sayren 0.3.2 → 0.3.4

package/dist/index.mjs

@@ -5294,6 +5294,79 @@ const mcp_rule_loader_first_why = ((inputs = {}, options = {}) => {
 	return ko_mcp_rule_loader_first_why(inputs);
 });
 
+//#endregion
+//#region ../i18n/src/paraglide/messages/mcp_rule_local_import_exists_example.js
+/** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
+/** @typedef {{}} Mcp_Rule_Local_Import_Exists_ExampleInputs */
+const ko_mcp_rule_local_import_exists_example = () => {
+	return `// src/i18n/index.ts — 작업 트리에 messages/ko.json이 있어야 한다
+import ko from "../../messages/ko.json";`;
+};
+/**
+
+* @param {Mcp_Rule_Local_Import_Exists_ExampleInputs} inputs
+* @param {{ locale?: "ko" }} options
+* @returns {LocalizedString}
+*/
+const mcp_rule_local_import_exists_example = ((inputs = {}, options = {}) => {
+	experimentalStaticLocale ?? options.locale ?? getLocale();
+	return ko_mcp_rule_local_import_exists_example(inputs);
+});
+
+//#endregion
+//#region ../i18n/src/paraglide/messages/mcp_rule_local_import_exists_fix.js
+/** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
+/** @typedef {{}} Mcp_Rule_Local_Import_Exists_FixInputs */
+const ko_mcp_rule_local_import_exists_fix = () => {
+	return `빠진 파일을 템플릿 원본(로컬 \`get_template_file\`, 또는 \`npx @sayren/mcp create\`로 받은 사본)에서 가져와 같은 경로에 둔다. 호스팅 사이트는 \`write_files\`(\`expectedHash: null\`)나 \`sayren deploy\`로 올린다. 쓰지 않는 import면 지운다. 템플릿의 화면 문구는 \`messages/ko.json\`이다`;
+};
+/**
+
+* @param {Mcp_Rule_Local_Import_Exists_FixInputs} inputs
+* @param {{ locale?: "ko" }} options
+* @returns {LocalizedString}
+*/
+const mcp_rule_local_import_exists_fix = ((inputs = {}, options = {}) => {
+	experimentalStaticLocale ?? options.locale ?? getLocale();
+	return ko_mcp_rule_local_import_exists_fix(inputs);
+});
+
+//#endregion
+//#region ../i18n/src/paraglide/messages/mcp_rule_local_import_exists_title.js
+/** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
+/** @typedef {{}} Mcp_Rule_Local_Import_Exists_TitleInputs */
+const ko_mcp_rule_local_import_exists_title = () => {
+	return `상대 경로로 import한 파일은 작업 트리에 있어야 한다`;
+};
+/**
+
+* @param {Mcp_Rule_Local_Import_Exists_TitleInputs} inputs
+* @param {{ locale?: "ko" }} options
+* @returns {LocalizedString}
+*/
+const mcp_rule_local_import_exists_title = ((inputs = {}, options = {}) => {
+	experimentalStaticLocale ?? options.locale ?? getLocale();
+	return ko_mcp_rule_local_import_exists_title(inputs);
+});
+
+//#endregion
+//#region ../i18n/src/paraglide/messages/mcp_rule_local_import_exists_why.js
+/** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
+/** @typedef {{}} Mcp_Rule_Local_Import_Exists_WhyInputs */
+const ko_mcp_rule_local_import_exists_why = () => {
+	return `규칙 검사는 코드 문자열만 보지만 타입 검사와 빌드는 import한 파일을 실제로 읽는다. 대상 파일이 없으면 \`Cannot find module\`(TS2307)로 검사와 버전 빌드가 실패한다`;
+};
+/**
+
+* @param {Mcp_Rule_Local_Import_Exists_WhyInputs} inputs
+* @param {{ locale?: "ko" }} options
+* @returns {LocalizedString}
+*/
+const mcp_rule_local_import_exists_why = ((inputs = {}, options = {}) => {
+	experimentalStaticLocale ?? options.locale ?? getLocale();
+	return ko_mcp_rule_local_import_exists_why(inputs);
+});
+
 //#endregion
 //#region ../i18n/src/paraglide/messages/mcp_rule_no_module_token_example.js
 /** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
@@ -5880,6 +5953,85 @@ const mcp_rule_server_only_env_why = ((inputs = {}, options = {}) => {
 	return ko_mcp_rule_server_only_env_why(inputs);
 });
 
+//#endregion
+//#region ../i18n/src/paraglide/messages/mcp_rule_server_only_import_example.js
+/** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
+/** @typedef {{}} Mcp_Rule_Server_Only_Import_ExampleInputs */
+const ko_mcp_rule_server_only_import_example = () => {
+	return `// src/lib/my-orders.ts — 브라우저도 가져가는 파일
+import { apiFor } from "./api.server";
+import { readToken } from "./session.server";
+
+// handler 안에서만 부른다. 일반 함수(export function)로 두면 브라우저 번들에 남는다
+export const listMyOrders = createServerFn({ method: "GET" }).handler(() =>
+  apiFor({ accessToken: readToken() }).orders.list(),
+);`;
+};
+/**
+
+* @param {Mcp_Rule_Server_Only_Import_ExampleInputs} inputs
+* @param {{ locale?: "ko" }} options
+* @returns {LocalizedString}
+*/
+const mcp_rule_server_only_import_example = ((inputs = {}, options = {}) => {
+	experimentalStaticLocale ?? options.locale ?? getLocale();
+	return ko_mcp_rule_server_only_import_example(inputs);
+});
+
+//#endregion
+//#region ../i18n/src/paraglide/messages/mcp_rule_server_only_import_fix.js
+/** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
+/** @typedef {{}} Mcp_Rule_Server_Only_Import_FixInputs */
+const ko_mcp_rule_server_only_import_fix = () => {
+	return `서버 API를 부르는 함수는 \`*.server.ts\` 파일로 옮기거나 \`createServerFn().handler(…)\`로 감싼다. 브라우저가 함께 가져가는 파일(컴포넌트·\`src/lib/*.ts\`)은 서버 함수만 내보내고, \`*.server.ts\`의 값은 handler 안에서만 부른다. 서버 전용 모듈을 다시 내보내지 않는다`;
+};
+/**
+
+* @param {Mcp_Rule_Server_Only_Import_FixInputs} inputs
+* @param {{ locale?: "ko" }} options
+* @returns {LocalizedString}
+*/
+const mcp_rule_server_only_import_fix = ((inputs = {}, options = {}) => {
+	experimentalStaticLocale ?? options.locale ?? getLocale();
+	return ko_mcp_rule_server_only_import_fix(inputs);
+});
+
+//#endregion
+//#region ../i18n/src/paraglide/messages/mcp_rule_server_only_import_title.js
+/** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
+/** @typedef {{}} Mcp_Rule_Server_Only_Import_TitleInputs */
+const ko_mcp_rule_server_only_import_title = () => {
+	return `서버 전용 모듈(\`*.server.ts\`)에서 가져온 것은 서버 함수 안에서만 쓴다`;
+};
+/**
+
+* @param {Mcp_Rule_Server_Only_Import_TitleInputs} inputs
+* @param {{ locale?: "ko" }} options
+* @returns {LocalizedString}
+*/
+const mcp_rule_server_only_import_title = ((inputs = {}, options = {}) => {
+	experimentalStaticLocale ?? options.locale ?? getLocale();
+	return ko_mcp_rule_server_only_import_title(inputs);
+});
+
+//#endregion
+//#region ../i18n/src/paraglide/messages/mcp_rule_server_only_import_why.js
+/** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
+/** @typedef {{}} Mcp_Rule_Server_Only_Import_WhyInputs */
+const ko_mcp_rule_server_only_import_why = () => {
+	return `TanStack Start는 서버 함수 handler만 브라우저 번들에서 걷어낸다. 그 밖에서 \`*.server.ts\`(\`api.server\` 등)의 값을 쓰면 import가 브라우저 번들에 남고, import 보호가 버전 빌드(\`vite build\`)를 실패시킨다. 개발 서버와 타입 검사는 이것을 잡지 않는다`;
+};
+/**
+
+* @param {Mcp_Rule_Server_Only_Import_WhyInputs} inputs
+* @param {{ locale?: "ko" }} options
+* @returns {LocalizedString}
+*/
+const mcp_rule_server_only_import_why = ((inputs = {}, options = {}) => {
+	experimentalStaticLocale ?? options.locale ?? getLocale();
+	return ko_mcp_rule_server_only_import_why(inputs);
+});
+
 //#endregion
 //#region ../i18n/src/paraglide/messages/mcp_rule_tenant_header_fix.js
 /** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
@@ -6312,6 +6464,24 @@ const mcp_verify_loader_first_query = ((inputs = {}, options = {}) => {
 	return ko_mcp_verify_loader_first_query(inputs);
 });
 
+//#endregion
+//#region ../i18n/src/paraglide/messages/mcp_verify_local_import_missing.js
+/** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
+/** @typedef {{ specifier: NonNullable<unknown>, path: NonNullable<unknown> }} Mcp_Verify_Local_Import_MissingInputs */
+const ko_mcp_verify_local_import_missing = (i) => {
+	return `\`${i?.specifier}\`를 import하지만 작업 트리에 \`${i?.path}\`가 없다`;
+};
+/**
+
+* @param {Mcp_Verify_Local_Import_MissingInputs} inputs
+* @param {{ locale?: "ko" }} options
+* @returns {LocalizedString}
+*/
+const mcp_verify_local_import_missing = ((inputs, options = {}) => {
+	experimentalStaticLocale ?? options.locale ?? getLocale();
+	return ko_mcp_verify_local_import_missing(inputs);
+});
+
 //#endregion
 //#region ../i18n/src/paraglide/messages/mcp_verify_no_module_token.js
 /** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
@@ -6474,6 +6644,42 @@ const mcp_verify_server_only_env = ((inputs = {}, options = {}) => {
 	return ko_mcp_verify_server_only_env(inputs);
 });
 
+//#endregion
+//#region ../i18n/src/paraglide/messages/mcp_verify_server_only_import.js
+/** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
+/** @typedef {{ specifier: NonNullable<unknown>, name: NonNullable<unknown> }} Mcp_Verify_Server_Only_ImportInputs */
+const ko_mcp_verify_server_only_import = (i) => {
+	return `서버 전용 모듈 \`${i?.specifier}\`의 \`${i?.name}\`을 서버 함수(handler) 밖에서 쓴다. 브라우저 번들에 남아 버전 빌드가 import 보호로 실패한다`;
+};
+/**
+
+* @param {Mcp_Verify_Server_Only_ImportInputs} inputs
+* @param {{ locale?: "ko" }} options
+* @returns {LocalizedString}
+*/
+const mcp_verify_server_only_import = ((inputs, options = {}) => {
+	experimentalStaticLocale ?? options.locale ?? getLocale();
+	return ko_mcp_verify_server_only_import(inputs);
+});
+
+//#endregion
+//#region ../i18n/src/paraglide/messages/mcp_verify_server_only_import_reexport.js
+/** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
+/** @typedef {{ specifier: NonNullable<unknown> }} Mcp_Verify_Server_Only_Import_ReexportInputs */
+const ko_mcp_verify_server_only_import_reexport = (i) => {
+	return `서버 전용 모듈 \`${i?.specifier}\`를 부수 효과 import나 다시 내보내기로 가져온다. 브라우저 번들에 남아 버전 빌드가 import 보호로 실패한다`;
+};
+/**
+
+* @param {Mcp_Verify_Server_Only_Import_ReexportInputs} inputs
+* @param {{ locale?: "ko" }} options
+* @returns {LocalizedString}
+*/
+const mcp_verify_server_only_import_reexport = ((inputs, options = {}) => {
+	experimentalStaticLocale ?? options.locale ?? getLocale();
+	return ko_mcp_verify_server_only_import_reexport(inputs);
+});
+
 //#endregion
 //#region ../i18n/src/paraglide/messages/mcp_verify_tenant_header.js
 /** @typedef {import('../runtime.js').LocalizedString} LocalizedString */
@@ -6561,7 +6767,7 @@ function takeLangFlag(argv) {
 
 //#endregion
 //#region package.json
-var version = "0.3.2";
+var version = "0.3.4";
 
 //#endregion
 //#region src/client.ts
@@ -7783,6 +7989,23 @@ const RULES = [
 		doc: "/guides/storefront-sdk",
 		templateFile: "src/lib/ordering.ts",
 		severity: "warning"
+	}),
+	defineRule({
+		id: "server-only-import",
+		title: mcp_rule_server_only_import_title,
+		why: mcp_rule_server_only_import_why,
+		fix: mcp_rule_server_only_import_fix,
+		example: mcp_rule_server_only_import_example,
+		doc: "/guides/mcp-customize",
+		templateFile: "src/lib/api.server.ts"
+	}),
+	defineRule({
+		id: "local-import-exists",
+		title: mcp_rule_local_import_exists_title,
+		why: mcp_rule_local_import_exists_why,
+		fix: mcp_rule_local_import_exists_fix,
+		example: mcp_rule_local_import_exists_example,
+		doc: "/guides/mcp-customize"
 	})
 ];
 /**
@@ -7816,7 +8039,7 @@ const CUSTOM_INPUT_LEAKS = [
 * 만들어진 프로젝트의 소스를 규칙과 대조한다. 정적 검사라 모든 문제를 잡지는 못하지만,
 * 여기 있는 것들은 실제로 반복해서 깨지는 것들이다.
 */
-function verifySources(files) {
+function verifySources(files, options = {}) {
 	const findings = [];
 	const cleaned = files.map((file) => ({
 		path: file.path,
@@ -7889,8 +8112,175 @@ function verifySources(files) {
 	const clientQuery = matches(/\buse(Suspense)?Query\(/);
 	if (clientQuery && !has("ensureQueryData(") && !has("prefetchQuery(")) inFile("loader-first", clientQuery, mcp_verify_loader_first_query(), /\buse(Suspense)?Query\(/);
 	if (has("createStorefrontClient(") && !has("loader")) inProject("loader-first", mcp_verify_loader_first_missing());
+	findings.push(...serverOnlyImports(cleaned));
+	if (options.paths) findings.push(...missingLocalImports(cleaned, options.paths));
 	return findings;
 }
+/** 상대 경로 import·export·동적 import의 대상 — `from "./x"`, `import "./x"`, `import("./x")` */
+const RELATIVE_IMPORT = /(?:\bfrom\s*|\bimport\s*\(?\s*)(["'])(\.{1,2}\/[^"'\n]+)\1/g;
+/** 확장자 없이 쓴 import가 가리킬 수 있는 파일 */
+const RESOLVE_SUFFIXES = [
+	".ts",
+	".tsx",
+	".js",
+	".jsx",
+	".mjs",
+	".json",
+	"/index.ts",
+	"/index.tsx",
+	"/index.js",
+	"/index.jsx"
+];
+/** `from` 파일 기준으로 상대 경로를 푼다. 작업 트리 루트 밖으로 나가면 null(판정하지 않는다) */
+function resolveRelative(from, specifier) {
+	const segments = from.split("/").slice(0, -1);
+	for (const segment of specifier.split("/")) {
+		if (segment === "" || segment === ".") continue;
+		if (segment === "..") {
+			if (!segments.length) return null;
+			segments.pop();
+		} else segments.push(segment);
+	}
+	return segments.join("/");
+}
+/**
+* 상대 경로로 import한 파일이 작업 트리에 있는가(이슈 #78) — 규칙 검사는 소스 문자열만 보므로 빠진 파일(예: 템플릿의
+* `messages/ko.json`)을 타입 검사·빌드 전에는 알 수 없었다. `paths`는 검사 대상 트리의 모든 파일 경로다(소스 아닌 파일 포함).
+* vite 쿼리(`?url`·`?raw`)는 떼고, `.js`로 쓴 TypeScript import(`./a.js` → `a.ts`)도 받는다.
+*/
+function missingLocalImports(files, paths) {
+	const tree = new Set(paths);
+	const out = [];
+	for (const file of files) for (const match of file.content.matchAll(RELATIVE_IMPORT)) {
+		const specifier = match[2];
+		const target = resolveRelative(file.path, specifier.replace(/[?#].*$/, ""));
+		if (target === null || target === "") continue;
+		const candidates = [target, ...RESOLVE_SUFFIXES.map((suffix) => `${target}${suffix}`)];
+		const js = /\.(m?js|jsx)$/.exec(target);
+		if (js) {
+			const stem = target.slice(0, -js[0].length);
+			candidates.push(`${stem}.ts`, `${stem}.tsx`, `${stem}.mts`);
+		}
+		if (candidates.some((candidate) => tree.has(candidate))) continue;
+		out.push({
+			ruleId: "local-import-exists",
+			file: file.path,
+			line: file.content.slice(0, match.index).split("\n").length,
+			detail: mcp_verify_local_import_missing({
+				specifier,
+				path: target
+			})
+		});
+	}
+	return out;
+}
+/**
+* 서버 전용 모듈 — TanStack Start import 보호의 기본 판정과 같다(클라이언트 환경에서 `*.server.*` 파일과
+* `@tanstack/{react,solid,vue}-start/server`를 막는다). 표시 모듈 `…/server-only`는 막는 대상이 아니다.
+*/
+const SERVER_ONLY_SPECIFIER = /^(?:@tanstack\/(?:react|solid|vue)-start\/server|\.{1,2}\/(?:[^"'\n]*\/)?[^/"'\n]+\.server(?:\.[cm]?[jt]sx?)?)$/;
+/** 그 자체가 브라우저로 가지 않아 import 보호가 보지 않는 파일 — `*.server.*`와 테스트 */
+const SERVER_ONLY_IMPORTER = /\.server\.[cm]?[jt]sx?$|\.(test|spec)\.[cm]?[jt]sx?$/;
+/** 스스로 서버 전용임을 밝힌 모듈 — 브라우저가 가져가면 import 보호가 그 모듈을 막으므로 여기서는 보지 않는다 */
+const SERVER_ONLY_MARKER = /\bimport\s*["']@tanstack\/(?:react|solid|vue)-start\/server-only["']/;
+/** 정적 import 문(여러 줄 포함). 1: `type` 2: 가져오는 이름들 3: 모듈 */
+const STATIC_IMPORT = /\bimport\s+(type\s+)?([^;"'`]*?)\s*\bfrom\s*["']([^"'\n]+)["']\s*;?/g;
+/** 부수 효과 import·다시 내보내기 — 서버 전용 모듈이면 그대로 브라우저 번들에 남는다 */
+const SIDE_EFFECT_OR_REEXPORT = /\bimport\s*["']([^"'\n]+)["']|\bexport\s+(?:type\s+)?(?:\*(?:\s+as\s+[\w$]+)?|\{[^}]*\})\s*from\s*["']([^"'\n]+)["']/g;
+/**
+* 서버에서만 도는 자리 — Start 컴파일러가 클라이언트 번들에서 걷어내는 인자다. `createServerFn().handler(…)`,
+* `createMiddleware().server(…)`·`createIsomorphicFn().server(…)`, `createServerOnlyFn(…)`, 서버 라우트
+* `createFileRoute(…)({ server: { handlers } })`의 `server` 객체. 일치의 마지막 글자가 여는 괄호다
+*/
+const SERVER_CONTEXT = /\.(?:handler|server)\s*\(|\bcreateServerOnlyFn\s*\(|\bserver\s*:\s*\{/g;
+/** import 문이 가져오는 값 이름 — `type` 표시가 붙은 이름은 빼고, `a as b`는 `b`다 */
+function importedBindings(clause) {
+	const names = [];
+	const named = /\{([^}]*)\}/.exec(clause);
+	for (const part of named?.[1]?.split(",") ?? []) {
+		const item = part.trim();
+		if (!item || /^type\s/.test(item)) continue;
+		const alias = /\bas\s+([\w$]+)$/.exec(item);
+		names.push(alias ? alias[1] : item.split(/\s+/)[0]);
+	}
+	const rest = clause.replace(/\{[^}]*\}/, "");
+	const namespace = /\*\s*as\s+([\w$]+)/.exec(rest);
+	if (namespace) names.push(namespace[1]);
+	const defaultName = /^\s*([\w$]+)\s*(?:,|$)/.exec(rest.replace(/\*\s*as\s+[\w$]+/, ""));
+	if (defaultName) names.push(defaultName[1]);
+	return names.filter((name) => /^[A-Za-z_$][\w$]*$/.test(name));
+}
+/** `open` 위치의 여는 괄호와 짝이 맞는 닫는 괄호 다음 위치. 문자열·템플릿 리터럴 안의 괄호는 세지 않는다 */
+function closingBracket(source, open) {
+	let depth = 0;
+	let quote = null;
+	for (let i = open; i < source.length; i++) {
+		const ch = source[i];
+		if (quote) {
+			if (ch === "\\") i++;
+			else if (ch === quote) quote = null;
+			continue;
+		}
+		if (ch === "\"" || ch === "'" || ch === "`") quote = ch;
+		else if (ch === "(" || ch === "{" || ch === "[") depth++;
+		else if ((ch === ")" || ch === "}" || ch === "]") && --depth === 0) return i + 1;
+	}
+	return source.length;
+}
+/** 줄 수를 지키며 구간을 공백으로 지운다 — 남은 코드의 위치가 원본 줄 번호와 맞아야 한다 */
+const blank = (text) => text.replace(/[^\n]/g, " ");
+/**
+* 브라우저로 갈 수 있는 모듈이 서버 전용 모듈을 쓰는가(이슈 #88). TanStack Start는 서버 함수 handler처럼 서버에서만
+* 도는 인자를 클라이언트 번들에서 걷어내고, 그 뒤에도 `*.server.*` import가 남으면 import 보호로 빌드를 실패시킨다.
+* 그래서 import 자체가 아니라 **서버 자리 밖에서 가져온 이름을 쓰는 것**을 위반으로 본다. 템플릿은 라우트·`lib`에서
+* `apiFor`를 import하고 `createServerFn().handler(…)`·서버 라우트 `server` 안에서만 부른다. 서버 자리 밖의 일반 함수(예: 서버 API를 부르는
+* `export function wishedOf()`)는 브라우저 번들에 남으므로 위반이다 — 그 함수를 `*.server.ts`로 옮기거나 서버 함수로 감싼다.
+* 정적 검사라 서버 자리에서만 부르는 지역 함수까지 따라가지는 않는다(보수적으로 위반으로 본다).
+*/
+function serverOnlyImports(files) {
+	const out = [];
+	for (const file of files) {
+		if (!CLIENT_FILE.test(file.path) || SERVER_ONLY_IMPORTER.test(file.path)) continue;
+		if (SERVER_ONLY_MARKER.test(file.content)) continue;
+		const lineAt = (index) => file.content.slice(0, index).split("\n").length;
+		for (const match of file.content.matchAll(SIDE_EFFECT_OR_REEXPORT)) {
+			const specifier = match[1] ?? match[2];
+			if (!SERVER_ONLY_SPECIFIER.test(specifier)) continue;
+			out.push({
+				ruleId: "server-only-import",
+				file: file.path,
+				line: lineAt(match.index),
+				detail: mcp_verify_server_only_import_reexport({ specifier })
+			});
+		}
+		const bindings = /* @__PURE__ */ new Map();
+		let body = file.content.replace(STATIC_IMPORT, (statement, typeOnly, clause, specifier) => {
+			if (!typeOnly && SERVER_ONLY_SPECIFIER.test(specifier)) for (const name of importedBindings(clause)) bindings.set(name, specifier);
+			return blank(statement);
+		});
+		if (bindings.size === 0) continue;
+		for (const context of [...body.matchAll(SERVER_CONTEXT)]) {
+			const open = context.index + context[0].length - 1;
+			if (body[open] !== "(" && body[open] !== "{") continue;
+			const end = closingBracket(body, open);
+			body = body.slice(0, open) + blank(body.slice(open, end)) + body.slice(end);
+		}
+		for (const [name, specifier] of bindings) {
+			const use = (/* @__PURE__ */ new RegExp(`(?<![\\w$.])${name.replace(/\$/g, "\\$")}(?![\\w$])`)).exec(body);
+			if (!use) continue;
+			out.push({
+				ruleId: "server-only-import",
+				file: file.path,
+				line: lineAt(use.index),
+				detail: mcp_verify_server_only_import({
+					name,
+					specifier
+				})
+			});
+		}
+	}
+	return out;
+}
 
 //#endregion
 //#region ../mcp/src/verify-report.ts
@@ -7932,9 +8322,12 @@ function nextSteps(findings, target) {
 		mcp_report_next_doc()
 	];
 }
-/** 소스를 규칙과 대조해 고칠 수 있는 보고서로 만든다 */
-function buildReport(files, target = "local") {
-	return reportFromFindings(verifySources(files), files.length, target);
+/**
+* 소스를 규칙과 대조해 고칠 수 있는 보고서로 만든다. `paths`(트리의 모든 파일 경로)를 주면 상대 경로 import의 대상이
+* 트리에 있는지도 본다(`local-import-exists`, #78)
+*/
+function buildReport(files, target = "local", paths) {
+	return reportFromFindings(verifySources(files, { paths }), files.length, target);
 }
 /**
 * 이미 찾은 위반으로 보고서를 만든다. 원격은 api가 작업 트리에서 `verifySources`를 돌려 위반만 돌려주고, 원인·수정
@@ -8015,7 +8408,7 @@ function verifyTree(files) {
 			path,
 			content
 		}];
-	}), "remote");
+	}), "remote", files.keys());
 }
 
 //#endregion
@@ -8048,7 +8441,21 @@ const WRITABLE_ROOT_FILES = new Set([
 ]);
 /** 읽기만 되는 루트 파일 — 의존성은 전용 경로로만 바꾼다(레지스트리 프록시와 잠금 파일을 함께 맞춘다) */
 const READONLY_ROOT_FILES = new Set(["package.json", "pnpm-lock.yaml"]);
-const WRITABLE_DIRS = new Set(["src", "public"]);
+/**
+* 쓸 수 있는 폴더 — 코드(`src`), 정적 파일(`public`), 화면 문구 카탈로그(`messages`, 템플릿 `src/i18n`이 `messages/ko.json`을 import한다, #73).
+* 템플릿이 import하는 파일이 이 밖에 있으면 첫 작업 트리(source.tgz)를 풀 때 빠져 빌드·검사가 깨진다(#78)
+*/
+const WRITABLE_DIRS = new Set([
+	"src",
+	"public",
+	"messages"
+]);
+/** 작업 트리 루트에 둘 수 있는 이름(폴더·파일) — 컨테이너 스냅샷이 이 이름만 묶는다(`container-tree.ts`) */
+const TRACKED_ROOT_NAMES = [
+	...WRITABLE_DIRS,
+	...WRITABLE_ROOT_FILES,
+	...READONLY_ROOT_FILES
+];
 /** 형식·금지 세그먼트만 본다(위치 규칙은 보지 않는다). 통과하면 null, 아니면 이유 */
 function formatProblem(path) {
 	if (typeof path !== "string" || path.length === 0) return "empty";
@@ -8184,7 +8591,7 @@ async function gunzip(bytes, maxBytes) {
 //#endregion
 //#region src/tree.ts
 /**
-* 로컬 작업 트리 — 서버 작업 트리와 **같은 경로 규칙**(편집 Sandbox `paths.ts`의 `accessOf`)으로 고른다. `src/**`·`public/**`·루트 설정
+* 로컬 작업 트리 — 서버 작업 트리와 **같은 경로 규칙**(편집 Sandbox `paths.ts`의 `accessOf`)으로 고른다. `src/**`·`public/**`·`messages/**`·루트 설정
 * 파일·`package.json`·`pnpm-lock.yaml`만 올리고, `.env*`·`.mcp.json`·`.sayren/`·`node_modules`·`dist`·`package-lock.json` 등은 올리지 않는다.
 * 비밀·로컬 상태 파일(`isNeverUpload`)은 서버 경로 규칙과 별개로 CLI가 먼저 막는다 — 서버 규칙이 넓어져도 토큰을 올리지 않게.
 */
@@ -8403,7 +8810,7 @@ function lockDrift(packageJson, lock) {
 /** 잠금 파일 `importers: .:`의 이름 → specifier. 읽지 못하면 null */
 function lockImporterSpecifiers(lock) {
 	const lines = lock.split(/\r?\n/);
-	const start = lines.findIndex((line) => line === "importers:");
+	const start = lines.indexOf("importers:");
 	if (start < 0) return null;
 	const out = /* @__PURE__ */ new Map();
 	let inRoot = false;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "sayren",
-  "version": "0.3.2",
+  "version": "0.3.4",
   "type": "module",
   "description": "sayren 스토어프론트 CLI — 호스팅 중인 사이트의 소스를 내려받고(pull) 로컬에서 고친 뒤 배포(deploy)합니다",
   "bin": {
@@ -13,7 +13,7 @@
     "node": ">=20.10"
   },
   "dependencies": {
-    "@sayren/store-sdk": "^0.28.1"
+    "@sayren/store-sdk": "^0.28.2"
   },
   "devDependencies": {
     "@biomejs/biome": "^2.5.14",