leerness 1.9.341 → 1.9.343

package/CHANGELOG.md

@@ -1,5 +1,34 @@
 # Changelog
 
+## 1.9.343 — 2026-06-05 — 🎉 R300 마일스톤 · UR-0025(심층): SECRET_PATTERNS 보안 응집 분리
+
+**🎉 R300 누적 라운드 달성 (baseline v1.9.6).** **🔒 시크릿 값 스캔 정규식(13종)을 lib/catalogs.js 로 분리 — 보안 패턴 응집(`_isSecretKey` 키이름 휴리스틱과 모듈 통합). 동형 추출 9번째.** (UR-0025 심층)
+
+### 구현 (UR-0025 심층 — 보안 catalog)
+1. **`SECRET_PATTERNS`**(13종 값 탐지 정규식: AWS AKIA/ASIA · GitHub token/PAT · OpenAI proj/svcacct·legacy · Anthropic api03 · Stripe · npm · Google API/OAuth · Slack · private key · 하드코딩 비밀번호) → `lib/catalogs.js`. `scan secrets` 가 import. **스캔 로직은 harness 무수정**(보안 위험 최소화 — catalog-only 이동).
+2. 블록 지역 `SECRET_PATTERNS = ['.env',...]`(gitignore 파일명 배열, 4곳)은 동명이지만 별개 — **무손상 보존**(모듈 레벨 const 만 이동).
+3. selftest 90→91 · e2e 287→288.
+
+### 검증 (보안 핵심 — 철저)
+- **selftest 91/91 PASS** · **E2E 288/288 PASS** (회귀 0).
+- 실측: catalog 13종(모두 {name, RegExp}) · `scan secrets` 가짜 AWS AKIA + Anthropic api03 키 **탐지** · clean 파일(john_doe_2024 / example.com URL) **오탐 0**(exit 0) · 지역 .env shadow 4곳 보존.
+
+### 🏛 R300 누적 현황
+- catalogs.js **14개 catalog** 분리(capability/powerful/adapters/reuse/constraints/domain/LSP/optimism/persona/STRINGS/builtin-skill/roadmap-label/roadmap-color/secret).
+- pure-utils **~46개 순수 함수**. decisions·lessons **canonical JSON 단일 진실소스**. selftest 91 + e2e 288 무결성 게이트. MCP 도구·9 카테고리 CLI.
+
+## 1.9.342 — 2026-06-05 — UR-0025(심층): roadmap status 맵 분리
+
+**🧩 roadmap.html 상태 라벨/색상 맵(각 11키)을 모듈로 분리 — 동형 추출 8번째.** (UR-0025 심층)
+
+### 구현 (UR-0025 심층)
+1. **`ROADMAP_STATUS_LABEL`**(status→ko 라벨, 11키) + **`ROADMAP_STATUS_COLOR`**(status→hex 색상, 11키) → `lib/catalogs.js`. roadmap.html 생성기가 import 해서 사용(렌더 로직은 harness 유지 — 인라인 fallback 다양해 박막 강제 안 함).
+2. selftest 89→90 · e2e 286→287.
+
+### 검증
+- **selftest 90/90 PASS** · **E2E 287/287 PASS** (회귀 0).
+- 실측: label/color 각 11키 보존(done=완료/#16a34a · blocked=오류/#dc2626 · skill=#8b5cf6) · `roadmap` 명령 roadmap.html 색상 주입(#16a34a/#8b5cf6) 정상.
+
 ## 1.9.341 — 2026-06-05 — UR-0025(심층): BUILTIN_CATALOG 서브시스템 분리
 
 **🧩 내장 스킬 catalog(9종) + 순수 _source 변환을 모듈로 분리 — 동형 추출 7번째.** (UR-0025 심층)

package/README.md

@@ -3,7 +3,7 @@
 > **AI 코딩 에이전트의 거짓 완료·중복·망각·충돌을 막아주는 검수·기억·협업 CLI 하네스.**
 > **A CLI harness that stops AI coding agents from faking completion, duplicating work, forgetting context, and colliding.**
 
-[![npm](https://img.shields.io/badge/npm-leerness-blue)](https://www.npmjs.com/package/leerness) [![version](https://img.shields.io/badge/version-1.9.341-green)]() [![tests](https://img.shields.io/badge/e2e-286%2F286-success)]() [![selftest](https://img.shields.io/badge/selftest-89-success)]() [![mcp](https://img.shields.io/badge/MCP--tools-83-brightgreen)]() [![providers](https://img.shields.io/badge/AI_providers-10-brightgreen)]() [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
+[![npm](https://img.shields.io/badge/npm-leerness-blue)](https://www.npmjs.com/package/leerness) [![version](https://img.shields.io/badge/version-1.9.343-green)]() [![tests](https://img.shields.io/badge/e2e-288%2F288-success)]() [![selftest](https://img.shields.io/badge/selftest-91-success)]() [![mcp](https://img.shields.io/badge/MCP--tools-83-brightgreen)]() [![providers](https://img.shields.io/badge/AI_providers-10-brightgreen)]() [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
 
 ```
   ╔══════════════════════════════════════════════════════════════╗
@@ -471,7 +471,7 @@ MIT — © leerness contributors
 <!-- leerness:project-readme:start -->
 ## Leerness Project Harness
 
-이 프로젝트는 Leerness v1.9.341 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
+이 프로젝트는 Leerness v1.9.343 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
 
 ### 정체성 — AI 에이전트 운영 레이어 (UR-0030)
 
@@ -525,7 +525,7 @@ leerness memory restore decision <date|title>
 
 ### MCP server (외부 AI 통합)
 
-Leerness v1.9.341는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **83개 도구**를 노출:
+Leerness v1.9.343는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **83개 도구**를 노출:
 
 ```jsonc
 // 카테고리별
@@ -546,7 +546,7 @@ Leerness v1.9.341는 stdio JSON-RPC MCP server를 내장합니다 — Claude Cod
 `<<autonomous-loop-dynamic>>` 신호만 보내면 AI가:
 1) 다음 라운드 후보 선정 → 2) 코드 변경 → 3) stress-v* 신규 작성 + 누적 회귀 → 4) e2e 219/219 → 5) npm pack + git tag + GitHub release → 6) main 자동 push (1.9.140+) → 7) session close → 8) 다음 라운드 예약.
 
-현재 누적: **70 라운드 (1.9.40 → 1.9.341)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
+현재 누적: **70 라운드 (1.9.40 → 1.9.343)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
 
 ### 성능 가이드 (1.9.140 측정)
 
@@ -584,6 +584,6 @@ leerness release pack --close --auto-main-push
 - `.harness/session-handoff.md`: 다음 세션 인수인계 (자동 작성)
 - `.harness/lessons.md` / `decisions.md` / `rules.md`: 영구 메모리 (5 surface)
 
-Last synced by Leerness v1.9.341: 2026-06-05
+Last synced by Leerness v1.9.343: 2026-06-05
 <!-- leerness:project-readme:end -->
 

package/bin/harness.js

@@ -25,9 +25,9 @@ const { _isSecretKey, compareVer, parseHarnessVersion, _classifyCJK, _riskLabel,
 // 1.9.304 (UR-0025): 순수 분석/검증 함수 모듈 분리.
 const { _evidenceQuality, _parseEvidenceStats, _shellGuardAnalyze, _claimFileInGit, _epistemicHonestyCheck } = require('../lib/analyzers');
 // 1.9.295 (UR-0025 4단계): 정적 데이터 카탈로그 모듈 분리 (비파괴, require-based).
-const { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST, _DEFAULT_PLATFORM_CONSTRAINTS, _DEFAULT_DOMAIN_CATALOG, _LSP_LANG_PATTERNS, OPTIMISM_PATTERNS, BUILT_IN_PERSONAS, STRINGS, BUILTIN_CATALOG } = require('../lib/catalogs');  // 1.9.341 (UR-0025): BUILTIN_CATALOG 분리
+const { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST, _DEFAULT_PLATFORM_CONSTRAINTS, _DEFAULT_DOMAIN_CATALOG, _LSP_LANG_PATTERNS, OPTIMISM_PATTERNS, BUILT_IN_PERSONAS, STRINGS, BUILTIN_CATALOG, ROADMAP_STATUS_LABEL, ROADMAP_STATUS_COLOR, SECRET_PATTERNS } = require('../lib/catalogs');  // 1.9.343 (UR-0025): SECRET_PATTERNS 보안 응집 분리
 
-const VERSION = '1.9.341';
+const VERSION = '1.9.343';
 
 // 1.9.290 (UR-0037, Codex gpt-5.5 #4 수렴): CLI 전용 부작용은 require 시 실행하지 않는다.
 //   이전: warning listener 제거 / NODE_OPTIONS 변경 / chcp IIFE 가 top-level 즉시 실행 → require('harness') 시 호스트 프로세스 오염.
@@ -3055,6 +3055,8 @@ function _selfTestCases() {
     { name: 'UR-0053: decisions canonical JSON 레이어(_loadDecisions/_saveDecisions/decisionsJsonPath) + pure 파서/렌더 round-trip (1.9.339)', run: () => { const m = require('../lib/pure-utils'); const md = '# Decisions\n\n### 2026-06-05 — A\n- Decision: a\n- Reason: r\n- Alternatives: alt\n- Impact: imp\n\n### 2026-06-04 — B\n- Decision: b\n- Alternatives:\n'; const objs = m._decisionsFromMd(md); const parseOk = objs.length === 2 && objs[0].alternatives === 'alt' && objs[0].impact === 'imp' && objs[1].alternatives === null && objs[1].title === 'B'; const rt = m._decisionsFromMd(m._renderDecisionsMd(objs)); const rtOk = JSON.stringify(rt) === JSON.stringify(objs); const tplOk = m._decisionsFromMd(m._renderDecisionsMd([])).length === 0; const layerOk = typeof _loadDecisions === 'function' && typeof _saveDecisions === 'function' && typeof decisionsJsonPath === 'function' && _decisionsFromMd === m._decisionsFromMd; return parseOk && rtOk && tplOk && layerOk; } },
     { name: 'UR-0058: lessons canonical JSON 레이어(_loadLessons/_saveLessons/lessonsJsonPath) + pure 파서/렌더 round-trip', run: () => { const m = require('../lib/pure-utils'); const objs = [{ date: '2026-06-05', text: 'A', tag: 't' }, { date: '2026-06-04', text: 'B', tag: null }]; const rt = m._parseLessonEntries(m._renderLessonsMd(objs)); const rtOk = JSON.stringify(rt) === JSON.stringify(objs); const tplOk = m._parseLessonEntries(m._renderLessonsMd([])).length === 0; const layerOk = typeof _loadLessons === 'function' && typeof _saveLessons === 'function' && typeof lessonsJsonPath === 'function' && _renderLessonsMd === m._renderLessonsMd; return rtOk && tplOk && layerOk; } },
     { name: 'UR-0025 심층: BUILTIN_CATALOG→lib/catalogs + _withBuiltinSource→pure-utils 분리 (1.9.341)', run: () => { const c = require('../lib/catalogs'); const m = require('../lib/pure-utils'); const catOk = c.BUILTIN_CATALOG && Object.keys(c.BUILTIN_CATALOG).length === 9 && c.BUILTIN_CATALOG.office && c.BUILTIN_CATALOG.office.version === '1.0.0'; const out = m._withBuiltinSource(c.BUILTIN_CATALOG); const work = Object.keys(out).length === 9 && Object.values(out).every(v => v._source === 'builtin') && out.office.version === '1.0.0' && Array.isArray(out.office.capabilities) && Object.keys(m._withBuiltinSource(null)).length === 0; const src = read(__filename); const moved = BUILTIN_CATALOG === c.BUILTIN_CATALOG && _withBuiltinSource === m._withBuiltinSource && !/const BUILTIN_CATALOG = \{/.test(src); return catOk && work && moved; } },
+    { name: 'UR-0025 심층: ROADMAP_STATUS_LABEL/COLOR→lib/catalogs 분리 (1.9.342)', run: () => { const c = require('../lib/catalogs'); const lblOk = c.ROADMAP_STATUS_LABEL && Object.keys(c.ROADMAP_STATUS_LABEL).length === 11 && c.ROADMAP_STATUS_LABEL.done === '완료' && c.ROADMAP_STATUS_LABEL.blocked === '오류'; const colOk = c.ROADMAP_STATUS_COLOR && Object.keys(c.ROADMAP_STATUS_COLOR).length === 11 && c.ROADMAP_STATUS_COLOR.done === '#16a34a' && c.ROADMAP_STATUS_COLOR.skill === '#8b5cf6'; const src = read(__filename); const moved = ROADMAP_STATUS_LABEL === c.ROADMAP_STATUS_LABEL && ROADMAP_STATUS_COLOR === c.ROADMAP_STATUS_COLOR && !/const ROADMAP_STATUS_LABEL = \{/.test(src); return lblOk && colOk && moved; } },
+    { name: 'UR-0025 심층: SECRET_PATTERNS→lib/catalogs 보안 응집 분리 (1.9.343)', run: () => { const c = require('../lib/catalogs'); const catOk = Array.isArray(c.SECRET_PATTERNS) && c.SECRET_PATTERNS.length === 13 && c.SECRET_PATTERNS.every(p => p.name && p.re instanceof RegExp); const A = 'A'.repeat(40); const hit = (s) => c.SECRET_PATTERNS.some(p => { p.re.lastIndex = 0; return p.re.test(s); }); const det = hit('AKIA' + 'ABCD1234EFGH5678') && hit('sk-' + 'ant-api03-' + A + '_' + A) && !hit('const u = "john' + '_doe_2024";'); const moved = SECRET_PATTERNS === c.SECRET_PATTERNS; return catOk && det && moved; } },
     { name: 'VERSION 형식 (x.y.z)', run: () => /^\d+\.\d+\.\d+$/.test(VERSION) }
   ];
 }
@@ -7073,21 +7075,7 @@ function audit(root, opts = {}) {
 //   배경: 기존 OpenAI 패턴 `sk-[A-Za-z0-9]{32,}` 은 하이픈에서 끊겨 sk-proj-/sk-svcacct- (modern 프로젝트/서비스 키)를 놓침.
 //         Anthropic 패턴은 `_` 미포함 + 후행 \b 로 실제 sk-ant-api03- 키(언더스코어 사용)를 놓침.
 //   보강: OpenAI modern(proj/svcacct/admin) · GitHub 변종(gho_/ghu_/ghs_/ghr_) · Stripe · npm · Google OAuth · AWS 임시(ASIA).
-const SECRET_PATTERNS = [
-  { name: 'AWS Access Key', re: /\b(?:AKIA|ASIA)[0-9A-Z]{16}\b/g },                       // ASIA=임시 자격증명 추가
-  { name: 'GitHub token', re: /\bgh[pousr]_[A-Za-z0-9]{36,}\b/g },                        // ghp_/gho_/ghu_/ghs_/ghr_ 통합
-  { name: 'GitHub fine-grained PAT', re: /\bgithub_pat_[A-Za-z0-9_]{40,}\b/g },
-  { name: 'OpenAI project/service key', re: /\bsk-(?:proj|svcacct|admin)-[A-Za-z0-9_-]{20,}/g }, // modern (하이픈/언더스코어 포함)
-  { name: 'OpenAI API key', re: /\bsk-[A-Za-z0-9]{32,}\b/g },                             // legacy
-  { name: 'Anthropic API key', re: /\bsk-ant-[A-Za-z0-9_-]{20,}/g },                      // _ 포함 + 후행 \b 제거 (실제 키 호환)
-  { name: 'Stripe secret key', re: /\b(?:sk|rk)_(?:live|test)_[A-Za-z0-9]{20,}\b/g },
-  { name: 'npm token', re: /\bnpm_[A-Za-z0-9]{36}\b/g },
-  { name: 'Google API key', re: /\bAIza[0-9A-Za-z_\-]{35}\b/g },
-  { name: 'Google OAuth token', re: /\bya29\.[A-Za-z0-9_-]{20,}/g },
-  { name: 'Slack token', re: /\bxox[baprs]-[A-Za-z0-9-]{10,}\b/g },
-  { name: 'Generic private key', re: /-----BEGIN (?:RSA |OPENSSH |EC |DSA |PGP )?PRIVATE KEY-----/g },
-  { name: 'Hardcoded password assignment', re: /\b(?:password|passwd|pwd|secret|api_key|apikey)\s*[:=]\s*["'][^"'\s]{6,}["']/gi },
-];
+// 1.9.343 (UR-0025 심층): SECRET_PATTERNS (13 시크릿 값 스캔 정규식) 는 lib/catalogs.js 로 이전 (import). 보안 응집.
 const SCAN_SKIP_DIRS = new Set(['.git','node_modules','.harness/archive','.viewwork','dist','build','.next','.turbo','.cache','coverage','_pkg-source','out','tmp','temp','.svelte-kit','.parcel-cache']);
 // 1.9.4 E: .leerness-skip-dirs 파일에서 추가 skip 디렉토리 읽기
 function getExtraSkipDirs(root) {
@@ -13216,8 +13204,7 @@ function brainstormCmd(root, topic) {
 }
 
 // ===== 1.9.11: Roadmap (project-roadmap-generator 통합) =====
-const ROADMAP_STATUS_LABEL = { done: '완료', 'in-progress': '진행', 'on-hold': '보류', waiting: '검토', incomplete: '미완료', planned: '예정', blocked: '오류', dropped: '취소', skill: '스킬', rule: '룰', meta: '프로젝트' };
-const ROADMAP_STATUS_COLOR = { done: '#16a34a', 'in-progress': '#2563eb', 'on-hold': '#6b7280', waiting: '#eab308', incomplete: '#f97316', planned: '#94a3b8', blocked: '#dc2626', dropped: '#9ca3af', skill: '#8b5cf6', rule: '#06b6d4', meta: '#0f172a' };
+// 1.9.342 (UR-0025 심층): ROADMAP_STATUS_LABEL / ROADMAP_STATUS_COLOR 는 lib/catalogs.js 로 이전 (import).
 const ROADMAP_NODE_W = 220, ROADMAP_NODE_H = 72, ROADMAP_COL_GAP = 70, ROADMAP_ROW_GAP = 14;
 
 function _esc(s) { return String(s == null ? '' : s).replace(/&/g, '&amp;').replace(/</g, '&lt;').replace(/>/g, '&gt;').replace(/"/g, '&quot;').replace(/'/g, '&#39;'); }

package/lib/catalogs.js

@@ -357,4 +357,26 @@ const BUILTIN_CATALOG = {
   'project-roadmap-generator':    { displayNameKo: '프로젝트 로드맵 자동 생성 스킬', version: '0.2.0', lastUpdated: '2026-05-12', verification: 'passed', capabilities: ['leerness .harness/* 통합 파싱 (plan/progress/skills/rules/decisions/handoff/current-state)', '좌→우 수평 트리 + 상하 중앙정렬 SVG', '7개 상태 색상 (완료/진행/보류/검토/예정/미완료/오류)', 'design-system + CSS variables 자동 주입', '화이트보드 panning/zoom + 더블클릭 reset', '단일 HTML 출력 (외부 의존성 0)'] }
 };
 
-module.exports = { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST, _DEFAULT_PLATFORM_CONSTRAINTS, _DEFAULT_DOMAIN_CATALOG, _LSP_LANG_PATTERNS, OPTIMISM_PATTERNS, BUILT_IN_PERSONAS, STRINGS, BUILTIN_CATALOG };
+// 1.9.342 (UR-0025 심층): roadmap.html 상태 라벨/색상 맵 (status → ko 라벨 / hex 색상) — harness 에서 분리.
+const ROADMAP_STATUS_LABEL = { done: '완료', 'in-progress': '진행', 'on-hold': '보류', waiting: '검토', incomplete: '미완료', planned: '예정', blocked: '오류', dropped: '취소', skill: '스킬', rule: '룰', meta: '프로젝트' };
+const ROADMAP_STATUS_COLOR = { done: '#16a34a', 'in-progress': '#2563eb', 'on-hold': '#6b7280', waiting: '#eab308', incomplete: '#f97316', planned: '#94a3b8', blocked: '#dc2626', dropped: '#9ca3af', skill: '#8b5cf6', rule: '#06b6d4', meta: '#0f172a' };
+
+
+// 1.9.343 (UR-0025 심층): 시크릿 값 스캔 정규식 catalog (13종) — harness 에서 분리. scan secrets 의 값 탐지. (_isSecretKey 키이름 휴리스틱과 보안 응집)
+const SECRET_PATTERNS = [
+  { name: 'AWS Access Key', re: /\b(?:AKIA|ASIA)[0-9A-Z]{16}\b/g },                       // ASIA=임시 자격증명 추가
+  { name: 'GitHub token', re: /\bgh[pousr]_[A-Za-z0-9]{36,}\b/g },                        // ghp_/gho_/ghu_/ghs_/ghr_ 통합
+  { name: 'GitHub fine-grained PAT', re: /\bgithub_pat_[A-Za-z0-9_]{40,}\b/g },
+  { name: 'OpenAI project/service key', re: /\bsk-(?:proj|svcacct|admin)-[A-Za-z0-9_-]{20,}/g }, // modern (하이픈/언더스코어 포함)
+  { name: 'OpenAI API key', re: /\bsk-[A-Za-z0-9]{32,}\b/g },                             // legacy
+  { name: 'Anthropic API key', re: /\bsk-ant-[A-Za-z0-9_-]{20,}/g },                      // _ 포함 + 후행 \b 제거 (실제 키 호환)
+  { name: 'Stripe secret key', re: /\b(?:sk|rk)_(?:live|test)_[A-Za-z0-9]{20,}\b/g },
+  { name: 'npm token', re: /\bnpm_[A-Za-z0-9]{36}\b/g },
+  { name: 'Google API key', re: /\bAIza[0-9A-Za-z_\-]{35}\b/g },
+  { name: 'Google OAuth token', re: /\bya29\.[A-Za-z0-9_-]{20,}/g },
+  { name: 'Slack token', re: /\bxox[baprs]-[A-Za-z0-9-]{10,}\b/g },
+  { name: 'Generic private key', re: /-----BEGIN (?:RSA |OPENSSH |EC |DSA |PGP )?PRIVATE KEY-----/g },
+  { name: 'Hardcoded password assignment', re: /\b(?:password|passwd|pwd|secret|api_key|apikey)\s*[:=]\s*["'][^"'\s]{6,}["']/gi },
+];
+
+module.exports = { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST, _DEFAULT_PLATFORM_CONSTRAINTS, _DEFAULT_DOMAIN_CATALOG, _LSP_LANG_PATTERNS, OPTIMISM_PATTERNS, BUILT_IN_PERSONAS, STRINGS, BUILTIN_CATALOG, ROADMAP_STATUS_LABEL, ROADMAP_STATUS_COLOR, SECRET_PATTERNS };

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "leerness",
-  "version": "1.9.341",
+  "version": "1.9.343",
   "description": "Leerness: 비파괴 마이그레이션, 자동 버전 감지·업데이트, 계획/진행/핸드오프 자동화, 게으름·시크릿·인코딩 자동 가드, Claude Code 슬래시 통합을 갖춘 한국어 우선 AI 개발 하네스.",
   "keywords": [
     "leerness",

package/scripts/e2e.js

@@ -4399,5 +4399,67 @@ total++;
   if (!ok) failed++;
 }
 
+// 1.9.342 회귀 (UR-0025 심층): ROADMAP_STATUS_LABEL/COLOR→lib/catalogs + roadmap.html 렌더 회귀
+total++;
+{
+  let ok = false;
+  try {
+    const c = require(path.resolve(__dirname, '..', 'lib', 'catalogs.js'));
+    const mapsOk = c.ROADMAP_STATUS_LABEL && c.ROADMAP_STATUS_COLOR
+      && Object.keys(c.ROADMAP_STATUS_LABEL).length === 11 && Object.keys(c.ROADMAP_STATUS_COLOR).length === 11
+      && c.ROADMAP_STATUS_LABEL.done === '완료' && c.ROADMAP_STATUS_COLOR.done === '#16a34a' && c.ROADMAP_STATUS_COLOR.skill === '#8b5cf6';
+    const harnessSrc = fs.readFileSync(path.resolve(__dirname, '..', 'bin', 'harness.js'), 'utf8');
+    const _catImp = (harnessSrc.match(/const \{[\s\S]*?\} = require\('\.\.\/lib\/catalogs'\)/) || [''])[0];  // import 순서/추가 비의존
+    const movedOut = !/const ROADMAP_STATUS_LABEL = \{/.test(harnessSrc) && !/const ROADMAP_STATUS_COLOR = \{/.test(harnessSrc)
+      && _catImp.includes('ROADMAP_STATUS_LABEL') && _catImp.includes('ROADMAP_STATUS_COLOR');
+    // 소비 회귀: roadmap.html 생성 시 색상/라벨 주입
+    const rd = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-rm-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', rd, '--yes', '--language', 'ko', '--skills', 'recommended'], { encoding: 'utf8', timeout: 30000 });
+    cp.spawnSync(process.execPath, [CLI, 'roadmap', rd], { encoding: 'utf8', timeout: 20000 });
+    const rf = path.join(rd, 'roadmap.html');
+    const html = fs.existsSync(rf) ? fs.readFileSync(rf, 'utf8') : '';
+    const renderOk = html.includes('#16a34a') && html.includes('#8b5cf6');
+    ok = mapsOk && movedOut && renderOk;
+    fs.rmSync(rd, { recursive: true, force: true });
+  } catch {}
+  console.log(ok ? '✓ B(1.9.342) UR-0025 심층: ROADMAP_STATUS 맵 분리 + roadmap.html 렌더 회귀 (UR-0025)' : '✗ ROADMAP_STATUS 분리 실패');
+  if (!ok) failed++;
+}
+
+// 1.9.343 회귀 (UR-0025 심층, R300 마일스톤): SECRET_PATTERNS→lib/catalogs 보안 응집 + scan secrets 탐지/오탐 가드 회귀
+total++;
+{
+  let ok = false;
+  try {
+    const c = require(path.resolve(__dirname, '..', 'lib', 'catalogs.js'));
+    const A = 'A'.repeat(40);
+    const hit = (s) => c.SECRET_PATTERNS.some(p => { p.re.lastIndex = 0; return p.re.test(s); });
+    const catOk = Array.isArray(c.SECRET_PATTERNS) && c.SECRET_PATTERNS.length === 13
+      && hit('AKIA' + 'ABCD1234EFGH5678') && hit('sk-' + 'ant-api03-' + A + '_' + A) && !hit('const u = "john' + '_doe_2024";');
+    const harnessSrc = fs.readFileSync(path.resolve(__dirname, '..', 'bin', 'harness.js'), 'utf8');
+    const _catImp = (harnessSrc.match(/const \{[\s\S]*?\} = require\('\.\.\/lib\/catalogs'\)/) || [''])[0];  // import 순서/추가 비의존
+    // 모듈 레벨 정의 제거(블록 지역 .env 배열은 보존) + import
+    const movedOut = !/const SECRET_PATTERNS = \[\r?\n\s*\{ name:/.test(harnessSrc) && _catImp.includes('SECRET_PATTERNS')
+      && /const SECRET_PATTERNS = \['\.env'/.test(harnessSrc);  // 지역 .env shadow 보존 확인
+    // 소비 회귀: scan secrets 가 가짜 AWS/Anthropic 키 탐지 + clean 0
+    const sd = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-sec-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', sd, '--yes', '--language', 'ko', '--skills', 'recommended'], { encoding: 'utf8', timeout: 30000 });
+    fs.writeFileSync(path.join(sd, 'leak.js'), 'const k1 = "AKIAABCD1234EFGH5678";\nconst k2 = "sk-ant-api03-' + A + '_' + A + '";\n', 'utf8');
+    const lr = cp.spawnSync(process.execPath, [CLI, 'scan', 'secrets', sd], { encoding: 'utf8', timeout: 20000 });
+    const leakOut = (lr.stdout || '') + (lr.stderr || '');
+    const detectOk = /AWS Access Key/.test(leakOut) && /Anthropic API key/.test(leakOut);
+    fs.rmSync(sd, { recursive: true, force: true });
+    const cd = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-secc-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', cd, '--yes', '--language', 'ko', '--skills', 'recommended'], { encoding: 'utf8', timeout: 30000 });
+    fs.writeFileSync(path.join(cd, 'clean.js'), 'const userName = "john_doe_2024";\nconst url = "https://example.com/x";\n', 'utf8');
+    const cr = cp.spawnSync(process.execPath, [CLI, 'scan', 'secrets', cd], { encoding: 'utf8', timeout: 20000 });
+    const cleanOk = cr.status === 0 && !/AWS Access Key|Anthropic API key/.test((cr.stdout || '') + (cr.stderr || ''));
+    fs.rmSync(cd, { recursive: true, force: true });
+    ok = catOk && movedOut && detectOk && cleanOk;
+  } catch {}
+  console.log(ok ? '✓ B(1.9.343) UR-0025 심층(R300): SECRET_PATTERNS 보안 응집 분리 + scan secrets 탐지/오탐 가드 (UR-0025)' : '✗ SECRET_PATTERNS 분리 실패');
+  if (!ok) failed++;
+}
+
 console.log(`\nE2E result: ${total - failed}/${total} passed · ${((Date.now() - _e2eStart) / 1000).toFixed(0)}s`);
 if (failed > 0) process.exit(1);