leerness 1.9.311 → 1.9.313

package/CHANGELOG.md

@@ -1,5 +1,48 @@
 # Changelog
 
+## 1.9.313 — 2026-06-04 — UR-0049: MCP notification 프로토콜 준수 (설치리뷰 3중수렴 high)
+
+**🔌 MCP 서버가 JSON-RPC notification(`notifications/*`)에 에러 응답을 보내 프로토콜을 위반하던 결함 수정 — 엄격한 MCP 클라이언트의 핸드셰이크 중단 위험.**
+
+### 배경 (설치리뷰)
+실측: `notifications/initialized`(MCP 핸드셰이크 표준, id 없음) 전송 시 서버가 `{"jsonrpc":"2.0","error":{"code":-32601,"message":"Unknown method: notifications/initialized"}}` 응답.
+- JSON-RPC 2.0 spec: **"The Server MUST NOT reply to a Notification"** (id 없는 요청). 응답 자체가 위반.
+- 응답에 `id` 필드도 없어(undefined) 이중 위반 — 엄격한 클라이언트는 프로토콜 오류로 로깅/연결 중단 가능.
+- 표준 `ping` 메서드도 `-32601` 오류 반환(빈 결과 `{}` 기대).
+
+### 구현 (UR-0049)
+1. **notification 가드**: `handleRequest` 진입부에서 `id` 없는 요청 또는 `notifications/*` 메서드 → **무응답**(spec 준수). `notifications/initialized`·`notifications/cancelled`·`notifications/progress` 등 조용히 수용.
+2. **`ping` 표준 응답**: 빈 결과 `{}` 반환 (연결 확인).
+3. 미지 메서드(id 있음)는 여전히 `-32601` 반환 — 정상 동작 보존.
+4. selftest 60→61 · e2e 257→258.
+
+### 검증
+- **selftest 61/61 PASS** · **E2E 258/258 PASS** (회귀 0).
+- 실측: `notifications/initialized`·`notifications/cancelled` → 무응답 · `ping`(id 2) → `{"result":{}}` · `initialize`/`tools/list` 정상 · `bogus/method`(id 有) → `-32601`(보존) · 핸드셰이크 시퀀스에서 응답 수 = id 보유 요청 수.
+
+## 1.9.312 — 2026-06-04 — UR-0050: secret 스캐너 현대 키 패턴 (설치리뷰 3중수렴 high)
+
+**🔒 `scan secrets` 가 modern OpenAI/Anthropic 키를 놓치던 보안 결함 수정 — 노출돼도 탐지 안 되던 위험.**
+
+### 배경 (설치리뷰)
+실측: 가짜 키 7종 스캔 시 **legacy `sk-...` 1건만 검출**, 나머지 전부 통과 —
+- `sk-proj-...`/`sk-svcacct-...` (modern OpenAI 프로젝트/서비스 키): 기존 패턴 `sk-[A-Za-z0-9]{32,}` 이 **하이픈에서 끊겨** 미검출.
+- `sk-ant-api03-..._...` (실제 Anthropic 키): 기존 `sk-ant-[A-Za-z0-9-]{20,}\b` 가 **언더스코어 미포함 + 후행 `\b`** 로 실제 키(언더스코어 사용)를 미검출.
+- `gho_`/`ghu_`/`ghs_`/`ghr_` (GitHub PAT 외 변종), Stripe, npm, Google OAuth, AWS 임시(ASIA): 패턴 부재.
+
+### 구현 (UR-0050)
+`SECRET_PATTERNS` 9종 → 13종 확장:
+1. **OpenAI modern** `sk-(proj|svcacct|admin)-[A-Za-z0-9_-]{20,}` (신규) + legacy 유지.
+2. **Anthropic** 패턴 `_` 포함 + 후행 `\b` 제거 — 실제 `sk-ant-api03-` 키 호환.
+3. **GitHub** `gh[pousr]_` 통합 (ghp_/gho_/ghu_/ghs_/ghr_).
+4. **신규**: Stripe(`sk_|rk_(live|test)_`), npm(`npm_`), Google OAuth(`ya29.`), AWS 임시(`ASIA`).
+5. selftest 59→60 · e2e 256→257.
+
+### 검증
+- **selftest 60/60 PASS** · **E2E 257/257 PASS** (회귀 0).
+- 실측: 7종 키 모두 검출 + exit 1 · clean dir → exit 0(오탐 0) · **repo 자체 `scan secrets .` clean**(self-flag 없음).
+- false-positive 가드: `userName`/URL 등 평범한 문자열 미검출.
+
 ## 1.9.311 — 2026-06-04 — UR-0047: init 가드 (설치리뷰 3중수렴 high)
 
 **🛡 미초기화 디렉토리에서 write 명령이 부분 `.harness`(progress-tracker·cache·runs)만 생성해 "반쪽 설치" 상태를 만들던 결함 수정.**

package/README.md

@@ -3,7 +3,7 @@
 > **AI 코딩 에이전트의 거짓 완료·중복·망각·충돌을 막아주는 검수·기억·협업 CLI 하네스.**
 > **A CLI harness that stops AI coding agents from faking completion, duplicating work, forgetting context, and colliding.**
 
-[![npm](https://img.shields.io/badge/npm-leerness-blue)](https://www.npmjs.com/package/leerness) [![version](https://img.shields.io/badge/version-1.9.311-green)]() [![tests](https://img.shields.io/badge/e2e-256%2F256-success)]() [![selftest](https://img.shields.io/badge/selftest-59-success)]() [![mcp](https://img.shields.io/badge/MCP--tools-83-brightgreen)]() [![providers](https://img.shields.io/badge/AI_providers-10-brightgreen)]() [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
+[![npm](https://img.shields.io/badge/npm-leerness-blue)](https://www.npmjs.com/package/leerness) [![version](https://img.shields.io/badge/version-1.9.313-green)]() [![tests](https://img.shields.io/badge/e2e-258%2F258-success)]() [![selftest](https://img.shields.io/badge/selftest-61-success)]() [![mcp](https://img.shields.io/badge/MCP--tools-83-brightgreen)]() [![providers](https://img.shields.io/badge/AI_providers-10-brightgreen)]() [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
 
 ```
   ╔══════════════════════════════════════════════════════════════╗
@@ -471,7 +471,7 @@ MIT — © leerness contributors
 <!-- leerness:project-readme:start -->
 ## Leerness Project Harness
 
-이 프로젝트는 Leerness v1.9.311 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
+이 프로젝트는 Leerness v1.9.313 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
 
 ### 정체성 — AI 에이전트 운영 레이어 (UR-0030)
 
@@ -525,7 +525,7 @@ leerness memory restore decision <date|title>
 
 ### MCP server (외부 AI 통합)
 
-Leerness v1.9.311는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **83개 도구**를 노출:
+Leerness v1.9.313는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **83개 도구**를 노출:
 
 ```jsonc
 // 카테고리별
@@ -546,7 +546,7 @@ Leerness v1.9.311는 stdio JSON-RPC MCP server를 내장합니다 — Claude Cod
 `<<autonomous-loop-dynamic>>` 신호만 보내면 AI가:
 1) 다음 라운드 후보 선정 → 2) 코드 변경 → 3) stress-v* 신규 작성 + 누적 회귀 → 4) e2e 219/219 → 5) npm pack + git tag + GitHub release → 6) main 자동 push (1.9.140+) → 7) session close → 8) 다음 라운드 예약.
 
-현재 누적: **70 라운드 (1.9.40 → 1.9.311)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
+현재 누적: **70 라운드 (1.9.40 → 1.9.313)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
 
 ### 성능 가이드 (1.9.140 측정)
 
@@ -584,6 +584,6 @@ leerness release pack --close --auto-main-push
 - `.harness/session-handoff.md`: 다음 세션 인수인계 (자동 작성)
 - `.harness/lessons.md` / `decisions.md` / `rules.md`: 영구 메모리 (5 surface)
 
-Last synced by Leerness v1.9.311: 2026-06-04
+Last synced by Leerness v1.9.313: 2026-06-04
 <!-- leerness:project-readme:end -->
 

package/bin/harness.js

@@ -14,7 +14,7 @@ const { _evidenceQuality, _parseEvidenceStats, _shellGuardAnalyze, _claimFileInG
 // 1.9.295 (UR-0025 4단계): 정적 데이터 카탈로그 모듈 분리 (비파괴, require-based).
 const { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST } = require('../lib/catalogs');
 
-const VERSION = '1.9.311';
+const VERSION = '1.9.313';
 
 // 1.9.290 (UR-0037, Codex gpt-5.5 #4 수렴): CLI 전용 부작용은 require 시 실행하지 않는다.
 //   이전: warning listener 제거 / NODE_OPTIONS 변경 / chcp IIFE 가 top-level 즉시 실행 → require('harness') 시 호스트 프로세스 오염.
@@ -3083,6 +3083,8 @@ function _selfTestCases() {
     { name: 'verify-claim: done 주장 evidence 기본강제 + --lenient + MCP/json 도달 (UR-0048 설치리뷰 critical 1.9.309)', run: () => { const src = read(__filename); const def = /const mustHaveEvidence = !has\('--lenient'\) && \(isDoneClaim \|\| has\('--require-evidence'\)\)/.test(src); const threshold = /has\('--require-evidence'\) \? evq\.ok : \(evq\.hasFile \|\| evq\.hasTest \|\| evq\.hasLog\)/.test(src); const jsonWired = /evidenceComplete:/.test(src) && /!evidenceQualityOk\) return process\.exit\(1\)/.test(src); const mcpLenient = !!require('../lib/mcp-tools').find(t => t.name === 'leerness_verify_claim').inputSchema.properties.lenient; return def && threshold && jsonWired && mcpLenient; } },
     { name: '입력 스키마 검증: task status/rule trigger 무효값 거부 + every-round 보존 (UR-0046 설치리뷰 1.9.310)', run: () => { const src = read(__filename); const sets = TASK_STATUSES.has('done') && TASK_STATUSES.has('in-progress') && !TASK_STATUSES.has('nonsense') && RULE_TRIGGERS.has('every-round') && RULE_TRIGGERS.has('every-update') && !RULE_TRIGGERS.has('not-a-trigger'); const helper = typeof _validateChoice === 'function' && _validateChoice('done', TASK_STATUSES, 'x') === true; const wired = /_validateChoice\(arg\('--status', null\), TASK_STATUSES/.test(src) && /_validateChoice\(trigger, RULE_TRIGGERS/.test(src); return sets && helper && wired; } },
     { name: 'init 가드: 미초기화 write 차단 + 다중마커 판별 + --force 우회 (UR-0047 설치리뷰 1.9.311)', run: () => { const src = read(__filename); const fnOk = typeof _isInitialized === 'function' && typeof _requireInit === 'function'; const liveOk = _isInitialized('.') === true; const emptyOk = _isInitialized(path.join(os.tmpdir(), '__leerness_noinit_marker__')) === false; const wired = ["task add", "task update", "plan add", "decision add", "rule add", "lesson save", "brief set"].every(l => src.includes(`_requireInit(root, '${l}')`)) && !src.includes("_requireInit(root, 'state " + "start')"); const force = /if \(_isInitialized\(root\) \|\| has\('--force'\)\) return true/.test(src); return fnOk && liveOk && emptyOk && wired && force; } },
+    { name: 'secret 스캐너 현대 키: OpenAI proj/svcacct·Anthropic api03(_)·GitHub 변종·Stripe·npm 검출 + 오탐 가드 (UR-0050 설치리뷰 1.9.312)', run: () => { const hit = (s) => SECRET_PATTERNS.some(p => { p.re.lastIndex = 0; return p.re.test(s); }); const named = (s, nm) => SECRET_PATTERNS.some(p => { p.re.lastIndex = 0; return p.re.test(s) && p.name === nm; }); const A = 'A'.repeat(40); const projKey = 'sk-' + 'proj-' + A + '_' + A; const svcKey = 'sk-' + 'svcacct-' + A; const antKey = 'sk-' + 'ant-api03-' + A + '_' + A; const ghoKey = 'gho_' + 'a1B2'.repeat(9); const stripeKey = 'sk_' + 'live_' + A; const npmKey = 'npm_' + 'a1B2'.repeat(9); const asiaKey = 'ASIA' + 'ABCD1234EFGH5678'; const legacy = 'sk-' + A; const hits = hit(projKey) && hit(svcKey) && hit(antKey) && hit(ghoKey) && hit(stripeKey) && hit(npmKey) && hit(asiaKey) && hit(legacy); const names = named(projKey, 'OpenAI project/service key') && named(antKey, 'Anthropic API key') && named(stripeKey, 'Stripe secret key') && named(npmKey, 'npm token'); const clean = !hit('const userName = "john' + '_doe_2024";') && !hit('https://example.com/path/to/page'); return hits && names && clean; } },
+    { name: 'MCP notification 준수: id없는 요청 무응답 가드 + ping {} (UR-0049 설치리뷰 1.9.313)', run: () => { const src = read(__filename); const guard = src.includes("const isNotification = !('id' in req)") && src.includes("req.method.startsWith('notifications/')") && src.includes('if (isNotification) return;'); const ping = src.includes("req.method === 'ping'") && /ping[\s\S]{0,140}result: \{\} \}/.test(src); return guard && ping; } },
     { name: 'VERSION 형식 (x.y.z)', run: () => /^\d+\.\d+\.\d+$/.test(VERSION) }
   ];
 }
@@ -7338,13 +7340,21 @@ function audit(root, opts = {}) {
   if (failures) process.exitCode = 1;
 }
 
+// 1.9.312 (UR-0050, 설치리뷰 3중수렴): secret 스캐너 현대 키 패턴 보강.
+//   배경: 기존 OpenAI 패턴 `sk-[A-Za-z0-9]{32,}` 은 하이픈에서 끊겨 sk-proj-/sk-svcacct- (modern 프로젝트/서비스 키)를 놓침.
+//         Anthropic 패턴은 `_` 미포함 + 후행 \b 로 실제 sk-ant-api03- 키(언더스코어 사용)를 놓침.
+//   보강: OpenAI modern(proj/svcacct/admin) · GitHub 변종(gho_/ghu_/ghs_/ghr_) · Stripe · npm · Google OAuth · AWS 임시(ASIA).
 const SECRET_PATTERNS = [
-  { name: 'AWS Access Key', re: /\bAKIA[0-9A-Z]{16}\b/g },
-  { name: 'GitHub PAT', re: /\bghp_[A-Za-z0-9]{36}\b/g },
+  { name: 'AWS Access Key', re: /\b(?:AKIA|ASIA)[0-9A-Z]{16}\b/g },                       // ASIA=임시 자격증명 추가
+  { name: 'GitHub token', re: /\bgh[pousr]_[A-Za-z0-9]{36,}\b/g },                        // ghp_/gho_/ghu_/ghs_/ghr_ 통합
   { name: 'GitHub fine-grained PAT', re: /\bgithub_pat_[A-Za-z0-9_]{40,}\b/g },
-  { name: 'OpenAI API key', re: /\bsk-[A-Za-z0-9]{32,}\b/g },
-  { name: 'Anthropic API key', re: /\bsk-ant-[A-Za-z0-9-]{20,}\b/g },
+  { name: 'OpenAI project/service key', re: /\bsk-(?:proj|svcacct|admin)-[A-Za-z0-9_-]{20,}/g }, // modern (하이픈/언더스코어 포함)
+  { name: 'OpenAI API key', re: /\bsk-[A-Za-z0-9]{32,}\b/g },                             // legacy
+  { name: 'Anthropic API key', re: /\bsk-ant-[A-Za-z0-9_-]{20,}/g },                      // _ 포함 + 후행 \b 제거 (실제 키 호환)
+  { name: 'Stripe secret key', re: /\b(?:sk|rk)_(?:live|test)_[A-Za-z0-9]{20,}\b/g },
+  { name: 'npm token', re: /\bnpm_[A-Za-z0-9]{36}\b/g },
   { name: 'Google API key', re: /\bAIza[0-9A-Za-z_\-]{35}\b/g },
+  { name: 'Google OAuth token', re: /\bya29\.[A-Za-z0-9_-]{20,}/g },
   { name: 'Slack token', re: /\bxox[baprs]-[A-Za-z0-9-]{10,}\b/g },
   { name: 'Generic private key', re: /-----BEGIN (?:RSA |OPENSSH |EC |DSA |PGP )?PRIVATE KEY-----/g },
   { name: 'Hardcoded password assignment', re: /\b(?:password|passwd|pwd|secret|api_key|apikey)\s*[:=]\s*["'][^"'\s]{6,}["']/gi },
@@ -16736,12 +16746,20 @@ function mcpServeCmd(root) {
   }
   function handleRequest(req) {
     const id = req.id;
+    // 1.9.313 (UR-0049, 설치리뷰 3중수렴): JSON-RPC 2.0 / MCP notification 준수.
+    //   notification = id 없는 요청 (또는 notifications/* 메서드) → spec "MUST NOT reply" → 절대 응답 금지.
+    //   이전: notifications/initialized 에 -32601 + id 없는 응답 → 엄격한 MCP 클라이언트가 프로토콜 위반 로깅/중단.
+    const isNotification = !('id' in req) || (typeof req.method === 'string' && req.method.startsWith('notifications/'));
+    if (isNotification) return;  // initialized/cancelled/progress 등 조용히 수용 (무응답)
     if (req.method === 'initialize') {
       send({ jsonrpc: '2.0', id, result: {
         protocolVersion: '2024-11-05',
         capabilities: { tools: {} },
         serverInfo: { name: 'leerness', version: VERSION }
       } });
+    } else if (req.method === 'ping') {
+      // 1.9.313 (UR-0049): MCP 표준 ping → 빈 결과 응답 (연결 확인 — 이전엔 -32601 오류)
+      send({ jsonrpc: '2.0', id, result: {} });
     } else if (req.method === 'tools/list') {
       send({ jsonrpc: '2.0', id, result: { tools: TOOLS } });
     } else if (req.method === 'tools/call') {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "leerness",
-  "version": "1.9.311",
+  "version": "1.9.313",
   "description": "Leerness: 비파괴 마이그레이션, 자동 버전 감지·업데이트, 계획/진행/핸드오프 자동화, 게으름·시크릿·인코딩 자동 가드, Claude Code 슬래시 통합을 갖춘 한국어 우선 AI 개발 하네스.",
   "keywords": [
     "leerness",

package/scripts/e2e.js

@@ -3639,5 +3639,60 @@ total++;
   if (!ok) failed++;
 }
 
+// 1.9.312 회귀 (UR-0050 설치리뷰): secret 스캐너 현대 키 — sk-proj-/sk-ant-api03-(_)/gho_/Stripe/npm 검출 + exit 1
+//   주의: e2e.js 는 scan 대상이라 키는 문자열 연결로 구성(리터럴 금지 — 자기 repo scan 오탐 방지)
+total++;
+{
+  let ok = false;
+  try {
+    const sd = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-secmod-'));
+    const A = 'A'.repeat(40);
+    const lines = [
+      'const a = "' + 'sk-' + 'proj-' + A + '_' + A + '";',          // modern OpenAI project (기존 패턴 놓침)
+      'const b = "' + 'sk-' + 'ant-api03-' + A + '_' + A + '";',     // Anthropic api03 (언더스코어 — 기존 놓침)
+      'const c = "' + 'gho_' + 'a1B2'.repeat(9) + '";',              // GitHub OAuth token (ghp_ 외 변종)
+      'const d = "' + 'sk_' + 'live_' + A + '";',                    // Stripe
+      'const e = "' + 'npm_' + 'a1B2'.repeat(9) + '";',             // npm token
+    ];
+    fs.writeFileSync(path.join(sd, 'cfg.js'), lines.join('\n') + '\n');
+    const r = cp.spawnSync(process.execPath, [CLI, 'scan', 'secrets', sd], { encoding: 'utf8', timeout: 20000 });
+    const out = r.stdout || '';
+    ok = r.status === 1
+      && /OpenAI project\/service key/.test(out)
+      && /Anthropic API key/.test(out)
+      && /GitHub token/.test(out)
+      && /Stripe secret key/.test(out)
+      && /npm token/.test(out);
+    fs.rmSync(sd, { recursive: true, force: true });
+  } catch {}
+  console.log(ok ? '✓ B(1.9.312) secret 스캐너 현대 키: sk-proj/sk-ant-api03(_)/gho_/Stripe/npm 검출 + exit 1 (UR-0050)' : '✗ secret 현대 키 실패');
+  if (!ok) failed++;
+}
+
+// 1.9.313 회귀 (UR-0049 설치리뷰): MCP notification 준수 — id 없는 요청 무응답 + ping {} + notifications/* 가드
+total++;
+{
+  let ok = false;
+  try {
+    const input = [
+      '{"jsonrpc":"2.0","id":1,"method":"initialize"}',
+      '{"jsonrpc":"2.0","method":"notifications/initialized"}',              // id 없음 → 무응답
+      '{"jsonrpc":"2.0","id":2,"method":"ping"}',                           // → {} 결과
+      '{"jsonrpc":"2.0","method":"notifications/cancelled","params":{"requestId":1}}', // id 없음 → 무응답
+      '{"jsonrpc":"2.0","id":3,"method":"tools/list"}',
+    ].join('\n') + '\n';
+    const r = cp.spawnSync(process.execPath, [CLI, 'mcp', 'serve'], { encoding: 'utf8', timeout: 15000, input });
+    const lines = (r.stdout || '').split('\n').filter(Boolean).map(l => { try { return JSON.parse(l); } catch { return null; } }).filter(Boolean);
+    const ids = lines.map(l => l.id);
+    const exactly3 = lines.length === 3 && ids.includes(1) && ids.includes(2) && ids.includes(3);  // notification 2건 무응답
+    const noNotifResponse = !lines.some(l => l.error && /Unknown method: notifications/.test((l.error && l.error.message) || ''));
+    const pingOk = lines.some(l => l.id === 2 && l.result && Object.keys(l.result).length === 0);
+    const toolsOk = lines.some(l => l.id === 3 && l.result && Array.isArray(l.result.tools));
+    ok = exactly3 && noNotifResponse && pingOk && toolsOk;
+  } catch {}
+  console.log(ok ? '✓ B(1.9.313) MCP notification 준수: id없는 요청 무응답(2건) + ping {} + tools/list (UR-0049)' : '✗ MCP notification 준수 실패');
+  if (!ok) failed++;
+}
+
 console.log(`\nE2E result: ${total - failed}/${total} passed · ${((Date.now() - _e2eStart) / 1000).toFixed(0)}s`);
 if (failed > 0) process.exit(1);