lowdown-proxy 0.1.21 → 0.1.22

package/README.md

@@ -124,6 +124,15 @@ C:\Users\you\AppData\Local\MyApp\app.log: 1 new line(s)
 | `--watch-log` | App log file to watch; repeat for several files (see [App logs in tool results](#app-logs-in-tool-results)) | none |
 | `--log-pattern` | Regular expression for log lines to report | error, exception, fatal, uncaught, unhandled, failed |
 
+## Check at connect time
+
+From 0.1.22 the proxy looks up the server it wraps in Lowdown's records (`install-check`) while the server starts, and adds what it finds to the server's `initialize` response:
+
+- one line at the end of `result.instructions`: the dated observations Lowdown has for that server and the link to its record, for example `Lowdown install-check for mcp:io.github.user/server (dated observations, not a score): Answered initialize and tools/list on all 12 daily checks … Record: https://lowdown-proxy.vercel.app/servers/io.github.user/server?ref=cite`
+- the same facts as structured values in `result._meta["io.github.petshopbros.lowdown/install-check"]` (`resolved_target`, `summary`, `payment_required`, `packages`, `evidence_levels`, `record_url`, `retrieved_at`; `null` means not observed or not known)
+
+The server is found from the wrapped command (`npx`/`bunx`/`pnpx`/`npm exec`/`pnpm dlx` → `npm:<package>`, `uvx`/`uv tool run`/`pipx run` → `pypi:<package>`) or from `--target mcp:…` / `npm:…` / `pypi:…`. Only the package name is sent, never the rest of the command line. Nothing is added when Lowdown has no record for it, and the proxy waits at most 0.8 s: a slow or failed lookup leaves the response unchanged. Tool descriptions and tool results are not changed and nothing is blocked. `LOWDOWN_LOOKUP=0` turns the lookup off.
+
 ## Recording
 
 From 0.1.17 the proxy records through the public API (`POST /api/interactions`). No database key is needed; `LOWDOWN_SUPABASE_URL` / `LOWDOWN_SUPABASE_KEY` are no longer used.
@@ -131,6 +140,7 @@ From 0.1.17 the proxy records through the public API (`POST /api/interactions`).
 | Variable | Effect |
 |---|---|
 | `LOWDOWN_RECORD=0` | Pass-through only, nothing is recorded |
+| `LOWDOWN_LOOKUP=0` | No connect-time lookup (see [Check at connect time](#check-at-connect-time)) |
 | `LOWDOWN_API_URL` | Record to (and query) another Lowdown deployment |
 
 What one record contains: actor, target label, tool name (or protocol method), outcome, latency, node id, and — when the server reported them — `server_version` (from `initialize`) and `schema_hash` (same hash as the Scanner's, from `tools/list`). Arguments and results are never recorded.
@@ -310,6 +320,10 @@ PyPI 패키지도 같은 `packages` 블록에 `pypi` 상태로 옵니다. PyPI
 
 도구 호출은 성공했는데 그 뒤의 앱(씬, 게임, 개발 서버)이 실패하는 경우가 있습니다. 진짜 에러는 앱의 로그 파일에만 찍혀서 에이전트는 모릅니다. `--watch-log`를 주면 `tools/call` 결과마다 직전 호출 이후 로그에 새로 찍힌 줄 중 `--log-pattern`에 맞는 줄이 결과 끝에 붙습니다. 에이전트가 따로 호출할 것은 없습니다. 로그 내용은 로컬에만 머물고 Lowdown에 기록되지 않습니다.
 
+### 연결 시점 확인 (0.1.22~)
+
+프록시는 감싼 서버가 시작되는 동안 Lowdown 기록(`install-check`)에서 그 서버를 찾아, 서버의 `initialize` 응답에 붙입니다. `result.instructions` 끝에 날짜가 붙은 관측 사실과 기록 주소 한 줄, `result._meta["io.github.petshopbros.lowdown/install-check"]`에 같은 사실의 구조화된 값(`null`은 관측 안 됨·모름)이 들어갑니다. 대상은 감싼 명령(`npx`·`bunx`·`pnpx`·`npm exec`·`pnpm dlx` → `npm:<패키지>`, `uvx`·`uv tool run`·`pipx run` → `pypi:<패키지>`) 또는 `--target mcp:…`/`npm:…`/`pypi:…`에서 정합니다. 패키지 이름만 보내고 나머지 명령줄은 보내지 않습니다. 기록이 없으면 아무것도 붙이지 않고, 최대 0.8초만 기다립니다(늦거나 실패하면 응답 그대로). 도구 설명·도구 결과는 바꾸지 않고 아무것도 막지 않습니다. `LOWDOWN_LOOKUP=0`이면 조회하지 않습니다.
+
 ### 기록 방식 (0.1.17~)
 
 프록시는 공개 API(`POST /api/interactions`)로 기록합니다. DB 키가 필요 없고 `LOWDOWN_SUPABASE_URL` / `LOWDOWN_SUPABASE_KEY`는 더 이상 쓰지 않습니다. `LOWDOWN_RECORD=0`이면 기록 없이 패스스루만 합니다.

package/dist/cli.js

@@ -2,12 +2,15 @@
 import { runProxy } from "./proxy.js";
 import { LogWatcher } from "./log-watch.js";
 import { defaultTargetLabel } from "./classify.js";
+import { inferLookupTarget } from "./lookup.js";
 // 사용법:
 //   npx lowdown-proxy                      → 인자 없음: Lowdown 조회용 MCP 서버(stdio) 시작 (Registry 설치 경로)
 //   npx lowdown-proxy [--actor <id>] [--target <label>] [--source organic|seeded|synthetic] [--test] -- <command> [args...]
 //                                          → MCP 서버를 감싸는 기록 프록시
 //   --test : 이 세션의 기록을 synthetic 으로 남긴다(일부러 실패시키는 테스트가 서버 실패로 집계되지 않게).
 //   --target 이 없으면 명령줄 전체가 아니라 패키지/파일 이름 하나만 라벨로 쓴다(인자의 키·경로가 공개 기록에 남지 않게).
+//   연결 시점 확인(0.1.22): npx/uvx 등으로 실행한 패키지(또는 --target mcp:…/npm:…/pypi:…)를 Lowdown 에서 찾아
+//   initialize 응답에 한 줄을 붙인다. LOWDOWN_LOOKUP=0 이면 하지 않는다.
 function parseArgs(argv) {
     const dashIndex = argv.indexOf("--");
     if (dashIndex === -1) {
@@ -34,12 +37,14 @@ function parseArgs(argv) {
         process.exit(1);
     }
     const source = (flags.includes("--test") ? "synthetic" : sourceFlag);
+    const explicitTarget = getFlag("--target", "");
     return {
         actor: getFlag("--actor", "anonymous"),
         targetLabel: getFlag("--target", defaultTargetLabel(commandParts[0], commandParts.slice(1))),
         source,
         command: commandParts[0],
         args: commandParts.slice(1),
+        lookupTarget: inferLookupTarget(commandParts[0], commandParts.slice(1), explicitTarget || undefined),
         logWatcher: watchLogs.length ? new LogWatcher(watchLogs, getFlag("--log-pattern", "")) : undefined,
     };
 }

package/dist/lookup.js

@@ -0,0 +1,232 @@
+import { apiBaseUrl, RECORDER_VERSION } from "./record.js";
+import { getNodeId } from "./node-identity.js";
+/**
+ * 연결 시점 확인 (0.1.22, 2026-11-14).
+ *
+ * 프록시가 감싼 서버를 Lowdown 기록에서 찾아(install-check), 그 서버의 initialize 응답에
+ *  - result.instructions 끝에 한 줄(날짜가 붙은 관측 사실 + 기록 주소)
+ *  - result._meta["io.github.petshopbros.lowdown/install-check"] 에 구조화된 값
+ * 을 붙인다. 막지 않는다: 조회는 서버 시작과 동시에 시작하고, 정해진 시간(기본 0.8초) 안에 오지 않으면 그냥 지나간다.
+ * 도구 설명·도구 결과는 바꾸지 않는다. LOWDOWN_LOOKUP=0 이면 조회하지 않는다.
+ * 점수·판정은 넣지 않는다. 기록이 없으면 아무것도 붙이지 않는다(기록 없음은 문제 없음이 아니다).
+ */
+export const META_KEY = "io.github.petshopbros.lowdown/install-check";
+export const LOOKUP_BUDGET_MS = 800;
+const MAX_MESSAGE = 500;
+const SITE = "https://lowdown-proxy.vercel.app/";
+const NPM_NAME = /^(?:@[A-Za-z0-9~-][A-Za-z0-9._~-]*\/)?[A-Za-z0-9~-][A-Za-z0-9._~-]*$/;
+const PYPI_NAME = /^([A-Za-z0-9]|[A-Za-z0-9][A-Za-z0-9._-]*[A-Za-z0-9])$/;
+const MCP_TARGET = /^mcp:[A-Za-z0-9._~-]{1,200}\/[A-Za-z0-9._~-]{1,200}$/;
+const EXPLICIT = /^(mcp|npm|pypi):\S{1,300}$/;
+export function lookupEnabled(env = process.env) {
+    return env.LOWDOWN_LOOKUP !== "0";
+}
+// 실행기별: 값을 받는 옵션(다음 토큰을 건너뜀)과 패키지를 지정하는 옵션
+const NPM_RUNNERS = new Set(["npx", "npx.cmd", "bunx", "bunx.cmd", "pnpx", "pnpx.cmd"]);
+const NPM_PKG_FLAGS = new Set(["-p", "--package"]);
+const NPM_VALUE_FLAGS = new Set(["--registry", "--cache", "--userconfig", "-w", "--workspace", "--node-options", "--prefix"]);
+const NPM_STOP_FLAGS = new Set(["-c", "--call"]);
+const PYPI_PKG_FLAGS = new Set(["--from"]);
+const PYPI_VALUE_FLAGS = new Set(["--with", "--with-editable", "--with-requirements", "--python", "-p", "--index", "--index-url", "--extra-index-url", "--default-index", "--constraints", "--overrides", "-c", "--directory", "--project", "--cache-dir", "--env-file"]);
+function base(tok) {
+    return (tok.split(/[\\/]/).pop() ?? tok).toLowerCase();
+}
+function npmName(spec) {
+    if (/[\\:]/.test(spec) || spec.startsWith(".") || spec.startsWith("/"))
+        return null;
+    let name = spec;
+    if (spec.startsWith("@")) {
+        const at = spec.indexOf("@", 1);
+        if (at > 0)
+            name = spec.slice(0, at);
+    }
+    else {
+        const at = spec.indexOf("@");
+        if (at > 0)
+            name = spec.slice(0, at);
+    }
+    return name.length <= 214 && NPM_NAME.test(name) ? name : null;
+}
+function pypiName(spec) {
+    if (/[\\/:]/.test(spec) || spec.startsWith("."))
+        return null;
+    const name = spec.split(/==|>=|<=|~=|!=|@|\[|<|>/)[0].trim();
+    return name.length <= 200 && PYPI_NAME.test(name) ? name : null;
+}
+/** 실행기 다음 토큰들에서 패키지 하나. 값을 받는 옵션은 건너뛴다. */
+function packageAfter(tokens, pkgFlags, valueFlags, stopFlags) {
+    for (let i = 0; i < tokens.length; i++) {
+        const t = tokens[i];
+        if (t === "--")
+            return tokens[i + 1] ?? null;
+        if (stopFlags.has(t))
+            return null;
+        const eq = t.indexOf("=");
+        const flag = t.startsWith("-") && eq > 0 ? t.slice(0, eq) : t;
+        if (pkgFlags.has(flag))
+            return eq > 0 && t.startsWith("-") ? t.slice(eq + 1) : tokens[i + 1] ?? null;
+        if (valueFlags.has(flag)) {
+            if (!(t.startsWith("-") && eq > 0))
+                i++;
+            continue;
+        }
+        if (t.startsWith("-"))
+            continue;
+        return t;
+    }
+    return null;
+}
+/**
+ * 감싼 명령에서 조회 대상. --target 이 mcp:/npm:/pypi: 형식이면 그것을, 아니면
+ * npx·bunx·pnpx·npm exec·pnpm dlx·yarn dlx → npm:<패키지>, uvx·uv tool run·pipx run → pypi:<패키지>.
+ * 그 밖(node 스크립트, python -m, docker …)은 null — 추측하지 않는다.
+ */
+export function inferLookupTarget(command, args, explicitTarget) {
+    if (explicitTarget && EXPLICIT.test(explicitTarget))
+        return explicitTarget;
+    let tokens = [command, ...args];
+    while (tokens.length && (["cmd", "cmd.exe"].includes(base(tokens[0])) || tokens[0].toLowerCase() === "/c"))
+        tokens = tokens.slice(1);
+    if (!tokens.length)
+        return null;
+    const head = base(tokens[0]);
+    const rest = tokens.slice(1);
+    let eco = null;
+    let after = [];
+    if (NPM_RUNNERS.has(head)) {
+        eco = "npm";
+        after = rest;
+    }
+    else if ((head === "npm" || head === "npm.cmd") && rest[0] === "exec") {
+        eco = "npm";
+        after = rest.slice(1);
+    }
+    else if ((head === "pnpm" || head === "pnpm.cmd" || head === "yarn" || head === "yarn.cmd") && rest[0] === "dlx") {
+        eco = "npm";
+        after = rest.slice(1);
+    }
+    else if (head === "uvx" || head === "uvx.exe") {
+        eco = "pypi";
+        after = rest;
+    }
+    else if ((head === "uv" || head === "uv.exe") && rest[0] === "tool" && rest[1] === "run") {
+        eco = "pypi";
+        after = rest.slice(2);
+    }
+    else if ((head === "pipx" || head === "pipx.exe") && rest[0] === "run") {
+        eco = "pypi";
+        after = rest.slice(1);
+    }
+    if (!eco)
+        return null;
+    if (eco === "npm") {
+        const spec = packageAfter(after, NPM_PKG_FLAGS, NPM_VALUE_FLAGS, NPM_STOP_FLAGS);
+        const name = spec ? npmName(spec) : null;
+        return name ? `npm:${name}` : null;
+    }
+    const spec = packageAfter(after, PYPI_PKG_FLAGS, PYPI_VALUE_FLAGS, new Set());
+    const name = spec ? pypiName(spec) : null;
+    return name ? `pypi:${name}` : null;
+}
+function oneLine(s, max) {
+    const t = s.replace(/[\u0000-\u001f\u007f-\u009f\u200b-\u200f\u2028-\u202e\u2060-\u2064\ufeff]/g, " ").replace(/\s+/g, " ").trim();
+    return t.length > max ? `${t.slice(0, max - 1).trimEnd()}…` : t;
+}
+function packageFacts(packages) {
+    if (!Array.isArray(packages))
+        return [];
+    const out = [];
+    for (const p of packages.slice(0, 10)) {
+        if (!p || typeof p !== "object")
+            continue;
+        const reg = p.registry;
+        const name = typeof p.name === "string" ? p.name.slice(0, 214) : null;
+        if (reg === "npm") {
+            const n = p.npm;
+            out.push({ registry: "npm", name, status: n && typeof n.status === "string" ? n.status : "not_checked", latest_deprecated: n?.latest_deprecated ?? null });
+        }
+        else if (reg === "pypi") {
+            const n = p.pypi;
+            out.push({ registry: "pypi", name, status: n && typeof n.status === "string" ? n.status : "not_checked", latest_yanked: n?.latest_yanked ?? null, project_status: n?.project_status ?? null });
+        }
+    }
+    return out;
+}
+/**
+ * install-check 응답 → 붙일 한 줄과 _meta. 확인된 Registry 이름(resolved_target)이 없으면 null.
+ * 값은 응답에 있는 그대로(없으면 null) — 모름(null)과 확인 안 함(not_checked)을 섞지 않는다.
+ */
+export function bundleFrom(target, body, now = Date.now()) {
+    if (!body || typeof body !== "object" || Array.isArray(body))
+        return null;
+    const b = body;
+    if (b.error)
+        return null;
+    const resolved = typeof b.resolved_target === "string" && MCP_TARGET.test(b.resolved_target) ? b.resolved_target : null;
+    if (!resolved)
+        return null;
+    const src = b.source && typeof b.source === "object" ? b.source : {};
+    const citeUrl = typeof src.cite_url === "string" && src.cite_url.startsWith(SITE) && src.cite_url.length <= 500 ? src.cite_url : null;
+    const lookupUrl = `${SITE}api/reputation/${resolved}?menu=install-check`;
+    const message = typeof b.message === "string" ? oneLine(b.message, MAX_MESSAGE) : "";
+    const line = `Lowdown install-check for ${resolved} (dated observations, not a score): ${message ? `${message} ` : ""}Record: ${citeUrl ?? lookupUrl}`;
+    const observed = b.payment?.observed;
+    const meta = {
+        schema_version: 1,
+        target,
+        resolved_target: resolved,
+        retrieved_at: new Date(now).toISOString(),
+        summary: b.summary && typeof b.summary === "object" ? b.summary : null,
+        payment_required: observed && typeof observed.payment_required === "boolean" ? observed.payment_required : null,
+        payment_latest_check: observed && typeof observed.latest_check === "string" ? observed.latest_check : null,
+        packages: packageFacts(b.packages),
+        evidence_levels: Array.isArray(b.evidence_levels?.present) ? b.evidence_levels.present.filter((x) => typeof x === "string").slice(0, 10) : [],
+        record_url: citeUrl,
+        lookup_url: lookupUrl,
+        note: "Observed by Lowdown; not a score. null means not observed or not known. Lowdown does not block or change this server's tools.",
+    };
+    return { line, meta };
+}
+/** install-check 조회. 실패·시간 초과·기록 없음이면 null. 절대 throw 하지 않는다. */
+export async function fetchBundle(target, opts = {}) {
+    const fetchImpl = opts.fetchImpl ?? fetch;
+    const ctrl = new AbortController();
+    const timer = setTimeout(() => ctrl.abort(), opts.timeoutMs ?? LOOKUP_BUDGET_MS);
+    try {
+        const res = await fetchImpl(`${apiBaseUrl()}/api/reputation/${encodeURIComponent(target)}?menu=install-check`, {
+            headers: {
+                "user-agent": `lowdown-proxy/${RECORDER_VERSION} (connect-check)`,
+                "x-lowdown-source": "organic",
+                "x-lowdown-node-id": getNodeId(),
+            },
+            signal: ctrl.signal,
+        });
+        if (!res.ok)
+            return null;
+        return bundleFrom(target, await res.json(), (opts.now ?? Date.now)());
+    }
+    catch {
+        return null;
+    }
+    finally {
+        clearTimeout(timer);
+    }
+}
+/** 서버 → 클라이언트 initialize 응답 한 줄에 붙인다. 형식이 맞지 않으면 원래 줄 그대로. */
+export function addBundleToInitialize(line, bundle) {
+    if (!bundle)
+        return line;
+    try {
+        const m = JSON.parse(line);
+        if (!m || typeof m !== "object" || !m.result || typeof m.result !== "object" || Array.isArray(m.result))
+            return line;
+        const prev = typeof m.result.instructions === "string" && m.result.instructions.length > 0 ? `${m.result.instructions}\n\n` : "";
+        m.result.instructions = `${prev}${bundle.line}`;
+        const meta = m.result._meta && typeof m.result._meta === "object" && !Array.isArray(m.result._meta) ? m.result._meta : {};
+        m.result._meta = { ...meta, [META_KEY]: bundle.meta };
+        return JSON.stringify(m);
+    }
+    catch {
+        return line;
+    }
+}

package/dist/proxy.js

@@ -4,6 +4,7 @@ import { recordInteraction } from "./record.js";
 import { getNodeId } from "./node-identity.js";
 import { annotateToolResult } from "./log-watch.js";
 import { classifyResponse, schemaHash, serverVersionOf } from "./classify.js";
+import { addBundleToInitialize, fetchBundle, lookupEnabled } from "./lookup.js";
 /**
  * lowdown-proxy 핵심 로직.
  *
@@ -13,6 +14,9 @@ import { classifyResponse, schemaHash, serverVersionOf } from "./classify.js";
  * - 판정 기준은 classify.ts: tools/call 의 isError 는 실패, 잘못된 요청(-32602 등)은 서버 실패와 분리,
  *   tools/call 이 아닌 요청은 protocol 로 남기고 성공률에 넣지 않는다.
  * - 각 행에 그 시점의 server_version(initialize)·schema_hash(tools/list)를 찍는다.
+ * - 연결 시점 확인(0.1.22, lookup.ts): 서버 시작과 동시에 install-check 를 조회해 initialize 응답의
+ *   instructions 끝 한 줄·_meta 에 붙인다. 최대 0.8초만 기다리고, 실패하면 원래 응답 그대로. 도구는 막지 않는다.
+ *   서버 → 클라이언트 줄 순서는 바뀌지 않는다(initialize 응답을 기다리는 동안 뒤 줄도 그 뒤에 나간다).
  */
 export function runProxy(opts) {
     const nodeId = getNodeId();
@@ -23,6 +27,9 @@ export function runProxy(opts) {
     });
     const pending = new Map();
     const state = {};
+    const lookup = opts.lookup ?? ((t) => fetchBundle(t));
+    const bundleP = opts.lookupTarget && lookupEnabled() ? lookup(opts.lookupTarget).catch(() => null) : Promise.resolve(null);
+    let outChain = Promise.resolve();
     // ── Client(부모 프로세스의 stdin) → Server(child.stdin) ──
     const clientReader = createInterface({ input: process.stdin });
     clientReader.on("line", (line) => {
@@ -34,26 +41,33 @@ export function runProxy(opts) {
     const serverReader = createInterface({ input: child.stdout });
     serverReader.on("line", (line) => {
         let out = line;
-        if (opts.logWatcher) {
-            try {
-                const m = JSON.parse(line);
-                if (m?.id !== undefined && pending.get(m.id)?.method === "tools/call") {
-                    const annotated = annotateToolResult(m, opts.logWatcher);
-                    if (annotated)
-                        out = JSON.stringify(annotated);
-                }
-            }
-            catch {
-                // passthrough
+        let isInitialize = false;
+        try {
+            const m = JSON.parse(line);
+            const method = m?.id !== undefined ? pending.get(m.id)?.method : undefined;
+            if (opts.logWatcher && method === "tools/call") {
+                const annotated = annotateToolResult(m, opts.logWatcher);
+                if (annotated)
+                    out = JSON.stringify(annotated);
             }
+            isInitialize = method === "initialize" && !!m.result;
+        }
+        catch {
+            // passthrough
         }
-        process.stdout.write(out + "\n");
+        const ready = out;
+        outChain = outChain.then(async () => {
+            const text = isInitialize ? addBundleToInitialize(ready, await bundleP) : ready;
+            process.stdout.write(text + "\n");
+        }).catch(() => {
+            process.stdout.write(ready + "\n");
+        });
         const rec = buildRecord(pending, state, line, { ...opts, nodeId });
         if (rec)
             void Promise.resolve(record(rec)).catch(() => { }); // fire-and-forget
     });
     child.on("exit", (code) => {
-        process.exit(code ?? 0);
+        void outChain.finally(() => process.exit(code ?? 0));
     });
     process.on("SIGINT", () => child.kill("SIGINT"));
     process.on("SIGTERM", () => child.kill("SIGTERM"));

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "lowdown-proxy",
-  "version": "0.1.21",
+  "version": "0.1.22",
   "mcpName": "io.github.PetShopBros/lowdown-proxy",
   "description": "Check an MCP server before you install it: dated facts from daily initialize/tools/list checks of public MCP servers, MCP Registry declarations, npm/PyPI package state, tool-definition changes and payment terms (x402, MPP, L402). Remote MCP and stdio. No scores.",
   "type": "module",
@@ -20,7 +20,7 @@
     "sql:check": "node scanner/migrations.ts check",
     "scanner:test": "node --test scanner/lib.test.ts scanner/registry-diff.test.ts scanner/first-seen.test.ts scanner/archive.test.ts scanner/reputation.test.ts scanner/report.test.ts scanner/tool-defs.test.ts scanner/market.test.ts scanner/private-archive.test.ts scanner/requested.test.ts scanner/sandbox-public.test.ts scanner/npm.test.ts scanner/pypi.test.ts scanner/pages.test.ts scanner/unavailable.test.ts scanner/target-status.test.ts scanner/content-flags.test.ts scanner/page.test.ts scanner/cards.test.ts scanner/mcp-remote.test.ts scanner/find.test.ts scanner/no-bom.test.ts scanner/status.test.ts scanner/sitemap.test.ts scanner/schema.test.ts scanner/agents.test.ts scanner/server-card.test.ts scanner/declared.test.ts scanner/erc8004.test.ts scanner/card-discovery.test.ts scanner/rotating.test.ts scanner/smoke.test.ts scanner/migrations.test.ts scanner/ops.test.ts scanner/monthly.test.ts scanner/payment.test.ts scanner/attest.test.ts",
     "scanner:dry": "node scanner/scan.ts --dry-run --limit=30",
-    "test": "npm run build && node --test test/p0.test.ts",
+    "test": "npm run build && node --test test/p0.test.ts test/lookup.test.ts",
     "sandbox:test": "node --test sandbox/sandbox.test.ts sandbox/observe.test.ts",
     "sandbox:typecheck": "tsc -p sandbox"
   },