superpowers-mcp 6.3.5 → 6.3.7

package/README.ja.md

@@ -2,7 +2,7 @@
 
 [English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
 
-[![バージョン](https://img.shields.io/badge/version-6.3.5-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![バージョン](https://img.shields.io/badge/version-6.3.7-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 このドキュメントは、Superpowers スキルライブラリと自律型ワークフローを、独立した高パフォーマンスかつ安全な **Model Context Protocol (MCP)** サーバーにパッケージ化した使用説明書です。
@@ -173,64 +173,60 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 
 ---
 
+## 🔧 アップストリームへの追従
+
+この fork は上流 [`obra/superpowers`](https://github.com/obra/superpowers) のスキル内容をレビュー済みバッチで取り込みます。最後の同期時点の上流 blob SHA は [`tests/upstream-sync-baseline.json`](tests/upstream-sync-baseline.json) に記録されています。
+
+```bash
+npm run drift                    # ベースラインと上流を比較し、変更点を一覧表示
+npm run drift:record             # レビュー済み同期の後にベースラインを更新
+node scripts/upstream-drift.js   # オフライン：ベースライン整合性 + ローカル網羅率
+```
+
+レポートは、上流で変更されたファイル、上流の追加・削除、追跡対象だがローカルに無いファイル、fork 独自の追加を分けて表示します。意図的に採用しない上流スキルは drift ではなく「判断待ち」として報告され、`npm run drift:record -- --ignore <skill>` で記録します。取り込み済みの上流ファイルが削除されたり、スキルの上流系譜が失われると `npm test` が失敗します。GitHub tree が途中で切れた場合、レポートモードは結果を部分的と明示して `--fail-on-drift` を抑止し、record モードは書き込み自体を拒否して最後の完全なベースラインを保護します。
+
 ## 🆕 最近の更新
 
-### v6.3.5（最新）
-
-- **7 つの新しい AI エージェント・エディタ環境のワンクリックインストール対応 (`src/setup-runner.ts`, `scripts/install.sh`)**：
-  - 構成エンジンを拡張し、合計 15 種類の AI 開発環境に対応：
-    - **GitHub Copilot (VS Code Insiders)**：`Code - Insiders/User/mcp.json`（安定版 VS Code との競合を防ぐ物理パス完全分離、エイリアス: `copilot-insiders`, `vscode-insiders`, `code-insiders`, `insiders`, `insider`）
-    - **QwenPaw (パーソナル AI アシスタントワークステーション)**：`~/.qwenpaw/config.json`（`copaw` 互換、エイリアス: `qwenpaw`, `copaw`）
-    - **Cline (VS Code / CLI)**：`.../saoudrizwan.claude-dev/settings/cline_mcp_settings.json`（エイリアス: `cline`, `claude-dev`）
-    - **Kilo Code**：`~/.config/kilo/kilo.jsonc`（自適応 `"mcp"` ルート仕様、エイリアス: `kilo`, `kilocode`）
-    - **Qoder**：`~/.qoder/settings.json`（エイリアス: `qoder`）
-    - **Kiro**：`~/.kiro/settings/mcp.json`（エイリアス: `kiro`, `kiro-code`）
-    - **Trae**：`.../Trae/User/mcp.json`（macOS、Windows、Linux、Trae CN をクロスプラットフォームでサポート）
-  - Kilo Code 固有の辞書形式を適応する `"json-mcp"` フォーマットタイプを追加。
-  - `runSetup` を介して `harness.defaultConfig` からテンプレートを注入し、Single Source of Truth (SSOT) を確立。
-- **デュアル Subagent によるアーキテクチャおよびコード品質レビュー**：
-  - 「アーキテクチャ・セキュリティレビュアー」と「品質・エッジケースレビュアー」の 2 人のエージェントによるレビューを実施。
-  - アトミック書き込み（`crypto.randomBytes(8)` + `flag: "wx"`）、シンボリックリンク防御、最小権限（`0o700`/`0o600`）、デフォルトのゼロディスク汚染を完全検証。
-  - プロジェクト全体のセキュリティ監査を完了し、[`SECURITY.md`](SECURITY.md) を更新（173 件の自動化アサーション 100% 合格）。
-- **テストスイートの大幅拡充 (`tests/setup_test.js`)**：
-  - 単元テストを 21 件から 32 件に拡充（100% 合格）。Claude Desktop、Kimi Work、Hermes Desktop のエンドツーエンドサンドボックステストを追加。
-- **多言語ドキュメントの同期**：
-  - 4 言語すべての README（[`README.md`](README.md)、[`README.zh-TW.md`](README.zh-TW.md)、[`README.ja.md`](README.ja.md)、[`README.ko.md`](README.ko.md)）でサポート環境一覧とコマンドテーブルを同期。
-  - [`tests/global_setup_verification.md`](tests/global_setup_verification.md) の残存データを整理。
-
-### v6.3.4
-
-- **Universal One-Click グローバルセットアップエンジン (`src/setup-runner.ts`, `scripts/`)**：
-  - 8 大主要 AI 環境（Antigravity、Pi Desktop / Pi Agent、Cursor、GitHub Copilot (VS Code)、Hermes Desktop / Agent、Kimi Work / Kimi Code、Claude Desktop、Devin Desktop）向けの依存関係ゼロのワンクリック自動構成。
-  - CLI コマンド `superpowers-setup` および `superpowers-mcp setup` を提供し、クロスプラットフォームのインストーラスクリプト（[`install.sh`](scripts/install.sh) および [`install.ps1`](scripts/install.ps1)）を開発。
-  - **明示的同意とアンチウイルス設計 (Explicit Consent & Anti-Virus Design)**：`--target <client>` を必須とし、未承認のディスク自動スキャンや全環境の一括変更を根絶（`--all` を削除）。
-  - **アトミック書き込み防御 (`safeWriteConfig`)**：ランダム 8 バイト nonce 一時ファイル、`flag: "wx"`、`renameSync` によるアトミック操作で、ファイル競合や破損を防止。
-  - **シンボリックリンク保護と最小特権権限**：`realpathSync` でリンク先を安全に解決。新規ディレクトリは `0o700`、設定ファイルは `0o600` に制限し、バックアップは元のパーミッションを継承。
-  - **パラメータインジェクション防御と JSONC 解析**：`JSON.stringify` で安全にエスケープ。コメントや末尾カンマを許容し、`isPlainObject` でプロトタイプ汚染を防御。
-  - **CLI Stdio 分離**：`src/server.ts` で setup 引数を事前インターセプトし、MCP プロトコルの stdio 汚染を防止。
-  - **自動化テストスイート**：[`tests/setup_test.js`](tests/setup_test.js) を追加（21 テスト 100% 合格）。
-- **Skill Compositions スキル合成とエンドツーエンドパイプライン (`src/server.ts`, `docs/`)**：
-  - 3 つの新しい MCP ワークフロープロンプトを追加：`feature-pipeline`、`structured-debug`、`skill-composition`。
-  - 4 言語による包括的なドキュメント（[`docs/skill-compositions.ja.md`](docs/skill-compositions.ja.md)）と横型 Mermaid フローチャート、ASCII 図を追加。
-  - [`skills/using-superpowers/SKILL.md`](skills/using-superpowers/SKILL.md) および [`skills/writing-plans/SKILL.md`](skills/writing-plans/SKILL.md) に `Recommended Skill` メタデータ標準とコントローラー・サブエージェント間プロトコルを追加。
-  - [`tests/prompts_compositions_test.js`](tests/prompts_compositions_test.js) を追加（7 テスト 100% 合格）。
-- **プロンプトセキュリティ強化とライフサイクルの完結 (`src/server.ts`)**：
-  - `interpolateTemplate` を 1 パス正規表現置換にアップグレードし、連鎖的なプレースホルダー展開攻撃を根絶。
-  - 全 9 プロンプトに 32 KB 長さクランプと `hasOwnProperty` 検証を適用。
-  - `structured-debug` に Stage 6（レビュー修正）と Stage 7（ブランチ整理・完了）を追加。
-- **包括的なセキュリティ監査と検証**：
-  - `npm audit` で脆弱性 0 を確認。全 5 テストスイート（100+ アサーション）が 100% 合格。[`SECURITY.md`](SECURITY.md) を更新。
-
-### v6.3.3
-
-- **MCP 標準プロンプトサポート (`src/server.ts`)**：
-  - 標準プロンプトハンドラーを実装し、IDE プロンプトピッカーで利用可能な 6 つのプロンプト（`session-start`、`sdd-implementer`、`sdd-task-reviewer`、`sdd-re-review`、`spec-reviewer`、`plan-reviewer`）を登録。
-- **マルチハーネスリファレンスマッピング**：
-  - Devin CLI（[`references/devin-tools.md`](skills/using-superpowers/references/devin-tools.md)）および OpenCode（[`references/opencode-tools.md`](skills/using-superpowers/references/opencode-tools.md)）向けのネイティブツールマッピングを追加。
+### v6.3.7（最新）
+
+- **上流同期 — バッチ 1〜3（obra/superpowers）**：
+  - **スキルの自動ルーティング**：`systematic-debugging` と `test-driven-development` の description にトリガーフレーズ（`"tdd"`、`"systematic debug"` など）と相互クロスルートを追加し、MCP クライアントでのスキル選択精度を向上。
+  - **テストコマンドがない場合のエビデンス律**：`verification-before-completion` に「When There Is No Test Command」を追加。レポート、調査、監査、書簡では成果物を再度開き、証明できる事項を証明し、未完了項目を明示。主張できるのは「完全」であり「正しい」ではない。
+  - **ブレインストーミングの意図ゲート**：「Establish Shared Understanding」（意図の探索 → 理解の書き戻し → 設計への引き継ぎ）を新設し、HARD-GATE をパスごとの前提条件を列挙する形に書き直し。一度の承認を残り工程の省略許可と見なすことを禁止。
+  - **プランニング・ハンドオフ・レビュー**：brainstorming の仕様セルフレビューを 0.0–9.9 の評価 + burden ledger + 単一の有界改善パス + 読み取り専用の再評価に昇格。失敗時は初稿へ復元する安全則付き。
+  - **保存済みプランのレビューと文脈的ハンドオフ**：`writing-plans` は実行前に人間が保存プランをレビューすることを必須化。実行方法が未指定の場合は、固定の既定値ではなくこのプラン固有の推奨を提示。
+  - **プランのチェックボックス簿記**：`executing-plans` と `subagent-driven-development` が完了メッセージと同時にプランファイルの手順をチェック。
+  - **リモート安全境界**：`using-git-worktrees` は共有 ref から分岐する際に `--no-track` を必須化し、`git branch -vv` による追跡確認（初回 commit 前に `--unset-upstream`）を求める。`executing-plans` は commit をローカルに留め、共有ブランチの書き換えを禁止。implementer はタスク中の push 要求を BLOCKED として controller に報告する。
+  - **Discoveries 台帳**：SDD の進捗台帳に `## Discoveries` セクションを追加し、タスク横断の知見が compaction を越えて次のディスパッチのインターフェース条項に引き継がれる。
+  - **保留所見のエクスポート**：プランワークスペース削除前に、`Ruling:`／`minor (deferred)`／`parked` 行を PR の「Deferred items」チェックリスト、またはコミット済み `docs/superpowers/follow-ups/<plan>.md` へ退避する。
+  - **Greenfield SDD スクリプト**：リポジトリ未作成時は `sdd-workspace` がカレントディレクトリへフォールバック（`.ps1` も同様）。`review-package` は非リポジトリ環境で実行可能なエラーを返す。
+  - **TDD 特性化ガード**：振る舞いを保つリファクタリング向けの 5 ステップ手順（変異→失敗確認→VCS 復元→グリーン維持）。境界とミューテーション検査の各節から参照。
+- **上流コンテンツ同期 — バッチ 4**：brainstorm の起動スクリプトは `BRAINSTORM_HOST`/`BRAINSTORM_URL_HOST` からホスト既定値を取得（`--host`/`--url-host` が優先）。`writing-skills` にコンテンツ移動時のリンク再解決手順を追加し、SDD レビュアは完全なレポートを `…/task-N-review.md` に書いて 15 行未満の要約のみを返すようになり、MCP 側に `review_file` 引数（指定パスが正規化後にレポート／brief ファイルと一致する場合は導出した `-review.md` に置換）と、`[FIX_BASE_SHA]` を実際に展開する `fix_base_sha` 別名を追加。
+- **上流ドリフトレポート**：`npm run drift` がコミット済みベースラインと `obra/superpowers` を比較し、採用済みファイルの変更・ローカルに無い取り込み・fork 独自追加を一覧表示。`npm run drift:record -- --ignore <skill>` でレビュー済み同期後に更新し、書き込み前に途中で切れた API tree を拒否。
+- **MCP サーフェス網羅テスト**：ディスク上の各スキルは自身のコンテンツを返す MCP リソースとして公開され、プロンプト一覧は 4 つの README と完全一致すること。
+- **MCP 説明文の忠実性**：上流のエスケープ引用形式を非引用の YAML plain scalar に適応し、`SkillsManager` が MCP 経由で余分なバックスラッシュを出力しないようにした。
+- **回帰ガード**：`tests/upstream_sync_test.js` をバッチ 1〜4 を覆う 22 個のラベル付きチェックに拡張。全スイート合格（npm 8 スイート 139 チェック、PowerShell 90 アサーション、SDD 16 + ホスト既定 11 + render-graph 8 の bash アサーション）。
+- **リリース準備の強化**：Bash／PowerShell の brainstorm host テストは background モードを明示的に強制し、264 アサーションの全マトリクスが `CODEX_CI=1` でも完了。`package-lock.json` を v6.3.7 と Node `>=18` に同期し、npm repository と CLI `bin` メタデータを正規化。`npm publish --dry-run` とパッケージのインストール smoke test で検証済み。
+
+### v6.3.6
+
+- **極限のパフォーマンス最適化（2倍〜8.1倍の高速化）**：
+  - **スキルの並行インデックスと事前キャッシュ**：`SkillsManager.listSkills` を非同期並行ディレクトリ走査（`Promise.all`）とルートパス事前解決キャッシュにアップグレードし、コールドスタート時のインデックス遅延を 4.79ms から 2.35ms に短縮（**2.04倍の高速化**）。
+  - **超高速インメモリ Canonical キャッシュ**：`readSkillContent` において物理実パスをキーとする Canonical キャッシュとエイリアスマッピングを導入し、同一スキルの再読み込み時間を 0.013ms から 1.6µs に短縮（**8.1倍の高速化**）。
+  - **Frontmatter スライシングと ReDoS 防御**：`parseFrontmatter` においてファイル全体の一括正規表現走査を 64 KB のプレフィックスバッファ切り出しに置き換え、大規模ファイルでの GC 停止と二次関数的 ReDoS リスクを根絶。
+  - **JSON パース高速パス**：`stripJsonComments` (`src/setup-runner.ts`) にネイティブ JSON 試行を導入し、コメントのない設定ファイルの読み込み時間を 0.55µs に短縮（**5.1倍の高速化**）。
+  - **マルチターゲット並行ビルド**：`esbuild.js` で 4 つの独立アーティファクトを `Promise.all` で並行コンパイルし、ビルド時間を ~50ms に短縮（**~42% 高速化**）。
+- **デュアル Subagent 深度コードレビューと包括的欠陥修正 (FIX ALL)**：
+  - **Partial-Read バッファ切り捨て防御**：`SkillsManager.readFileNoFollow` に累積読み込みループ（`while (totalRead < fileSize)`）を実装し、高負荷 I/O や仮想ファイルシステムでの暗黙の Markdown 切り捨てを防止。
+  - **Scan Epoch 並行競合シールド**：`listSkills` に単調増加の `scanEpoch` カウンタを導入し、非同期の古いスキャンが最新のキャッシュ状態を上書きするレースコンディションを解消。
+  - **Canonical キャッシュ整合性の保証**：実物理パス（`realFilePath`）をマスターキーとし、`canonicalPathMap` でエイリアスを追跡することで、強制リロード時のシンボリックリンクキャッシュ乖離（Cache Drift）を根絶。
+  - **システムディレクトリブラックリストの拡張**：`getSafeSkillsPath` に macOS 固有の `/private/etc` および `/private/var` を追加し、特権ディレクトリへのパスエスケープを防止。
+  - **設定書き込み時のシンボリックリンク先検証**：`safeWriteConfig` で `fs.lstat` と実パス解決を実施し、機密システム領域へのシンボリックリンク書き込みを拒絕。
+  - **厳格な TypeScript と Rule 7 ゼロ欠陥準拠**：未使用のデッドコード（`exists`）を完全削除し、`--noUnusedLocals --noUnusedParameters` に合格。型なし・空の catch ブロックをすべて排除。
+- **自動化テストスイートの拡張と回帰検証**：
+  - 85 件のコアユニット/結合テストと 174 件の回帰アサーションが 100% 合格（`setup_test.js` は 33 件すべて合格）。[`SECURITY.md`](SECURITY.md)、[`tests/code_review_report.md`](tests/code_review_report.md)、[`tests/performance_optimization_report.md`](tests/performance_optimization_report.md) を整備。
 - **多言語ドキュメントの同期**：
-  - 全言語の README で MCP 機能対応表（Tools / Prompts / Resources）およびマルチハーネス対応マトリックスを統一。
-- **テストスイートの拡張**：
-  - `prompts/list` および `prompts/get` パラメータ注入の自動化テストアサーションを追加。
+  - 4 言語すべての README（[`README.md`](README.md)、[`README.zh-TW.md`](README.zh-TW.md)、[`README.ja.md`](README.ja.md)、[`README.ko.md`](README.ko.md)）でサポート環境一覧、パフォーマンス指標、ワンクリックコマンド表を同期。
 
 👉 *これまでの詳細なリリース履歴については、完全な [CHANGELOG.md](CHANGELOG.md) を参照してください。*
 

package/README.ko.md

@@ -2,7 +2,7 @@
 
 [English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
 
-[![Version](https://img.shields.io/badge/version-6.3.5-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![Version](https://img.shields.io/badge/version-6.3.7-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 이 문서는 Superpowers 스킬 라이브러리와 자율 에이전트 워크플로우를 독립적이고 고성능이며 안전한 **Model Context Protocol (MCP)** 서버로 패키징한 사용 지침을 요약한 것입니다.
@@ -173,64 +173,60 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 
 ---
 
+## 🔧 업스트림 따라잡기
+
+이 포크는 업스트림 [`obra/superpowers`](https://github.com/obra/superpowers) 의 스킬 콘텐츠를 검토된 배치로 가져옵니다. 마지막 동기화 시점의 업스트림 blob SHA는 [`tests/upstream-sync-baseline.json`](tests/upstream-sync-baseline.json) 에 기록됩니다.
+
+```bash
+npm run drift                    # 베이스라인과 업스트림을 비교해 변경 목록 출력
+npm run drift:record             # 검토된 동기화 후 베이스라인 갱신
+node scripts/upstream-drift.js   # 오프라인: 베이스라인 무결성 + 로컬 커버리지
+```
+
+보고서는 업스트림 변경, 업스트림 추가/삭제, 추적 대상이지만 로컬에 없는 파일, 포크 전용 추가를 구분해 보여줍니다. 의도적으로 채택하지 않는 업스트림 스킬은 drift가 아니라 결정 사항으로 보고되며, `npm run drift:record -- --ignore <skill>`로 기록합니다. 가져온 업스트림 파일이 삭제되거나 스킬의 업스트림 계보가 끊기면 `npm test`가 실패합니다. GitHub tree 응답이 잘린 경우 보고 모드는 결과를 부분적이라고 표시하고 `--fail-on-drift`를 억제하며, record 모드는 쓰기 자체를 거부하여 마지막 완전한 베이스라인을 보호합니다.
+
 ## 🆕 최근 업데이트
 
-### v6.3.5 (최신)
-
-- **7개 신규 AI 에이전트 및 편집기 환경 원클릭 설치 지원 (`src/setup-runner.ts`, `scripts/install.sh`)**:
-  - 구성 엔진을 확장하여 총 15개 AI 개발 환경 지원:
-    - **GitHub Copilot (VS Code Insiders)**: `Code - Insiders/User/mcp.json` (안정 버전 VS Code와의 충돌을 원천 방지하는 독립 물리 경로 격리, 별칭: `copilot-insiders`, `vscode-insiders`, `code-insiders`, `insiders`, `insider`)
-    - **QwenPaw (개인 AI 어시스턴트 워크스테이션)**: `~/.qwenpaw/config.json` (`copaw` 호환, 별칭: `qwenpaw`, `copaw`)
-    - **Cline (VS Code / CLI)**: `.../saoudrizwan.claude-dev/settings/cline_mcp_settings.json` (별칭: `cline`, `claude-dev`)
-    - **Kilo Code**: `~/.config/kilo/kilo.jsonc` (적응형 `"mcp"` 루트 사양, 별칭: `kilo`, `kilocode`)
-    - **Qoder**: `~/.qoder/settings.json` (별칭: `qoder`)
-    - **Kiro**: `~/.kiro/settings/mcp.json` (별칭: `kiro`, `kiro-code`)
-    - **Trae**: `.../Trae/User/mcp.json` (macOS, Windows, Linux 및 Trae CN 크로스 플랫폼 지원)
-  - Kilo Code 고유의 딕셔너리 구조를 수용하는 `"json-mcp"` 형식 유형 추가.
-  - `runSetup`을 통해 `harness.defaultConfig`로부터 템플릿을 주입하여 Single Source of Truth (SSOT) 확립.
-- **듀얼 Subagent 아키텍처 및 품질 코드 리뷰 (Code Review)**:
-  - '아키텍처 및 보안 검토자'와 '품질 및 엣지 케이스 검토자' 2개의 전문 에이전트로 리뷰 수행.
-  - 원자적 쓰기(`crypto.randomBytes(8)` + `flag: "wx"`), 심볼릭 링크 방어, 최소 권한(`0o700`/`0o600`), 기본 디스크 무오염 원칙 검증 완료.
-  - 프로젝트 전반의 보안 감사를 완료하고 [`SECURITY.md`](SECURITY.md) 갱신(173개 자동화 어서션 100% 통과).
-- **테스트 스위트 대폭 확장 (`tests/setup_test.js`)**:
-  - 단위 테스트를 21개에서 32개로 확장(100% 통과). Claude Desktop, Kimi Work, Hermes Desktop에 대한 엔드투엔드 샌드박스 테스트 및 별칭 검증 완료.
-- **다국어 문서 동기화**:
-  - 모든 언어의 README([`README.md`](README.md), [`README.zh-TW.md`](README.zh-TW.md), [`README.ja.md`](README.ja.md), [`README.ko.md`](README.ko.md))에서 지원 환경 목록 및 명령 표 동기화.
-  - [`tests/global_setup_verification.md`](tests/global_setup_verification.md) 잔존 데이터 정리.
-
-### v6.3.4
-
-- **Universal One-Click 글로벌 설정 엔진 (`src/setup-runner.ts`, `scripts/`)**:
-  - 8대 주요 AI 개발 환경(Antigravity, Pi Desktop / Pi Agent, Cursor, GitHub Copilot (VS Code), Hermes Desktop / Agent, Kimi Work / Kimi Code, Claude Desktop, Devin Desktop)에 대한 무의존성 원클릭 자동 구성 지원.
-  - CLI 명령어 `superpowers-setup` 및 `superpowers-mcp setup`을 제공하며, 크로스 플랫폼 설치 스크립트([`install.sh`](scripts/install.sh) 및 [`install.ps1`](scripts/install.ps1)) 개발.
-  - **명시적 동의 및 안티바이러스 설계 (Explicit Consent & Anti-Virus Design)**: `--target <client>`를 필수로 요구하여 무단 디스크 스캔 및 전체 환경 임의 수정을 원천 차단(`--all` 제거).
-  - **원자적 쓰기 방어 (`safeWriteConfig`)**: 무작위 8바이트 nonce 임시 파일, `flag: "wx"`, `renameSync`를 통한 원자적 조작으로 파일 충돌 및 손상 방지.
-  - **심볼릭 링크 보호 및 최소 권한**: `realpathSync`로 링크 대상을 안전하게 확인하며, 새 디렉토리는 `0o700`, 설정 파일은 `0o600`으로 제한하고 백업 파일은 원본 권한을 보존.
-  - **매개변수 인젝션 방어 및 JSONC 파싱**: `JSON.stringify`를 통한 안전한 이스케이프, 주석/후행 쉼표 허용 및 `isPlainObject` 프로토타입 오염 방어.
-  - **CLI Stdio 격리**: `src/server.ts`에서 setup 인자를 사전 분기하여 MCP Stdio 프로토콜 오염 방지.
-  - **자동화 테스트 스위트**: [`tests/setup_test.js`](tests/setup_test.js) 추가(21개 테스트 100% 통과).
-- **Skill Compositions 스킬 구성 및 엔드투엔드 파이프라인 (`src/server.ts`, `docs/`)**:
-  - 3개의 새로운 MCP 워크플로우 프롬프트 추가: `feature-pipeline`, `structured-debug`, `skill-composition`.
-  - 4개 국어 현지화 가이드([`docs/skill-compositions.ko.md`](docs/skill-compositions.ko.md)), 가로형 Mermaid 플로우차트 및 ASCII 워크플로우 다이어그램 추가.
-  - [`skills/using-superpowers/SKILL.md`](skills/using-superpowers/SKILL.md) 및 [`skills/writing-plans/SKILL.md`](skills/writing-plans/SKILL.md)에 `Recommended Skill` 메타데이터 표준 및 컨트롤러-서브에이전트 간 프로토콜 추가.
-  - [`tests/prompts_compositions_test.js`](tests/prompts_compositions_test.js) 추가(7개 테스트 100% 통과).
-- **프롬프트 보안 강화 및 라이프사이클 완성 (`src/server.ts`)**:
-  - `interpolateTemplate`을 단일 패스 정규식 치환으로 업그레이드하여 연쇄적 플레이스홀더 인젝션 위험 제거.
-  - 전체 9개 프롬프트에 32 KB 길이 제한 및 `hasOwnProperty` 검증 적용.
-  - `structured-debug`에 Stage 6(리뷰 조치) 및 Stage 7(브랜치 정리/마무리) 추가.
-- **포괄적 보안 감사 및 검증**:
-  - `npm audit` 취약점 0건 확인, 전체 5대 테스트 스위트(100+ 어서션) 100% 통과, [`SECURITY.md`](SECURITY.md) 갱신.
-
-### v6.3.3
-
-- **MCP 표준 프롬프트 지원 (`src/server.ts`)**:
-  - 표준 프롬프트 핸들러를 구현하여 IDE 프롬프트 선택기에서 사용할 수 있는 6개의 프롬프트(`session-start`, `sdd-implementer`, `sdd-task-reviewer`, `sdd-re-review`, `spec-reviewer`, `plan-reviewer`) 등록.
-- **멀티 하네스 참조 매핑**:
-  - Devin CLI([`references/devin-tools.md`](skills/using-superpowers/references/devin-tools.md)) 및 OpenCode([`references/opencode-tools.md`](skills/using-superpowers/references/opencode-tools.md))용 네이티브 도구 매핑 추가.
+### v6.3.7 (최신)
+
+- **업스트림 동기화 — 배치 1~3 (obra/superpowers)**:
+  - **스킬 자동 라우팅**: `systematic-debugging`과 `test-driven-development` 설명에 트리거 문구(`"tdd"`, `"systematic debug"` 등)와 상호 크로스 라우트를 추가하여 MCP 클라이언트의 스킬 선택 정확도를 향상.
+  - **테스트 명령이 없을 때의 증거 규율**: `verification-before-completion`에 "When There Is No Test Command" 섹션 추가. 보고서, 연구, 감사, 서신 작업은 산출물을 다시 열어 증명 가능한 것을 증명하고 미완료 항목을 명시해야 하며, "완전함"만 주장할 수 있고 "정확함"은 주장할 수 없음.
+  - **브레인스토밍 의도 게이트**: "Establish Shared Understanding"(의도 탐색 → 이해 되쓰기 → 설계 반영) 신설 및 HARD-GATE를 경로별 전제 조건 목록으로 재작성. 한 번의 승인을 나머지 단계 생략 허가로 해석하는 것을 금지.
+  - **플래닝 핸드오프 리뷰**: brainstorming의 스펙 셀프 리뷰를 0.0–9.9 평가 + burden ledger + 단일 유계 개선 패스 + 읽기 전용 재평가로 승격. 실패 시 초안을 복원하는 안전 규칙 포함.
+  - **저장된 계획 검토 및 상황별 핸드오프**: `writing-plans`는 실행 전에 사람이 저장된 계획을 검토하도록 요구하며, 실행 방식이 지정되지 않은 경우 고정 기본값 대신 이 계획에 맞는 추천을 제시.
+  - **계획 체크박스 기록**: `executing-plans`와 `subagent-driven-development`가 완료 메시지와 동시에 계획 파일의 단계를 체크.
+  - **원격 안전 경계**: `using-git-worktrees`는 공유 ref에서 분기할 때 `--no-track`을 필수로 요구하고 `git branch -vv` 추적 점검(첫 커밋 전 `--unset-upstream`)을 수행한다. `executing-plans`는 커밋을 로컬로 유지하고 공유 브랜치 재작성을 금지하며, implementer는 작업 중 push 요구를 BLOCKED로 컨트롤러에 보고한다.
+  - **Discoveries 원장**: SDD 진행 원장에 `## Discoveries` 섹션을 추가하여 태스크 간 발견이 compaction을 넘어 다음 디스패치의 인터페이스 조항으로 이어진다.
+  - **보류 발견 내보내기**: 플랜 워크스페이스 삭제 전에 `Ruling:`／`minor (deferred)`／`parked` 줄을 PR의 "Deferred items" 체크리스트 또는 커밋된 `docs/superpowers/follow-ups/<plan>.md`로 내보낸다.
+  - **Greenfield SDD 스크립트**: 리포지토리가 아직 없으면 `sdd-workspace`가 현재 디렉터리로 폴백하고(`.ps1` 동일), `review-package`는 비리포지토리 환경에서 실행 가능한 오류를 반환한다.
+  - **TDD 특성화 가드**: 동작 보존 리팩터링을 위한 5단계 절차(변이 → 실패 확인 → VCS 복원 → 그린 유지)를 추가하고 경계·변이 점검 섹션에서 상호 참조한다.
+- **업스트림 콘텐츠 동기화 — 배치 4**: brainstorm 시작 스크립트가 `BRAINSTORM_HOST`/`BRAINSTORM_URL_HOST`에서 호스트 기본값을 가져오고(`--host`/`--url-host` 우선), `writing-skills`에 콘텐츠 이동 시 링크 재해석 절차를 추가했으며, SDD 리뷰어가 전체 보고서를 `…/task-N-review.md`에 쓰고 15줄 미만 요약만 반환합니다 — MCP에 `review_file` 인자(요청 경로가 정규화 후 보고서나 brief 파일과 일치하면 파생된 `-review.md`로 대체)와 `[FIX_BASE_SHA]`를 실제로 치환하는 `fix_base_sha` 별칭을 추가.
+- **업스트림 드리프트 리포트**: `npm run drift`가 커밋된 베이스라인과 `obra/superpowers`를 비교해 채택된 파일 변경, 로컬에 없는 가져오기, 포크 전용 추가를 나열합니다. `npm run drift:record -- --ignore <skill>`로 검토된 동기화 후 갱신하며, 쓰기 전에 잘린 API tree를 거부합니다.
+- **MCP 표면 커버리지 테스트**: 디스크의 모든 스킬은 자신의 콘텐츠를 제공하는 MCP 리소스로 노출되어야 하며, 프롬프트 목록은 4개 README와 정확히 일치해야 합니다.
+- **MCP 설명 정합성**: 업스트림의 이스케이프 따옴표 형식을 인용 없는 YAML plain scalar로 적응하여 `SkillsManager`가 MCP로 리터럴 백슬래시를 내보내지 않도록 함.
+- **회귀 가드**: `tests/upstream_sync_test.js`를 배치 1~4를 포괄하는 22개 라벨 체크로 확장. 전체 스위트 통과(npm 8개 스위트 139개 체크, PowerShell 90개 어서션, SDD 16 + 호스트 기본 11 + render-graph 8개 bash 어서션).
+- **릴리스 준비 강화**: Bash와 PowerShell brainstorm host 테스트가 background 모드를 명시적으로 강제하여 전체 264개 검증이 `CODEX_CI=1`에서도 완료됩니다. `package-lock.json`을 v6.3.7 및 Node `>=18`과 동기화하고 npm repository와 CLI `bin` 메타데이터를 정규화했으며, `npm publish --dry-run`과 패키지 설치 smoke test로 검증했습니다.
+
+### v6.3.6
+
+- **극한의 성능 최적화 (2배~8.1배 가속)**:
+  - **스킬 병렬 인덱싱 및 사전 캐싱**: `SkillsManager.listSkills`를 비동기 병렬 디렉토리 탐색(`Promise.all`)과 루트 경로 사전 확인 캐싱으로 업그레이드하여 콜드 스타트 인덱싱 지연 시간을 4.79ms에서 2.35ms로 단축(**2.04배 속도 향상**).
+  - **초고속 인메모리 Canonical 캐시**: `readSkillContent`에 물리 실제 경로 기반 Canonical 캐시 및 별칭 매핑을 도입하여 동일 스킬의 반복 읽기 시간을 0.013ms에서 1.6µs로 단축(**8.1배 속도 향상**).
+  - **Frontmatter 슬라이싱 및 ReDoS 방어**: `parseFrontmatter`에서 전체 파일 정규식 스캔을 64 KB 접두사 버퍼 슬라이싱으로 대체하여 대용량 파일에서의 GC 일시 중단 및 2차 ReDoS 위험을 원천 차단.
+  - **JSON 파싱 초고속 직통 경로**: `stripJsonComments` (`src/setup-runner.ts`)에 네이티브 JSON 파싱 시도를 도입하여 주석 없는 설정 파일 읽기 속도를 0.55µs로 단축(**5.1배 속도 향상**).
+  - **멀티 타깃 병렬 번들러**: `esbuild.js`에서 4개 독립 결과물을 `Promise.all`로 병렬 빌드하여 빌드 시간을 ~50ms로 단축(**~42% 속도 향상**).
+- **듀얼 Subagent 심층 코드 리뷰 및 결함 전면 보강 (FIX ALL)**:
+  - **Partial-Read 버퍼 잘림 방어**: `SkillsManager.readFileNoFollow`에 누적 읽기 루프(`while (totalRead < fileSize)`)를 구현하여 높은 디스크 I/O 또는 가상 파일 시스템 환경에서의 무음 Markdown 잘림 방지.
+  - **Scan Epoch 동시성 경쟁 쉴드**: `listSkills`에 단조 증가 `scanEpoch` 카운터를 도입하여 비동기 백그라운드 스캔이 최신 캐시 상태를 덮어쓰는 경쟁 조건 제거.
+  - **Canonical 캐시 정합성 보장**: 물리 실제 경로(`realFilePath`)를 마스터 키로 사용하고 `canonicalPathMap`으로 별칭을 추적하여 강제 리로드 시 심볼릭 링크 캐시 드리프트(Cache Drift) 완벽 해결.
+  - **시스템 디렉토리 블랙리스트 확장**: `getSafeSkillsPath`에 macOS 고유의 `/private/etc` 및 `/private/var`를 추가하여 특권 디렉토리 경로 탈출 공격 방지.
+  - **설정 파일 쓰기 시 심볼릭 링크 대상 검증**: `safeWriteConfig`에서 `fs.lstat` 및 실제 경로 해석을 수행하여 민감한 시스템 영역을 가리키는 심볼릭 링크 쓰기 차단.
+  - **엄격한 TypeScript 및 Rule 7 무결점 준수**: 미사용 사장 코드(`exists`)를 완전히 제거하여 `--noUnusedLocals --noUnusedParameters` 통과, 모든 타입 미지정/빈 catch 블록 제거.
+- **자동화 회귀 테스트 스위트 확장 및 검증**:
+  - 85개 핵심 단위/통합 테스트 및 174개 회귀 어서션 100% 통과(`setup_test.js` 33개 테스트 전체 통과). [`SECURITY.md`](SECURITY.md), [`tests/code_review_report.md`](tests/code_review_report.md), 그리고 [`tests/performance_optimization_report.md`](tests/performance_optimization_report.md) 정비.
 - **다국어 문서 동기화**:
-  - 모든 언어의 README에서 MCP 기능 지원 표(Tools / Prompts / Resources) 및 멀티 하네스 지원 매트릭스 통일.
-- **테스트 스위트 확장**:
-  - `prompts/list` 및 `prompts/get` 매개변수 주입에 대한 자동화 테스트 어서션 추가.
+  - 모든 언어의 README([`README.md`](README.md), [`README.zh-TW.md`](README.zh-TW.md), [`README.ja.md`](README.ja.md), [`README.ko.md`](README.ko.md))에서 지원 환경 목록, 성능 지표, 원클릭 명령 표 동기화.
 
 👉 *이전 버전의 전체 릴리스 내역은 [CHANGELOG.md](CHANGELOG.md)를 참조하세요.*
 

package/README.md

@@ -2,7 +2,7 @@
 
 [English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
 
-[![Version](https://img.shields.io/badge/version-6.3.5-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![Version](https://img.shields.io/badge/version-6.3.7-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 This document summarizes the information and usage instructions for packaging the Superpowers skills and autonomous workflow system into an independent, high-performance, and secure **Model Context Protocol (MCP)** server.
@@ -173,64 +173,60 @@ To help you choose the right skill, we have structured all 14 skills across the
 
 ---
 
+## 🔧 Keeping Up with Upstream
+
+This fork imports the upstream [`obra/superpowers`](https://github.com/obra/superpowers) skill content through reviewed batches. The upstream blob SHAs captured at the last sync live in [`tests/upstream-sync-baseline.json`](tests/upstream-sync-baseline.json).
+
+```bash
+npm run drift                    # compare the baseline against upstream and list what moved
+npm run drift:record             # refresh the baseline after a reviewed sync
+node scripts/upstream-drift.js   # offline: baseline integrity + local coverage
+```
+
+The report separates files that changed upstream, upstream additions and removals, tracked files missing from this fork, and fork-only additions. An upstream skill this fork deliberately does not adopt is reported as a decision rather than drift, and is recorded with `npm run drift:record -- --ignore <skill>`. `npm test` fails when an imported upstream file is deleted or when a shipped skill loses its upstream lineage. Report mode marks a truncated GitHub tree as partial and suppresses `--fail-on-drift`; record mode refuses that response entirely so an incomplete listing cannot overwrite the last complete baseline.
+
 ## 🆕 Recent Updates
 
-### v6.3.5 (Latest)
-
-- **7 New AI Agent & Editor Harnesses Support (`src/setup-runner.ts`, `scripts/install.sh`)**:
-  - Expanded universal one-click setup engine to support 7 additional AI developer platforms, bringing total coverage to 15 major AI environments:
-    - **GitHub Copilot (VS Code Insiders)** (`Code - Insiders/User/mcp.json`, strictly isolated physical configuration path preventing collisions with Stable VS Code, aliases: `copilot-insiders`, `vscode-insiders`, `code-insiders`, `insiders`, `insider`)
-    - **QwenPaw** (`~/.qwenpaw/config.json`, backward-compatible with `copaw`)
-    - **Cline** (`.../saoudrizwan.claude-dev/settings/cline_mcp_settings.json`, aliases: `cline`, `claude-dev`)
-    - **Kilo Code** (`~/.config/kilo/kilo.jsonc` with adaptive `"mcp"` root and array-based command schema, aliases: `kilo`, `kilocode`, `kilo-code`)
-    - **Qoder** (`~/.qoder/settings.json`, alias: `qoder`)
-    - **Kiro** (`~/.kiro/settings/mcp.json`, aliases: `kiro`, `kiro-code`)
-    - **Trae** (`.../Trae/User/mcp.json`, cross-platform support for macOS, Windows, Linux, and Trae CN)
-  - Added `"json-mcp"` schema format type to dynamically handle Kilo Code's unique dictionary structure.
-  - Enforced Single Source of Truth (SSOT) by wiring `harness.defaultConfig(cmd, args)` directly through `runSetup` into `updateJsonConfig`.
-- **Dual-Subagent Architectural & Code Quality Review**:
-  - Dispatched specialized Architectural & Security Reviewer and Quality & Edge-Case Reviewer subagents.
-  - Verified atomic writes (`crypto.randomBytes(8)` + `flag: "wx"`), symlink containment, least-privilege permissions (`0o700`/`0o600`), and zero-pollution disk defaults across all 15 harnesses.
-  - Completed comprehensive project-wide security review and refreshed [`SECURITY.md`](SECURITY.md) with 173 automated regression test assertions.
-- **Automated Test Suite Expansion (`tests/setup_test.js`)**:
-  - Expanded setup regression tests from 21 to 32 tests (100% pass rate), adding end-to-end sandbox creation, aliases, and update assertions for Claude Desktop, Kimi Work, and Hermes Desktop.
+### v6.3.7 (Latest)
+
+- **Upstream Sync — Batches 1–3 (obra/superpowers)**:
+  - **Automatic Skill Routing**: `systematic-debugging` and `test-driven-development` descriptions now name their typed trigger phrases (`"tdd"`, `"systematic debug"`, …) and cross-route to the sibling skill, improving skill selection inside MCP clients.
+  - **Evidence Without a Test Command**: `verification-before-completion` gains the "When There Is No Test Command" section — for reports, research, audits, and correspondence, re-open the artifact, prove what can be proven, and account for every part of the request while claiming *complete*, never *right*.
+  - **Brainstorming Intent Gates**: new "Establish Shared Understanding" step (discover intent, write back your understanding, carry it into the design) plus a rewritten HARD-GATE that lists each path's prerequisites and refuses to treat one approval as permission to skip the rest.
+  - **Planning-Handoff Review**: brainstorming's spec self-review becomes a scored handoff review (0.0–9.9 readiness, burden ledger, one bounded improvement pass, read-only reassessment) with a fail-safe restore rule.
+  - **Saved-Plan Review & Contextual Handoff**: `writing-plans` now requires the human to review the saved plan before execution and, when no method was supplied, a plan-specific execution recommendation instead of a hardcoded default.
+  - **Plan Checkbox Bookkeeping**: `executing-plans` and `subagent-driven-development` tick the plan file's steps in the same message as the completion bookkeeping.
+  - **Remote-Safety Boundary**: `using-git-worktrees` requires `--no-track` plus a `git branch -vv` tracking check (`--unset-upstream` before the first commit); `executing-plans` keeps commits local and forbids rewriting shared branches; implementers report any mid-task push demand as BLOCKED instead of pushing.
+  - **Discoveries Ledger**: SDD's progress ledger gains a `## Discoveries` section so cross-task findings survive compaction and feed the next dispatch's interface clauses.
+  - **Deferred Findings Export**: before a plan workspace is deleted, `Ruling:` / `minor (deferred)` / `parked` lines are exported to a PR "Deferred items" checklist or a committed `docs/superpowers/follow-ups/<plan>.md`.
+  - **Greenfield SDD Scripts**: `sdd-workspace` falls back to the current directory before a repo exists (matching `.ps1` behavior), while `review-package` refuses actionably outside a repo.
+  - **TDD Characterization Guard**: a five-step procedure for behavior-preserving refactors — mutate, verify failure, restore via VCS, stay green — referenced from the boundary and mutation-check sections.
+- **Upstream Content Sync — Batch 4**: the brainstorm start script takes its hosts from `BRAINSTORM_HOST`/`BRAINSTORM_URL_HOST` (`--host`/`--url-host` still win), `writing-skills` gained moved-content link re-resolution, and SDD reviewers now write their full report to `…/task-N-review.md` and return under 15 lines — exposed over MCP as the new `review_file` argument (replaced by the derived `-review.md` sibling when the requested path normalises to the report or brief file), plus the `fix_base_sha` alias that finally feeds `[FIX_BASE_SHA]`.
+- **Upstream Drift Report**: `npm run drift` compares the committed upstream baseline against `obra/superpowers` and lists adopted files that moved, imports missing locally, and fork-only additions; `npm run drift:record -- --ignore <skill>` refreshes it after a reviewed sync and refuses truncated API trees before writing.
+- **MCP Surface Coverage Test**: every skill on disk must be an exposed MCP resource serving its own content, and the prompt inventory must match all four READMEs exactly.
+- **MCP Description Fidelity**: upstream's escaped-quote descriptions were adapted to unquoted YAML plain scalars so the `SkillsManager` parser never emits literal backslashes over MCP.
+- **Regression Guards**: `tests/upstream_sync_test.js` now carries 22 labeled checks covering Batches 1–4; full suite green (139 npm checkmarks across 8 suites, 90 PowerShell assertions, 16 SDD + 11 host-default + 8 render-graph bash assertions).
+- **Release-Readiness Hardening**: Bash and PowerShell brainstorm host tests explicitly force background mode, so the full 264-assertion matrix also completes under `CODEX_CI=1`; `package-lock.json` now matches v6.3.7 and Node `>=18`; npm repository and CLI `bin` metadata are normalized and verified through `npm publish --dry-run` plus a packed-install smoke test.
+
+### v6.3.6
+
+- **Extreme Performance Optimization (2x~8.1x Speedup)**:
+  - **Parallel Skill Discovery**: Upgraded `SkillsManager.listSkills` to concurrent asynchronous directory traversal (`Promise.all`) combined with pre-resolved root path caching, cutting cold-start skill indexing latency from 4.79ms to 2.35ms (**2.04x speedup**).
+  - **High-Velocity In-Memory Canonical Caching**: Introduced canonical realpath-keyed caching with aliasing for `readSkillContent`, dropping repeated skill reads from 0.013ms to 1.6µs (**8.1x speedup**).
+  - **Frontmatter Slicing & ReDoS Defense**: Replaced full-document regular expression scans in `parseFrontmatter` with targeted 64 KB prefix buffer slices, eliminating GC pauses and quadratic ReDoS risks on large skill files.
+  - **JSON Parsing Fast-Path**: Implemented native JSON trial in `stripJsonComments` (`src/setup-runner.ts`), accelerating non-commented JSON configuration reads to 0.55µs (**5.1x speedup**).
+  - **Parallel Multi-Target Bundler**: Replaced sequential builds in `esbuild.js` with `Promise.all` across 4 build targets, reducing build time to ~50ms (**~42% speedup**).
+- **Dual-Subagent Code Review & Comprehensive Quality Hardening (FIX ALL)**:
+  - **Partial-Read Buffer Truncation Defense**: Implemented an accumulator loop (`while (totalRead < fileSize)`) in `SkillsManager.readFileNoFollow`, ensuring full buffer delivery under high disk concurrency and slow storage systems.
+  - **Scan Epoch Concurrency Shield**: Added a monotonic `scanEpoch` counter in `listSkills` to prevent out-of-order asynchronous reloads from clobbering updated skill catalogs.
+  - **Canonical Path Cache Invalidation**: Unified cache indexing on physical canonical paths (`realFilePath`) and linked aliases in `canonicalPathMap`, completely eliminating symlink cache drift during force reloads.
+  - **System Blacklist Expansion**: Added macOS `/private/etc` and `/private/var` into `getSafeSkillsPath`, guarding against privilege directory pointer attacks.
+  - **Symlink Target Defense in Configuration Writes**: `safeWriteConfig` verifies `fs.lstat` and realpaths before writes, blocking symlinks pointing to sensitive system locations.
+  - **Strict TypeScript & Rule 7 Zero-Defect Compliance**: Cleaned up unused dead code (`exists`), enforced clean compilation under `--noUnusedLocals --noUnusedParameters`, and eliminated all unhandled or untyped empty catch blocks.
+- **Automated Regression Suite Expansion**:
+  - All 85 core unit/integration tests and 174 regression assertions passing at 100% across all suites (`edge_cases_test.js`, `run_test.js`, `brainstorm_server_test.js`, `prompts_compositions_test.js`, and `setup_test.js` with 33 passed tests). Refreshed [`SECURITY.md`](SECURITY.md), [`tests/code_review_report.md`](tests/code_review_report.md), and [`tests/performance_optimization_report.md`](tests/performance_optimization_report.md).
 - **Multilingual Documentation Alignment**:
-  - Synchronized supported harness directories and one-click commands across all 4 localized READMEs ([`README.md`](README.md), [`README.zh-TW.md`](README.zh-TW.md), [`README.ja.md`](README.ja.md), [`README.ko.md`](README.ko.md)).
-  - Cleaned up obsolete metric residues in [`tests/global_setup_verification.md`](tests/global_setup_verification.md).
-
-### v6.3.4
-
-- **Universal One-Click Global Setup Engine (`src/setup-runner.ts`, `scripts/`)**:
-  - One-click zero-dependency configuration for 8 major AI environments: Antigravity, Pi Desktop / Pi Agent, Cursor, GitHub Copilot (VS Code), Hermes Desktop / Agent, Kimi Work / Kimi Code, Claude Desktop, and Devin Desktop.
-  - Added CLI executables `superpowers-setup` and `superpowers-mcp setup` with cross-platform installers ([`install.sh`](scripts/install.sh) and [`install.ps1`](scripts/install.ps1)).
-  - **Explicit Consent & Anti-Virus Design**: Mandated explicit `--target <client>` requirement, completely eliminating unprompted bulk disk scanning or blind crawling (`--all` removed).
-  - **Atomic File Operations & Race Defense (`safeWriteConfig`)**: Implemented non-destructive atomic writes via temporary files with process IDs and cryptographically random 8-byte nonces (`crypto.randomBytes(8)`), exclusive creation (`wx`), and atomic `renameSync`.
-  - **Symlink Preservation & Permissions**: Preserves symlink destinations with `realpathSync`, restricts created directories to `0o700` and config files to `0o600`.
-  - **Injection Defense & JSONC Parsing**: Parameter escaping via `JSON.stringify`, JSONC comment tolerance, and `isPlainObject` prototype pollution defense.
-  - **CLI Transport Stdio Isolation**: Front-intercepts setup CLI commands in `src/server.ts` before MCP Stdio transport initialization.
-  - **Comprehensive Test Suite**: Added [`tests/setup_test.js`](tests/setup_test.js) with 21 unit assertions (100% PASS).
-- **Skill Compositions & End-to-End Orchestration Pipelines (`src/server.ts`, `docs/`)**:
-  - Added 3 new MCP workflow prompts: `feature-pipeline`, `structured-debug`, and `skill-composition`.
-  - Comprehensive localized documentation in [`docs/skill-compositions.md`](docs/skill-compositions.md) (EN), [`docs/skill-compositions.zh-TW.md`](docs/skill-compositions.zh-TW.md) (ZH-TW), [`docs/skill-compositions.ja.md`](docs/skill-compositions.ja.md) (JA), and [`docs/skill-compositions.ko.md`](docs/skill-compositions.ko.md) (KO) with horizontal Mermaid flowcharts and ASCII workflow diagrams.
-  - Enhanced [`skills/using-superpowers/SKILL.md`](skills/using-superpowers/SKILL.md) and [`skills/writing-plans/SKILL.md`](skills/writing-plans/SKILL.md) with `Recommended Skill` task metadata standards and controller-to-subagent dispatch protocols.
-  - Added [`tests/prompts_compositions_test.js`](tests/prompts_compositions_test.js) with 7 comprehensive assertions (100% PASS).
-- **Prompts Security Hardening & Lifecycle Fixes (`src/server.ts`)**:
-  - Upgraded `interpolateTemplate` to single-pass regex replacement, eliminating cascading placeholder injection risks.
-  - Enforced universal `getStringArg` with a 32 KB clamp and `hasOwnProperty` validation across all 9 prompts.
-  - Augmented `structured-debug` with Stage 6 (findings resolution via `receiving-code-review`) and Stage 7 (branch finishing and cleanup via `finishing-a-development-branch`).
-- **Full Security Audit & Verification**:
-  - Verified 0 vulnerabilities across `npm audit` with exact dependency overrides for `hono`, `@hono/node-server`, `fast-uri`, and `qs`. All 5 test suites (100+ assertions) passing 100%. Updated [`SECURITY.md`](SECURITY.md).
-
-### v6.3.3
-
-- **MCP Standard Prompts Support (`src/server.ts`)**:
-  - Implemented standard prompt handlers, registering 6 prompts (`session-start`, `sdd-implementer`, `sdd-task-reviewer`, `sdd-re-review`, `spec-reviewer`, `plan-reviewer`) for native IDE prompt-picker usage.
-- **Multi-Harness Reference Mappings**:
-  - Added platform references for Devin CLI ([`references/devin-tools.md`](skills/using-superpowers/references/devin-tools.md)) and OpenCode ([`references/opencode-tools.md`](skills/using-superpowers/references/opencode-tools.md)).
-- **Multi-Lingual Documentation Alignment**:
-  - Aligned MCP capability tables (Tools, Prompts, Resources) and multi-harness matrices across all supported languages.
-- **Test Suite Expansion**:
-  - Added automated test assertions for `prompts/list` and `prompts/get` parameter injection.
+  - Synchronized supported harness directories, performance metrics, and one-click commands across all 4 localized READMEs ([`README.md`](README.md), [`README.zh-TW.md`](README.zh-TW.md), [`README.ja.md`](README.ja.md), [`README.ko.md`](README.ko.md)).
 
 👉 *For the complete release history, see [CHANGELOG.md](CHANGELOG.md).*