
 function _loadLeernessState(root) {
   const f = path.join(_leernessStateDir(root), 'state.json');
   if (!exists(f)) return { schemaVersion: 1, project: detectProjectName(root), currentRunId: null, runCounter: 0, updatedAt: null };
-  try { return JSON.parse(read(f)); } catch { return { schemaVersion: 1, project: detectProjectName(root), currentRunId: null, runCounter: 0, updatedAt: null }; }
+  // 1.36.28 (#3): 손상 파일을 빈 상태로 오인하면 카운터가 0으로 리셋돼 run-0001 을 덮어쓴다(데이터 유실). 파싱 실패는 던진다.
+  try { return JSON.parse(read(f)); } catch { throw Object.assign(new Error(`.leerness/state.json 손상 — 덮어쓰기 거부: ${f} (복구/삭제 후 재시도)`), { code: 'E_STORE_CORRUPT', file: f }); }
 }
 function _saveLeernessState(root, state) {
   const dir = _leernessStateDir(root); mkdirp(dir);
@@ -21504,9 +21579,9 @@ async function main() {
   // 1.9.272: leerness capabilities — 권한/보안 표면 공개 (GPT-5.5 외부 리뷰 반영)
   if (cmd === 'capabilities' || cmd === 'security-surface') return capabilitiesCmd(arg('--path', process.cwd()), { json: has('--json') });
   // 1.9.278 (UR-0032): leerness state <show|start|record|verify|handoff> — .leerness/ 구조화 상태 substrate
-  if (cmd === 'state')                              return stateCmd(arg('--path', process.cwd()), args[1], ...args.slice(2));
+  if (cmd === 'state')                              return _guardStore(has('--json'), () => stateCmd(arg('--path', process.cwd()), args[1], ...args.slice(2)));   // 1.36.28 (#3): 손상 스토어 클로버 차단
   if (cmd === 'context')                            return contextCmd(_resolveRoot(args[1]), { json: has('--json') });
-  if (cmd === 'team')                               return teamCmd(_resolveRoot(args[1] === 'list' ? args[2] : null), args[1], args[2], { json: has('--json') });  // 1.9.371 (UR-0073 Phase A): 팀 레지스트리. 1.9.412 (UR-0100): team list 만 positional path 지원(preview/deploy 의 args[2]=id 와 분리)
+  if (cmd === 'team')                               return _guardStore(has('--json'), () => teamCmd(_resolveRoot(args[1] === 'list' ? args[2] : null), args[1], args[2], { json: has('--json') }));  // 1.9.371 (UR-0073 Phase A): 팀 레지스트리. 1.9.412 (UR-0100): team list 만 positional path 지원. 1.36.28 (#3): 손상 스토어 클로버 차단
   if (cmd === 'brief')                              return briefCmd(arg('--path', process.cwd()), args[1]);
   if (cmd === 'about' || cmd === 'identity')        return aboutCmd({ json: has('--json') });
   // 1.9.281 (UR-0034): leerness policy <show|set|check> — 권한 등급 (opt-in enforced)
@@ -21535,7 +21610,7 @@ async function main() {
   // 1.9.245: API skill cache — 공식 문서·관련링크 자동 정리 (사용자 명시 UR-0015)
   if (cmd === 'api-skill')                           return apiSkillCmd(arg('--path', process.cwd()), args[1] || 'help');
   // 1.9.208: leerness constraints <list|check|add> — 플랫폼/API 제약 사전 체크 (사용자 명시)
-  if (cmd === 'constraints')                        return constraintsCmd(arg('--path', process.cwd()), args[1], ...args.slice(2));
+  if (cmd === 'constraints')                        return _guardStore(has('--json'), () => constraintsCmd(arg('--path', process.cwd()), args[1], ...args.slice(2)));   // 1.36.28 (#3): 손상 스토어 클로버 차단
   // 1.9.209: leerness pre-wake-audit — sleep 전 sub-agent audit (사용자 명시)
   if (cmd === 'pre-wake-audit')                     return preWakeAuditCmd(arg('--path', process.cwd()), args[1]);
   // 1.9.210: leerness wakeup-interval <get|set|auto|history|record> — adaptive interval (사용자 명시)

package/lib/pure-utils.js

@@ -518,13 +518,22 @@ function _matchConstraints(catalog, text, lang) {
   return { matched, suggestions, totalPlatforms: Object.keys(catalog.platforms).length };
 }
 
+// 1.36.28 (codex 미검토표면 헌트 #10): alias 매칭 — 순수 ASCII 단어 alias 는 단어경계를 요구해
+//   'rest'→'restore', 'cli'→'client' 같은 부분문자열 오탐을 막는다. 구두점/CJK alias 는 경계 개념이 없어 substring 유지.
+function _aliasHit(lowerText, alias) {
+  const a = String(alias || '').toLowerCase();
+  if (!a) return false;
+  if (/^[a-z0-9]+$/.test(a)) return new RegExp('(?:^|[^a-z0-9])' + a + '(?![a-z0-9])').test(lowerText);
+  return lowerText.includes(a);
+}
+
 // 1.9.333 패턴 적용: 순수 도메인 매칭 — catalog + 텍스트 → 첫 매칭 domain/alias/components (fs 의존 0, catalog 주입).
 function _matchDomain(catalog, text) {
   if (!text || typeof text !== 'string' || !catalog || !catalog.domains) return { domain: null, alias: null };
   const lower = text.toLowerCase();
   for (const [domain, info] of Object.entries(catalog.domains)) {
     for (const a of info.aliases || []) {
-      if (lower.includes(a.toLowerCase())) {
+      if (_aliasHit(lower, a)) {
         return { domain, alias: a, components: info.components };
       }
     }
@@ -746,10 +755,29 @@ function _mergeReadmeSection(existing, block, START, END) {
 function _managedMerge(file, next, previous, archiveRel, overwriteSet) {
   if (!previous || previous.trim() === next.trim()) return next;
   const tag = '<!-- leerness:migration-preserved -->';
-  if (previous.includes(tag)) return next;
   if (overwriteSet && overwriteSet.has(String(file).replace(/\\/g, '/'))) return next;
+  // 1.36.28 (사용자 보고 — 반복 마이그레이션 데이터 유실): 종전 <details> 중첩 설계는 previous 에 preserved 태그가
+  //   있으면 통째로 next 만 반환 → 2번째 마이그레이션부터 사용자가 CLAUDE/AGENTS 에 직접 쓴 커스텀 지시가 조용히
+  //   사라졌다(매 버전 AI 마이그레이션 흐름에서 상시 발화). 재설계: 라인-집합 diff 로 "새 템플릿에 없는 라인"만
+  //   Preserved 섹션에 평문으로 이월 — 멱등(재실행해도 동일), 중첩 없음, 크기는 커스텀 라인 수에 비례.
+  //   편향은 false-PRESERVE(과보존은 무해) 쪽 — false-DROP(유실)이 버그다.
+  const nextLines = new Set(next.split('\n').map(l => l.trim()).filter(Boolean));
+  const seen = new Set();
+  const custom = [];
+  for (const raw of previous.split('\n')) {
+    const l = raw.trim();
+    if (!l || nextLines.has(l)) continue;
+    // preserved 래퍼 자체의 보일러플레이트는 이월 대상 아님 (구 <details> 형식 + 신 평문 형식 모두)
+    if (l === tag || l === '---' || l === '<details>' || l === '</details>') continue;
+    if (/^```/.test(l) || /^<summary>/.test(l)) continue;
+    if (/^## Preserved previous content|^Previous content was backed up|^`[^`]*archive[^`]*`$|^> 이전 버전에서 이어진/.test(l)) continue;
+    if (seen.has(l)) continue;
+    seen.add(l);
+    custom.push(raw.replace(/\\`\\`\\`/g, '```'));   // 구 형식에서 이스케이프된 펜스 복원
+  }
+  if (!custom.length) return next;
   const ar = archiveRel || '.harness/archive';
-  return next.trimEnd() + `\n\n---\n${tag}\n## Preserved previous content\n\nPrevious content was backed up before migration. Archive reference:\n\n\`${ar}\`\n\n<details>\n<summary>Previous ${file}</summary>\n\n\`\`\`md\n${previous.replace(/```/g, '\\`\\`\\`')}\n\`\`\`\n\n</details>\n`;
+  return next.trimEnd() + `\n\n---\n${tag}\n## Preserved previous content\n\n> 이전 버전에서 이어진 사용자/프로젝트 커스텀 내용 — 마이그레이션마다 자동 이월됩니다. 전체 원본 백업: \`${ar}\`\n\n` + custom.join('\n') + '\n';
 }
 
 // 1.9.369 (UR-0025): --skills 값 파싱 순수 코어 — catalog 주입(harness skillCatalog 비결합). all/recommended/csv 처리 + catalog 필터.
@@ -1145,7 +1173,7 @@ module.exports = {
   // 1.9.333 (UR-0025 심층): 순수 플랫폼 제약 매칭
   _matchConstraints,
   // 1.9.333 패턴 적용: 순수 도메인 매칭
-  _matchDomain,
+  _matchDomain, _aliasHit,
   // 1.9.335 (UR-0025 심층): LSP 서브시스템 — 순수 언어감지 + 정규식 심볼 매처
   _detectLspLang, _matchLspSymbols,
   // anti-laziness optimism-check 순수 로직
@@ -1370,6 +1398,12 @@ function _featureBlock(node) {
 // 1.9.391 (UR-0025): feature 영향 BFS — affects + co-changes-with transitive + depends-on 역방향. 순수(nodes,startId→result). harness(handoff/audit)+lib/feature 공유.
 function _featureImpactBfs(nodes, startId) {
   const byId = new Map(nodes.map(n => [n.id, n]));
+  // 역방향 인접: X 에 depends-on 하는 노드들 (BFS 안에서 전이 확장하려고 사전 구축)
+  const dependents = new Map();
+  for (const n of nodes) for (const dep of n.dependsOn || []) {
+    if (!dependents.has(dep)) dependents.set(dep, []);
+    dependents.get(dep).push(n.id);
+  }
   const visited = new Set();
   const queue = [{ id: startId, depth: 0, via: 'self' }];
   const result = [];
@@ -1382,14 +1416,9 @@ function _featureImpactBfs(nodes, startId) {
     if (cur.depth > 0) result.push({ id: cur.id, title: node.title, depth: cur.depth, via: cur.via, files: node.files, errorModes: node.errorModes });
     for (const next of node.affects || []) queue.push({ id: next, depth: cur.depth + 1, via: 'affects' });
     for (const next of node.coChangesWith || []) queue.push({ id: next, depth: cur.depth + 1, via: 'co-changes-with' });
-  }
-  // 역방향: 이 feature에 depends-on 하는 노드도 영향받음
-  for (const n of nodes) {
-    if (visited.has(n.id)) continue;
-    if ((n.dependsOn || []).includes(startId)) {
-      result.push({ id: n.id, title: n.title, depth: 1, via: 'depends-on(reverse)', files: n.files, errorModes: n.errorModes });
-      visited.add(n.id);
-    }
+    // 1.36.28 (codex 미검토표면 헌트 #8): 역방향 depends-on 도 BFS 안에서 확장 — 전이 영향(A←B←C 에서 A 변경이 C 까지)을
+    //   잡는다. 종전엔 BFS 종료 후 1-홉만 추가해 간접 의존이 누락됐다. visited 로 사이클 안전.
+    for (const next of dependents.get(cur.id) || []) queue.push({ id: next, depth: cur.depth + 1, via: 'depends-on(reverse)' });
   }
   return result;
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "leerness",
-  "version": "1.36.27",
+  "version": "1.36.28",
   "description": "The AI-coding operations layer that makes \"done\" require evidence — persistent memory, evidence-gated completion checks, and clean handoffs for any AI agent (Claude Code, Codex, Cursor). State lives as plain files in your repo. CLI + MCP, 0 runtime dependencies.",
   "keywords": [
     "leerness",