leerness 1.36.64 → 1.36.66

package/CHANGELOG.md

@@ -1,5 +1,28 @@
 # Changelog
 
+## 1.36.66 — 2026-07-22 — codex 8차 홀리스틱 헌트: 기능 간 상호작용 11건 수정 (High 1·Med 8·Low 2)
+
+라운드별 diff 검수가 못 본 "기능 조합" 결함을 교차 헌트(16 발견) — High/데이터손실/거짓판정 우선 11건 수정, 정보노출성 2건(F14/F15) 정직 이연.
+
+- **F13 (write-skip × 손상바이트)**: writeUtf8 동일-내용 비교를 디코딩 텍스트→**바이트 동일**로 — 손상 바이트(FF)/BOM 파일에 유효 UTF-8 정화 write 가 억제되던 것.
+- **F5 High (auto-update install × managed)**: /update.md 를 raw writeUtf8 로 덮어써 커스텀 파괴 → writeIfSafe mergeManaged 경로로.
+- **F6 (update --force 미전달)** → install 에 force 전달. **F4 (drift --json critical exit 0)** → exit 1 동치.
+- **F2/F3 거짓판정 룰**: "version and changelog" 복합 룰이 version 절만 보고 pass(F2), "tests must **pass**" 가 실패 증거도 흔적만 있으면 pass(F3) → 절별 독립 평가 후 AND 집계 + 오늘자 증거 exit0 파싱.
+- **F7/F8 (손상 manifest × 언어)**: manifest parse throw 가 유효 LANGUAGE 폴백까지 건너뛰어 en→ko 회귀 → 소스별 개별 try. integrity 도 detectLanguageValue 공용.
+- **F10 (integrity repair × 커스텀)**: h1_lost/truncated 는 managed 병합 복구(커스텀 안전규칙 보존), 부재/판독불가만 raw. **F11**: en 프로젝트 anchors 초안 영어.
+- 이연(정직): F14(session close 에 pending preview 노출)·F15(tech --json 후 graph 재생성) — 정보 노출성, 데이터 보존됨. F9(초고령 KO 템플릿 provenance)·F12(skills-lock 명명)은 설계 판단 필요.
+- 검증: F13/F7/F11 행위 + F4/F5/F6/F8/F10 소스가드 selftest 334, 개별 실측(F2 version-only→pending 등), e2e.
+
+## 1.36.65 — 2026-07-22 — no-op 재설치 + 동일-내용 쓰기 스킵 (외부감사 F-08) — R-0001 검수 10회전
+
+무변경 재init 의 백업/아카이브/타임스탬프 증식(감사 지적) 해소 — 거짓 no-op 은 검수가 차단.
+
+- **no-op 재설치**: coreFiles 계산 결과가 현재와 전부 동일하면(휘발 시각키·아카이브 경로 정규화 비교) 백업 생성·파일쓰기·마이그레이션 리포트 생략. force/dry/언어 전환/버전 차이/커스텀 변경은 정상 설치. `LEERNESS_DEBUG_NOOP=1` 진단.
+- **(검수 HIGH) no-op ≠ 조기 종료**: 하위 조정기(.env/.gitignore/훅/스킬 payload/roadmap)는 항상 계속 — 조기 return 은 `--no-env→기본 재init` 등 6케이스에서 요청된 복구를 건너뛰었다(검수 실측). 무변경 churn 은 **writeUtf8 동일-내용 스킵**이 전역 해소.
+- **(파생 선재버그) _mergeLines substring 흡수**: '.env' 가 '.env.local' 에 포함돼 gitignore 복구가 영영 안 되던 것 — 라인 단위 정확 매칭으로 수정.
+- (검수 Low) 래퍼 정규화는 백틱 경로만(문구 변경은 실변경 감지). update.md 이중 출처 단일화(coreFiles↔훅 설치기).
+- 실측: 기본/minimal/en/skills 재init no-op·archive/manifest 불변·.env/gitignore 복구 계속·커스텀 1회 유지·구버전/전환 정상 설치. e2e +1, selftest 333.
+
 ## 1.36.64 — 2026-07-22 — lint 게이트 (외부감사 F-10) — R-0001 검수 9회전
 
 과거 실사고(raw U+2028 정규식 리터럴 → 전 명령 SyntaxError 출하) 재발을 구조적으로 차단하는 0-deps lint.

package/README.md

@@ -122,7 +122,7 @@ MIT
 <!-- leerness:project-readme:start -->
 ## Leerness Project Harness
 
-이 프로젝트는 Leerness v1.36.64 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
+이 프로젝트는 Leerness v1.36.66 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
 
 ### 정체성 — AI 에이전트 운영 레이어 (UR-0030)
 
@@ -176,7 +176,7 @@ leerness memory restore decision <date|title>
 
 ### MCP server (외부 AI 통합)
 
-Leerness v1.36.64는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **86개 도구**를 노출:
+Leerness v1.36.66는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **86개 도구**를 노출:
 
 ```jsonc
 // 카테고리별
@@ -197,7 +197,7 @@ Leerness v1.36.64는 stdio JSON-RPC MCP server를 내장합니다 — Claude Cod
 `<<autonomous-loop-dynamic>>` 신호만 보내면 AI가:
 1) 다음 라운드 후보 선정 → 2) 코드 변경 → 3) 회귀 테스트 갱신 → 4) 전체 e2e 스위트 통과 → 5) npm publish + git tag → 6) main push → 7) session close → 8) 다음 라운드 예약.
 
-현재 누적: **v1.9.x → 1.36.64 릴리스 태그 이력** (수백 라운드) · _reports/는 비공개 보존.
+현재 누적: **v1.9.x → 1.36.66 릴리스 태그 이력** (수백 라운드) · _reports/는 비공개 보존.
 
 ### 성능 가이드
 
@@ -235,5 +235,5 @@ leerness release pack --close --auto-main-push
 - `.harness/session-handoff.md`: 다음 세션 인수인계 (자동 작성)
 - `.harness/lessons.md` / `decisions.md` / `rules.md`: 영구 메모리 (5 surface)
 
-Last synced by Leerness v1.36.64: 2026-07-22
+Last synced by Leerness v1.36.66: 2026-07-22
 <!-- leerness:project-readme:end -->

package/bin/leerness.js

@@ -34,7 +34,7 @@ const { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE
 const { tokenizeForRank: _tokenizeForRank, expandQuery: _expandQuery, scoreHits: _scoreHits, suggestTerms: _suggestTerms } = require('../lib/search-core');  // 1.36.23: memory search 랭킹 코어(순수·0-deps)
 const { findCorruptedStateJson: _findCorruptedStateJson } = require('../lib/state-integrity');  // 1.36.1 (클린룸 리뷰 FN): .harness/*.json 상태 무결성 (audit/health/check 공유)
 
-const VERSION = '1.36.64';
+const VERSION = '1.36.66';
 
 // 1.9.290 (UR-0037, Codex gpt-5.5 #4 수렴): CLI 전용 부작용은 require 시 실행하지 않는다.
 //   이전: warning listener 제거 / NODE_OPTIONS 변경 / chcp IIFE 가 top-level 즉시 실행 → require('harness') 시 호스트 프로세스 오염.
@@ -243,12 +243,16 @@ function detectLanguageValue(root, value = 'auto') {
   // 1.36.52 (외부 GPT 감사 F-01, 재현확정): 이미 초기화된 프로젝트는 저장된 명시 언어를 최우선 —
   //   1회차 init 이 생성한 한국어 관리 블록을 2회차 콘텐츠 감지가 오인해 en→ko 로 뒤집던 멱등성 버그.
   //   콘텐츠 자동 감지는 신규 프로젝트에만. (감사 첨부 패치 검증 후 채택)
+  // 1.36.66 (8차 헌트 F7): 소스별 개별 try — 손상 manifest 의 parse throw 가 유효한 LANGUAGE 폴백까지 건너뛰게 하던
+  //   것 차단(en 프로젝트가 manifest 손상 시 콘텐츠 휴리스틱으로 ko 회귀). manifest → LANGUAGE → 콘텐츠 순.
   try {
     const mf = path.join(root, '.harness', 'manifest.json');
     if (exists(mf)) {
       const saved = String((JSON.parse(read(mf)) || {}).language || '').toLowerCase();
       if (saved === 'ko' || saved === 'en') return saved;
     }
+  } catch {}
+  try {
     const lf = path.join(root, '.harness', 'LANGUAGE');
     if (exists(lf)) {
       const saved = String(read(lf) || '').trim().toLowerCase();
@@ -745,7 +749,8 @@ leerness memory restore <surface> <target>   # archive → active 복귀 (DELETE
     '.claude/commands/session-close.md': `# /session-close\n\n세션 종료 보고를 자동 생성하고 session-handoff.md를 갱신합니다.\n\n\`\`\`\n!leerness session close .\n\`\`\`\n`,
     '.claude/commands/audit.md': `# /audit\n\n계획-진행 정렬, 디자인/재사용 일관성, 시크릿/인코딩을 일괄 점검합니다.\n\n\`\`\`\n!leerness audit .\n!leerness scan secrets .\n!leerness encoding check .\n\`\`\`\n`,
     '.claude/commands/lazy-detect.md': `# /lazy-detect\n\n게으름 방지 자동 평가를 실행합니다.\n\n\`\`\`\n!leerness lazy detect .\n\`\`\`\n`,
-    '.claude/commands/update.md': `# /update\n\nleerness 자동 업데이트를 실행합니다 (감지 → 마이그레이션 → 검증).\n\n\`\`\`\n!leerness update --yes\n\`\`\`\n`,
+    // 1.36.65: auto-update 훅 설치기와 동일 내용(단일화) — 재init no-op 판정이 어긋나지 않게
+    '.claude/commands/update.md': `# /update\n\nleerness 자동 업데이트 (감지 → 마이그레이션 → 검증).\n\n\`\`\`\n!leerness update --yes\n\`\`\`\n\n체크만:\n\n\`\`\`\n!leerness update --check\n\`\`\`\n`,
     '.claude/skills/leerness.md': `---\nname: leerness\ndescription: Leerness harness commands - handoff, audit, scan secrets, encoding check, lazy detect, session close, update. Use when the user asks to load project context, verify work quality, scan secrets, check encoding, or end a session.\n---\n\n# leerness skill\n\n## When to use\n- 사용자가 프로젝트 컨텍스트를 로드해달라고 할 때\n- 완료 선언 전 자기 검증을 요청할 때\n- 세션을 종료하거나 인수인계를 요청할 때\n- 시크릿/한글 인코딩 점검을 요청할 때\n- 새 leerness 버전 적용을 요청할 때\n\n## Commands\n\n\`\`\`bash\nleerness handoff .             # 컨텍스트 로드\nleerness check .               # pre-action 체크\nleerness audit .               # 일관성/계획 정렬 감사\nleerness scan secrets .        # 시크릿 패턴 스캔\nleerness encoding check .      # UTF-8/BOM/NUL\nleerness lazy detect .         # 게으름 평가\nleerness memory search "key"   # 결정/이력 검색\nleerness session close .       # 종료 보고 + handoff 자동 생성\nleerness update --yes          # 자동 업데이트\n\`\`\`\n`,
   };
   // 1.36.59 (외부감사 F-05 시리즈 1회차): en 프로젝트에서 에이전트가 "지시"로 읽는 최상위 5종은 완전 영어 —
@@ -767,7 +772,7 @@ leerness memory restore <surface> <target>   # archive → active 복귀 (DELETE
     _files['.claude/commands/session-close.md'] = `# /session-close\n\nGenerate the end-of-session report and update session-handoff.md.\n\n\`\`\`\n!leerness session close .\n\`\`\`\n`;
     _files['.claude/commands/audit.md'] = `# /audit\n\nCheck plan-progress alignment, design/reuse consistency, secrets, and encoding in one pass.\n\n\`\`\`\n!leerness audit .\n!leerness scan secrets .\n!leerness encoding check .\n\`\`\`\n`;
     _files['.claude/commands/lazy-detect.md'] = `# /lazy-detect\n\nRun the lazy-work (false-done) automatic evaluation.\n\n\`\`\`\n!leerness lazy detect .\n\`\`\`\n`;
-    _files['.claude/commands/update.md'] = `# /update\n\nRun the leerness auto-update (detect → migrate → verify).\n\n\`\`\`\n!leerness update --yes\n\`\`\`\n`;
+    _files['.claude/commands/update.md'] = `# /update\n\nRun the leerness auto-update (detect → migrate → verify).\n\n\`\`\`\n!leerness update --yes\n\`\`\`\n\nCheck only:\n\n\`\`\`\n!leerness update --check\n\`\`\`\n`;
     _files['.claude/skills/leerness.md'] = `---\nname: leerness\ndescription: Leerness harness commands - handoff, audit, scan secrets, encoding check, lazy detect, session close, update. Use when the user asks to load project context, verify work quality, scan secrets, check encoding, or end a session.\n---\n\n# leerness skill\n\n## When to use\n- When the user asks to load project context\n- When self-verification is requested before claiming completion\n- When ending a session or asked for a handoff\n- When secret/encoding checks are requested\n- When applying a new leerness version\n\n## Commands\n\n\`\`\`bash\nleerness handoff .             # load context\nleerness check .               # pre-action check\nleerness audit .               # consistency/plan-alignment audit\nleerness scan secrets .        # secret pattern scan\nleerness encoding check .      # UTF-8/BOM/NUL\nleerness lazy detect .         # lazy-work evaluation\nleerness memory search "key"   # search decisions/history\nleerness session close .       # close report + auto handoff\nleerness update --yes          # auto-update\n\`\`\`\n`;
     // 1.36.61 (F-05 3회차): .harness 정책·시드 문서군 en 완역 — 지시 5종(1.36.59)에 이어 read-order 가 가리키는 참조층.
     _files['.harness/project-brief.md'] = fm('project-brief', ['confirming project purpose', 'judging new features', 'planning'], ['project purpose changes', 'users/scope change'], `# Project Brief\n\n## Project\n${project}\n\n## Purpose\n- Update this with the real purpose of the project.\n\n## Users\n-\n\n## Success Criteria\n-\n`, 'en');
@@ -1130,14 +1135,6 @@ async function install(root, opts = {}) {
   const _altLang = lang === 'en' ? 'ko' : 'en';
   let _altFiles = {};
   if (_langSwitched) { try { _altFiles = coreFiles(root, _altLang, skills, { minimal: !!opts.minimal }); } catch {} }
-  const backup = createBackup(root, opts.force ? 'force' : (opts.migration ? 'migration' : 'init'), files, opts.dry);
-  if (opts.dry) {
-    log(`Backup target: ${backup.archiveDir}`);
-    log('Files that would be backed up:');
-    backup.candidates.forEach(f => log('- ' + f));
-  } else {
-    ok(`backup created: ${rel(root, backup.archiveDir)}`);
-  }
   const managedOverwrite = new Set([
     'AGENTS.md','CLAUDE.md','.cursor/rules/leerness.mdc','.github/copilot-instructions.md',
     '.harness/session-workflow.md',   // 1.36.60 (검수 #1): managed 편입 — 종전엔 재init 시 구 언어/구 버전 그대로 방치
@@ -1155,6 +1152,45 @@ async function install(root, opts = {}) {
     '.claude/commands/handoff.md','.claude/commands/session-close.md','.claude/commands/audit.md','.claude/commands/lazy-detect.md','.claude/commands/update.md',
     '.claude/skills/leerness.md'
   ]);
+  // 1.36.65 (외부감사 F-08): no-op 재설치 감지 — 계산 결과가 현재와 전부 동일하면 백업/쓰기/타임스탬프를 만들지 않는다.
+  //   비교는 휘발 필드 정규화 후: manifest/lock 의 시각류 키, preserved 래퍼의 아카이브 경로 라인.
+  //   force/dry/마이그레이션(버전 변화)·언어 전환은 no-op 판정 대상 아님.
+  const _normVolatile = (f, s) => {
+    let t = String(s);
+    if (/\.json$/i.test(f)) t = t.replace(/"(installedAt|generatedAt|updatedAt|at)"\s*:\s*"[^"]*"/g, '"$1":"~"');
+    t = t.replace(/(backup|백업): ?`[^`]*`/gi, '$1: `~`');   // (검수 2차 Low) 경로만 정규화 — 래퍼 문구 변경은 실변경으로 감지
+    return t.replace(/\r\n/g, '\n').trim();
+  };
+  let _noop = !opts.force && !opts.dry && !_langSwitched && exists(path.join(root, '.harness'));
+  if (_noop) {
+    for (const [f, c] of Object.entries(files)) {
+      const p = path.join(root, f);
+      if (!exists(p)) { _noop = false; if (process.env.LEERNESS_DEBUG_NOOP) log(`[noop-debug] missing: ${f}`); break; }
+      if (managedOverwrite.has(f)) {
+        let cur = ''; try { cur = read(p); } catch { _noop = false; break; }
+        const wouldBe = managedMerge(f, c, cur, null, { altTemplate: _altFiles[f], lang });
+        if (_normVolatile(f, wouldBe) !== _normVolatile(f, cur)) { _noop = false; if (process.env.LEERNESS_DEBUG_NOOP) log(`[noop-debug] differs: ${f}`); break; }
+      }
+      // 비-managed 는 preserve(불변) 경로 — 존재하면 변경 없음
+    }
+  }
+  // (검수 2차 HIGH): no-op 이어도 하위 조정기(.env/.gitignore/훅/스킬 payload/roadmap)는 계속 실행 —
+  //   조기 return 은 "요청된 드리프트 복구"까지 건너뛰었다(--no-env→기본 재init 시 .env 미생성 등 6케이스 실측).
+  //   생략 대상은 백업 생성 + coreFiles 쓰기 루프 + 마이그레이션 리포트뿐. 조정기의 무변경 churn 은
+  //   writeUtf8 동일-내용 스킵(1.36.65)이 전역 해소.
+  let backup = { archiveDir: path.join(root, '.harness', 'archive'), candidates: [], skipped: true };
+  if (_noop) {
+    ok(`no-op: coreFiles 이미 v${VERSION} 최신 — 백업/파일쓰기 생략, 부속 구성(.env/훅/스킬)은 정합 확인 계속 (강제: --force)`);
+  } else {
+    backup = createBackup(root, opts.force ? 'force' : (opts.migration ? 'migration' : 'init'), files, opts.dry);
+    if (opts.dry) {
+      log(`Backup target: ${backup.archiveDir}`);
+      log('Files that would be backed up:');
+      backup.candidates.forEach(f => log('- ' + f));
+    } else {
+      ok(`backup created: ${rel(root, backup.archiveDir)}`);
+    }
+  }
   // 1.9.184 (사용자 명시): 파일 설치 — 생성 목록 나열 X, 로딩바 + 단일 완료 메시지.
   const actions = [];
   const totalFiles = Object.keys(files).length;
@@ -1173,6 +1209,7 @@ async function install(root, opts = {}) {
   //   덮어써 활성 기록이 archive 에만 남았다. force 는 가이드/템플릿 문서에만 적용 — 상태 파일은 force 여도 보존.
   const _USER_STATE = new Set(['.harness/progress-tracker.md', '.harness/plan.md', '.harness/task-log.md', '.harness/decisions.md', '.harness/current-state.md', '.harness/session-handoff.md', '.harness/rules.md', '.harness/feature-graph.md', '.harness/reuse-map.md', '.harness/feature-contracts.md', '.harness/project-brief.md', '.harness/architecture.md', '.harness/context-map.md', '.harness/design-system.md', '.harness/review-evidence.md']);   // 1.36.62 (검수 #3): 검증 이력도 사용자 데이터
   for (const [f, c] of Object.entries(files)) {
+    if (_noop) break;   // 1.36.65: coreFiles 무변경 — 쓰기 루프 생략 (하위 조정기는 아래에서 계속)
     const existsNow = exists(path.join(root, f));
     const mergeManaged = managedOverwrite.has(f);
     const effForce = opts.force && !_USER_STATE.has(f);
@@ -1289,7 +1326,7 @@ async function install(root, opts = {}) {
     syncReadme(root);
     installSkills(root, skills);
     // 1.9.41: migrate 시 이전 버전을 미리 캡처해 차분 안내에 사용
-    writeMigrationReport(root, backup, actions, { fromV: opts._previousVersion || null });
+    if (!_noop) writeMigrationReport(root, backup, actions, { fromV: opts._previousVersion || null });   // 1.36.65: no-op 시 리포트 무증식
     // 1.9.41: migrate 후 (= 점프인 경우) 차분 안내를 stdout에 즉시 출력 — AI 컨텍스트에 새 도구 주입
     if (opts.migration && opts._previousVersion && opts._previousVersion !== VERSION) {
       try {
@@ -5401,6 +5438,35 @@ function _selfTestCases() {
         const wired = pkg.scripts.lint === 'node ./scripts/lint.js' && ['test', 'test:fast', 'test:core'].every(k => pkg.scripts[k].startsWith('node ./scripts/lint.js &&'));   // (검수 #1) test:core 포함
         return cleanOk && caught && synCaught && bomCaught && jsonCaught && wired;
       } finally { try { fs.rmSync(tmp, { recursive: true, force: true }); } catch {} }
+    } },
+    { name: 'codex 8차 홀리스틱 헌트 (1.36.66): writeUtf8 바이트비교(F13)·detectLang 소스별 try(F7)·en anchors(F11)·drift --json exit(F4)·integrity managed복구(F10) — 행위+소스가드', run: () => {
+      const io = require('../lib/io'); const pu = require('../lib/pure-utils');
+      const tmp = fs.mkdtempSync(path.join(os.tmpdir(), '__leerness_h66_'));
+      try {
+        // F13: 손상 바이트(FF) 파일에 유효 UTF-8 쓰면 바이트 다르므로 정화 write 수행
+        const f13 = path.join(tmp, 'c.txt');
+        fs.writeFileSync(f13, Buffer.from([0x7b, 0xff, 0x7d]));
+        io.writeUtf8(f13, '{"ok":true}');
+        const f13ok = fs.readFileSync(f13, 'utf8') === '{"ok":true}' && !fs.readFileSync(f13).includes(0xff);
+        // 동일 바이트는 스킵(멱등) — mtime 안정
+        const before = fs.statSync(f13).mtimeMs; io.writeUtf8(f13, '{"ok":true}'); const skipOk = fs.statSync(f13).mtimeMs === before;
+        // F7: 손상 manifest + 유효 LANGUAGE → en 유지 (detectLanguageValue)
+        fs.mkdirSync(path.join(tmp, '.harness'), { recursive: true });
+        fs.writeFileSync(path.join(tmp, '.harness', 'manifest.json'), '{broken');
+        fs.writeFileSync(path.join(tmp, '.harness', 'LANGUAGE'), 'en\n');
+        const f7ok = detectLanguageValue(tmp, 'auto') === 'en';
+        // F11: en anchors 초안 영어
+        const d = pu._draftAnchors({ pkgDescription: 'payment service', lang: 'en' });
+        const f11ok = !/[가-힣]/.test([...d.purpose, ...d.goal].join('\n')) && d.goal.some(l => l.includes('Keep the product'));
+        // 소스가드: F4/F5/F6/F8/F10
+        const dr = read(path.join(__dirname, '..', 'lib', 'drift.js'));
+        const s = read(__filename);
+        const guards = /if \(level === '🔴 critical'\) process\.exitCode = 1;\s*\n\s*log\(JSON\.stringify/.test(dr)
+          && s.includes("writeIfSafe(root, '.claude/commands/update.md', _updContent")
+          && s.includes('force: !!opts.force, dry: false, migration: true')
+          && s.includes('const lang = detectLanguageValue(root, ') && s.includes("managedMerge(key, tmpl, cur, null, { lang })");
+        return f13ok && skipOk && f7ok && f11ok && guards;
+      } finally { try { fs.rmSync(tmp, { recursive: true, force: true }); } catch {} }
     } }
   ];
 }
@@ -5752,7 +5818,7 @@ function anchorsCmd(root, sub) {
     try { if (exists(path.join(root, 'README.md'))) readmeText = read(path.join(root, 'README.md')).slice(0, 4000); } catch {}
     let milestones = [], tasks = [];
     try { const rd = _roadmapData(root); milestones = rd.milestones || []; tasks = rd.tasks || []; } catch {}
-    const draft = _draftAnchors({ pkgDescription, readmeText, milestones, tasks });
+    const draft = _draftAnchors({ pkgDescription, readmeText, milestones, tasks, lang: _uiLang(root) });   // 1.36.66 (F11): 초안 언어
     if (!draft.hasSignal) { failJson(json, 'no_signal', '초안을 만들 실신호가 없음 (package.json description / README 산문 / milestone / 활성 task 모두 부재) — 직접 작성 필요'); return; }
     const apply = has('--apply');
     const applied = [];
@@ -5789,8 +5855,11 @@ function integrityCmd(root) {
   const json = has('--json');
   const repair = has('--repair');
   if (!exists(path.join(root, '.harness'))) { failJson(json, 'harness_missing', `leerness 미설치: ${root} — 먼저 leerness init`); return; }
-  let lang = 'ko', minimal = false;
-  try { const mf = JSON.parse(read(path.join(root, '.harness', 'manifest.json'))); lang = mf.language || 'ko'; minimal = !!mf.minimal; } catch {}
+  let minimal = false;
+  try { minimal = !!JSON.parse(read(path.join(root, '.harness', 'manifest.json'))).minimal; } catch {}
+  // 1.36.66 (8차 헌트 F8): 언어는 init/migrate 와 동일 해석기 사용 — 손상 manifest 여도 LANGUAGE 폴백으로 en 유지
+  //   (종전엔 manifest 만 봐서 손상 시 ko 로 복구 → en 프로젝트에 한국어 템플릿 재생성).
+  const lang = detectLanguageValue(root, 'auto');
   // (검수 #1) minimal 설치 존중 — minimal 이 의도적으로 뺀 문서를 '부재 손상'으로 오판/재생성하지 않는다
   const templates = coreFiles(root, lang, [], { minimal });
   const docs = _INTEGRITY_DOCS.filter(k => typeof templates[k] === 'string');
@@ -5822,6 +5891,7 @@ function integrityCmd(root) {
     const f = { file: key, kind, advisory, templateBytes: Buffer.byteLength(tmpl, 'utf8') };
     if (repair && !advisory) {
       try {
+        const _readable = kind === 'h1_lost' || kind === 'truncated';
         if (exists(fp)) {
           const bakDir = path.join(root, '.harness', 'archive');
           mkdirp(bakDir);
@@ -5829,7 +5899,14 @@ function integrityCmd(root) {
           fs.copyFileSync(fp, path.join(bakDir, `integrity-${path.basename(key)}-${Date.now()}-${process.pid}-${++_integSeq}.bak`));
           f.backedUp = true;
         }
-        writeUtf8(fp, tmpl);
+        // 1.36.66 (8차 헌트 F10): 읽을 수 있는 손상(h1_lost/truncated)은 managed 병합으로 복구 —
+        //   raw 교체는 사용자가 추가한 커스텀 안전 규칙까지 지웠다. 부재/판독불가만 raw 재생성.
+        if (_readable && exists(fp)) {
+          let cur = ''; try { cur = read(fp); } catch {}
+          writeUtf8(fp, managedMerge(key, tmpl, cur, null, { lang }));
+        } else {
+          writeUtf8(fp, tmpl);
+        }
         f.repaired = true; repaired.push(key);
       } catch (e) { f.repaired = false; f.error = String(e.message || e).slice(0, 120); repairFailed = true; }
     }
@@ -16420,36 +16497,51 @@ function verifyRules(root) {
   const ev = exists(evidencePath(root)) ? read(evidencePath(root)) : '';
   const todayStr = today();
   const results = [];
+  // 1.36.66 (8차 헌트 F2/F3): 절별 독립 평가 후 AND 집계 — 종전 if/else-if 는 "version and changelog" 규칙에서
+  //   version 절만 보고 pass 했고(F2), "tests must pass" 는 실패한 테스트 증거(exit≠0)도 흔적만 있으면 pass 했다(F3).
+  const _todayEvidenceExit0 = () => {
+    // 오늘자 최신 verify-code/test 증거 블록에서 실패 신호(exit=null/nonzero, FAIL)가 없는지
+    const blocks = ev.split(/\n(?=## \d{4}-\d{2}-\d{2})/).filter(b => new RegExp(`^## ${todayStr}`).test(b.trim()) && /verify-code|test/i.test(b));
+    if (!blocks.length) return null;   // 흔적 없음
+    const last = blocks[blocks.length - 1];
+    if (/exit\s*=\s*(?!0\b)(\d+|null)/i.test(last) || /\bFAIL\b/.test(last)) return false;
+    return true;
+  };
   for (const r of active) {
-    let verified = 'manual';
-    let note = '';
     const rl = r.rule.toLowerCase();
+    const clauses = [];   // { kind, verified }
     if (/version|버전|bump|상승/i.test(rl)) {
-      if (prev.packageVersion && cur.packageVersion && prev.packageVersion !== cur.packageVersion) {
-        verified = 'pass'; note = `${prev.packageVersion} → ${cur.packageVersion}`;
-      } else if (!prev.packageVersion) {
-        verified = 'baseline'; note = `초기 ${cur.packageVersion || '미확인'}`;
-      } else {
-        verified = 'pending'; note = '버전 변경 없음';
-      }
-    } else if (/changelog|패치노트|patch.*note|note.*추가|note.*add/i.test(rl)) {
-      if (prev.changelogMtime && cur.changelogMtime && cur.changelogMtime > prev.changelogMtime) {
-        verified = 'pass'; note = 'CHANGELOG.md 갱신 감지';
-      } else if (!prev.changelogMtime) {
-        verified = 'baseline'; note = '초기 측정';
+      if (prev.packageVersion && cur.packageVersion && prev.packageVersion !== cur.packageVersion) clauses.push({ kind: 'version', verified: 'pass', note: `${prev.packageVersion} → ${cur.packageVersion}` });
+      else if (!prev.packageVersion) clauses.push({ kind: 'version', verified: 'baseline', note: `초기 ${cur.packageVersion || '미확인'}` });
+      else clauses.push({ kind: 'version', verified: 'pending', note: '버전 변경 없음' });
+    }
+    if (/changelog|패치노트|patch.*note|note.*추가|note.*add/i.test(rl)) {
+      if (prev.changelogMtime && cur.changelogMtime && cur.changelogMtime > prev.changelogMtime) clauses.push({ kind: 'changelog', verified: 'pass', note: 'CHANGELOG.md 갱신 감지' });
+      else if (!prev.changelogMtime) clauses.push({ kind: 'changelog', verified: 'baseline', note: '초기 측정' });
+      else clauses.push({ kind: 'changelog', verified: 'pending', note: 'CHANGELOG.md 변경 없음' });
+    }
+    if (/test|테스트|verify/i.test(rl)) {
+      // "must pass" 의미면 exit0 확인, 아니면 "흔적 존재"(must run)
+      const mustPass = /pass|통과|성공|green/i.test(rl);
+      if (mustPass) {
+        const ok0 = _todayEvidenceExit0();
+        clauses.push({ kind: 'test', verified: ok0 === true ? 'pass' : 'pending', note: ok0 === true ? '오늘 테스트 통과(exit0)' : ok0 === false ? '오늘 테스트 실패(exit≠0)' : '오늘 테스트 흔적 없음' });
       } else {
-        verified = 'pending'; note = 'CHANGELOG.md 변경 없음';
+        const hasTest = new RegExp(`## ${todayStr}.*verify-code|## ${todayStr}.*test`, 'i').test(ev);
+        clauses.push({ kind: 'test', verified: hasTest ? 'pass' : 'pending', note: hasTest ? '오늘 verify-code 흔적' : '오늘 verify-code 호출 없음' });
       }
-    } else if (/test|테스트|verify/i.test(rl)) {
-      const hasTest = new RegExp(`## ${todayStr}.*verify-code|## ${todayStr}.*test`, 'i').test(ev);
-      verified = hasTest ? 'pass' : 'pending';
-      note = hasTest ? '오늘 verify-code 흔적' : '오늘 verify-code 호출 없음';
-    } else if (/deploy|배포|publish|push|release/i.test(rl)) {
-      verified = 'manual'; note = '배포는 사용자 명시 호출 (leerness release publish)';
-    } else {
-      verified = 'manual'; note = '자동 검증 패턴 없음 — 수동 확인';
     }
-    results.push({ ...r, verified, note });
+    if (/deploy|배포|publish|push|release/i.test(rl) && !clauses.length) clauses.push({ kind: 'deploy', verified: 'manual', note: '배포는 사용자 명시 호출 (leerness release publish)' });
+    let verified, note;
+    if (!clauses.length) { verified = 'manual'; note = '자동 검증 패턴 없음 — 수동 확인'; }
+    else {
+      // AND 집계: 하나라도 pending 이면 pending, 모두 pass/baseline 이면 (pass 있으면 pass, 아니면 baseline)
+      if (clauses.some(c => c.verified === 'pending')) verified = 'pending';
+      else if (clauses.some(c => c.verified === 'pass')) verified = 'pass';
+      else verified = clauses.some(c => c.verified === 'manual') ? 'manual' : 'baseline';
+      note = clauses.map(c => `${c.kind}:${c.note}`).join(' · ');
+    }
+    results.push({ ...r, verified, note, clauses: clauses.length > 1 ? clauses.map(c => ({ kind: c.kind, verified: c.verified })) : undefined });
   }
   // lastVerified 갱신 (pass인 경우만)
   for (const r of rules) {
@@ -17658,7 +17750,7 @@ async function updateCmd(root, opts = {}) {
     try { const _hv = read(path.join(root, '.harness', 'HARNESS_VERSION')).trim(); if (_hv) nextLeerness = _hv; } catch {}
   } else {
     log(`\nRunning in-process migrate (already on latest ${VERSION})…`);
-    await install(root, { force: false, dry: false, migration: true, nonInteractive: true });
+    await install(root, { force: !!opts.force, dry: false, migration: true, nonInteractive: true });   // 1.36.66 (8차 헌트 F6): --force 전달 — no-op 우회해 손상 템플릿 재작성
   }
   log('\n# Post-migration checks');
   status(root);
@@ -17700,10 +17792,12 @@ function autoUpdateInstall(root) {
   }
   writeUtf8(settingsFile, JSON.stringify(settings, null, 2) + '\n');
   // 1.36.62 (검수 #1): en 프로젝트의 /update 를 한국어로 되덮던 것 — 언어 인지 렌더
-  const _updLang = (() => { try { return read(path.join(root, '.harness', 'LANGUAGE')).trim().toLowerCase(); } catch { return 'ko'; } })();
-  writeUtf8(path.join(root, '.claude/commands/update.md'), _updLang === 'en'
+  // 1.36.66 (8차 헌트 F5): raw writeUtf8 은 managed 파일 커스텀을 파괴했다 — coreFiles 와 동일 병합 경로(writeIfSafe mergeManaged)로.
+  const _updLang = (() => { try { return read(path.join(root, '.harness', 'LANGUAGE')).trim().toLowerCase() === 'en' ? 'en' : 'ko'; } catch { return 'ko'; } })();
+  const _updContent = _updLang === 'en'
     ? `# /update\n\nRun the leerness auto-update (detect → migrate → verify).\n\n\`\`\`\n!leerness update --yes\n\`\`\`\n\nCheck only:\n\n\`\`\`\n!leerness update --check\n\`\`\`\n`
-    : `# /update\n\nleerness 자동 업데이트 (감지 → 마이그레이션 → 검증).\n\n\`\`\`\n!leerness update --yes\n\`\`\`\n\n체크만:\n\n\`\`\`\n!leerness update --check\n\`\`\`\n`);
+    : `# /update\n\nleerness 자동 업데이트 (감지 → 마이그레이션 → 검증).\n\n\`\`\`\n!leerness update --yes\n\`\`\`\n\n체크만:\n\n\`\`\`\n!leerness update --check\n\`\`\`\n`;
+  writeIfSafe(root, '.claude/commands/update.md', _updContent, { mergeManaged: true, lang: _updLang });
   ok('auto-update SessionStart hook installed (.claude/settings.local.json)');
   if (removedLegacy) ok(`legacy hook 제거: ${removedLegacy}건 (leerness-plus → leerness 통합)`);
   if (upgradedQuiet) ok(`hook 업그레이드: ${upgradedQuiet}건 → --quiet (up-to-date 시 무음, 1.9.364)`);

package/lib/drift.js

@@ -313,6 +313,8 @@ function driftCheckCmd(root, opts = {}, deps = {}) {
     }
   }
   if (has('--json')) {
+    // 1.36.66 (8차 헌트 F4): --json 도 사람용과 exit 동치 — critical 은 exit 1 (조기 return 전에 설정)
+    if (level === '🔴 critical') process.exitCode = 1;
     log(JSON.stringify({ root, score: totalScore, level, signals, fired, appsZeroTask }, null, 2));
     return;
   }

package/lib/io.js

@@ -111,6 +111,10 @@ function _rescueCorruptJson(p, s) {
   try { fs.renameSync(p, bak); console.error(`⚠ 손상 JSON 감지 — 원본 대피 후 저장: ${path.basename(bak)} (수동 복구용)`); } catch {}
 }
 function writeUtf8(p, s) {
+  // 1.36.65 (외부감사 F-08): 동일-내용 재기록 스킵 — 무변경 재설치/조정기의 mtime·diff churn 을 전역 해소.
+  // 1.36.66 (8차 헌트 F13): 비교는 디코딩 텍스트가 아니라 "바이트 동일"로 — 손상 바이트(FF)/BOM 파일에
+  //   유효 UTF-8 을 쓸 때 read() 의 BOM-strip·치환문자가 텍스트를 같게 보이게 해 정화 write 가 억제됐다.
+  try { if (fs.existsSync(p) && fs.readFileSync(p).equals(Buffer.from(String(s), 'utf8'))) return; } catch {}
   mkdirp(path.dirname(p));
   _rescueCorruptJson(p, s);
   const tmp = `${p}.tmp-${process.pid}-${++_writeSeq}`;

package/lib/pure-utils.js

@@ -738,8 +738,16 @@ function _looksSecretLike(value) {
 
 // 1.9.367 (UR-0025): 라인 머지 순수 코어 — 기존 텍스트에 없는 라인만 append (substring 중복 방지). mergeLinesFile 의 I/O 분리.
 function _mergeLines(currentText, lines) {
+  // 1.36.65 (검수 HIGH 파생, 선재 버그): substring 포함 검사는 '.env' 가 '.env.local' 에 흡수돼 영영 미복구 —
+  //   정확한 라인 단위 존재 검사로 교체.
   let next = currentText || '';
-  for (const line of (lines || [])) if (!next.includes(line)) next += (next.endsWith('\n') || !next ? '' : '\n') + line + '\n';
+  const have = new Set(next.split(/\r?\n/).map(l => l.trim()).filter(Boolean));
+  for (const line of (lines || [])) {
+    const t = String(line).trim();
+    if (t && have.has(t)) continue;
+    next += (next.endsWith('\n') || !next ? '' : '\n') + line + '\n';
+    if (t) have.add(t);
+  }
   return next;
 }
 // 1.9.367 (UR-0025): .env key-aware 머지 순수 코어 — 기존 KEY 값 보존(덮어쓰기 X), 신규 KEY/주석만 append. mergeEnvFile 의 I/O 분리.
@@ -1193,10 +1201,14 @@ function _draftAnchors(sig = {}) {
   if (readmeLead && readmeLead !== desc) purpose.push(`- ${_cutAt(readmeLead, 200)}`);
   const ms = (sig.milestones || []).filter(m => m && m.title).slice(0, 3);
   const activeTasks = (sig.tasks || []).filter(t => t && /in-progress|planned|requested/.test(String(t.status || ''))).slice(0, 3);
-  if (desc || readmeLead) goal.push(`- 제품을 동작 상태로 유지·발전시킨다: ${_cutAt(desc || readmeLead, 140)}`);
+  // 1.36.66 (8차 헌트 F11): en 프로젝트는 초안 마커·기본 goal 도 영어
+  const _en = String(sig.lang || '').toLowerCase() === 'en';
+  if (desc || readmeLead) goal.push(_en ? `- Keep the product working and evolving it: ${_cutAt(desc || readmeLead, 140)}` : `- 제품을 동작 상태로 유지·발전시킨다: ${_cutAt(desc || readmeLead, 140)}`);
   for (const m of ms) goal.push(`- [${m.id || 'M'}] ${_oneLine(m.title).slice(0, 120)}${m.status ? ` (${m.status})` : ''}`);
   if (!goal.length && activeTasks.length) for (const t of activeTasks) goal.push(`- ${t.id}: ${_oneLine(t.request).slice(0, 100)}`);
-  const marker = '<!-- draft: leerness anchors — 실신호 기반 초안. AI/사용자가 검토·수정 후 이 주석을 지우면 확정 -->';
+  const marker = _en
+    ? '<!-- draft: leerness anchors — draft from real signals. Remove this comment after AI/user review to confirm -->'
+    : '<!-- draft: leerness anchors — 실신호 기반 초안. AI/사용자가 검토·수정 후 이 주석을 지우면 확정 -->';
   return {
     hasSignal: purpose.length > 0 || goal.length > 0,
     purpose: purpose.length ? [marker, ...purpose] : [],

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "leerness",
-  "version": "1.36.64",
+  "version": "1.36.66",
   "description": "The AI-coding operations layer that makes \"done\" require evidence — persistent memory, evidence-gated completion checks, and clean handoffs for any AI agent (Claude Code, Codex, Cursor). State lives as plain files in your repo. CLI + MCP, 0 runtime dependencies.",
   "keywords": [
     "leerness",

package/scripts/e2e.js

@@ -4953,7 +4953,11 @@ total++;
   try {
     const d = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-arch-'));
     cp.spawnSync(process.execPath, [CLI, 'init', d, '--yes', '--language', 'ko', '--keep', '2'], { encoding: 'utf8', timeout: 30000 });
-    for (let i = 0; i < 3; i++) cp.spawnSync(process.execPath, [CLI, 'migrate', d, '--keep', '2'], { encoding: 'utf8', timeout: 30000 });
+    // 1.36.65: 무변경 migrate 는 no-op(백업 미생성) — 리텐션 검증 의도 유지를 위해 매회 변경 주입으로 스냅샷 강제
+    for (let i = 0; i < 3; i++) {
+      fs.appendFileSync(path.join(d, 'AGENTS.md'), `\nRETENTION PROBE ${i}\n`);
+      cp.spawnSync(process.execPath, [CLI, 'migrate', d, '--keep', '2'], { encoding: 'utf8', timeout: 30000 });
+    }
     const adir = path.join(d, '.harness', 'archive');
     const cnt = fs.readdirSync(adir).filter(n => /^leerness-/.test(n)).length;
     fs.rmSync(d, { recursive: true, force: true });
@@ -7107,5 +7111,37 @@ total++;
   if (!ok) failed++;
 }
 
+// 1.36.65 (외부감사 F-08): no-op 재설치 — 변경 없으면 백업/아카이브/타임스탬프 무증식, 변경·구버전·force 는 정상 설치
+total++;
+{
+  let ok = false;
+  const _d = [];
+  try {
+    const d = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-noop-')); _d.push(d);
+    const R = () => cp.spawnSync(process.execPath, [CLI, 'init', d, '--yes', '--no-env'], { encoding: 'utf8', timeout: 40000 });
+    R();
+    const arch1 = fs.readdirSync(path.join(d, '.harness', 'archive')).length;
+    const mf1 = fs.readFileSync(path.join(d, '.harness', 'manifest.json'), 'utf8');
+    const r2 = R();
+    const noopOk = r2.status === 0 && /no-op/.test(r2.stdout)
+      && fs.readdirSync(path.join(d, '.harness', 'archive')).length === arch1
+      && fs.readFileSync(path.join(d, '.harness', 'manifest.json'), 'utf8') === mf1;
+    // 커스텀 추가 → 설치 수행(백업 생성) → 이후 다시 no-op + 커스텀 1회 유지
+    fs.appendFileSync(path.join(d, 'AGENTS.md'), '\nNOOP CUSTOM LINE\n');
+    const r3 = R();
+    const changedOk = /backup created/.test(r3.stdout) && !/no-op/.test(r3.stdout);
+    const r4 = R();
+    const stableOk = /no-op/.test(r4.stdout) && (fs.readFileSync(path.join(d, 'AGENTS.md'), 'utf8').match(/NOOP CUSTOM LINE/g) || []).length === 1;
+    // 구버전 마커 → 정상 설치
+    fs.writeFileSync(path.join(d, '.harness', 'HARNESS_VERSION'), '1.36.60\n');
+    const r5 = R();
+    const verOk = /backup created/.test(r5.stdout);
+    ok = noopOk && changedOk && stableOk && verOk;
+    if (!ok) console.log(`   [noop 디버그] noop=${noopOk} chg=${changedOk} stable=${stableOk} ver=${verOk}`);
+  } catch (e) {} finally { _d.forEach(x => { try { fs.rmSync(x, { recursive: true, force: true }); } catch {} }); }
+  console.log(ok ? '✓ B(1.36.65) F-08 no-op 재설치: 무변경=백업/타임스탬프 생략 · 변경/구버전=정상 설치 · 커스텀 1회 유지' : '✗ no-op 재설치 실패');
+  if (!ok) failed++;
+}
+
 console.log(`\nE2E result: ${total - failed}/${total} passed · ${((Date.now() - _e2eStart) / 1000).toFixed(0)}s`);
 if (failed > 0) process.exit(1);