superpowers-mcp 6.0.2 → 6.2.0

package/README.ja.md

@@ -0,0 +1,218 @@
+# Superpowers MCP Toolpack 使用ガイド
+
+[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
+
+[![Version](https://img.shields.io/badge/version-6.2.0-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
+
+このドキュメントは、オリジナルの Superpowers スキルライブラリを独立した MCP Toolpack にパッケージ化するための情報と使用手順をまとめたものです。
+
+---
+
+## 🚀 インストールと使用方法
+
+### サポート環境
+
+**Antigravity**、**Cursor**、**VSCode**、および MCP ツールチェーンをサポートするその他の AI エディター。
+
+### AI エージェントとの対話
+
+インストールまたは設定が完了すると、AI エージェント（Copilot や Antigravity Cascade など）が `Superpowers Skills` を認識できるようになります。
+
+**次のように質問できます：**
+
+- 「すべての superpowers スキルを一覧表示して」
+- 「read_skill で brainstorming スキルを読み込んで、この機能の実装を分析して」
+- 「session-start プロンプトを適用して」（元の起動注入メカニズムをシミュレート）
+
+---
+
+## 🛠️ MCP 設定
+
+以下の設定を IDE（Cursor、Antigravity、VSCode の MCP 設定など）に追加してください。
+
+### 方法：NPX / BUNX（推奨）
+
+パス解決を自動的に処理するため、最も簡単な方法です。
+
+#### Bun を使用（高速）
+```json
+{
+  "superpowers": {
+    "command": "bunx",
+    "args": ["-y", "superpowers-mcp"]
+  }
+}
+```
+
+#### Node/NPM を使用
+```json
+{
+  "superpowers": {
+    "command": "npx",
+    "args": ["-y", "superpowers-mcp"]
+  }
+}
+```
+
+---
+
+## 💡 一般的なスキルとシナリオ
+
+| スキル名 | 推奨シナリオ | コアバリュー |
+| :--- | :--- | :--- |
+| `brainstorming` | 新機能の開始前、要件と設計の探索 | AI が即座にコードを書き始めるのを防ぐ |
+| `writing-plans` | 複数ファイルのリファクタリングや複雑な移行の前 | 明確な実行計画を確立 |
+| `systematic-debugging` | エラーや異常な動作に遭遇したとき | 推測ではなく「根本原因分析」を強制 |
+| `test-driven-development` | 論理的に難しい機能の実装時 | コードにテストが伴うことを保証（Red-Green-Refactor） |
+| `verification-before-completion` | 「直した」「完了した」と主張する前 | 証拠に基づく完了確認 |
+
+---
+
+## 🔄 推奨プロンプトシーケンス
+
+### 1. 新機能開発シーケンス
+1. 「read_skill で brainstorming スキルを読み込み、要件とアーキテクチャを確認して」
+2. 「read_skill で writing-plans スキルを読み込み、具体的なステップを含む実行計画を作成して」
+3. 「read_skill で test-driven-development スキルを読み込み、テストを含む機能を実装して」
+4. 「read_skill で verification-before-completion スキルを読み込み、テストスイートを実行してすべてが機能することを確認して」
+
+### 2. 緊急ホットフィックスシーケンス
+1. 「read_skill で systematic-debugging スキルを読み込み、現在の問題の根本原因を特定して」
+2. 「read_skill で test-driven-development スキルを読み込み、バグの失敗テストを作成して修正して」
+3. 「read_skill で verification-before-completion スキルを読み込み、適用した修正を検証して」
+
+---
+
+## 📋 サポートされているスキル概要（全 14 個）
+
+適切なスキルを選択しやすくするために、ソフトウェア開発の 6 つの論理フェーズに分類しています。
+
+### 🚀 1. 計画と設計
+- `brainstorming`: ソフトウェア設計と要件分析プロセス
+  - ブラウザベースのモックアップとデザインレビューのための Visual Companion（ジャストインタイム）
+- `writing-plans`: 詳細な実装計画の作成
+
+### 💻 2. 実装とデバッグ
+- `executing-plans`: 作成した実装計画の実行
+- `test-driven-development`: TDD（テスト駆動開発）ワークフロー
+- `systematic-debugging`: 体系的なデバッグと根本原因分析
+
+### 🛡️ 3. 品質とレビュー
+- `verification-before-completion`: 完了前の証拠に基づく検証
+- `requesting-code-review`: コードレビューの事前チェック開始
+- `receiving-code-review`: コードレビューフィードバックの受信と対応
+- `finishing-a-development-branch`: 機能ブランチの最終化と統合
+
+### 🌿 4. バージョン管理
+- `using-git-worktrees`: Git Worktrees を使用した複数ブランチの管理
+
+### 🤖 5. 高度なエージェント制御
+
+これらのスキルは、サポートされている IDE（Antigravity や Cursor など）内で複雑なメタ実行パターンをオーケストレーションするために設計されています。
+
+- **`subagent-driven-development`**: サブエージェントを駆動してタスクを実行
+  - **使用方法**: 定義済みの計画をタスクごとに実行します。システムはタスクごとに新しい「実装」サブエージェントを生成し、その後、統合された **タスクレビューアー**（仕様準拠 + コード品質）サブエージェントと、最後に **全ブランチ最終レビュー** を実行します。**Pre-Flight Plan Review** は、実行開始前のタスク競合をスキャンします。
+  - **モデル選択**: タスクの複雑さに基づいてサブエージェントモデルを選択 — 機械的な作業には低コストモデル、アーキテクチャや微妙な並行性変更には高性能モデル。
+  - **例**: 「subagent-driven-development スキルを読み込んで、docs/plans/feature-plan.md にリストされているタスクを 1 つずつ実行して」
+- **`dispatching-parallel-agents`**: タスクを並列エージェントに派遣
+  - **使用方法**: 複数の *独立した* 問題（例：3 つの無関係な失敗テストや 3 つの別々の Web 調査トピック）に取り組むために使用します。AI は並列実行の考え方を採用し、状態を横断したりコンテキスト汚染を経験することなく各タスクに独立して取り組み、出力生成を大幅に高速化します。
+  - **デバッグ例**: 「dispatching-parallel-agents スキルを読み込んで、3 つの並列エージェントを派遣して独立して失敗しているテスト A、B、C を調査して」
+  - **調査例**: 「dispatching-parallel-agents スキルを読み込んで、React 19 の機能、Vue 3.5 の更新、Svelte 5 の Runes について Web を並列検索して — それぞれ独立して要約して」
+
+### ⚙️ 6. カスタマイズとメタ
+- `using-superpowers`: Superpowers 使用のためのガイドラインとセルフチェック
+- `writing-skills`: 新しいカスタムスキルの作成と拡張
+
+---
+
+## 🆕 最近の更新
+
+### v6.2.0（最新）
+- **上流 obra/superpowers v6.2.0 との同期**：ローカルのセキュリティ強化と PowerShell ヘルパーを保持したまま、全スキルに上流の改善を同期しました。
+  - **subagent-driven-development 再構築**：プラン単位のワークスペース（`.superpowers/sdd/<plan>/`）を採用し、並行プラン間で成果物の読み書きが干渉しない構造になりました。再開可能な review-fix ループに 5 ラウンドのサーキットブレーカーを内蔵し、修正後の再レビュー専用の `re-review-prompt.md` を追加。
+  - **test-driven-development**：`testing-anti-patterns.md` が上流の `writing-good-tests.md` に置き換わりました。
+  - **finishing-a-development-branch**：上流の書き直し版を採用（ローカルで先行適用していた worktree パス取得の修正と同等の内容を含む。ブランチ破棄は明示的な要求がある場合のみ実行）。
+  - **スキル全体の圧縮**：多くの `SKILL.md` から recap セクションや説得文を削除し、プロンプトのトークン使用量を削減。
+  - **gemini-tools.md**：上流の更新版に復元。`visual-companion.md` に Gemini CLI 起動セクションを追加。
+- **PowerShell パリティ修正**：
+  - すべての SDD `.ps1` スクリプトを新しいプラン単位の `PLAN_FILE` インターフェースに移植。`find-polluter.ps1` に bash 版の `./` プレフィックス対応と `**/` 折りたたみ修正を移植。
+  - **終了コードの一致**：`$ErrorActionPreference = "Stop"` 下で `Write-Error` が終了エラー化し、意図した終了コードが飲み込まれる問題を修正 — 検証失敗は正しく 2、タスク未検出は 3 を返し、bash スクリプトと一致。
+  - **`sdd-workspace.ps1` のスラッグ導出**：任意の拡張子ではなく末尾の `.md` のみを除去（bash の `basename` と一致）。
+- **バージョン統一**：`package.json`、`package-lock.json`、MCP サーバーのハンドシェイクバージョンを 6.2.0 に統一。
+
+### v6.0.3
+- **コマンドインジェクション修正**: `server.cjs` の `BRAINSTORM_OPEN_CMD` 起動パスを `cp.exec()` から `cp.execFile()` に変更。旧コードは環境変数と URL をシェル経由で連結していましたが、新しいコードは argv 配列として引数を渡し、環境変数の内容に関係なくシェルメタキャラクタインジェクションを排除します。
+- **依存関係のセキュリティ（overrides）**: `package.json` に `overrides` ブロックを追加し、推移的依存関係の最低バージョンを強制：
+  - `@hono/node-server`: 1.19.14 → **2.0.11** — エンコードされたバックスラッシュを介した serve-static の Windows パストラバーサルを修正（[GHSA-frvp-7c67-39w9](https://github.com/advisories/GHSA-frvp-7c67-39w9)）
+  - `fast-uri`: 3.1.2 → **4.1.1** — IDN 正規化によるホスト混乱（[GHSA-4c8g-83qw-93j6](https://github.com/advisories/GHSA-4c8g-83qw-93j6)）とリテラルバックスラッシュオーソリティデリミタ（[GHSA-v2hh-gcrm-f6hx](https://github.com/advisories/GHSA-v2hh-gcrm-f6hx)）を修正
+  - `body-parser`: 2.2.2 → **2.3.0** — 無効な limit 値がサイズ制限を静かに無効にする DoS を修正（[GHSA-v422-hmwv-36x6](https://github.com/advisories/GHSA-v422-hmwv-36x6)）
+- **アップストリームバグ修正**:
+  - `find-polluter.sh`: `./` プレフィックス付きパスを受け入れ、パターン内の `**/` を折りたたむことでトップレベルのテストファイルをサポート
+  - `finishing-a-development-branch/SKILL.md`: Step 5 がディレクトリを変更する前に `WORKTREE_PATH` をキャプチャし、クリーンアップのリグレッションを修正。Option 2 に detached HEAD プッシュバリアントを追加
+
+### v6.0.2
+- **モジュールリファクタリングとパフォーマンス向上**:
+  - **疎結合アーキテクチャ**: ファイルシステムアクセス、メタデータキャッシュ、解析ロジックを専用の [`src/skills-manager.ts`](src/skills-manager.ts) に抽出し、[`src/server.ts`](src/server.ts) は MCP プロトコル処理に専念
+  - **O(1) マップベースキャッシュ**: $O(N)$ の二重配列スキャンを、大文字小文字を区別しないデュアルキー（名前とディレクトリ名）のメモリキャッシュに置き換え、高速な $O(1)$ ルックアップを実現
+  - **非同期 I/O パイプライン**: 同期ファイル API 呼び出しを Promise と `Promise.all` の並行実行に置き換え、高スループットを実現
+  - **Markdown キャッシュ**: メモリ内でストリップ済みスキルコンテンツをキャッシュし、ツールが頻繁に呼び出されたときの反復ディスク読み取りを回避
+- **セキュリティ強化**:
+  - **ReDoS 防止**: 正規表現ベースの frontmatter パーサーを安全な行単位ステートマシンパーサーに置き換え、CPU 枯渇リスクを完全に排除し、複数行の YAML 説明をサポート
+  - **パストラバーサルシールド**: スキル名入力に厳格な英数字ホワイトリスト（`/^[a-zA-Z0-9-_]+$/`）を追加
+  - **ディレクトリインジェクションチェック**: `SKILLS_PATH` を検証し、潜在的に敵対的なシステムルートフォルダを積極的に拒否
+  - **パスとユーザー名漏洩防止**: ネイティブファイルシステムエラーをキャッチし、パスを含まない汎用の `McpError` にマスク
+  - **Windows ビルドとスクリプトの安全性**: `esbuild.js` で Windows `chmodSync` プラットフォームチェックを処理し、`copy-skills.js` でシンボリックリンクをスキップして再帰的ファイルコピーループを防止
+
+- **アップストリームセキュリティ適用**: obra/superpowers v6.1.1 からのセキュリティ強化を適用：
+  - **WebSocket フレームサイズ検証**: `decodeFrame()` に `MAX_FRAME_PAYLOAD_BYTES（10 MB）` チェックを追加（CWE-789）
+  - **ハードリンク封じ込め**: `isRegularFileInsideContentDir()` に `stat.nlink !== 1` チェックを追加
+  - **`escapeHtmlText()` の抽出**: インラインの `escHtml` クロージャを再利用可能な名前付き関数として抽出
+  - **URL 解析のリファクタリング**: `pathnameOf()` と `queryKey()` ヘルパーを抽出
+- **`review-package` パス解決修正**: `sdd-workspace` の呼び出しを絶対パス解決に修正
+- **Windows ネイティブヘルパースクリプト**: Visual Companion、SDD review/task、systematic-debugging の PowerShell ラッパーを追加
+- **スキルドキュメント拡張**:
+  - `subagent-driven-development`: 計画競合処理のための `plan-mandated` レビューガイダンスを追加
+  - `writing-skills`: 言葉遣いテストの実証的証拠で禁止対レシピガイダンスを強化
+  - `test-driven-development`: テーブル書式を修正
+  - `writing-skills/anthropic-best-practices`: 画像 CDN URL を更新
+- **`helper.js` コメント調整**: 動作を変更せずに 4 つのインラインコメントを追加
+- **クリーンアップ**: 廃止された `walkthrough.md` を削除
+
+### v6.0.1
+- **セキュリティ修正 — Reflected XSS (#2)**: `server.cjs` のサーバー側反射型 XSS を修正。`bootstrapPage()` がユーザー指定の `keyFromQuery` パラメータを使用していたのを、サーバー側の `TOKEN` 定数を使用するよう変更
+
+### v6.0.0
+- **obra/superpowers v6.1.1 とのアップストリーム同期**: 全スキルにわたるアップストリームの改善を大規模同期
+- **subagent-driven-development 再設計**: 2 段階レビューを統合した「タスクレビューアー」に変更、全ブランチ最終レビューを追加、Pre-Flight Plan Review を新設
+- **using-superpowers 簡素化**: プラットフォーム固有のセクションを削除し、プラットフォーム別リファレンスファイルを導入
+- **brainstorming Visual Companion**: ジャストインタイム提供に変更
+- **型安全性とコード品質**: `Record<string,string>` キャストを修正、残りの `innerHTML` を安全な DOM メソッドに置き換え
+
+### v5.1.2
+- **セキュリティ強化**: `helper.js` の最後の `innerHTML` 使用を安全な DOM 作成メソッドに置き換え
+- **依存関係セキュリティ**: hono を `4.12.23` から `4.12.26` にアップグレード
+
+### v5.1.1
+- **セキュリティ監査と強化**: 本格的なセキュリティ監査を実施、`.gitignore` ルールを更新
+- **脆弱性修正**: `helper.js` の XSS を修正、`path-to-regexp` を `8.4.2` にアップグレード
+
+### v5.1.0
+- **インラインセルフレビュー**: サブエージェントレビューループを軽量なインラインセルフレビューチェックリストに置き換え
+- **Git Worktree 再設計**: `detect-and-defer` メカニズムで書き換え
+- **トークン最適化**: すべてのスキルから `Integration` セクションを削除
+- **統合**: 独立した `code-reviewer` エージェントを `requesting-code-review` に統合
+
+### v4.3.2
+- **セキュリティ**: brainstorming Visual Companion の XSS 脆弱性を修正
+- **ドキュメント**: README と SECURITY を正確なバージョン情報で更新
+
+### v4.3.0
+- 初期 MCP サーバー実装
+- オリジナルの Superpowers から 14 のコアスキルを移行
+
+---
+
+## 🙏 謝辞
+
+このプロジェクトは、[obra](https://github.com/obra) によるオリジナルの [Superpowers](https://github.com/obra/superpowers) プロジェクトのフォークおよび適応です。この MCP サーバーの基盤となるエージェンティックスキルフレームワークとソフトウェア開発方法論を定義してくれた彼らの仕事に感謝します。

package/README.ko.md

@@ -0,0 +1,218 @@
+# Superpowers MCP Toolpack 사용 가이드
+
+[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
+
+[![Version](https://img.shields.io/badge/version-6.2.0-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
+
+이 문서는 원본 Superpowers 스킬 라이브러리를 독립적인 MCP Toolpack으로 패키징하기 위한 정보와 사용 지침을 요약한 것입니다.
+
+---
+
+## 🚀 설치 및 사용 방법
+
+### 지원 환경
+
+**Antigravity**, **Cursor**, **VSCode** 및 MCP 툴체인을 지원하는 기타 AI 편집기.
+
+### AI 에이전트와 대화하기
+
+설치 또는 구성이 완료되면 AI 에이전트(Copilot 또는 Antigravity Cascade 등)가 `Superpowers Skills`를 인식할 수 있습니다.
+
+**다음과 같이 질문할 수 있습니다:**
+
+- "모든 superpowers 스킬을 나열해줘"
+- "read_skill을 사용하여 brainstorming 스킬을 읽고, 이 기능의 구현을 분석해줘"
+- "session-start 프롬프트를 적용해줘" (원래 시작 주입 메커니즘 시뮬레이션)
+
+---
+
+## 🛠️ MCP 구성
+
+다음 설정을 IDE(Cursor, Antigravity 또는 VSCode MCP 설정 등)에 추가하세요.
+
+### 방법: NPX / BUNX (권장)
+
+경로 해결을 자동으로 처리하므로 가장 쉬운 방법입니다.
+
+#### Bun 사용 (더 빠름)
+```json
+{
+  "superpowers": {
+    "command": "bunx",
+    "args": ["-y", "superpowers-mcp"]
+  }
+}
+```
+
+#### Node/NPM 사용
+```json
+{
+  "superpowers": {
+    "command": "npx",
+    "args": ["-y", "superpowers-mcp"]
+  }
+}
+```
+
+---
+
+## 💡 일반적인 스킬 및 시나리오
+
+| 스킬 이름 | 권장 시나리오 | 핵심 가치 |
+| :--- | :--- | :--- |
+| `brainstorming` | 새 기능을 시작하기 전, 요구사항 및 설계 탐색 | AI가 바로 코드를 작성하기 시작하는 것을 방지 |
+| `writing-plans` | 여러 파일 리팩토링이나 복잡한 마이그레이션 전 | 명확한 실행 청사진 수립 |
+| `systematic-debugging` | 오류나 비정상 동작을 발견했을 때 | 추측 대신 "근본 원인 분석" 강제 |
+| `test-driven-development` | 논리적으로 어려운 기능을 구현할 때 | 코드에 테스트가 수반되도록 보장 (Red-Green-Refactor) |
+| `verification-before-completion` | "고쳤다" 또는 "완료했다"고 말하기 전 | 증거 기반 완료 확인 |
+
+---
+
+## 🔄 권장 프롬프트 시퀀스
+
+### 1. 새 기능 개발 시퀀스
+1. "read_skill로 brainstorming 스킬을 읽고 요구사항과 아키텍처를 확인해줘"
+2. "read_skill로 writing-plans 스킬을 읽고 구체적인 단계가 있는 실행 계획을 만들어줘"
+3. "read_skill로 test-driven-development 스킬을 읽고 테스트와 함께 기능을 구현해줘"
+4. "read_skill로 verification-before-completion 스킬을 읽고 테스트 스위트를 실행하여 모든 것이 작동하는지 확인해줘"
+
+### 2. 긴급 핫픽스 시퀀스
+1. "read_skill로 systematic-debugging 스킬을 읽고 현재 문제의 근본 원인을 찾아줘"
+2. "read_skill로 test-driven-development 스킬을 읽고 버그에 대한 실패 테스트를 작성하고 수정해줘"
+3. "read_skill로 verification-before-completion 스킬을 읽고 적용된 핫픽스를 검증해줘"
+
+---
+
+## 📋 지원되는 스킬 개요 (총 14개)
+
+올바른 스킬을 선택할 수 있도록 소프트웨어 개발의 6가지 논리적 단계로 분류했습니다.
+
+### 🚀 1. 계획 및 설계
+- `brainstorming`: 소프트웨어 설계 및 요구사항 분석 프로세스
+  - 브라우저 기반 목업 및 디자인 리뷰를 위한 Visual Companion (적시 제공)
+- `writing-plans`: 상세한 구현 계획 수립
+
+### 💻 2. 구현 및 디버깅
+- `executing-plans`: 생성된 구현 계획 실행
+- `test-driven-development`: TDD(테스트 주도 개발) 워크플로우
+- `systematic-debugging`: 체계적인 디버깅 및 근본 원인 분석
+
+### 🛡️ 3. 품질 및 리뷰
+- `verification-before-completion`: 완료 전 증거 기반 검증
+- `requesting-code-review`: 코드 리뷰를 위한 사전 점검 시작
+- `receiving-code-review`: 코드 리뷰 피드백 수신 및 대응
+- `finishing-a-development-branch`: 기능 브랜치 마무리 및 통합
+
+### 🌿 4. 버전 관리
+- `using-git-worktrees`: Git Worktrees를 사용한 여러 브랜치 관리
+
+### 🤖 5. 고급 에이전트 제어
+
+이러한 스킬은 지원되는 IDE(Antigravity 또는 Cursor 등) 내에서 복잡한 메타 실행 패턴을 오케스트레이션하기 위해 설계되었습니다.
+
+- **`subagent-driven-development`**: 서브에이전트를 구동하여 작업 실행
+  - **사용법**: 미리 정의된 계획을 작업별로 실행합니다. 시스템은 각 작업마다 새로운 "구현" 서브에이전트를 생성한 후, 통합된 **작업 리뷰어**(명세 준수 + 코드 품질) 서브에이전트와 마지막에 **전체 브랜치 최종 리뷰**를 실행합니다. **Pre-Flight Plan Review**는 실행 시작 전 작업 충돌을 스캔합니다.
+  - **모델 선택**: 작업 복잡성에 따라 서브에이전트 모델 선택 — 기계적인 작업에는 저비용 모델, 아키텍처 및 미묘한 동시성 변경에는 고성능 모델
+  - **예시**: "subagent-driven-development 스킬을 읽고 docs/plans/feature-plan.md에 나열된 작업을 하나씩 실행해줘"
+- **`dispatching-parallel-agents`**: 작업을 병렬 에이전트에 할당
+  - **사용법**: 여러 *독립적인* 문제(예: 3개의 관련 없는 실패 테스트 또는 3개의 별도 웹 연구 주제)를 처리하는 데 사용됩니다. AI는 병렬 실행 마인드셋을 채택하여 상태를 교차하거나 컨텍스트 오염을 겪지 않고 각 작업을 독립적으로 처리하여 출력 생성을 크게 가속화합니다.
+  - **디버깅 예시**: "dispatching-parallel-agents 스킬을 읽고 3개의 병렬 에이전트를 할당하여 독립적으로 실패하는 테스트 A, B, C를 각각 조사해줘"
+  - **연구 예시**: "dispatching-parallel-agents 스킬을 읽고 React 19 기능, Vue 3.5 업데이트, Svelte 5 Runes에 대해 웹을 병렬 검색하고 — 각각 독립적으로 요약해줘"
+
+### ⚙️ 6. 사용자 정의 및 메타
+- `using-superpowers`: Superpowers 사용을 위한 지침 및 자체 점검
+- `writing-skills`: 새로운 사용자 정의 스킬 작성 및 확장
+
+---
+
+## 🆕 최근 업데이트
+
+### v6.2.0 (최신)
+- **업스트림 obra/superpowers v6.2.0 동기화**: 로컬 보안 강화와 PowerShell 헬퍼를 유지하면서 모든 스킬에 업스트림 개선 사항을 동기화했습니다.
+  - **subagent-driven-development 재구성**: 플랜 단위 워크스페이스(`.superpowers/sdd/<plan>/`)를 도입하여 동시에 실행되는 플랜 간 산출물이 서로를 읽거나 덮어쓰지 않도록 구조적으로 방지합니다. 재개 가능한 review-fix 루프에 5회 서킷 브레이커를 내장하고, 수정 후 재검토 전용 `re-review-prompt.md`를 추가했습니다.
+  - **test-driven-development**: `testing-anti-patterns.md`가 업스트림의 `writing-good-tests.md`로 대체되었습니다.
+  - **finishing-a-development-branch**: 업스트림 재작성 버전 채택(로컬에서 먼저 패치했던 worktree 경로 캡처 수정과 동일한 내용 포함, 브랜치 삭제는 명시적 요청 시에만 수행).
+  - **스킬 전반 압축**: 여러 `SKILL.md`에서 요약(recap) 및 설득 문구를 제거하여 프롬프트 토큰 사용량 절감.
+  - **gemini-tools.md**: 업스트림 업데이트 버전으로 복원, `visual-companion.md`에 Gemini CLI 실행 섹션 추가.
+- **PowerShell 패리티 수정**:
+  - 모든 SDD `.ps1` 스크립트를 새로운 플랜 단위 `PLAN_FILE` 인터페이스로 이식, `find-polluter.ps1`에 bash 버전의 `./` 접두사 및 `**/` 축소 수정 사항 이식.
+  - **종료 코드 일치**: `$ErrorActionPreference = "Stop"` 환경에서 `Write-Error`가 종료 오류가 되어 의도한 종료 코드가 삼켜지던 문제 수정 — 검증 실패 시 정확히 2, 작업을 찾지 못하면 3을 반환하여 bash 스크립트와 일치.
+  - **`sdd-workspace.ps1` 슬러그 도출**: 임의의 확장자가 아닌 끝의 `.md`만 제거(bash `basename`과 일치).
+- **버전 정렬**: `package.json`, `package-lock.json`, MCP 서버 핸드셰이크 버전을 6.2.0으로 통일.
+
+### v6.0.3
+- **명령 삽입 수정**: `server.cjs`의 `BRAINSTORM_OPEN_CMD` 실행 경로를 `cp.exec()`에서 `cp.execFile()`로 변경. 이전 코드는 환경 변수와 URL을 셸을 통해 연결했지만, 새 코드는 argv 배열로 인수를 전달하여 환경 변수 내용에 관계없이 셸 메타문자 삽입을 제거합니다.
+- **의존성 보안 (overrides)**: `package.json`에 `overrides` 블록을 추가하여 전이적 의존성의 최소 버전을 강제:
+  - `@hono/node-server`: 1.19.14 → **2.0.11** — 인코딩된 백슬래시를 통한 serve-static의 Windows 경로 탐색 수정 ([GHSA-frvp-7c67-39w9](https://github.com/advisories/GHSA-frvp-7c67-39w9))
+  - `fast-uri`: 3.1.2 → **4.1.1** — IDN 정규화를 통한 호스트 혼동 ([GHSA-4c8g-83qw-93j6](https://github.com/advisories/GHSA-4c8g-83qw-93j6)) 및 리터럴 백슬래시 권한 구분자 ([GHSA-v2hh-gcrm-f6hx](https://github.com/advisories/GHSA-v2hh-gcrm-f6hx)) 수정
+  - `body-parser`: 2.2.2 → **2.3.0** — 잘못된 limit 값이 크기 제한을 자동으로 비활성화하는 DoS 수정 ([GHSA-v422-hmwv-36x6](https://github.com/advisories/GHSA-v422-hmwv-36x6))
+- **업스트림 버그 수정**:
+  - `find-polluter.sh`: `./` 접두사 경로를 허용하고, 패턴에서 `**/`를 축소하여 최상위 테스트 파일 지원
+  - `finishing-a-development-branch/SKILL.md`: Step 5가 디렉토리를 변경하기 전에 `WORKTREE_PATH`를 캡처하여 정리 회귀 수정. Option 2에 detached HEAD 푸시 변형 추가
+
+### v6.0.2
+- **모듈 리팩토링 및 성능 향상**:
+  - **분리된 아키텍처**: 파일 시스템 액세스, 메타데이터 캐싱 및 구문 분석 로직을 전용 [`src/skills-manager.ts`](src/skills-manager.ts)로 추출하고 [`src/server.ts`](src/server.ts)는 MCP 프로토콜 처리에 집중
+  - **O(1) 맵 기반 캐시**: $O(N)$ 이중 배열 스캔을 대소문자 구분 없는 이중 키(이름 및 디렉토리 이름) 메모리 캐시로 대체하여 빠른 $O(1)$ 조회 구현
+  - **비동기 I/O 파이프라인**: 동기 파일 API 호출을 Promise 및 `Promise.all` 병렬 실행으로 전환하여 높은 처리량 구현
+  - **Markdown 캐시**: 메모리에서 스트리핑된 스킬 콘텐츠를 캐시하여 도구가 자주 호출될 때 반복적인 디스크 읽기 방지
+- **보안 강화**:
+  - **ReDoS 방지**: 정규식 기반 frontmatter 파서를 안전한 줄 단위 상태 머신 파서로 대체하여 CPU 고갈 위험을 완전히 제거하고 여러 줄 YAML 설명 지원
+  - **경로 탐색 차단**: 스킬 이름 입력에 엄격한 영숫자 화이트리스트(`/^[a-zA-Z0-9-_]+$/`) 추가
+  - **디렉토리 삽입 검사**: `SKILLS_PATH`를 검증하여 잠재적으로 적대적인 시스템 루트 폴더를 적극적으로 거부
+  - **경로 및 사용자 이름 누출 방지**: 네이티브 파일 시스템 오류를 포착하여 경로가 없는 일반 `McpError`로 마스킹
+  - **Windows 빌드 및 스크립트 안전성**: `esbuild.js`에서 Windows `chmodSync` 플랫폼 검사 처리, `copy-skills.js`에서 심볼릭 링크 건너뛰기
+
+- **업스트림 보안 체리픽**: obra/superpowers v6.1.1의 보안 강화 적용:
+  - **WebSocket 프레임 크기 검증**: `decodeFrame()`에 `MAX_FRAME_PAYLOAD_BYTES(10MB)` 검사 추가 (CWE-789)
+  - **하드링크 차단**: `isRegularFileInsideContentDir()`에 `stat.nlink !== 1` 검사 추가
+  - **`escapeHtmlText()` 추출**: 인라인 `escHtml` 클로저를 재사용 가능한 명명된 함수로 추출
+  - **URL 구문 분석 리팩토링**: `pathnameOf()` 및 `queryKey()` 헬퍼 추출
+- **`review-package` 경로 해결 수정**: `sdd-workspace` 호출을 절대 경로 해결로 수정
+- **Windows 네이티브 헬퍼 스크립트**: Visual Companion, SDD review/task, systematic-debugging용 PowerShell 래퍼 추가
+- **스킬 문서 개선**:
+  - `subagent-driven-development`: 계획 충돌 처리를 위한 `plan-mandated` 리뷰 가이던스 추가
+  - `writing-skills`: 표현 테스트의 실증적 증거로 금지 대 레시피 가이던스 강화
+  - `test-driven-development`: 테이블 서식 수정
+  - `writing-skills/anthropic-best-practices`: 이미지 CDN URL 업데이트
+- **`helper.js` 주석 정렬**: 동작 변경 없이 4개의 인라인 주석 추가
+- **정리**: 사용되지 않는 `walkthrough.md` 제거
+
+### v6.0.1
+- **보안 수정 — Reflected XSS (#2)**: `server.cjs`의 서버 측 반사형 XSS 수정. `bootstrapPage()`가 사용자 제공 `keyFromQuery` 매개변수를 사용하던 것을 서버 측 `TOKEN` 상수를 사용하도록 변경
+
+### v6.0.0
+- **obra/superpowers v6.1.1과의 업스트림 동기화**: 모든 스킬에 걸친 대규모 동기화
+- **subagent-driven-development 재설계**: 2단계 리뷰를 통합된 "작업 리뷰어"로 변경, 전체 브랜치 최종 리뷰 추가, Pre-Flight Plan Review 신설
+- **using-superpowers 단순화**: 플랫폼별 섹션 제거, 플랫폼별 참조 파일 도입
+- **brainstorming Visual Companion**: 적시 제공으로 변경
+- **타입 안전성 및 코드 품질**: `Record<string,string>` 캐스트 수정, 남은 `innerHTML`을 안전한 DOM 메서드로 대체
+
+### v5.1.2
+- **보안 강화**: `helper.js`의 마지막 `innerHTML` 사용을 안전한 DOM 생성 메서드로 대체
+- **의존성 보안**: hono를 `4.12.23`에서 `4.12.26`으로 업그레이드
+
+### v5.1.1
+- **보안 감사 및 강화**: 전체 보안 감사 수행, `.gitignore` 규칙 업데이트
+- **취약점 패치**: `helper.js`의 XSS 수정, `path-to-regexp`를 `8.4.2`로 업그레이드
+
+### v5.1.0
+- **인라인 셀프 리뷰**: 서브에이전트 리뷰 루프를 가벼운 인라인 셀프 리뷰 체크리스트로 대체
+- **Git Worktree 재설계**: `detect-and-defer` 메커니즘으로 재작성
+- **토큰 최적화**: 모든 스킬에서 `Integration` 섹션 제거
+- **통합**: 독립적인 `code-reviewer` 에이전트를 `requesting-code-review`로 통합
+
+### v4.3.2
+- **보안**: brainstorming Visual Companion의 XSS 취약점 수정
+- **문서**: 정확한 버전 정보로 README 및 SECURITY 업데이트
+
+### v4.3.0
+- 초기 MCP 서버 구현
+- 원본 Superpowers에서 14개의 핵심 스킬 마이그레이션
+
+---
+
+## 🙏 감사의 말
+
+이 프로젝트는 [obra](https://github.com/obra)의 원본 [Superpowers](https://github.com/obra/superpowers) 프로젝트의 포크 및 각색입니다. 이 MCP 서버의 기반이 되는 에이전틱 스킬 프레임워크와 소프트웨어 개발 방법론을 정의해 준 그들의 작업에 감사드립니다.

package/README.md

@@ -1,8 +1,8 @@
 # Superpowers MCP Toolpack Usage Guide
 
-[English](README.md) | [繁體中文](README.zh-TW.md)
+[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
 
-[![Version](https://img.shields.io/badge/version-6.0.2-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![Version](https://img.shields.io/badge/version-6.2.0-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 This document summarizes the information and usage instructions for packaging the original Superpowers skills library into an independent MCP Toolpack.
@@ -128,7 +128,30 @@ These skills are designed for orchestrating complex meta-execution patterns with
 
 ## 🆕 Recent Updates
 
-### v6.0.2 (Latest)
+### v6.2.0 (Latest)
+- **Upstream Sync with obra/superpowers v6.2.0**: Synchronized upstream improvements across all skills while preserving local security enhancements and PowerShell helpers.
+  - **subagent-driven-development Restructure**: Plan-scoped workspaces (`.superpowers/sdd/<plan>/`) so concurrent plans can never read or overwrite each other's artifacts. Resume-based review-fix loop with a five-round circuit breaker, plus a new scoped `re-review-prompt.md` for re-reviews after fixes.
+  - **test-driven-development**: `testing-anti-patterns.md` replaced by upstream `writing-good-tests.md`.
+  - **finishing-a-development-branch**: Adopted the upstream rewrite (includes the same worktree-path capture fix previously patched locally; branch discard is now explicit-request-only).
+  - **Skills-wide compression**: Recap and persuasion sections removed across many `SKILL.md` files, reducing prompt token footprint.
+  - **gemini-tools.md**: Restored to the updated upstream version; `visual-companion.md` gains a Gemini CLI launch section.
+- **PowerShell Parity Fixes**:
+  - All SDD `.ps1` scripts ported to the new plan-scoped `PLAN_FILE` interfaces; `find-polluter.ps1` gained the `./`-prefix and `**/` collapse fixes from the bash version.
+  - **Exit-code parity**: Fixed `Write-Error` under `$ErrorActionPreference = "Stop"` swallowing the intended exit codes — validation failures now correctly exit 2 and a missing task exits 3, matching the bash scripts.
+  - **`sdd-workspace.ps1` slug derivation**: Strips only a trailing `.md` (matching bash `basename`), instead of any file extension.
+- **Version Alignment**: `package.json`, `package-lock.json`, and the MCP server handshake version are now consistent at 6.2.0.
+
+### v6.0.3
+- **Command Injection Fix**: Replaced `cp.exec()` with `cp.execFile()` in the brainstorming Visual Companion server (`server.cjs`) for the `BRAINSTORM_OPEN_CMD` launcher path. The old code concatenated the env var with the URL via the shell; the new code passes arguments as an argv array, eliminating shell metacharacter injection regardless of env var content.
+- **Dependency Security (overrides)**: Added `overrides` block in `package.json` enforcing minimum versions for transitive dependencies:
+  - `@hono/node-server`: 1.19.14 → **2.0.11** — fixes Windows path traversal in serve-static via encoded backslash ([GHSA-frvp-7c67-39w9](https://github.com/advisories/GHSA-frvp-7c67-39w9))
+  - `fast-uri`: 3.1.2 → **4.1.1** — fixes host confusion via IDN canonicalization ([GHSA-4c8g-83qw-93j6](https://github.com/advisories/GHSA-4c8g-83qw-93j6)) and literal backslash authority delimiter ([GHSA-v2hh-gcrm-f6hx](https://github.com/advisories/GHSA-v2hh-gcrm-f6hx))
+  - `body-parser`: 2.2.2 → **2.3.0** — fixes DoS when invalid limit value silently disables size enforcement ([GHSA-v422-hmwv-36x6](https://github.com/advisories/GHSA-v422-hmwv-36x6))
+- **Upstream Bug Fixes**:
+  - `find-polluter.sh`: Now accepts `./`-prefixed paths (not just bare paths) and supports top-level test files by collapsing `**/` in the pattern
+  - `finishing-a-development-branch/SKILL.md`: Captures `WORKTREE_PATH` before Step 5 changes directory, fixing a cleanup regression. Added detached HEAD push variant for Option 2
+
+### v6.0.2
 - **Modular Refactoring & Performance Upgrades**:
   - **Decoupled Architecture**: Extracted file system access, metadata caching, and parsing logic into a dedicated [`src/skills-manager.ts`](src/skills-manager.ts), leaving [`src/server.ts`](src/server.ts) purely focused on MCP protocol handling.
   - **O(1) Map-Based Cache**: Replaced the $O(N)$ double-array scan with case-insensitive, dual-key (by name and directory name) memory caches for fast $O(1)$ lookups.

package/README.zh-TW.md

@@ -1,8 +1,8 @@
 # Superpowers MCP Toolpack 使用指南
 
-[English](README.md) | [繁體中文](README.zh-TW.md)
+[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
 
-[![版本](https://img.shields.io/badge/version-6.0.2-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![版本](https://img.shields.io/badge/version-6.2.0-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![授權](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 本文檔總結了將原始 Superpowers 技能庫打包成獨立 MCP Toolpack 的相關資訊與使用說明。
@@ -62,7 +62,7 @@
 | 技能名稱 | 社群推薦使用情境 | 核心價值 |
 | :--- | :--- | :--- |
 | `brainstorming` | 啟動新功能前，探索需求與設計。 | 防止 AI 直接衝進去寫 code。 |
-| `writing-plans` | 進行多檔案重構或複雜迁移前。 | 建立明確的執行藍圖。 |
+| `writing-plans` | 進行多檔案重構或複雜遷移前。 | 建立明確的執行藍圖。 |
 | `systematic-debugging` | 遇到任何報錯或行為異常時。 | 強制執行「根因分析」而非亂猜。 |
 | `test-driven-development` | 實作具邏輯挑戰的功能時。 | 確保代碼隨附測試，實現 Red-Green-Refactor。 |
 | `verification-before-completion` | 聲稱「修好了」或「做完了」之前。 | 證據導向的完工確認。 |
@@ -128,7 +128,30 @@
 
 ## 🆕 最近更新
 
-### v6.0.2 (最新版)
+### v6.2.0 (最新版)
+- **上游同步 obra/superpowers v6.2.0**：同步上游所有技能的改進，同時保留本地的安全性強化與 PowerShell 輔助腳本。
+  - **subagent-driven-development 重構**：採用計畫範圍工作區（`.superpowers/sdd/<plan>/`），並行計畫之間的產物再也不會互相讀寫。改為可續接的 review-fix 迴圈，內建五輪熔斷機制，並新增修復後複審專用的 `re-review-prompt.md`。
+  - **test-driven-development**：`testing-anti-patterns.md` 由上游的 `writing-good-tests.md` 取代。
+  - **finishing-a-development-branch**：採用上游重寫版（包含與本地先前修補相同的 worktree 路徑捕獲修復；分支丟棄現在需要明確要求才會執行）。
+  - **技能全面精簡**：移除多個 `SKILL.md` 中的回顧與說服性段落，降低 prompt token 佔用。
+  - **gemini-tools.md**：還原為上游更新版；`visual-companion.md` 新增 Gemini CLI 啟動章節。
+- **PowerShell 一致性修復**：
+  - 所有 SDD `.ps1` 腳本移植到新的計畫範圍 `PLAN_FILE` 介面；`find-polluter.ps1` 移植了 bash 版的 `./` 前綴與 `**/` 收縮修復。
+  - **Exit code 一致性**：修復 `$ErrorActionPreference = "Stop"` 下 `Write-Error` 變成終止錯誤、導致預期 exit code 被吞掉的問題 — 驗證失敗現正確回傳 2、找不到任務回傳 3，與 bash 腳本一致。
+  - **`sdd-workspace.ps1` slug 推導**：只剝除尾端的 `.md`（與 bash `basename` 一致），不再剝除任意副檔名。
+- **版本對齊**：`package.json`、`package-lock.json` 與 MCP server 握手版本現統一為 6.2.0。
+
+### v6.0.3
+- **命令注入修復**：將 brainstorming Visual Companion 伺服器 (`server.cjs`) 中 `BRAINSTORM_OPEN_CMD` 的啟動方式從 `cp.exec()` 改為 `cp.execFile()`。舊版程式會將環境變數與 URL 透過 shell 串接執行；新版改以 argv 陣列傳遞參數，徹底消除 shell metacharacter 注入風險。
+- **依賴安全性 (overrides)**：在 `package.json` 中新增 `overrides` 區塊，強制設定間接依賴的最低版本：
+  - `@hono/node-server`: 1.19.14 → **2.0.11** — 修復 Windows 上 serve-static 經由編碼反斜線的路徑遍歷漏洞 ([GHSA-frvp-7c67-39w9](https://github.com/advisories/GHSA-frvp-7c67-39w9))
+  - `fast-uri`: 3.1.2 → **4.1.1** — 修復 IDN 正規化的主機混淆 ([GHSA-4c8g-83qw-93j6](https://github.com/advisories/GHSA-4c8g-83qw-93j6)) 與反斜線權限定界符 ([GHSA-v2hh-gcrm-f6hx](https://github.com/advisories/GHSA-v2hh-gcrm-f6hx))
+  - `body-parser`: 2.2.2 → **2.3.0** — 修復無效 limit 值導致大小限制被靜默停用的 DoS 漏洞 ([GHSA-v422-hmwv-36x6](https://github.com/advisories/GHSA-v422-hmwv-36x6))
+- **上游錯誤修正**：
+  - `find-polluter.sh`：現在支援 `./` 前綴路徑（不只是裸路徑），並透過收縮 `**/` 模式支援頂層測試檔案
+  - `finishing-a-development-branch/SKILL.md`：在 Step 5 切換目錄前預先捕獲 `WORKTREE_PATH`，修復清理階段的回歸錯誤。新增 Option 2 的 detached HEAD 推送變體
+
+### v6.0.2
 - **模組化拆分與效能提升**：
   - **職責解耦**：將檔案存取、YAML 解析與快取邏輯抽離至獨立模組 [`src/skills-manager.ts`](src/skills-manager.ts)，主程式 [`src/server.ts`](src/server.ts) 專注於 MCP 路由註冊。
   - **O(1) 雙向快取**：引入大小寫不敏感的 Map 雙向鍵值快取（以技能名與目錄名為 Key），將原本 $O(N)$ 的陣列雙重遍歷優化為 $O(1)$ 的直接讀取。