leerness 1.9.385 → 1.9.387

package/CHANGELOG.md

@@ -1,5 +1,38 @@
 # Changelog
 
+## 1.9.387 — 2026-06-06 — --json 일관성 연장: incident/runs list 빈 케이스 구조화 (UR-0088)
+
+**🔌 `incident list` / `runs list` 의 빈 상태도 `--json` 시 `{total:0,items:[]}` 출력 — AI 에이전트가 빈 프로젝트에서 사람용 텍스트를 파싱하다 실패하던 일관성 결함 해소.**
+
+### 배경 (5번째 외부평가 UR-0085 테마 자체 확장)
+status/verify --json(1.9.384) 수정 후, 나머지 읽기형 명령 12종의 --json 커버리지를 자체 점검. 10종은 정상이나 `incident list` / `runs list` 는 디렉토리 미존재(빈 프로젝트) 시 `--json` 검사 전에 사람용 텍스트(`(runs 없음 …)`)를 출력하고 조기 return → AI 에이전트가 JSON.parse 실패.
+
+### 구현
+- `runsListCmd` / `incidentListCmd` 의 빈 케이스 조기 return 을 `has('--json')` 인지하도록 수정 → 빈 케이스도 `{ total: 0, items: [] }`(데이터 케이스와 동일 스키마) 출력. `--json` 없으면 기존 사람용 텍스트 그대로.
+
+### 검증 (회귀 0)
+- **selftest 132→133 PASS** (incident/runs list 빈 케이스 behavioral --json 파싱 → total=0/items=[]).
+- **E2E 331→332 PASS** (fresh init 에서 incident/runs list --json → `{total:0,items:[]}` + 사람용 텍스트(JSON 아님) 보존).
+- 실측: 읽기형 12종 중 10종 기존 정상 + 2종 수정 = --json 일관성 완비.
+
+## 1.9.386 — 2026-06-06 — 5번째 외부평가: secret scan env-family 포함 + gitignore git-일치 (UR-0087)
+
+**🔐 `.env.bad` / `.env.local` / `.env.production` 등 env-variant 파일의 시크릿을 스캔 — 통째 스킵되던 보안 false-negative 해소 + gitignore 강등을 git 실제 동작에 맞춤.**
+
+### 배경 (5번째 외부평가, GPT-5.5 web · "참고하되 맹신 X")
+"secret scan 이 `.env.bad` 의 OpenAI-key-like 문자열을 놓쳤다." 자체 재현으로 **두 겹의 원인** 발견:
+1. **스캔 제외(주원인)**: `.env.bad` 의 extname 은 `.bad`(.env.local→`.local`, .env.production→`.production`) 라 `SCAN_TEXT_EXT` 에 없어 **파일 자체가 스킵**. bare `.env`(extname `''`)만 스캔되고 있었음.
+2. **과잉 강등**: 1.9.365(CV-6) 의 `.env` 관행 휴리스틱이 `.gitignore` 에 `.env` 만 있어도 모든 `.env.*` 를 보호(info 강등)로 처리 — 그러나 `git check-ignore .env.bad`(gitignore=`.env`) 는 **미무시(커밋 대상)**.
+
+### 구현
+1. **env-family 스캔 포함**: extname 대신 basename `/^\.env(\.|$)/` 매칭 → `.env` / `.env.local` / `.env.bad` / `.env.production` 모두 스캔.
+2. **`_gitignoreMatch` + `_globToRe` 순수 추출**(lib/pure-utils.js, UR-0025): 정확매칭 / glob(`*`→`[^/]*`) / dir(`/`) 지원. 1.9.365 과잉 휴리스틱 제거 → **git 실제 동작 일치**: bare `.env` 는 `.env` 만 보호, `.env.bad` 는 커밋 대상(실패). `.env.*` / `.env*` 명시 시에만 `.env.bad` 보호.
+
+### 검증 (회귀 0)
+- **selftest 131→132 PASS** (`_gitignoreMatch` 15종 매트릭스 핵심 `.env↛.env.bad`=false + env-family 스캔 와이어 + reference-equality).
+- **E2E 330→331 PASS** (① `.env.bad`+gitignore=`.env`→커밋대상 exit1 + ② `.env`→강등 exit0(CV-6 보존) + ③ `.env.bad`+gitignore=`.env.*`→glob 강등 exit0).
+- 실측 15/15 gitignore 매칭(git 일치) + `git check-ignore` 교차확인.
+
 ## 1.9.385 — 2026-06-06 — 5번째 외부평가: contract verify markdown bullet 함수 파서 (UR-0086)
 
 **📐 `contract verify` spec 파서가 markdown bullet `- name(args)` 함수 선언을 감지 — 실제 누락을 통과시키던 false-negative 해소.**

package/README.md

@@ -3,7 +3,7 @@
 > **AI 코딩 에이전트의 거짓 완료·중복·망각·충돌을 막아주는 검수·기억·협업 CLI 하네스.**
 > **A CLI harness that stops AI coding agents from faking completion, duplicating work, forgetting context, and colliding.**
 
-[![npm](https://img.shields.io/badge/npm-leerness-blue)](https://www.npmjs.com/package/leerness) [![version](https://img.shields.io/badge/version-1.9.385-green)]() [![tests](https://img.shields.io/badge/e2e-330%2F330-success)]() [![selftest](https://img.shields.io/badge/selftest-131-success)]() [![mcp](https://img.shields.io/badge/MCP--tools-85-brightgreen)]() [![providers](https://img.shields.io/badge/AI_providers-10-brightgreen)]() [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
+[![npm](https://img.shields.io/badge/npm-leerness-blue)](https://www.npmjs.com/package/leerness) [![version](https://img.shields.io/badge/version-1.9.387-green)]() [![tests](https://img.shields.io/badge/e2e-332%2F332-success)]() [![selftest](https://img.shields.io/badge/selftest-133-success)]() [![mcp](https://img.shields.io/badge/MCP--tools-85-brightgreen)]() [![providers](https://img.shields.io/badge/AI_providers-10-brightgreen)]() [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
 
 ```
   ╔══════════════════════════════════════════════════════════════╗
@@ -471,7 +471,7 @@ MIT — © leerness contributors
 <!-- leerness:project-readme:start -->
 ## Leerness Project Harness
 
-이 프로젝트는 Leerness v1.9.385 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
+이 프로젝트는 Leerness v1.9.387 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
 
 ### 정체성 — AI 에이전트 운영 레이어 (UR-0030)
 
@@ -525,7 +525,7 @@ leerness memory restore decision <date|title>
 
 ### MCP server (외부 AI 통합)
 
-Leerness v1.9.385는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **85개 도구**를 노출:
+Leerness v1.9.387는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **85개 도구**를 노출:
 
 ```jsonc
 // 카테고리별
@@ -546,7 +546,7 @@ Leerness v1.9.385는 stdio JSON-RPC MCP server를 내장합니다 — Claude Cod
 `<<autonomous-loop-dynamic>>` 신호만 보내면 AI가:
 1) 다음 라운드 후보 선정 → 2) 코드 변경 → 3) stress-v* 신규 작성 + 누적 회귀 → 4) e2e 219/219 → 5) npm pack + git tag + GitHub release → 6) main 자동 push (1.9.140+) → 7) session close → 8) 다음 라운드 예약.
 
-현재 누적: **70 라운드 (1.9.40 → 1.9.385)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
+현재 누적: **70 라운드 (1.9.40 → 1.9.387)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
 
 ### 성능 가이드 (1.9.140 측정)
 
@@ -584,6 +584,6 @@ leerness release pack --close --auto-main-push
 - `.harness/session-handoff.md`: 다음 세션 인수인계 (자동 작성)
 - `.harness/lessons.md` / `decisions.md` / `rules.md`: 영구 메모리 (5 surface)
 
-Last synced by Leerness v1.9.385: 2026-06-06
+Last synced by Leerness v1.9.387: 2026-06-06
 <!-- leerness:project-readme:end -->
 

package/bin/harness.js

@@ -23,13 +23,13 @@ const { _isSecretKey, _isPlaceholderSecret, _looksSecretLike, _mergeLines, _merg
   _personaSummaries, _translate,
   _decisionsFromMd, _renderDecisionsMd, _renderLessonsMd,
   _withBuiltinSource, _esc, _roadmapTokenStyles, _parseSkillMd,
-  _migrationGuideText, _parseContractSpec } = require('../lib/pure-utils');  // 1.9.318~385 (UR-0025/0053/0075/0086): 순수 유틸 모듈 분리
+  _migrationGuideText, _parseContractSpec, _gitignoreMatch } = require('../lib/pure-utils');  // 1.9.318~386 (UR-0025/0053/0075/0086/0087): 순수 유틸 모듈 분리
 // 1.9.304 (UR-0025): 순수 분석/검증 함수 모듈 분리.
 const { _evidenceQuality, _parseEvidenceStats, _shellGuardAnalyze, _claimFileInGit, _epistemicHonestyCheck } = require('../lib/analyzers');
 // 1.9.295 (UR-0025 4단계): 정적 데이터 카탈로그 모듈 분리 (비파괴, require-based).
 const { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST, _DEFAULT_PLATFORM_CONSTRAINTS, _DEFAULT_DOMAIN_CATALOG, _LSP_LANG_PATTERNS, OPTIMISM_PATTERNS, BUILT_IN_PERSONAS, STRINGS, BUILTIN_CATALOG, ROADMAP_STATUS_LABEL, ROADMAP_STATUS_COLOR, SECRET_PATTERNS, MERGE_OVERWRITE_FILES, MINIMAL_SKIP_KEYS, REQUIRED_WORKSPACE_FILES, KEYWORD_STOPWORDS, SKILL_CATALOG_PRESETS } = require('../lib/catalogs');  // 1.9.344/368/369 (UR-0025): catalog 분리 (MERGE_OVERWRITE_FILES/MINIMAL_SKIP_KEYS 포함)
 
-const VERSION = '1.9.385';
+const VERSION = '1.9.387';
 
 // 1.9.290 (UR-0037, Codex gpt-5.5 #4 수렴): CLI 전용 부작용은 require 시 실행하지 않는다.
 //   이전: warning listener 제거 / NODE_OPTIONS 변경 / chcp IIFE 가 top-level 즉시 실행 → require('harness') 시 호스트 프로세스 오염.
@@ -2988,6 +2988,8 @@ function _selfTestCases() {
     { name: 'UR-0025 큰핸들러토대: lib/io.js fs 프리미티브(read/writeUtf8/exists/mkdirp/append/rel/absRoot) 분리 + round-trip (1.9.383)', run: () => { const io = require('../lib/io'); const exp = ['absRoot', 'exists', 'read', 'readBuf', 'mkdirp', 'writeUtf8', 'append', 'rel'].every(k => typeof io[k] === 'function') && io.read === read && io.writeUtf8 === writeUtf8 && io.exists === exists; const src = read(__filename); const moved = !/^function writeUtf8\(p, s\) \{/m.test(src) && !/^function read\(p\) \{/m.test(src) && !/^function exists\(p\) \{/m.test(src); const tmp = fs.mkdtempSync(path.join(os.tmpdir(), '__leerness_io_')); let rt = false; try { const f = path.join(tmp, 'a', 'b.txt'); io.writeUtf8(f, '한글RT'); rt = io.exists(f) && io.read(f) === '한글RT' && io.rel(tmp, f) === 'a/b.txt'; } finally { try { fs.rmSync(tmp, { recursive: true, force: true }); } catch {} } return exp && moved && rt; } },
     { name: '5th외부평가/UR-0085: status --json 구조화 출력 + verify --json 와이어 (1.9.384)', run: () => { if (typeof status !== 'function' || typeof verify !== 'function') return false; const tmp = fs.mkdtempSync(path.join(os.tmpdir(), '__leerness_sj_')); const save = process.argv; const _w = process.stdout.write; let so = ''; try { fs.mkdirSync(path.join(tmp, '.harness'), { recursive: true }); process.argv = ['node', 'h', 'status', tmp, '--json']; process.stdout.write = s => { so += s; return true; }; status(tmp); } catch {} finally { process.stdout.write = _w; process.argv = save; try { fs.rmSync(tmp, { recursive: true, force: true }); } catch {} } let sj; try { sj = JSON.parse(so); } catch {} const statusOk = !!sj && typeof sj.total === 'number' && typeof sj.present === 'number' && 'healthy' in sj && Array.isArray(sj.missing); const src = read(__filename); const verifyWired = /function verify\(root\) \{[\s\S]*?has\('--json'\)[\s\S]*?JSON\.stringify\(\{ ok:/.test(src); return statusOk && verifyWired; } },
     { name: '5th외부평가/UR-0086: _parseContractSpec markdown bullet 함수 감지 + 순수 추출 (1.9.385)', run: () => { const m = require('../lib/pure-utils'); if (m._parseContractSpec !== _parseContractSpec) return false; const p = _parseContractSpec('# Spec\n- add(a,b)\n* subtract(a,b)\n1. multiply(a,b)\nfunction legacy(x)\n`mentioned(`\ntick.amount\n'); const declOk = ['add', 'subtract', 'multiply', 'legacy'].every(n => p.declared.includes(n)) && p.declared.length === 4; const menOk = p.mentioned.includes('mentioned') && !p.declared.includes('mentioned'); const fieldOk = p.fields.includes('amount'); const fpOk = _parseContractSpec('- 합계 (a+b)\n- result (total)\n- foo: bar(x)\n**bold**').declared.length === 0; const src = read(__filename); const moved = src.includes('_parseContractSpec(specText)') && !/specText\.matchAll\(\/function/.test(src); return declOk && menOk && fieldOk && fpOk && moved; } },
+    { name: '5th외부평가/UR-0087: _gitignoreMatch git 일치(.env↛.env.bad) + env-family 스캔 (1.9.386)', run: () => { const m = require('../lib/pure-utils'); if (m._gitignoreMatch !== _gitignoreMatch) return false; const gm = _gitignoreMatch; const semOk = gm('.env', '.env') === true && gm('.env', '.env.bad') === false && gm('.env', '.env.local') === false && gm('.env.*', '.env.bad') === true && gm('.env*', '.env') === true && gm('*.pem', 'k.pem') === true && gm('src/', 'src/a.txt') === true; const src = read(__filename); const envFamilyScan = src.includes('const isEnvFamily =') && src.includes('!SCAN_TEXT_EXT.has(ext) && !isEnvFamily'); const delegated = src.includes('return _gitignoreMatch(gi, fileRel)'); return semOk && envFamilyScan && delegated; } },
+    { name: 'UR-0088 5th외부평가 일관성: incident/runs list 빈 케이스 --json 구조화 (1.9.387)', run: () => { if (typeof incidentListCmd !== 'function' || typeof runsListCmd !== 'function') return false; const tmp = fs.mkdtempSync(path.join(os.tmpdir(), '__leerness_lj_')); const save = process.argv; const _w = process.stdout.write; let io = '', ro = ''; try { fs.mkdirSync(path.join(tmp, '.harness'), { recursive: true }); process.argv = ['node', 'h', 'incident', 'list', '--json']; process.stdout.write = s => { io += s; return true; }; incidentListCmd(tmp); process.stdout.write = _w; process.argv = ['node', 'h', 'runs', 'list', '--json']; process.stdout.write = s => { ro += s; return true; }; runsListCmd(tmp); } catch {} finally { process.stdout.write = _w; process.argv = save; try { fs.rmSync(tmp, { recursive: true, force: true }); } catch {} } let ij, rj; try { ij = JSON.parse(io); rj = JSON.parse(ro); } catch {} return !!ij && ij.total === 0 && Array.isArray(ij.items) && !!rj && rj.total === 0 && Array.isArray(rj.items); } },
     { name: 'VERSION 형식 (x.y.z)', run: () => /^\d+\.\d+\.\d+$/.test(VERSION) }
   ];
 }
@@ -7257,23 +7259,13 @@ function* walk(root, base = root, depth = 0, extras = null) {
     else yield p;
   }
 }
-// 1.9.365 (외부리뷰 CV-6/UR-0081): 간이 .gitignore 매칭 — gitignored 파일(.env 계열)의 시크릿은 커밋 제외(설계상 안전) → 실패 대신 info.
-//   full gitignore semantics 아님 (정확매칭/.env-family/*.ext/dir/ 만). 미스 시 안전측(커밋됨으로 간주).
+// 1.9.365 (외부리뷰 CV-6/UR-0081): 간이 .gitignore 매칭 — gitignored 파일의 시크릿은 커밋 제외(설계상 안전) → 실패 대신 info.
+//   1.9.386 (UR-0087, 5번째 외부평가): 순수 _gitignoreMatch 로 위임 + bare '.env' → 모든 '.env.*' 과잉보호 제거.
+//   git 실제 동작 일치: '.env' 는 '.env' 만 보호, '.env.bad' 는 커밋 대상(실패). '.env.*'/'.env*' 명시 시에만 보호.
 function _isLikelyGitignored(root, fileRel) {
   let gi;
   try { gi = read(path.join(root, '.gitignore')); } catch { return false; }
-  const relPosix = String(fileRel).replace(/\\/g, '/');
-  const base = relPosix.split('/').pop();
-  for (let pat of gi.split(/\r?\n/)) {
-    pat = pat.trim();
-    if (!pat || pat.startsWith('#') || pat.startsWith('!')) continue;
-    const p = pat.replace(/^\/+|\/+$/g, '');
-    if (p === relPosix || p === base) return true;
-    if (pat === '.env' && /^\.env(\.|$)/.test(base)) return true;  // .env 관행상 .env.* 도 보호
-    if (p.startsWith('*.') && base.endsWith(p.slice(1))) return true;
-    if (pat.endsWith('/') && (relPosix === p || relPosix.startsWith(p + '/'))) return true;
-  }
-  return false;
+  return _gitignoreMatch(gi, fileRel);
 }
 function scanSecrets(root) {
   root = absRoot(root);
@@ -7283,7 +7275,10 @@ function scanSecrets(root) {
   try { _iter = fs.statSync(root).isFile() ? [root] : walk(root); } catch { _iter = walk(root); }
   for (const file of _iter) {
     const ext = path.extname(file).toLowerCase();
-    if (!SCAN_TEXT_EXT.has(ext)) continue;
+    // 1.9.386 (UR-0087, 5번째 외부평가): env-family(.env / .env.local / .env.bad / .env.production …)는
+    //   extname 이 .bad/.local/.production 라 SCAN_TEXT_EXT 에 없어 통째로 스킵되던 FN → basename 으로 강제 포함.
+    const isEnvFamily = /^\.env(\.|$)/.test(path.basename(file));
+    if (!SCAN_TEXT_EXT.has(ext) && !isEnvFamily) continue;
     let text;
     try { text = read(file); } catch { continue; }
     if (text.length > 1024 * 1024) continue;
@@ -17692,7 +17687,8 @@ function runCommandSafe(cmd, args, opts) {
 function runsListCmd(root) {
   root = absRoot(root || process.cwd());
   const dir = _runsDir(root);
-  if (!exists(dir)) { log('(runs 없음 — leerness agent 호출 시 자동 기록됨)'); return; }
+  // 1.9.387 (UR-0088, 5번째 외부평가 일관성): 빈 케이스도 --json 시 구조화 출력(AI 에이전트가 사람용 텍스트 파싱 실패 방지).
+  if (!exists(dir)) { if (has('--json')) log(JSON.stringify({ total: 0, items: [] }, null, 2)); else log('(runs 없음 — leerness agent 호출 시 자동 기록됨)'); return; }
   const files = fs.readdirSync(dir).filter(f => f.endsWith('.jsonl')).sort().reverse();
   if (has('--json')) {
     const items = files.slice(0, 50).map(f => {
@@ -19518,7 +19514,8 @@ function _saveIncident(root, payload) {
 function incidentListCmd(root) {
   root = absRoot(root || process.cwd());
   const dir = _incidentsDir(root);
-  if (!exists(dir)) { log('(incidents 없음 — leerness webhook serve 로 수신 가능)'); return; }
+  // 1.9.387 (UR-0088, 5번째 외부평가 일관성): 빈 케이스도 --json 시 구조화 출력.
+  if (!exists(dir)) { if (has('--json')) log(JSON.stringify({ total: 0, items: [] }, null, 2)); else log('(incidents 없음 — leerness webhook serve 로 수신 가능)'); return; }
   const files = fs.readdirSync(dir).filter(f => f.endsWith('.json')).sort().reverse();
   if (has('--json')) {
     const items = files.slice(0, 50).map(f => { try { return JSON.parse(read(path.join(dir, f))); } catch { return null; } }).filter(Boolean);

package/lib/pure-utils.js

@@ -927,7 +927,9 @@ module.exports = {
   // 1.9.355 (UR-0075 Phase A): 크로스버전 마이그레이션 가이드
   _migrationGuideText,
   // 1.9.385 (UR-0086, 5th외부평가): contract spec 순수 파서 (markdown bullet 함수 선언 감지)
-  _parseContractSpec
+  _parseContractSpec,
+  // 1.9.386 (UR-0087, 5th외부평가): 간이 .gitignore 매칭 + glob (bare .env → .env.* 과잉보호 제거)
+  _gitignoreMatch, _globToRe
 };
 
 // 1.9.355 (UR-0075 Phase A): AI 에이전트용 크로스버전 마이그레이션 안전 워크플로 가이드 (순수 텍스트). 임시설치 + --path + 백업 + diff 검증.
@@ -986,3 +988,31 @@ function _parseContractSpec(specText) {
   for (const m of s.matchAll(/tick\.([A-Za-z_$][\w$]*)/g)) fields.add(m[1]);
   return { declared: [...declared], mentioned: [...mentioned], fields: [...fields] };
 }
+
+// 1.9.386 (UR-0087, 5번째 외부평가): 간이 glob → 정규식. '*' → [^/]* (경로구분 제외), 나머지는 리터럴.
+function _globToRe(glob) {
+  const esc = String(glob).replace(/[.+^${}()|[\]\\]/g, '\\$&').replace(/\*/g, '[^/]*');
+  return new RegExp('^' + esc + '$');
+}
+// 1.9.386 (UR-0087, 5번째 외부평가): 간이 .gitignore 매칭 (순수). full semantics 아님 — 정확매칭 / glob(*) / dir(/) 지원.
+//   1.9.365 의 과잉 휴리스틱(bare '.env' → 모든 '.env.*' 보호) 제거 → git 실제 동작과 일치:
+//   '.env' 는 '.env' 만 매칭(.env.bad 미보호 = 커밋 대상). '.env.*' / '.env*' 같은 명시 glob 만 .env.bad 보호.
+function _gitignoreMatch(giText, fileRel) {
+  if (!giText) return false;
+  const relPosix = String(fileRel).replace(/\\/g, '/');
+  const base = relPosix.split('/').pop();
+  for (let pat of String(giText).split(/\r?\n/)) {
+    pat = pat.trim();
+    if (!pat || pat.startsWith('#') || pat.startsWith('!')) continue;
+    const isDir = pat.endsWith('/');
+    const p = pat.replace(/^\/+|\/+$/g, '');
+    if (!p) continue;
+    if (p === relPosix || p === base) return true;                               // 정확 매칭 (.env → .env)
+    if (isDir && (relPosix === p || relPosix.startsWith(p + '/'))) return true;  // dir/
+    if (p.includes('*')) {                                                        // glob: *.pem / .env.* / .env*
+      const re = _globToRe(p);
+      if (re.test(p.includes('/') ? relPosix : base)) return true;
+    }
+  }
+  return false;
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "leerness",
-  "version": "1.9.385",
+  "version": "1.9.387",
   "description": "Leerness: 비파괴 마이그레이션, 자동 버전 감지·업데이트, 계획/진행/핸드오프 자동화, 게으름·시크릿·인코딩 자동 가드, Claude Code 슬래시 통합을 갖춘 한국어 우선 AI 개발 하네스.",
   "keywords": [
     "leerness",

package/scripts/e2e.js

@@ -5395,5 +5395,58 @@ total++;
   if (!ok) failed++;
 }
 
+// 1.9.386 회귀 (5번째 외부평가/UR-0087): secret scan env-family 포함 + gitignore git-일치 (.env↛.env.bad 미보호=커밋대상)
+total++;
+{
+  let ok = false;
+  try {
+    const key = 'OPENAI_API_KEY=sk-proj-abc123def456ghi789jkl012mno345pqr678stuvwx\n';
+    // ① .env.bad(extname .bad, 종전 스킵) + gitignore=.env → 스캔됨 + 커밋대상 실패(exit1). git 실제 동작 일치(핵심 FN fix)
+    const d1 = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-envbad-'));
+    fs.writeFileSync(path.join(d1, '.gitignore'), '.env\n');
+    fs.writeFileSync(path.join(d1, '.env.bad'), key);
+    const r1 = cp.spawnSync(process.execPath, [CLI, 'scan', 'secrets', d1], { encoding: 'utf8', timeout: 20000 });
+    const flaggedOk = r1.status === 1 && /\.env\.bad/.test(r1.stdout || '') && /OpenAI/.test(r1.stdout || '');
+    // ② .env + gitignore=.env → 강등 info(exit0). 기존 CV-6(1.9.365) 보존
+    const d2 = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-envok-'));
+    fs.writeFileSync(path.join(d2, '.gitignore'), '.env\n');
+    fs.writeFileSync(path.join(d2, '.env'), 'TOKEN=npm_abcdefghijklmnopqrstuvwxyz0123456789\n');
+    const r2 = cp.spawnSync(process.execPath, [CLI, 'scan', 'secrets', d2], { encoding: 'utf8', timeout: 20000 });
+    const downgradeOk = r2.status === 0 && /gitignored/.test(r2.stdout || '');
+    // ③ .env.bad + gitignore=.env.* → 명시 glob 보호 → 강등 info(exit0). 적정설정 프로젝트 FP 0
+    const d3 = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-envglob-'));
+    fs.writeFileSync(path.join(d3, '.gitignore'), '.env.*\n');
+    fs.writeFileSync(path.join(d3, '.env.bad'), key);
+    const r3 = cp.spawnSync(process.execPath, [CLI, 'scan', 'secrets', d3], { encoding: 'utf8', timeout: 20000 });
+    const globOk = r3.status === 0 && /gitignored/.test(r3.stdout || '');
+    [d1, d2, d3].forEach(d => fs.rmSync(d, { recursive: true, force: true }));
+    ok = flaggedOk && downgradeOk && globOk;
+  } catch {}
+  console.log(ok ? '✓ B(1.9.386) 5th외부평가: secret scan env-family 포함 + gitignore git-일치(.env↛.env.bad 커밋대상) (UR-0087)' : '✗ secret scan env-family/gitignore 실패');
+  if (!ok) failed++;
+}
+
+// 1.9.387 회귀 (5번째 외부평가 일관성/UR-0088): incident/runs list 빈 케이스도 --json 구조화 {total:0,items:[]} + 사람용 보존
+total++;
+{
+  let ok = false;
+  try {
+    const d = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-listjson-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', d, '--yes', '--language', 'ko'], { encoding: 'utf8', timeout: 30000 });
+    const ri = cp.spawnSync(process.execPath, [CLI, 'incident', 'list', '--path', d, '--json'], { encoding: 'utf8', timeout: 15000 });
+    const ij = JSON.parse(ri.stdout);
+    const rr = cp.spawnSync(process.execPath, [CLI, 'runs', 'list', '--path', d, '--json'], { encoding: 'utf8', timeout: 15000 });
+    const rj = JSON.parse(rr.stdout);
+    const jsonOk = ij.total === 0 && Array.isArray(ij.items) && ij.items.length === 0 && rj.total === 0 && Array.isArray(rj.items) && rj.items.length === 0;
+    // 사람용 보존(--json 없이 → 텍스트, JSON 아님)
+    const rih = cp.spawnSync(process.execPath, [CLI, 'incident', 'list', '--path', d], { encoding: 'utf8', timeout: 15000 });
+    const humanOk = /incidents 없음/.test(rih.stdout || '') && !/^\s*\{/.test(rih.stdout || '');
+    fs.rmSync(d, { recursive: true, force: true });
+    ok = jsonOk && humanOk;
+  } catch {}
+  console.log(ok ? '✓ B(1.9.387) 5th외부평가 일관성: incident/runs list 빈 케이스 --json 구조화 + 사람용 보존 (UR-0088)' : '✗ list 빈 케이스 --json 실패');
+  if (!ok) failed++;
+}
+
 console.log(`\nE2E result: ${total - failed}/${total} passed · ${((Date.now() - _e2eStart) / 1000).toFixed(0)}s`);
 if (failed > 0) process.exit(1);