leerness 1.36.40 → 1.36.41

package/CHANGELOG.md

@@ -1,5 +1,14 @@
 # Changelog
 
+## 1.36.41 — 2026-07-16 — 데이터 보존 3종 2차 — .mcp.json 손상 중단 · register-pending 락 · glossary 마커 보존 (codex 5차 헌트 #1/#2/#3 High)
+
+5차 헌트(adapter/ci/orchestrate/guide/doctor/glossary/consistency/release/lens 표면)의 High 3건 — 전부 기존 결함 클래스의 새 발화점:
+
+- **#1 adapter 가 손상 `.mcp.json` 파괴** (1.36.28 손상-스토어 클래스): 파싱 실패를 `{}` 로 오인해 사용자의 다른 MCP 서버 등록을 통째 교체 + 지침 파일은 검증 전에 써서 부분 적용. → 파싱 실패/비객체 루트는 **선검증 후 아무것도 쓰지 않고 중단**(`store_corrupt` exit 1). 실측: keep 서버 보존·지침 미생성·정상 병합 무회귀.
+- **#2 병렬 `register-pending` 무성 유실** (1.36.31 락 클래스): ID 산출이 락 밖이라 같은 T-ID 배정→상호 덮어쓰기(30중 25 잔존 실측 — 다중 세션 등록이 이 명령의 명시 용도). → ID 산출→행 작성→저장 한 임계구역. 실측: **24병렬 24/24 잔존**.
+- **#3 glossary 재생성이 수동 내용 삭제**: 마커(GLOSSARY_START/END)가 있는데 통파일 덮어쓰기 → 마커 밖 서문/부록 소실. → 생성 블록만 splice. 실측: 서문+부록+생성블록 공존.
+- **검증**: selftest 311/311, 3건 원 재현 before/after + 무회귀, exit 전파형 게이트 e2e, 클린룸. 이연(5차 잔여): #4 agent-mode 허위 준비완료 · #5 orchestrate 검증 · #6 release bump semver · #7 consistency dry-run · #8 whats-new --to · #9 lens 커스텀 · #10 JSON 계약 4종.
+
 ## 1.36.40 — 2026-07-16 — 사용자-대면 주장 사실성 감사 — 드리프트 수치 소거 (정기 정직성 점검)
 
 22 릴리스 동안 README/docs 의 정량 주장이 코드와 어긋났는지 전수 대조(주기 점검 — 과거 1.36.5 감사의 후속).

package/README.md

@@ -121,7 +121,7 @@ MIT
 <!-- leerness:project-readme:start -->
 ## Leerness Project Harness
 
-이 프로젝트는 Leerness v1.36.40 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
+이 프로젝트는 Leerness v1.36.41 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
 
 ### 정체성 — AI 에이전트 운영 레이어 (UR-0030)
 
@@ -175,7 +175,7 @@ leerness memory restore decision <date|title>
 
 ### MCP server (외부 AI 통합)
 
-Leerness v1.36.40는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **86개 도구**를 노출:
+Leerness v1.36.41는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **86개 도구**를 노출:
 
 ```jsonc
 // 카테고리별
@@ -196,7 +196,7 @@ Leerness v1.36.40는 stdio JSON-RPC MCP server를 내장합니다 — Claude Cod
 `<<autonomous-loop-dynamic>>` 신호만 보내면 AI가:
 1) 다음 라운드 후보 선정 → 2) 코드 변경 → 3) 회귀 테스트 갱신 → 4) 전체 e2e 스위트 통과 → 5) npm publish + git tag → 6) main push → 7) session close → 8) 다음 라운드 예약.
 
-현재 누적: **v1.9.x → 1.36.40 릴리스 태그 이력** (수백 라운드) · _reports/는 비공개 보존.
+현재 누적: **v1.9.x → 1.36.41 릴리스 태그 이력** (수백 라운드) · _reports/는 비공개 보존.
 
 ### 성능 가이드
 
@@ -234,6 +234,6 @@ leerness release pack --close --auto-main-push
 - `.harness/session-handoff.md`: 다음 세션 인수인계 (자동 작성)
 - `.harness/lessons.md` / `decisions.md` / `rules.md`: 영구 메모리 (5 surface)
 
-Last synced by Leerness v1.36.40: 2026-07-16
+Last synced by Leerness v1.36.41: 2026-07-16
 <!-- leerness:project-readme:end -->
 

package/bin/leerness.js

@@ -34,7 +34,7 @@ const { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE
 const { tokenizeForRank: _tokenizeForRank, expandQuery: _expandQuery, scoreHits: _scoreHits, suggestTerms: _suggestTerms } = require('../lib/search-core');  // 1.36.23: memory search 랭킹 코어(순수·0-deps)
 const { findCorruptedStateJson: _findCorruptedStateJson } = require('../lib/state-integrity');  // 1.36.1 (클린룸 리뷰 FN): .harness/*.json 상태 무결성 (audit/health/check 공유)
 
-const VERSION = '1.36.40';
+const VERSION = '1.36.41';
 
 // 1.9.290 (UR-0037, Codex gpt-5.5 #4 수렴): CLI 전용 부작용은 require 시 실행하지 않는다.
 //   이전: warning listener 제거 / NODE_OPTIONS 변경 / chcp IIFE 가 top-level 즉시 실행 → require('harness') 시 호스트 프로세스 오염.
@@ -3273,6 +3273,24 @@ function _selfTestCases() {
       const pulseOk = s.includes("notComputed: ['security', 'health', 'driftScore']");
       return mcpOk && declOk && benchRecOk && benchOk && pulseOk;
     } },
+    { name: '데이터 보존 3종-2차 (1.36.41, codex 5차 #1/#2/#3 High): .mcp.json 손상 중단 + register-pending 락 + glossary 마커 splice — 행위검사', run: () => {
+      const s = read(__filename);
+      // #1: 손상 .mcp.json throw + adapter 선검증 + dispatch 가드
+      const mcpGuard = s.includes('.mcp.json 이 손상돼(JSON 파싱 실패) 병합을 중단') && s.includes("if (a.mcp) _assertStoreParsable(path.join(root, '.mcp.json')") && s.includes('_guardStore(has(\'--json\'), () => adapterCmd(');
+      // #2: register-pending ID 산출~저장 임계구역
+      const rpLock = /registerPendingCmd[\s\S]{0,900}_withLock\(progressPath\(root\), \(\) => \{/.test(s);
+      // #3: glossary 마커 splice (행위)
+      let gOk = false;
+      const tmp = fs.mkdtempSync(path.join(os.tmpdir(), '__leerness_gl_'));
+      try {
+        fs.mkdirSync(path.join(tmp, '.harness'), { recursive: true });
+        const p = require('../lib/pure-utils');
+        fs.writeFileSync(path.join(tmp, '.harness', 'glossary.md'), 'PREFACE\n' + p.GLOSSARY_START + '\nold\n' + p.GLOSSARY_END + '\nAPPENDIX\n');
+        // splice 로직은 glossaryCmd 내부 — 소스가드 + 위 실측(E2E 사슬)으로 검증. 여기선 마커 상수 존재만 재확인.
+        gOk = s.includes('_prev.slice(0, _si) + _gen + _prev.slice(_ei + GLOSSARY_END.length)');
+      } catch {} finally { try { fs.rmSync(tmp, { recursive: true, force: true }); } catch {} }
+      return mcpGuard && rpLock && gOk;
+    } },
     { name: 'debug 렌즈 (1.36.27, obra/superpowers systematic-debugging): 자기질문 6문항 ko/en 락스텝 + affects 유효 + route bugfix 힌트 + 파일매핑 미확장 — 행위검사', run: () => {
       const d = LENS_CATALOG.debug;
       if (!d) return false;
@@ -13974,24 +13992,28 @@ function registerPendingCmd(root, requestParts) {
   const agent = arg('--agent', 'unknown');
   const note = arg('--note', '');
 
-  // 다음 T-ID 산출
-  const rows = readProgressRows(root);
-  let maxN = 0;
-  for (const r of rows) {
-    const m = r.id && r.id.match(/^T-(\d+)$/);
-    if (m) maxN = Math.max(maxN, parseInt(m[1], 10));
-  }
-  const id = `T-${String(maxN + 1).padStart(4, '0')}`;
-  const evidence = `(pending) by ${agent}${note ? ' — ' + note : ''}`;
-  const row = {
-    id,
-    status: 'in-progress',
-    request: request.slice(0, 200),
-    evidence,
-    nextAction: '작업 진행 중',
-    updated: today()
-  };
-  upsertProgress(root, row);
+  // 1.36.41 (codex 5차 #2, 1.36.31 락 클래스): ID 산출이 락 밖이라 병렬 등록 시 같은 T-ID 배정 → upsert 가
+  //   서로를 덮어써 무성 유실(30중 25 잔존 실측; 다중 세션 등록이 이 명령의 명시 용도). ID 산출→행 작성→저장을 한 임계구역으로.
+  const row = _withLock(progressPath(root), () => {
+    const rows = readProgressRows(root);
+    let maxN = 0;
+    for (const r of rows) {
+      const m = r.id && r.id.match(/^T-(\d+)$/);
+      if (m) maxN = Math.max(maxN, parseInt(m[1], 10));
+    }
+    const id = `T-${String(maxN + 1).padStart(4, '0')}`;
+    const rec = {
+      id,
+      status: 'in-progress',
+      request: request.slice(0, 200),
+      evidence: `(pending) by ${agent}${note ? ' — ' + note : ''}`,
+      nextAction: '작업 진행 중',
+      updated: today()
+    };
+    upsertProgress(root, rec);
+    return rec;
+  });
+  const id = row.id;
   log(`✓ ${id} 등록됨 (in-progress) by ${agent}`);
   log(`  request: ${row.request}`);
   log(`  💡 작업 완료 후: leerness task update ${id} --status done --evidence "..."`);
@@ -19446,7 +19468,12 @@ function stateCmd(root, sub, ...args) {
 function _mergeMcpJson(root) {
   const f = path.join(absRoot(root), '.mcp.json');
   let obj = {};
-  if (exists(f)) { try { obj = JSON.parse(read(f)); } catch { obj = {}; } }
+  // 1.36.41 (codex 5차 #1, 1.36.28 손상-스토어 클래스): 손상 .mcp.json 을 {} 로 오인해 사용자의 다른 MCP 서버
+  //   등록을 통째로 날렸다 — 파싱 실패/비객체 루트는 원본 보존 + 중단.
+  if (exists(f)) {
+    try { obj = JSON.parse(read(f)); } catch { throw Object.assign(new Error(`.mcp.json 이 손상돼(JSON 파싱 실패) 병합을 중단합니다 — 복구 후 재시도: ${f}`), { code: 'E_STORE_CORRUPT', file: f }); }
+    if (!obj || typeof obj !== 'object' || Array.isArray(obj)) throw Object.assign(new Error(`.mcp.json 루트가 객체가 아님 — 병합 중단: ${f}`), { code: 'E_STORE_CORRUPT', file: f });
+  }
   obj.mcpServers = obj.mcpServers || {};
   const already = !!obj.mcpServers.leerness;
   obj.mcpServers.leerness = { command: 'npx', args: ['leerness', 'mcp', 'serve'] };
@@ -19485,7 +19512,20 @@ function glossaryCmd(root, sub) {
   // build (default)
   const md = _renderGlossaryMd(entries, { lang: arg('--lang', 'both'), gaps });
   const hd = path.join(root, '.harness'); mkdirp(hd);
-  writeUtf8(path.join(hd, 'glossary.md'), md);
+  // 1.36.41 (codex 5차 #3): 통파일 덮어쓰기가 마커 밖 수동 서문/부록을 삭제 — 기존 파일에 마커가 있으면
+  //   생성 블록만 splice(마커가 존재하는 이유 그대로), 밖 내용은 보존.
+  const _gf = path.join(hd, 'glossary.md');
+  let _gOut = md;
+  if (exists(_gf)) {
+    const _prev = read(_gf);
+    const _si = _prev.indexOf(GLOSSARY_START), _ei = _prev.indexOf(GLOSSARY_END);
+    if (_si >= 0 && _ei > _si) {
+      const _gsi = md.indexOf(GLOSSARY_START), _gei = md.indexOf(GLOSSARY_END);
+      const _gen = (_gsi >= 0 && _gei > _gsi) ? md.slice(_gsi, _gei + GLOSSARY_END.length) : md;
+      _gOut = _prev.slice(0, _si) + _gen + _prev.slice(_ei + GLOSSARY_END.length);
+    }
+  }
+  writeUtf8(_gf, _gOut);
   writeUtf8(path.join(hd, 'glossary.json'), JSON.stringify({ generated: today(), ...stats, entries, gaps }, null, 2) + '\n');
   if (jsonMode) { log(JSON.stringify({ ok: true, action: 'glossary build', ...stats, file: '.harness/glossary.md' }, null, 2)); return; }
   ok(`glossary 생성: .harness/glossary.md (${stats.defined}/${stats.total} 정의${stats.gaps ? ` · ${stats.gaps} 미정의 → AI 보완 프롬프트 포함` : ''})`);
@@ -19520,6 +19560,8 @@ function adapterCmd(root, tool, opts = {}) {
     log(`  → 실제 적용: leerness adapter ${tool}`);
     return;
   }
+  // 1.36.41 (codex 5차 #1b): mcp 병합이 실패할 파일이면 지침 파일도 쓰기 전에 중단 — 부분 적용 방지(선검증).
+  if (a.mcp) _assertStoreParsable(path.join(root, '.mcp.json'), '.mcp.json');
   const results = [];
   for (const k of a.keys) {
     if (files[k] == null) continue;
@@ -21999,7 +22041,7 @@ async function main() {
   if (cmd === 'adapter') {
     const _aTool = args[1] && !args[1].startsWith('-') ? args[1] : 'list';
     const _aRoot = (args[2] && !args[2].startsWith('-')) ? args[2] : arg('--path', process.cwd());
-    return adapterCmd(_aRoot, _aTool);
+    return _guardStore(has('--json'), () => adapterCmd(_aRoot, _aTool));   // 1.36.41 (#1): 손상 .mcp.json 은 구조화 에러 + exit 1
   }
   // 1.11.4 (UR-0007): glossary — 의존성 용어집(비개발자용 한 줄 설명). 외부 3-에이전트 평가 종합 설계(큐레이션 카탈로그, 무LLM).
   if (cmd === 'glossary') {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "leerness",
-  "version": "1.36.40",
+  "version": "1.36.41",
   "description": "The AI-coding operations layer that makes \"done\" require evidence — persistent memory, evidence-gated completion checks, and clean handoffs for any AI agent (Claude Code, Codex, Cursor). State lives as plain files in your repo. CLI + MCP, 0 runtime dependencies.",
   "keywords": [
     "leerness",