superpowers-mcp 6.0.1 → 6.0.3

package/README.ja.md

@@ -0,0 +1,205 @@
+# Superpowers MCP Toolpack 使用ガイド
+
+[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
+
+[![Version](https://img.shields.io/badge/version-6.0.3-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
+
+このドキュメントは、オリジナルの Superpowers スキルライブラリを独立した MCP Toolpack にパッケージ化するための情報と使用手順をまとめたものです。
+
+---
+
+## 🚀 インストールと使用方法
+
+### サポート環境
+
+**Antigravity**、**Cursor**、**VSCode**、および MCP ツールチェーンをサポートするその他の AI エディター。
+
+### AI エージェントとの対話
+
+インストールまたは設定が完了すると、AI エージェント（Copilot や Antigravity Cascade など）が `Superpowers Skills` を認識できるようになります。
+
+**次のように質問できます：**
+
+- 「すべての superpowers スキルを一覧表示して」
+- 「read_skill で brainstorming スキルを読み込んで、この機能の実装を分析して」
+- 「session-start プロンプトを適用して」（元の起動注入メカニズムをシミュレート）
+
+---
+
+## 🛠️ MCP 設定
+
+以下の設定を IDE（Cursor、Antigravity、VSCode の MCP 設定など）に追加してください。
+
+### 方法：NPX / BUNX（推奨）
+
+パス解決を自動的に処理するため、最も簡単な方法です。
+
+#### Bun を使用（高速）
+```json
+{
+  "superpowers": {
+    "command": "bunx",
+    "args": ["-y", "superpowers-mcp"]
+  }
+}
+```
+
+#### Node/NPM を使用
+```json
+{
+  "superpowers": {
+    "command": "npx",
+    "args": ["-y", "superpowers-mcp"]
+  }
+}
+```
+
+---
+
+## 💡 一般的なスキルとシナリオ
+
+| スキル名 | 推奨シナリオ | コアバリュー |
+| :--- | :--- | :--- |
+| `brainstorming` | 新機能の開始前、要件と設計の探索 | AI が即座にコードを書き始めるのを防ぐ |
+| `writing-plans` | 複数ファイルのリファクタリングや複雑な移行の前 | 明確な実行計画を確立 |
+| `systematic-debugging` | エラーや異常な動作に遭遇したとき | 推測ではなく「根本原因分析」を強制 |
+| `test-driven-development` | 論理的に難しい機能の実装時 | コードにテストが伴うことを保証（Red-Green-Refactor） |
+| `verification-before-completion` | 「直した」「完了した」と主張する前 | 証拠に基づく完了確認 |
+
+---
+
+## 🔄 推奨プロンプトシーケンス
+
+### 1. 新機能開発シーケンス
+1. 「read_skill で brainstorming スキルを読み込み、要件とアーキテクチャを確認して」
+2. 「read_skill で writing-plans スキルを読み込み、具体的なステップを含む実行計画を作成して」
+3. 「read_skill で test-driven-development スキルを読み込み、テストを含む機能を実装して」
+4. 「read_skill で verification-before-completion スキルを読み込み、テストスイートを実行してすべてが機能することを確認して」
+
+### 2. 緊急ホットフィックスシーケンス
+1. 「read_skill で systematic-debugging スキルを読み込み、現在の問題の根本原因を特定して」
+2. 「read_skill で test-driven-development スキルを読み込み、バグの失敗テストを作成して修正して」
+3. 「read_skill で verification-before-completion スキルを読み込み、適用した修正を検証して」
+
+---
+
+## 📋 サポートされているスキル概要（全 14 個）
+
+適切なスキルを選択しやすくするために、ソフトウェア開発の 6 つの論理フェーズに分類しています。
+
+### 🚀 1. 計画と設計
+- `brainstorming`: ソフトウェア設計と要件分析プロセス
+  - ブラウザベースのモックアップとデザインレビューのための Visual Companion（ジャストインタイム）
+- `writing-plans`: 詳細な実装計画の作成
+
+### 💻 2. 実装とデバッグ
+- `executing-plans`: 作成した実装計画の実行
+- `test-driven-development`: TDD（テスト駆動開発）ワークフロー
+- `systematic-debugging`: 体系的なデバッグと根本原因分析
+
+### 🛡️ 3. 品質とレビュー
+- `verification-before-completion`: 完了前の証拠に基づく検証
+- `requesting-code-review`: コードレビューの事前チェック開始
+- `receiving-code-review`: コードレビューフィードバックの受信と対応
+- `finishing-a-development-branch`: 機能ブランチの最終化と統合
+
+### 🌿 4. バージョン管理
+- `using-git-worktrees`: Git Worktrees を使用した複数ブランチの管理
+
+### 🤖 5. 高度なエージェント制御
+
+これらのスキルは、サポートされている IDE（Antigravity や Cursor など）内で複雑なメタ実行パターンをオーケストレーションするために設計されています。
+
+- **`subagent-driven-development`**: サブエージェントを駆動してタスクを実行
+  - **使用方法**: 定義済みの計画をタスクごとに実行します。システムはタスクごとに新しい「実装」サブエージェントを生成し、その後、統合された **タスクレビューアー**（仕様準拠 + コード品質）サブエージェントと、最後に **全ブランチ最終レビュー** を実行します。**Pre-Flight Plan Review** は、実行開始前のタスク競合をスキャンします。
+  - **モデル選択**: タスクの複雑さに基づいてサブエージェントモデルを選択 — 機械的な作業には低コストモデル、アーキテクチャや微妙な並行性変更には高性能モデル。
+  - **例**: 「subagent-driven-development スキルを読み込んで、docs/plans/feature-plan.md にリストされているタスクを 1 つずつ実行して」
+- **`dispatching-parallel-agents`**: タスクを並列エージェントに派遣
+  - **使用方法**: 複数の *独立した* 問題（例：3 つの無関係な失敗テストや 3 つの別々の Web 調査トピック）に取り組むために使用します。AI は並列実行の考え方を採用し、状態を横断したりコンテキスト汚染を経験することなく各タスクに独立して取り組み、出力生成を大幅に高速化します。
+  - **デバッグ例**: 「dispatching-parallel-agents スキルを読み込んで、3 つの並列エージェントを派遣して独立して失敗しているテスト A、B、C を調査して」
+  - **調査例**: 「dispatching-parallel-agents スキルを読み込んで、React 19 の機能、Vue 3.5 の更新、Svelte 5 の Runes について Web を並列検索して — それぞれ独立して要約して」
+
+### ⚙️ 6. カスタマイズとメタ
+- `using-superpowers`: Superpowers 使用のためのガイドラインとセルフチェック
+- `writing-skills`: 新しいカスタムスキルの作成と拡張
+
+---
+
+## 🆕 最近の更新
+
+### v6.0.3（最新）
+- **コマンドインジェクション修正**: `server.cjs` の `BRAINSTORM_OPEN_CMD` 起動パスを `cp.exec()` から `cp.execFile()` に変更。旧コードは環境変数と URL をシェル経由で連結していましたが、新しいコードは argv 配列として引数を渡し、環境変数の内容に関係なくシェルメタキャラクタインジェクションを排除します。
+- **依存関係のセキュリティ（overrides）**: `package.json` に `overrides` ブロックを追加し、推移的依存関係の最低バージョンを強制：
+  - `@hono/node-server`: 1.19.14 → **2.0.11** — エンコードされたバックスラッシュを介した serve-static の Windows パストラバーサルを修正（[GHSA-frvp-7c67-39w9](https://github.com/advisories/GHSA-frvp-7c67-39w9)）
+  - `fast-uri`: 3.1.2 → **4.1.1** — IDN 正規化によるホスト混乱（[GHSA-4c8g-83qw-93j6](https://github.com/advisories/GHSA-4c8g-83qw-93j6)）とリテラルバックスラッシュオーソリティデリミタ（[GHSA-v2hh-gcrm-f6hx](https://github.com/advisories/GHSA-v2hh-gcrm-f6hx)）を修正
+  - `body-parser`: 2.2.2 → **2.3.0** — 無効な limit 値がサイズ制限を静かに無効にする DoS を修正（[GHSA-v422-hmwv-36x6](https://github.com/advisories/GHSA-v422-hmwv-36x6)）
+- **アップストリームバグ修正**:
+  - `find-polluter.sh`: `./` プレフィックス付きパスを受け入れ、パターン内の `**/` を折りたたむことでトップレベルのテストファイルをサポート
+  - `finishing-a-development-branch/SKILL.md`: Step 5 がディレクトリを変更する前に `WORKTREE_PATH` をキャプチャし、クリーンアップのリグレッションを修正。Option 2 に detached HEAD プッシュバリアントを追加
+
+### v6.0.2
+- **モジュールリファクタリングとパフォーマンス向上**:
+  - **疎結合アーキテクチャ**: ファイルシステムアクセス、メタデータキャッシュ、解析ロジックを専用の [`src/skills-manager.ts`](src/skills-manager.ts) に抽出し、[`src/server.ts`](src/server.ts) は MCP プロトコル処理に専念
+  - **O(1) マップベースキャッシュ**: $O(N)$ の二重配列スキャンを、大文字小文字を区別しないデュアルキー（名前とディレクトリ名）のメモリキャッシュに置き換え、高速な $O(1)$ ルックアップを実現
+  - **非同期 I/O パイプライン**: 同期ファイル API 呼び出しを Promise と `Promise.all` の並行実行に置き換え、高スループットを実現
+  - **Markdown キャッシュ**: メモリ内でストリップ済みスキルコンテンツをキャッシュし、ツールが頻繁に呼び出されたときの反復ディスク読み取りを回避
+- **セキュリティ強化**:
+  - **ReDoS 防止**: 正規表現ベースの frontmatter パーサーを安全な行単位ステートマシンパーサーに置き換え、CPU 枯渇リスクを完全に排除し、複数行の YAML 説明をサポート
+  - **パストラバーサルシールド**: スキル名入力に厳格な英数字ホワイトリスト（`/^[a-zA-Z0-9-_]+$/`）を追加
+  - **ディレクトリインジェクションチェック**: `SKILLS_PATH` を検証し、潜在的に敵対的なシステムルートフォルダを積極的に拒否
+  - **パスとユーザー名漏洩防止**: ネイティブファイルシステムエラーをキャッチし、パスを含まない汎用の `McpError` にマスク
+  - **Windows ビルドとスクリプトの安全性**: `esbuild.js` で Windows `chmodSync` プラットフォームチェックを処理し、`copy-skills.js` でシンボリックリンクをスキップして再帰的ファイルコピーループを防止
+
+- **アップストリームセキュリティ適用**: obra/superpowers v6.1.1 からのセキュリティ強化を適用：
+  - **WebSocket フレームサイズ検証**: `decodeFrame()` に `MAX_FRAME_PAYLOAD_BYTES（10 MB）` チェックを追加（CWE-789）
+  - **ハードリンク封じ込め**: `isRegularFileInsideContentDir()` に `stat.nlink !== 1` チェックを追加
+  - **`escapeHtmlText()` の抽出**: インラインの `escHtml` クロージャを再利用可能な名前付き関数として抽出
+  - **URL 解析のリファクタリング**: `pathnameOf()` と `queryKey()` ヘルパーを抽出
+- **`review-package` パス解決修正**: `sdd-workspace` の呼び出しを絶対パス解決に修正
+- **Windows ネイティブヘルパースクリプト**: Visual Companion、SDD review/task、systematic-debugging の PowerShell ラッパーを追加
+- **スキルドキュメント拡張**:
+  - `subagent-driven-development`: 計画競合処理のための `plan-mandated` レビューガイダンスを追加
+  - `writing-skills`: 言葉遣いテストの実証的証拠で禁止対レシピガイダンスを強化
+  - `test-driven-development`: テーブル書式を修正
+  - `writing-skills/anthropic-best-practices`: 画像 CDN URL を更新
+- **`helper.js` コメント調整**: 動作を変更せずに 4 つのインラインコメントを追加
+- **クリーンアップ**: 廃止された `walkthrough.md` を削除
+
+### v6.0.1
+- **セキュリティ修正 — Reflected XSS (#2)**: `server.cjs` のサーバー側反射型 XSS を修正。`bootstrapPage()` がユーザー指定の `keyFromQuery` パラメータを使用していたのを、サーバー側の `TOKEN` 定数を使用するよう変更
+
+### v6.0.0
+- **obra/superpowers v6.1.1 とのアップストリーム同期**: 全スキルにわたるアップストリームの改善を大規模同期
+- **subagent-driven-development 再設計**: 2 段階レビューを統合した「タスクレビューアー」に変更、全ブランチ最終レビューを追加、Pre-Flight Plan Review を新設
+- **using-superpowers 簡素化**: プラットフォーム固有のセクションを削除し、プラットフォーム別リファレンスファイルを導入
+- **brainstorming Visual Companion**: ジャストインタイム提供に変更
+- **型安全性とコード品質**: `Record<string,string>` キャストを修正、残りの `innerHTML` を安全な DOM メソッドに置き換え
+
+### v5.1.2
+- **セキュリティ強化**: `helper.js` の最後の `innerHTML` 使用を安全な DOM 作成メソッドに置き換え
+- **依存関係セキュリティ**: hono を `4.12.23` から `4.12.26` にアップグレード
+
+### v5.1.1
+- **セキュリティ監査と強化**: 本格的なセキュリティ監査を実施、`.gitignore` ルールを更新
+- **脆弱性修正**: `helper.js` の XSS を修正、`path-to-regexp` を `8.4.2` にアップグレード
+
+### v5.1.0
+- **インラインセルフレビュー**: サブエージェントレビューループを軽量なインラインセルフレビューチェックリストに置き換え
+- **Git Worktree 再設計**: `detect-and-defer` メカニズムで書き換え
+- **トークン最適化**: すべてのスキルから `Integration` セクションを削除
+- **統合**: 独立した `code-reviewer` エージェントを `requesting-code-review` に統合
+
+### v4.3.2
+- **セキュリティ**: brainstorming Visual Companion の XSS 脆弱性を修正
+- **ドキュメント**: README と SECURITY を正確なバージョン情報で更新
+
+### v4.3.0
+- 初期 MCP サーバー実装
+- オリジナルの Superpowers から 14 のコアスキルを移行
+
+---
+
+## 🙏 謝辞
+
+このプロジェクトは、[obra](https://github.com/obra) によるオリジナルの [Superpowers](https://github.com/obra/superpowers) プロジェクトのフォークおよび適応です。この MCP サーバーの基盤となるエージェンティックスキルフレームワークとソフトウェア開発方法論を定義してくれた彼らの仕事に感謝します。

package/README.ko.md

@@ -0,0 +1,205 @@
+# Superpowers MCP Toolpack 사용 가이드
+
+[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
+
+[![Version](https://img.shields.io/badge/version-6.0.3-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
+
+이 문서는 원본 Superpowers 스킬 라이브러리를 독립적인 MCP Toolpack으로 패키징하기 위한 정보와 사용 지침을 요약한 것입니다.
+
+---
+
+## 🚀 설치 및 사용 방법
+
+### 지원 환경
+
+**Antigravity**, **Cursor**, **VSCode** 및 MCP 툴체인을 지원하는 기타 AI 편집기.
+
+### AI 에이전트와 대화하기
+
+설치 또는 구성이 완료되면 AI 에이전트(Copilot 또는 Antigravity Cascade 등)가 `Superpowers Skills`를 인식할 수 있습니다.
+
+**다음과 같이 질문할 수 있습니다:**
+
+- "모든 superpowers 스킬을 나열해줘"
+- "read_skill을 사용하여 brainstorming 스킬을 읽고, 이 기능의 구현을 분석해줘"
+- "session-start 프롬프트를 적용해줘" (원래 시작 주입 메커니즘 시뮬레이션)
+
+---
+
+## 🛠️ MCP 구성
+
+다음 설정을 IDE(Cursor, Antigravity 또는 VSCode MCP 설정 등)에 추가하세요.
+
+### 방법: NPX / BUNX (권장)
+
+경로 해결을 자동으로 처리하므로 가장 쉬운 방법입니다.
+
+#### Bun 사용 (더 빠름)
+```json
+{
+  "superpowers": {
+    "command": "bunx",
+    "args": ["-y", "superpowers-mcp"]
+  }
+}
+```
+
+#### Node/NPM 사용
+```json
+{
+  "superpowers": {
+    "command": "npx",
+    "args": ["-y", "superpowers-mcp"]
+  }
+}
+```
+
+---
+
+## 💡 일반적인 스킬 및 시나리오
+
+| 스킬 이름 | 권장 시나리오 | 핵심 가치 |
+| :--- | :--- | :--- |
+| `brainstorming` | 새 기능을 시작하기 전, 요구사항 및 설계 탐색 | AI가 바로 코드를 작성하기 시작하는 것을 방지 |
+| `writing-plans` | 여러 파일 리팩토링이나 복잡한 마이그레이션 전 | 명확한 실행 청사진 수립 |
+| `systematic-debugging` | 오류나 비정상 동작을 발견했을 때 | 추측 대신 "근본 원인 분석" 강제 |
+| `test-driven-development` | 논리적으로 어려운 기능을 구현할 때 | 코드에 테스트가 수반되도록 보장 (Red-Green-Refactor) |
+| `verification-before-completion` | "고쳤다" 또는 "완료했다"고 말하기 전 | 증거 기반 완료 확인 |
+
+---
+
+## 🔄 권장 프롬프트 시퀀스
+
+### 1. 새 기능 개발 시퀀스
+1. "read_skill로 brainstorming 스킬을 읽고 요구사항과 아키텍처를 확인해줘"
+2. "read_skill로 writing-plans 스킬을 읽고 구체적인 단계가 있는 실행 계획을 만들어줘"
+3. "read_skill로 test-driven-development 스킬을 읽고 테스트와 함께 기능을 구현해줘"
+4. "read_skill로 verification-before-completion 스킬을 읽고 테스트 스위트를 실행하여 모든 것이 작동하는지 확인해줘"
+
+### 2. 긴급 핫픽스 시퀀스
+1. "read_skill로 systematic-debugging 스킬을 읽고 현재 문제의 근본 원인을 찾아줘"
+2. "read_skill로 test-driven-development 스킬을 읽고 버그에 대한 실패 테스트를 작성하고 수정해줘"
+3. "read_skill로 verification-before-completion 스킬을 읽고 적용된 핫픽스를 검증해줘"
+
+---
+
+## 📋 지원되는 스킬 개요 (총 14개)
+
+올바른 스킬을 선택할 수 있도록 소프트웨어 개발의 6가지 논리적 단계로 분류했습니다.
+
+### 🚀 1. 계획 및 설계
+- `brainstorming`: 소프트웨어 설계 및 요구사항 분석 프로세스
+  - 브라우저 기반 목업 및 디자인 리뷰를 위한 Visual Companion (적시 제공)
+- `writing-plans`: 상세한 구현 계획 수립
+
+### 💻 2. 구현 및 디버깅
+- `executing-plans`: 생성된 구현 계획 실행
+- `test-driven-development`: TDD(테스트 주도 개발) 워크플로우
+- `systematic-debugging`: 체계적인 디버깅 및 근본 원인 분석
+
+### 🛡️ 3. 품질 및 리뷰
+- `verification-before-completion`: 완료 전 증거 기반 검증
+- `requesting-code-review`: 코드 리뷰를 위한 사전 점검 시작
+- `receiving-code-review`: 코드 리뷰 피드백 수신 및 대응
+- `finishing-a-development-branch`: 기능 브랜치 마무리 및 통합
+
+### 🌿 4. 버전 관리
+- `using-git-worktrees`: Git Worktrees를 사용한 여러 브랜치 관리
+
+### 🤖 5. 고급 에이전트 제어
+
+이러한 스킬은 지원되는 IDE(Antigravity 또는 Cursor 등) 내에서 복잡한 메타 실행 패턴을 오케스트레이션하기 위해 설계되었습니다.
+
+- **`subagent-driven-development`**: 서브에이전트를 구동하여 작업 실행
+  - **사용법**: 미리 정의된 계획을 작업별로 실행합니다. 시스템은 각 작업마다 새로운 "구현" 서브에이전트를 생성한 후, 통합된 **작업 리뷰어**(명세 준수 + 코드 품질) 서브에이전트와 마지막에 **전체 브랜치 최종 리뷰**를 실행합니다. **Pre-Flight Plan Review**는 실행 시작 전 작업 충돌을 스캔합니다.
+  - **모델 선택**: 작업 복잡성에 따라 서브에이전트 모델 선택 — 기계적인 작업에는 저비용 모델, 아키텍처 및 미묘한 동시성 변경에는 고성능 모델
+  - **예시**: "subagent-driven-development 스킬을 읽고 docs/plans/feature-plan.md에 나열된 작업을 하나씩 실행해줘"
+- **`dispatching-parallel-agents`**: 작업을 병렬 에이전트에 할당
+  - **사용법**: 여러 *독립적인* 문제(예: 3개의 관련 없는 실패 테스트 또는 3개의 별도 웹 연구 주제)를 처리하는 데 사용됩니다. AI는 병렬 실행 마인드셋을 채택하여 상태를 교차하거나 컨텍스트 오염을 겪지 않고 각 작업을 독립적으로 처리하여 출력 생성을 크게 가속화합니다.
+  - **디버깅 예시**: "dispatching-parallel-agents 스킬을 읽고 3개의 병렬 에이전트를 할당하여 독립적으로 실패하는 테스트 A, B, C를 각각 조사해줘"
+  - **연구 예시**: "dispatching-parallel-agents 스킬을 읽고 React 19 기능, Vue 3.5 업데이트, Svelte 5 Runes에 대해 웹을 병렬 검색하고 — 각각 독립적으로 요약해줘"
+
+### ⚙️ 6. 사용자 정의 및 메타
+- `using-superpowers`: Superpowers 사용을 위한 지침 및 자체 점검
+- `writing-skills`: 새로운 사용자 정의 스킬 작성 및 확장
+
+---
+
+## 🆕 최근 업데이트
+
+### v6.0.3 (최신)
+- **명령 삽입 수정**: `server.cjs`의 `BRAINSTORM_OPEN_CMD` 실행 경로를 `cp.exec()`에서 `cp.execFile()`로 변경. 이전 코드는 환경 변수와 URL을 셸을 통해 연결했지만, 새 코드는 argv 배열로 인수를 전달하여 환경 변수 내용에 관계없이 셸 메타문자 삽입을 제거합니다.
+- **의존성 보안 (overrides)**: `package.json`에 `overrides` 블록을 추가하여 전이적 의존성의 최소 버전을 강제:
+  - `@hono/node-server`: 1.19.14 → **2.0.11** — 인코딩된 백슬래시를 통한 serve-static의 Windows 경로 탐색 수정 ([GHSA-frvp-7c67-39w9](https://github.com/advisories/GHSA-frvp-7c67-39w9))
+  - `fast-uri`: 3.1.2 → **4.1.1** — IDN 정규화를 통한 호스트 혼동 ([GHSA-4c8g-83qw-93j6](https://github.com/advisories/GHSA-4c8g-83qw-93j6)) 및 리터럴 백슬래시 권한 구분자 ([GHSA-v2hh-gcrm-f6hx](https://github.com/advisories/GHSA-v2hh-gcrm-f6hx)) 수정
+  - `body-parser`: 2.2.2 → **2.3.0** — 잘못된 limit 값이 크기 제한을 자동으로 비활성화하는 DoS 수정 ([GHSA-v422-hmwv-36x6](https://github.com/advisories/GHSA-v422-hmwv-36x6))
+- **업스트림 버그 수정**:
+  - `find-polluter.sh`: `./` 접두사 경로를 허용하고, 패턴에서 `**/`를 축소하여 최상위 테스트 파일 지원
+  - `finishing-a-development-branch/SKILL.md`: Step 5가 디렉토리를 변경하기 전에 `WORKTREE_PATH`를 캡처하여 정리 회귀 수정. Option 2에 detached HEAD 푸시 변형 추가
+
+### v6.0.2
+- **모듈 리팩토링 및 성능 향상**:
+  - **분리된 아키텍처**: 파일 시스템 액세스, 메타데이터 캐싱 및 구문 분석 로직을 전용 [`src/skills-manager.ts`](src/skills-manager.ts)로 추출하고 [`src/server.ts`](src/server.ts)는 MCP 프로토콜 처리에 집중
+  - **O(1) 맵 기반 캐시**: $O(N)$ 이중 배열 스캔을 대소문자 구분 없는 이중 키(이름 및 디렉토리 이름) 메모리 캐시로 대체하여 빠른 $O(1)$ 조회 구현
+  - **비동기 I/O 파이프라인**: 동기 파일 API 호출을 Promise 및 `Promise.all` 병렬 실행으로 전환하여 높은 처리량 구현
+  - **Markdown 캐시**: 메모리에서 스트리핑된 스킬 콘텐츠를 캐시하여 도구가 자주 호출될 때 반복적인 디스크 읽기 방지
+- **보안 강화**:
+  - **ReDoS 방지**: 정규식 기반 frontmatter 파서를 안전한 줄 단위 상태 머신 파서로 대체하여 CPU 고갈 위험을 완전히 제거하고 여러 줄 YAML 설명 지원
+  - **경로 탐색 차단**: 스킬 이름 입력에 엄격한 영숫자 화이트리스트(`/^[a-zA-Z0-9-_]+$/`) 추가
+  - **디렉토리 삽입 검사**: `SKILLS_PATH`를 검증하여 잠재적으로 적대적인 시스템 루트 폴더를 적극적으로 거부
+  - **경로 및 사용자 이름 누출 방지**: 네이티브 파일 시스템 오류를 포착하여 경로가 없는 일반 `McpError`로 마스킹
+  - **Windows 빌드 및 스크립트 안전성**: `esbuild.js`에서 Windows `chmodSync` 플랫폼 검사 처리, `copy-skills.js`에서 심볼릭 링크 건너뛰기
+
+- **업스트림 보안 체리픽**: obra/superpowers v6.1.1의 보안 강화 적용:
+  - **WebSocket 프레임 크기 검증**: `decodeFrame()`에 `MAX_FRAME_PAYLOAD_BYTES(10MB)` 검사 추가 (CWE-789)
+  - **하드링크 차단**: `isRegularFileInsideContentDir()`에 `stat.nlink !== 1` 검사 추가
+  - **`escapeHtmlText()` 추출**: 인라인 `escHtml` 클로저를 재사용 가능한 명명된 함수로 추출
+  - **URL 구문 분석 리팩토링**: `pathnameOf()` 및 `queryKey()` 헬퍼 추출
+- **`review-package` 경로 해결 수정**: `sdd-workspace` 호출을 절대 경로 해결로 수정
+- **Windows 네이티브 헬퍼 스크립트**: Visual Companion, SDD review/task, systematic-debugging용 PowerShell 래퍼 추가
+- **스킬 문서 개선**:
+  - `subagent-driven-development`: 계획 충돌 처리를 위한 `plan-mandated` 리뷰 가이던스 추가
+  - `writing-skills`: 표현 테스트의 실증적 증거로 금지 대 레시피 가이던스 강화
+  - `test-driven-development`: 테이블 서식 수정
+  - `writing-skills/anthropic-best-practices`: 이미지 CDN URL 업데이트
+- **`helper.js` 주석 정렬**: 동작 변경 없이 4개의 인라인 주석 추가
+- **정리**: 사용되지 않는 `walkthrough.md` 제거
+
+### v6.0.1
+- **보안 수정 — Reflected XSS (#2)**: `server.cjs`의 서버 측 반사형 XSS 수정. `bootstrapPage()`가 사용자 제공 `keyFromQuery` 매개변수를 사용하던 것을 서버 측 `TOKEN` 상수를 사용하도록 변경
+
+### v6.0.0
+- **obra/superpowers v6.1.1과의 업스트림 동기화**: 모든 스킬에 걸친 대규모 동기화
+- **subagent-driven-development 재설계**: 2단계 리뷰를 통합된 "작업 리뷰어"로 변경, 전체 브랜치 최종 리뷰 추가, Pre-Flight Plan Review 신설
+- **using-superpowers 단순화**: 플랫폼별 섹션 제거, 플랫폼별 참조 파일 도입
+- **brainstorming Visual Companion**: 적시 제공으로 변경
+- **타입 안전성 및 코드 품질**: `Record<string,string>` 캐스트 수정, 남은 `innerHTML`을 안전한 DOM 메서드로 대체
+
+### v5.1.2
+- **보안 강화**: `helper.js`의 마지막 `innerHTML` 사용을 안전한 DOM 생성 메서드로 대체
+- **의존성 보안**: hono를 `4.12.23`에서 `4.12.26`으로 업그레이드
+
+### v5.1.1
+- **보안 감사 및 강화**: 전체 보안 감사 수행, `.gitignore` 규칙 업데이트
+- **취약점 패치**: `helper.js`의 XSS 수정, `path-to-regexp`를 `8.4.2`로 업그레이드
+
+### v5.1.0
+- **인라인 셀프 리뷰**: 서브에이전트 리뷰 루프를 가벼운 인라인 셀프 리뷰 체크리스트로 대체
+- **Git Worktree 재설계**: `detect-and-defer` 메커니즘으로 재작성
+- **토큰 최적화**: 모든 스킬에서 `Integration` 섹션 제거
+- **통합**: 독립적인 `code-reviewer` 에이전트를 `requesting-code-review`로 통합
+
+### v4.3.2
+- **보안**: brainstorming Visual Companion의 XSS 취약점 수정
+- **문서**: 정확한 버전 정보로 README 및 SECURITY 업데이트
+
+### v4.3.0
+- 초기 MCP 서버 구현
+- 원본 Superpowers에서 14개의 핵심 스킬 마이그레이션
+
+---
+
+## 🙏 감사의 말
+
+이 프로젝트는 [obra](https://github.com/obra)의 원본 [Superpowers](https://github.com/obra/superpowers) 프로젝트의 포크 및 각색입니다. 이 MCP 서버의 기반이 되는 에이전틱 스킬 프레임워크와 소프트웨어 개발 방법론을 정의해 준 그들의 작업에 감사드립니다.

package/README.md

@@ -1,8 +1,8 @@
 # Superpowers MCP Toolpack Usage Guide
 
-[English](README.md) | [繁體中文](README.zh-TW.md)
+[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
 
-[![Version](https://img.shields.io/badge/version-6.0.0-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![Version](https://img.shields.io/badge/version-6.0.3-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 This document summarizes the information and usage instructions for packaging the original Superpowers skills library into an independent MCP Toolpack.
@@ -128,7 +128,45 @@ These skills are designed for orchestrating complex meta-execution patterns with
 
 ## 🆕 Recent Updates
 
-### v6.0.1 (Latest)
+### v6.0.3 (Latest)
+- **Command Injection Fix**: Replaced `cp.exec()` with `cp.execFile()` in the brainstorming Visual Companion server (`server.cjs`) for the `BRAINSTORM_OPEN_CMD` launcher path. The old code concatenated the env var with the URL via the shell; the new code passes arguments as an argv array, eliminating shell metacharacter injection regardless of env var content.
+- **Dependency Security (overrides)**: Added `overrides` block in `package.json` enforcing minimum versions for transitive dependencies:
+  - `@hono/node-server`: 1.19.14 → **2.0.11** — fixes Windows path traversal in serve-static via encoded backslash ([GHSA-frvp-7c67-39w9](https://github.com/advisories/GHSA-frvp-7c67-39w9))
+  - `fast-uri`: 3.1.2 → **4.1.1** — fixes host confusion via IDN canonicalization ([GHSA-4c8g-83qw-93j6](https://github.com/advisories/GHSA-4c8g-83qw-93j6)) and literal backslash authority delimiter ([GHSA-v2hh-gcrm-f6hx](https://github.com/advisories/GHSA-v2hh-gcrm-f6hx))
+  - `body-parser`: 2.2.2 → **2.3.0** — fixes DoS when invalid limit value silently disables size enforcement ([GHSA-v422-hmwv-36x6](https://github.com/advisories/GHSA-v422-hmwv-36x6))
+- **Upstream Bug Fixes**:
+  - `find-polluter.sh`: Now accepts `./`-prefixed paths (not just bare paths) and supports top-level test files by collapsing `**/` in the pattern
+  - `finishing-a-development-branch/SKILL.md`: Captures `WORKTREE_PATH` before Step 5 changes directory, fixing a cleanup regression. Added detached HEAD push variant for Option 2
+
+### v6.0.2
+- **Modular Refactoring & Performance Upgrades**:
+  - **Decoupled Architecture**: Extracted file system access, metadata caching, and parsing logic into a dedicated [`src/skills-manager.ts`](src/skills-manager.ts), leaving [`src/server.ts`](src/server.ts) purely focused on MCP protocol handling.
+  - **O(1) Map-Based Cache**: Replaced the $O(N)$ double-array scan with case-insensitive, dual-key (by name and directory name) memory caches for fast $O(1)$ lookups.
+  - **Async I/O Pipeline**: Swapped synchronous file API calls (`readdirSync`, `readFileSync`) with promises and `Promise.all` concurrent execution, unlocking high-throughput performance.
+  - **Markdown Cache**: Cached stripped skill content in memory to avoid repetitive disk reads when tools are invoked frequently.
+- **Security Hardening**:
+  - **ReDoS Prevention**: Replaced regex-based frontmatter parser with a safe, line-by-line state machine parser, completely eliminating CPU exhaustion risks and supporting multiline YAML descriptions.
+  - **Path Traversal Shield**: Added strict alphanumeric white-listing (`/^[a-zA-Z0-9-_]+$/`) on skill name inputs to prevent traversal attacks.
+  - **Directory Injection Check**: Validated `SKILLS_PATH` to actively reject potentially hostile system root folders.
+  - **Path & Username Leak Protection**: Caught native file system errors and masked them into generic, path-free `McpError` payloads.
+  - **Windows Build and Script Safety**: Handled Windows `chmodSync` platform checks in `esbuild.js` and skipped Symlinks in `copy-skills.js` to prevent recursive file copy loops.
+
+- **Upstream Security Cherry-Picks**: Applied security hardening from obra/superpowers v6.1.1:
+  - **WebSocket frame size validation**: Added `MAX_FRAME_PAYLOAD_BYTES (10 MB)` check in `decodeFrame()` to prevent oversized frame attacks (CWE-789). Dual protection — BigInt extended-length and general post-resolution guard.
+  - **Hardlink containment**: Added `stat.nlink !== 1` check in `isRegularFileInsideContentDir()` prevents path traversal via hardlinks.
+  - **`escapeHtmlText()` extraction**: Extracted inline `escHtml` closure into a reusable named function for consistent HTML escaping.
+  - **URL parsing refactor**: Extracted `pathnameOf()` and `queryKey()` helpers, reducing duplicate inline URL logic in `handleRequest()`.
+- **`review-package` Path Resolution Fix**: Fixed `sdd-workspace` invocation to use absolute path resolution (`$(cd "$(dirname "$0")" && pwd)`) instead of relative path, fixing CWD-dependent failures.
+- **Windows Native Helper Scripts**: Added PowerShell wrappers for Visual Companion startup/shutdown, SDD review/task helpers, and systematic-debugging polluter detection.
+- **Skill Documentation Enhancements**:
+  - `subagent-driven-development`: Added `plan-mandated` review guidance for handling plan conflicts.
+  - `writing-skills`: Strengthened prohibition vs. recipe guidance with empirical evidence from wording tests.
+  - `test-driven-development`: Fixed table formatting for clarity.
+  - `writing-skills/anthropic-best-practices`: Updated image CDN URLs.
+- **`helper.js` Comment Alignment**: Added 4 clarifying inline comments to align with upstream documentation without changing behavior. DOM-safe `showTombstone()` preserved (no `innerHTML` regression).
+- **Cleanup**: Removed obsolete `walkthrough.md` (v5.1.0 upgrade guide).
+
+### v6.0.1
 - **Security Fix — Reflected XSS (#2)**: Fixed server-side reflected cross-site scripting in `skills/brainstorming/scripts/server.cjs`. The `bootstrapPage()` function was called with the user-supplied `keyFromQuery` parameter (even though validated via `timingSafeEqualStr`). Changed to use the server-side `TOKEN` constant instead, eliminating user-tainted data from the HTML response sink. Zero behavior change (the validated value is identical).
 
 ### v6.0.0

package/README.zh-TW.md

@@ -1,8 +1,8 @@
 # Superpowers MCP Toolpack 使用指南
 
-[English](README.md) | [繁體中文](README.zh-TW.md)
+[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
 
-[![版本](https://img.shields.io/badge/version-6.0.0-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![版本](https://img.shields.io/badge/version-6.0.3-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![授權](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 本文檔總結了將原始 Superpowers 技能庫打包成獨立 MCP Toolpack 的相關資訊與使用說明。
@@ -128,7 +128,44 @@
 
 ## 🆕 最近更新
 
-### v6.0.1 (最新版)
+### v6.0.3 (最新版)
+- **命令注入修復**：將 brainstorming Visual Companion 伺服器 (`server.cjs`) 中 `BRAINSTORM_OPEN_CMD` 的啟動方式從 `cp.exec()` 改為 `cp.execFile()`。舊版程式會將環境變數與 URL 透過 shell 串接執行；新版改以 argv 陣列傳遞參數，徹底消除 shell metacharacter 注入風險。
+- **依賴安全性 (overrides)**：在 `package.json` 中新增 `overrides` 區塊，強制設定間接依賴的最低版本：
+  - `@hono/node-server`: 1.19.14 → **2.0.11** — 修復 Windows 上 serve-static 經由編碼反斜線的路徑遍歷漏洞 ([GHSA-frvp-7c67-39w9](https://github.com/advisories/GHSA-frvp-7c67-39w9))
+  - `fast-uri`: 3.1.2 → **4.1.1** — 修復 IDN 正規化的主機混淆 ([GHSA-4c8g-83qw-93j6](https://github.com/advisories/GHSA-4c8g-83qw-93j6)) 與反斜線權限定界符 ([GHSA-v2hh-gcrm-f6hx](https://github.com/advisories/GHSA-v2hh-gcrm-f6hx))
+  - `body-parser`: 2.2.2 → **2.3.0** — 修復無效 limit 值導致大小限制被靜默停用的 DoS 漏洞 ([GHSA-v422-hmwv-36x6](https://github.com/advisories/GHSA-v422-hmwv-36x6))
+- **上游錯誤修正**：
+  - `find-polluter.sh`：現在支援 `./` 前綴路徑（不只是裸路徑），並透過收縮 `**/` 模式支援頂層測試檔案
+  - `finishing-a-development-branch/SKILL.md`：在 Step 5 切換目錄前預先捕獲 `WORKTREE_PATH`，修復清理階段的回歸錯誤。新增 Option 2 的 detached HEAD 推送變體
+
+### v6.0.2
+- **模組化拆分與效能提升**：
+  - **職責解耦**：將檔案存取、YAML 解析與快取邏輯抽離至獨立模組 [`src/skills-manager.ts`](src/skills-manager.ts)，主程式 [`src/server.ts`](src/server.ts) 專注於 MCP 路由註冊。
+  - **O(1) 雙向快取**：引入大小寫不敏感的 Map 雙向鍵值快取（以技能名與目錄名為 Key），將原本 $O(N)$ 的陣列雙重遍歷優化為 $O(1)$ 的直接讀取。
+  - **非同步 I/O 管線**：全面以 `fs/promises` 代替同步磁碟操作，搭配 `Promise.all` 併發枚舉，釋放 Node.js 事件循環阻塞。
+  - **Markdown 內容快取**：快取已剝離 YAML frontmatter 的技能文檔，避免工具頻繁調用時對硬碟的重複讀寫損耗。
+- **安全性深度防禦**：
+  - **防範 ReDoS 攻擊**：棄用非貪婪正則，重構為「逐行 Frontmatter 解析器」，規避了惡意/損壞 Markdown 導致的 CPU 回溯鎖死風險，且支援了 YAML 多行 `description` 欄位。
+  - **路徑遍歷（Path Traversal）防禦**：對 `skill_name` 輸入參數使用英數白名單篩選（`/^[a-zA-Z0-9-_]+$/`）。
+  - **絕對路徑防洩露**：安全捕獲原生 I/O 錯誤，隱蔽主機真實實體路徑與帳號名稱，回傳通用 `McpError`。
+  - **環境路徑與指令碼加固**：檢測 `SKILLS_PATH` 防範根目錄惡意注入；修復 `esbuild.js` 在 Windows 上的 `chmodSync` 崩潰問題，並在 `copy-skills.js` 中跳過符號連結 (Symlink) 杜絕遞迴拷貝死循環。
+
+- **上游安全更新同步**：套用來自 obra/superpowers v6.1.1 的安全加固：
+  - **WebSocket 影格長度限制**：在 `decodeFrame()` 中新增 `MAX_FRAME_PAYLOAD_BYTES (10 MB)` 檢測，防止超大型影格攻擊（CWE-789）。
+  - **硬連結限制**：在 `isRegularFileInsideContentDir()` 中加入 `stat.nlink !== 1` 檢測，防止透過硬連結 (Hardlink) 繞過路徑遍歷。
+  - **提取 `escapeHtmlText()`**：將行內的 `escHtml` 閉包提取為可重複使用的具名函數，以確保 HTML 逸出的一致性。
+  - **URL 解析重構**：抽離出 `pathnameOf()` and `queryKey()` 輔助函數，減少 `handleRequest()` 中的重複 URL 解析。
+- **`review-package` 路徑解析修正**：修復 `sdd-workspace` 呼叫，改用絕對路徑解析 (`$(cd "$(dirname "$0")" && pwd)`) 以防止與工作路徑 (CWD) 依賴相關的調用失敗。
+- **Windows 原生輔助腳本**：新增 Visual Companion 啟動/關閉、SDD review/task helper，以及 systematic-debugging polluter detection 的 PowerShell wrapper。
+- **技能文檔改進**：
+  - `subagent-driven-development`：新增 `plan-mandated` 審查指引，以處理計畫之間的衝突。
+  - `writing-skills`：結合字詞測試的實證，強化「禁止撰寫步驟清單 (recipes) 技能」的指引。
+  - `test-driven-development`：修正表格格式以提升清晰度。
+  - `writing-skills/anthropic-best-practices`：更新圖片的 CDN 網址。
+- **`helper.js` 註解對齊**：新增 4 個說明的行內註解以對齊上游文檔。保留 DOM 安全的 `showTombstone()` 實作（無 `innerHTML` 退化）。
+- **清理**：移除了已廢棄的 `walkthrough.md` (v5.1.0 升級指南)。
+
+### v6.0.1
 - **安全性修復 — Reflected XSS (#2)**: 修復 `skills/brainstorming/scripts/server.cjs` 中的伺服器端反射型跨站腳本漏洞。原本 `bootstrapPage()` 使用使用者提供的 `keyFromQuery` 參數（雖已通過 `timingSafeEqualStr` 驗證），現改為使用伺服器端 `TOKEN` 常數，徹底消除使用者可控資料進入 HTML 回應的風險。行為完全不變（驗證後的值相同）。
 
 ### v6.0.0