leerness 1.9.343 → 1.9.345

package/CHANGELOG.md

@@ -1,5 +1,33 @@
 # Changelog
 
+## 1.9.345 — 2026-06-05 — UR-0025(심층): _esc(HTML escape) 순수함수 분리
+
+**🔒 HTML escape 헬퍼(`_esc`)를 lib/pure-utils.js 로 분리 — roadmap.html 출력 인젝션 방지 보안 함수의 단위 테스트화. catalog vein 이후 순수함수 추출 전환 1번째.** (UR-0025 심층)
+
+### 배경
+정적 데이터 catalog 15종 분리 완료 → 모듈화의 나머지 절반(순수 함수 추출)으로 전환. `_esc` 는 roadmap.html 의 모든 사용자 입력(task 제목/ID/next-action 등 19개 사이트)을 이스케이프하는 **보안 관련** 순수 함수.
+
+### 구현 (UR-0025 심층 — 순수함수)
+1. **`_esc(s)`**(5문자 `& < > " '` → HTML 엔티티, null-safe) → `lib/pure-utils.js`. harness 19개 사용처는 import 된 바인딩 사용(호출 0변경).
+2. selftest 92→93 · e2e 289→290.
+
+### 검증
+- **selftest 93/93 PASS** · **E2E 290/290 PASS** (회귀 0).
+- 실측: 5문자 이스케이프 정확 · XSS 페이로드(`<script>`→`&lt;script&gt;`) · null/undefined→"" · 숫자/평문 보존 · **roadmap.html end-to-end**: 악성 task 제목(`<img src=x onerror=alert(1)>`) 이스케이프 확인(raw 미주입, `&lt;img` 형태).
+
+## 1.9.344 — 2026-06-05 — UR-0025(심층): SKILL_CATALOG_PRESETS 분리 + UR-0057 완료
+
+**🧩 skill discover GitHub preset catalog 를 모듈로 분리 — catalog 추출 vein 마무리(동형 추출 10번째). + UR-0057(anti-laziness 분리, 1.9.336 기구현) 백로그 위생 완료.** (UR-0025 심층)
+
+### 구현 (UR-0025 심층)
+1. **`SKILL_CATALOG_PRESETS`**(vercel/anthropic GitHub skill preset) → `lib/catalogs.js`. `skill discover --preset`/`--all-presets` 가 import. catalog 추출 vein 마무리(10번째).
+2. **UR-0057 완료**: "anti-laziness subsystem data and pure logic extraction" 은 1.9.336 에서 이미 구현(OPTIMISM_PATTERNS→catalogs 10종 + _detectOptimism/_computeConfidence/_extractUrlClaims/_verifyUrlClaim→pure-utils) — 재검증 후 완료 처리(백로그 위생).
+3. selftest 91→92 · e2e 288→289.
+
+### 검증
+- **selftest 92/92 PASS** · **E2E 289/289 PASS** (회귀 0).
+- 실측: preset 2종(vercel.owner=vercel-labs · anthropic.repo=skills) · `skill discover --preset nonexistent` 가 catalog 기반 사용가능 목록(vercel, anthropic) 노출 · UR-0057 구현 실재 재검증(catalogs 10 + pure-utils 4함수 + harness 정의 부재).
+
 ## 1.9.343 — 2026-06-05 — 🎉 R300 마일스톤 · UR-0025(심층): SECRET_PATTERNS 보안 응집 분리
 
 **🎉 R300 누적 라운드 달성 (baseline v1.9.6).** **🔒 시크릿 값 스캔 정규식(13종)을 lib/catalogs.js 로 분리 — 보안 패턴 응집(`_isSecretKey` 키이름 휴리스틱과 모듈 통합). 동형 추출 9번째.** (UR-0025 심층)

package/README.md

@@ -3,7 +3,7 @@
 > **AI 코딩 에이전트의 거짓 완료·중복·망각·충돌을 막아주는 검수·기억·협업 CLI 하네스.**
 > **A CLI harness that stops AI coding agents from faking completion, duplicating work, forgetting context, and colliding.**
 
-[![npm](https://img.shields.io/badge/npm-leerness-blue)](https://www.npmjs.com/package/leerness) [![version](https://img.shields.io/badge/version-1.9.343-green)]() [![tests](https://img.shields.io/badge/e2e-288%2F288-success)]() [![selftest](https://img.shields.io/badge/selftest-91-success)]() [![mcp](https://img.shields.io/badge/MCP--tools-83-brightgreen)]() [![providers](https://img.shields.io/badge/AI_providers-10-brightgreen)]() [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
+[![npm](https://img.shields.io/badge/npm-leerness-blue)](https://www.npmjs.com/package/leerness) [![version](https://img.shields.io/badge/version-1.9.345-green)]() [![tests](https://img.shields.io/badge/e2e-290%2F290-success)]() [![selftest](https://img.shields.io/badge/selftest-93-success)]() [![mcp](https://img.shields.io/badge/MCP--tools-83-brightgreen)]() [![providers](https://img.shields.io/badge/AI_providers-10-brightgreen)]() [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
 
 ```
   ╔══════════════════════════════════════════════════════════════╗
@@ -471,7 +471,7 @@ MIT — © leerness contributors
 <!-- leerness:project-readme:start -->
 ## Leerness Project Harness
 
-이 프로젝트는 Leerness v1.9.343 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
+이 프로젝트는 Leerness v1.9.345 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
 
 ### 정체성 — AI 에이전트 운영 레이어 (UR-0030)
 
@@ -525,7 +525,7 @@ leerness memory restore decision <date|title>
 
 ### MCP server (외부 AI 통합)
 
-Leerness v1.9.343는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **83개 도구**를 노출:
+Leerness v1.9.345는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **83개 도구**를 노출:
 
 ```jsonc
 // 카테고리별
@@ -546,7 +546,7 @@ Leerness v1.9.343는 stdio JSON-RPC MCP server를 내장합니다 — Claude Cod
 `<<autonomous-loop-dynamic>>` 신호만 보내면 AI가:
 1) 다음 라운드 후보 선정 → 2) 코드 변경 → 3) stress-v* 신규 작성 + 누적 회귀 → 4) e2e 219/219 → 5) npm pack + git tag + GitHub release → 6) main 자동 push (1.9.140+) → 7) session close → 8) 다음 라운드 예약.
 
-현재 누적: **70 라운드 (1.9.40 → 1.9.343)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
+현재 누적: **70 라운드 (1.9.40 → 1.9.345)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
 
 ### 성능 가이드 (1.9.140 측정)
 
@@ -584,6 +584,6 @@ leerness release pack --close --auto-main-push
 - `.harness/session-handoff.md`: 다음 세션 인수인계 (자동 작성)
 - `.harness/lessons.md` / `decisions.md` / `rules.md`: 영구 메모리 (5 surface)
 
-Last synced by Leerness v1.9.343: 2026-06-05
+Last synced by Leerness v1.9.345: 2026-06-05
 <!-- leerness:project-readme:end -->
 

package/bin/harness.js

@@ -21,13 +21,13 @@ const { _isSecretKey, compareVer, parseHarnessVersion, _classifyCJK, _riskLabel,
   _detectOptimism: _puDetectOptimism, _computeConfidence: _puComputeConfidence,
   _personaSummaries, _translate,
   _decisionsFromMd, _renderDecisionsMd, _renderLessonsMd,
-  _withBuiltinSource } = require('../lib/pure-utils');  // 1.9.318~341 (UR-0025/0053): 순수 유틸 모듈 분리
+  _withBuiltinSource, _esc } = require('../lib/pure-utils');  // 1.9.318~345 (UR-0025/0053): 순수 유틸 모듈 분리
 // 1.9.304 (UR-0025): 순수 분석/검증 함수 모듈 분리.
 const { _evidenceQuality, _parseEvidenceStats, _shellGuardAnalyze, _claimFileInGit, _epistemicHonestyCheck } = require('../lib/analyzers');
 // 1.9.295 (UR-0025 4단계): 정적 데이터 카탈로그 모듈 분리 (비파괴, require-based).
-const { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST, _DEFAULT_PLATFORM_CONSTRAINTS, _DEFAULT_DOMAIN_CATALOG, _LSP_LANG_PATTERNS, OPTIMISM_PATTERNS, BUILT_IN_PERSONAS, STRINGS, BUILTIN_CATALOG, ROADMAP_STATUS_LABEL, ROADMAP_STATUS_COLOR, SECRET_PATTERNS } = require('../lib/catalogs');  // 1.9.343 (UR-0025): SECRET_PATTERNS 보안 응집 분리
+const { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST, _DEFAULT_PLATFORM_CONSTRAINTS, _DEFAULT_DOMAIN_CATALOG, _LSP_LANG_PATTERNS, OPTIMISM_PATTERNS, BUILT_IN_PERSONAS, STRINGS, BUILTIN_CATALOG, ROADMAP_STATUS_LABEL, ROADMAP_STATUS_COLOR, SECRET_PATTERNS, SKILL_CATALOG_PRESETS } = require('../lib/catalogs');  // 1.9.344 (UR-0025): SKILL_CATALOG_PRESETS 분리
 
-const VERSION = '1.9.343';
+const VERSION = '1.9.345';
 
 // 1.9.290 (UR-0037, Codex gpt-5.5 #4 수렴): CLI 전용 부작용은 require 시 실행하지 않는다.
 //   이전: warning listener 제거 / NODE_OPTIONS 변경 / chcp IIFE 가 top-level 즉시 실행 → require('harness') 시 호스트 프로세스 오염.
@@ -1612,12 +1612,7 @@ function _parseSkillCatalog(body, sourceUrl) {
 // 1.9.182: 공식 조직 스킬 catalog presets — 사용자 명시 (vercel-labs, anthropics 같은 1st-party 자동 탐색).
 //   각 entry: GitHub repo의 skills/ 디렉토리에 SKILL.md 들이 있는 표준 구조.
 //   sync: leerness skill discover --preset <name>  ·  --all-presets  ·  --github <owner/repo>[#branch]
-const SKILL_CATALOG_PRESETS = {
-  'vercel':    { owner: 'vercel-labs', repo: 'agent-skills', branch: 'main', path: 'skills',
-                  homepage: 'https://github.com/vercel-labs/agent-skills' },
-  'anthropic': { owner: 'anthropics',  repo: 'skills',       branch: 'main', path: 'skills',
-                  homepage: 'https://github.com/anthropics/skills' }
-};
+// 1.9.344 (UR-0025 심층): SKILL_CATALOG_PRESETS 는 lib/catalogs.js 로 이전 (import).
 
 // 1.9.182: GitHub repo 의 skills/ 디렉토리 자동 탐색.
 //   GitHub Contents API (no auth 60req/hr, .env GITHUB_TOKEN 시 5000req/hr) 사용.
@@ -3057,6 +3052,8 @@ function _selfTestCases() {
     { name: 'UR-0025 심층: BUILTIN_CATALOG→lib/catalogs + _withBuiltinSource→pure-utils 분리 (1.9.341)', run: () => { const c = require('../lib/catalogs'); const m = require('../lib/pure-utils'); const catOk = c.BUILTIN_CATALOG && Object.keys(c.BUILTIN_CATALOG).length === 9 && c.BUILTIN_CATALOG.office && c.BUILTIN_CATALOG.office.version === '1.0.0'; const out = m._withBuiltinSource(c.BUILTIN_CATALOG); const work = Object.keys(out).length === 9 && Object.values(out).every(v => v._source === 'builtin') && out.office.version === '1.0.0' && Array.isArray(out.office.capabilities) && Object.keys(m._withBuiltinSource(null)).length === 0; const src = read(__filename); const moved = BUILTIN_CATALOG === c.BUILTIN_CATALOG && _withBuiltinSource === m._withBuiltinSource && !/const BUILTIN_CATALOG = \{/.test(src); return catOk && work && moved; } },
     { name: 'UR-0025 심층: ROADMAP_STATUS_LABEL/COLOR→lib/catalogs 분리 (1.9.342)', run: () => { const c = require('../lib/catalogs'); const lblOk = c.ROADMAP_STATUS_LABEL && Object.keys(c.ROADMAP_STATUS_LABEL).length === 11 && c.ROADMAP_STATUS_LABEL.done === '완료' && c.ROADMAP_STATUS_LABEL.blocked === '오류'; const colOk = c.ROADMAP_STATUS_COLOR && Object.keys(c.ROADMAP_STATUS_COLOR).length === 11 && c.ROADMAP_STATUS_COLOR.done === '#16a34a' && c.ROADMAP_STATUS_COLOR.skill === '#8b5cf6'; const src = read(__filename); const moved = ROADMAP_STATUS_LABEL === c.ROADMAP_STATUS_LABEL && ROADMAP_STATUS_COLOR === c.ROADMAP_STATUS_COLOR && !/const ROADMAP_STATUS_LABEL = \{/.test(src); return lblOk && colOk && moved; } },
     { name: 'UR-0025 심층: SECRET_PATTERNS→lib/catalogs 보안 응집 분리 (1.9.343)', run: () => { const c = require('../lib/catalogs'); const catOk = Array.isArray(c.SECRET_PATTERNS) && c.SECRET_PATTERNS.length === 13 && c.SECRET_PATTERNS.every(p => p.name && p.re instanceof RegExp); const A = 'A'.repeat(40); const hit = (s) => c.SECRET_PATTERNS.some(p => { p.re.lastIndex = 0; return p.re.test(s); }); const det = hit('AKIA' + 'ABCD1234EFGH5678') && hit('sk-' + 'ant-api03-' + A + '_' + A) && !hit('const u = "john' + '_doe_2024";'); const moved = SECRET_PATTERNS === c.SECRET_PATTERNS; return catOk && det && moved; } },
+    { name: 'UR-0025 심층: SKILL_CATALOG_PRESETS→lib/catalogs 분리 (1.9.344)', run: () => { const c = require('../lib/catalogs'); const catOk = c.SKILL_CATALOG_PRESETS && Object.keys(c.SKILL_CATALOG_PRESETS).length === 2 && c.SKILL_CATALOG_PRESETS.vercel && c.SKILL_CATALOG_PRESETS.vercel.owner === 'vercel-labs' && c.SKILL_CATALOG_PRESETS.anthropic && c.SKILL_CATALOG_PRESETS.anthropic.repo === 'skills'; const moved = SKILL_CATALOG_PRESETS === c.SKILL_CATALOG_PRESETS; return catOk && moved; } },
+    { name: 'UR-0025 심층: _esc(HTML escape)→pure-utils 분리 + XSS 가드 (1.9.345)', run: () => { const m = require('../lib/pure-utils'); const work = m._esc('&<>"\'') === '&amp;&lt;&gt;&quot;&#39;' && m._esc('<script>x</script>') === '&lt;script&gt;x&lt;/script&gt;' && m._esc(null) === '' && m._esc(undefined) === '' && m._esc(42) === '42'; const moved = _esc === m._esc; return work && moved; } },
     { name: 'VERSION 형식 (x.y.z)', run: () => /^\d+\.\d+\.\d+$/.test(VERSION) }
   ];
 }
@@ -13207,7 +13204,7 @@ function brainstormCmd(root, topic) {
 // 1.9.342 (UR-0025 심층): ROADMAP_STATUS_LABEL / ROADMAP_STATUS_COLOR 는 lib/catalogs.js 로 이전 (import).
 const ROADMAP_NODE_W = 220, ROADMAP_NODE_H = 72, ROADMAP_COL_GAP = 70, ROADMAP_ROW_GAP = 14;
 
-function _esc(s) { return String(s == null ? '' : s).replace(/&/g, '&amp;').replace(/</g, '&lt;').replace(/>/g, '&gt;').replace(/"/g, '&quot;').replace(/'/g, '&#39;'); }
+// 1.9.345 (UR-0025 심층): _esc (HTML escape) 는 lib/pure-utils.js 로 이전 (import).
 // 1.9.328 (UR-0025): _truncate → lib/pure-utils.js 로 이동 (순수 문자열 절단, require 사용).
 
 // 1.9.329 (UR-0025): _roadmapMapStatus / _roadmapParseMilestones / _roadmapParseTokens → lib/pure-utils.js 로 이동 (순수 roadmap MD 파서, require 사용).

package/lib/catalogs.js

@@ -379,4 +379,12 @@ const SECRET_PATTERNS = [
   { name: 'Hardcoded password assignment', re: /\b(?:password|passwd|pwd|secret|api_key|apikey)\s*[:=]\s*["'][^"'\s]{6,}["']/gi },
 ];
 
-module.exports = { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST, _DEFAULT_PLATFORM_CONSTRAINTS, _DEFAULT_DOMAIN_CATALOG, _LSP_LANG_PATTERNS, OPTIMISM_PATTERNS, BUILT_IN_PERSONAS, STRINGS, BUILTIN_CATALOG, ROADMAP_STATUS_LABEL, ROADMAP_STATUS_COLOR, SECRET_PATTERNS };
+// 1.9.344 (UR-0025 심층): skill discover GitHub preset catalog (vercel/anthropic) — harness 에서 분리.
+const SKILL_CATALOG_PRESETS = {
+  'vercel':    { owner: 'vercel-labs', repo: 'agent-skills', branch: 'main', path: 'skills',
+                  homepage: 'https://github.com/vercel-labs/agent-skills' },
+  'anthropic': { owner: 'anthropics',  repo: 'skills',       branch: 'main', path: 'skills',
+                  homepage: 'https://github.com/anthropics/skills' }
+};
+
+module.exports = { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST, _DEFAULT_PLATFORM_CONSTRAINTS, _DEFAULT_DOMAIN_CATALOG, _LSP_LANG_PATTERNS, OPTIMISM_PATTERNS, BUILT_IN_PERSONAS, STRINGS, BUILTIN_CATALOG, ROADMAP_STATUS_LABEL, ROADMAP_STATUS_COLOR, SECRET_PATTERNS, SKILL_CATALOG_PRESETS };

package/lib/pure-utils.js

@@ -391,6 +391,11 @@ function _withBuiltinSource(catalog) {
   return out;
 }
 
+// 1.9.345 (UR-0025 심층): HTML escape (roadmap.html 등 출력 인젝션 방지) — 순수, null-safe.
+function _esc(s) {
+  return String(s == null ? '' : s).replace(/&/g, '&amp;').replace(/</g, '&lt;').replace(/>/g, '&gt;').replace(/"/g, '&quot;').replace(/'/g, '&#39;');
+}
+
 // 1.9.333 (UR-0025 심층): 순수 플랫폼 제약 매칭 — catalog + 텍스트 → 매칭 플랫폼/제약/제안 (fs 의존 0, catalog 주입).
 function _matchConstraints(catalog, text) {
   if (!text || typeof text !== 'string' || !catalog || !catalog.platforms) return { matched: [], suggestions: [] };
@@ -591,6 +596,8 @@ module.exports = {
   _parseLessonEntries, _renderLessonsMd,
   // 1.9.341 (UR-0025 심층): 내장 스킬 catalog _source 부여
   _withBuiltinSource,
+  // 1.9.345 (UR-0025 심층): HTML escape (출력 인젝션 방지)
+  _esc,
   // 1.9.333 (UR-0025 심층): 순수 플랫폼 제약 매칭
   _matchConstraints,
   // 1.9.333 패턴 적용: 순수 도메인 매칭

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "leerness",
-  "version": "1.9.343",
+  "version": "1.9.345",
   "description": "Leerness: 비파괴 마이그레이션, 자동 버전 감지·업데이트, 계획/진행/핸드오프 자동화, 게으름·시크릿·인코딩 자동 가드, Claude Code 슬래시 통합을 갖춘 한국어 우선 AI 개발 하네스.",
   "keywords": [
     "leerness",

package/scripts/e2e.js

@@ -4461,5 +4461,58 @@ total++;
   if (!ok) failed++;
 }
 
+// 1.9.344 회귀 (UR-0025 심층): SKILL_CATALOG_PRESETS→lib/catalogs + skill discover preset 인식 회귀
+total++;
+{
+  let ok = false;
+  try {
+    const c = require(path.resolve(__dirname, '..', 'lib', 'catalogs.js'));
+    const catOk = c.SKILL_CATALOG_PRESETS && Object.keys(c.SKILL_CATALOG_PRESETS).length === 2
+      && c.SKILL_CATALOG_PRESETS.vercel && c.SKILL_CATALOG_PRESETS.vercel.owner === 'vercel-labs'
+      && c.SKILL_CATALOG_PRESETS.anthropic && c.SKILL_CATALOG_PRESETS.anthropic.repo === 'skills';
+    const harnessSrc = fs.readFileSync(path.resolve(__dirname, '..', 'bin', 'harness.js'), 'utf8');
+    const _catImp = (harnessSrc.match(/const \{[\s\S]*?\} = require\('\.\.\/lib\/catalogs'\)/) || [''])[0];  // import 순서/추가 비의존
+    const movedOut = !/const SKILL_CATALOG_PRESETS = \{/.test(harnessSrc) && _catImp.includes('SKILL_CATALOG_PRESETS');
+    // 소비 회귀: skill discover 가 preset 목록을 catalog 에서 노출 (네트워크 없이 unknown preset → 사용가능 목록)
+    const sd = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-pre-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', sd, '--yes', '--language', 'ko', '--skills', 'recommended'], { encoding: 'utf8', timeout: 30000 });
+    const dr = cp.spawnSync(process.execPath, [CLI, 'skill', 'discover', '--preset', 'nonexistent', '--path', sd], { encoding: 'utf8', timeout: 20000 });
+    const out = (dr.stdout || '') + (dr.stderr || '');
+    const cmdOk = /vercel/.test(out) && /anthropic/.test(out);
+    ok = catOk && movedOut && cmdOk;
+    fs.rmSync(sd, { recursive: true, force: true });
+  } catch {}
+  console.log(ok ? '✓ B(1.9.344) UR-0025 심층: SKILL_CATALOG_PRESETS 분리 + skill discover preset 회귀 (UR-0025)' : '✗ SKILL_CATALOG_PRESETS 분리 실패');
+  if (!ok) failed++;
+}
+
+// 1.9.345 회귀 (UR-0025 심층): _esc(HTML escape)→pure-utils + roadmap.html XSS 이스케이프 회귀
+total++;
+{
+  let ok = false;
+  try {
+    const m = require(path.resolve(__dirname, '..', 'lib', 'pure-utils.js'));
+    const pureOk = typeof m._esc === 'function'
+      && m._esc('&<>"\'') === '&amp;&lt;&gt;&quot;&#39;'
+      && m._esc('<script>x</script>') === '&lt;script&gt;x&lt;/script&gt;'
+      && m._esc(null) === '' && m._esc(undefined) === '' && m._esc(42) === '42';
+    const harnessSrc = fs.readFileSync(path.resolve(__dirname, '..', 'bin', 'harness.js'), 'utf8');
+    const _puImp = (harnessSrc.match(/const \{[\s\S]*?\} = require\('\.\.\/lib\/pure-utils'\)/) || [''])[0];
+    const movedOut = !/function _esc\(/.test(harnessSrc) && _puImp.includes('_esc');
+    // 소비 회귀: roadmap.html 이 악성 task 제목을 이스케이프 (인젝션 방지)
+    const rd = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-esc-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', rd, '--yes', '--language', 'ko', '--skills', 'recommended'], { encoding: 'utf8', timeout: 30000 });
+    fs.appendFileSync(path.join(rd, '.harness', 'progress-tracker.md'), '| T-7777 | done | <img src=x onerror=alert(1)> | src/x.js | M-1 | 2026-06-05 |\n');
+    cp.spawnSync(process.execPath, [CLI, 'roadmap', rd], { encoding: 'utf8', timeout: 20000 });
+    const rf = path.join(rd, 'roadmap.html');
+    const html = fs.existsSync(rf) ? fs.readFileSync(rf, 'utf8') : '';
+    const renderOk = html.length > 0 && !html.includes('<img src=x onerror') && html.includes('&lt;img');
+    ok = pureOk && movedOut && renderOk;
+    fs.rmSync(rd, { recursive: true, force: true });
+  } catch {}
+  console.log(ok ? '✓ B(1.9.345) UR-0025 심층: _esc(HTML escape) 분리 + roadmap.html XSS 이스케이프 회귀 (UR-0025)' : '✗ _esc 분리 실패');
+  if (!ok) failed++;
+}
+
 console.log(`\nE2E result: ${total - failed}/${total} passed · ${((Date.now() - _e2eStart) / 1000).toFixed(0)}s`);
 if (failed > 0) process.exit(1);