therookie 0.4.3

package/templates/hook/flush-session.sh

@@ -0,0 +1,314 @@
+#!/bin/bash
+# Stop hook — 매 assistant 응답 종료마다 Rookie 앱으로 transcript 플러시.
+# 입력: stdin JSON with session_id (Claude Code Stop hook 계약).
+# spec §17 (2026-04-30): silent failure 차단 + 로컬 큐 + 회복 flush.
+
+set -e
+
+# self-reference 방지(spec O-4) 1차 방어선:
+# 차차 internal LLM 호출(`claude -p` from cli-provider)에서 발사된 hook은 즉시 종료.
+if [ "$ROOKIE_INTERNAL_INVOCATION" = "1" ]; then
+  exit 0
+fi
+
+# §17 큐 라이브러리 로드 (best-effort — 미발견 시에도 hook 자체는 동작)
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+
+# B6-1 (spec 2026-07-11 §B6): config 해석 — env > 프로젝트-로컬(.rookie/, cwd 상향) > 전역.
+# Stop hook 은 프로젝트 cwd 에서 발사되므로 $PWD 기준. config-resolve.sh 미배포(구설치)면 전역 폴백.
+if [ -f "$SCRIPT_DIR/lib/config-resolve.sh" ]; then
+  # shellcheck source=/dev/null
+  . "$SCRIPT_DIR/lib/config-resolve.sh"
+elif [ -f "$HOME/.rookie/bin/lib/config-resolve.sh" ]; then
+  # shellcheck source=/dev/null
+  . "$HOME/.rookie/bin/lib/config-resolve.sh"
+fi
+if command -v rookie_resolve_credentials >/dev/null 2>&1; then
+  rookie_resolve_credentials "$PWD" || exit 0
+  ENDPOINT="$ROOKIE_RESOLVED_ENDPOINT"
+  TOKEN="$ROOKIE_RESOLVED_TOKEN"
+  USER_ID="$ROOKIE_RESOLVED_USER_ID"
+else
+  CONFIG="$HOME/.rookie/config.json"
+  if [ ! -f "$CONFIG" ]; then
+    exit 0
+  fi
+  ENDPOINT=$(node -e "console.log(require('$CONFIG').endpoint)" 2>/dev/null || echo "http://localhost:3000")
+  TOKEN=$(node -e "console.log(require('$CONFIG').token)" 2>/dev/null || echo "")
+  USER_ID=$(node -e "console.log(require('$CONFIG').user_id || '')" 2>/dev/null || echo "")
+fi
+if [ -z "$TOKEN" ]; then
+  exit 0
+fi
+if [ -f "$SCRIPT_DIR/lib/queue.sh" ]; then
+  # shellcheck source=/dev/null
+  . "$SCRIPT_DIR/lib/queue.sh"
+elif [ -f "$HOME/.rookie/bin/lib/queue.sh" ]; then
+  # shellcheck source=/dev/null
+  . "$HOME/.rookie/bin/lib/queue.sh"
+fi
+
+# §17.2 H-2.1/H-2.2 dispatcher 라이브러리 로드 (queue.sh 보다 뒤 — _safe_enqueue 가 queue_enqueue 의존)
+if [ -f "$SCRIPT_DIR/lib/dispatcher.sh" ]; then
+  # shellcheck source=/dev/null
+  . "$SCRIPT_DIR/lib/dispatcher.sh"
+elif [ -f "$HOME/.rookie/bin/lib/dispatcher.sh" ]; then
+  # shellcheck source=/dev/null
+  . "$HOME/.rookie/bin/lib/dispatcher.sh"
+fi
+
+# spec 2026-06-18 crash-recovery: transcript 변환 공유 helper + orphan marker.
+# transcript.sh(§3.8 messages 추출 단일화) → orphan-recovery.sh(content-bearing marker).
+for _lib in transcript.sh orphan-recovery.sh; do
+  if [ -f "$SCRIPT_DIR/lib/$_lib" ]; then
+    # shellcheck source=/dev/null
+    . "$SCRIPT_DIR/lib/$_lib"
+  elif [ -f "$HOME/.rookie/bin/lib/$_lib" ]; then
+    # shellcheck source=/dev/null
+    . "$HOME/.rookie/bin/lib/$_lib"
+  fi
+done
+
+STDIN_BODY=$(cat)
+
+SESSION_ID=$(echo "$STDIN_BODY" | node -e "
+  let d=''; process.stdin.on('data',c=>d+=c).on('end',()=>{
+    try { const j = JSON.parse(d); console.log(j.session_id || j.sessionId || ''); } catch { console.log(''); }
+  })
+")
+
+if [ -z "$SESSION_ID" ]; then
+  exit 0
+fi
+
+# B6-3 (spec 2026-07-11 §B6): 세션 identity pinning 비교 — SessionStart 가 기록한 유효 토큰
+# hash 와 현재 토큰이 다르면(세션 도중 계정 전환) flush 를 중단하고 경고 로그를 남긴다.
+# 진행 중 세션의 기억이 새 계정으로 오귀속되는 교차 오염 차단. pin 없음(구세션)은 통과.
+if command -v identity_pin_check >/dev/null 2>&1; then
+  if ! identity_pin_check "$SESSION_ID" "$TOKEN"; then
+    identity_pin_log_mismatch "$SESSION_ID" "stop" || true
+    exit 0
+  fi
+fi
+
+TRANSCRIPT_PATH=$(echo "$STDIN_BODY" | node -e "
+  let d=''; process.stdin.on('data',c=>d+=c).on('end',()=>{
+    try { const j = JSON.parse(d); console.log(j.transcript_path || ''); } catch { console.log(''); }
+  })
+")
+
+# self-reference 방지(spec O-4) 2차 방어선:
+# env 마커가 끊어진 경우라도 transcript 첫 4KB에 fact 추출 system prompt 시그니처가 있으면 skip.
+# 시그니처 = src/lib/context/fact-extraction.ts FACT_EXTRACTION_MARKER. (lib/transcript.sh 공유)
+if command -v transcript_has_self_reference >/dev/null 2>&1; then
+  if transcript_has_self_reference "$TRANSCRIPT_PATH"; then
+    exit 0
+  fi
+elif [ -n "$TRANSCRIPT_PATH" ] && [ -f "$TRANSCRIPT_PATH" ]; then
+  if head -c 4096 "$TRANSCRIPT_PATH" | grep -q "the Rookie의 기억 정리 모듈"; then
+    exit 0
+  fi
+fi
+
+REPO_URL=""
+if command -v git >/dev/null; then
+  REPO_URL=$(git remote get-url origin 2>/dev/null || echo "")
+fi
+REPO_PATH="$PWD"
+HOST=$(hostname)
+
+# spec §27 D-Multimac-1: 멀티 mac 운영에서 Rookie 서버는 hook 발사 mac 의 transcript file 을
+# read 할 수 없다. hook 측에서 jsonl 을 직접 read → messages array → POST body 본문 송신.
+# turn limit 200 (D-Multimac-3). spec 2026-06-18 §3.8: 추출 로직을 lib/transcript.sh 로 단일화
+# (session-start.sh orphan recovery 와 동일 구현 보장). helper 미로드 시 인라인 폴백 유지.
+MESSAGES_JSON='[]'
+if command -v transcript_messages_json >/dev/null 2>&1; then
+  MESSAGES_JSON=$(transcript_messages_json "$TRANSCRIPT_PATH")
+elif [ -n "$TRANSCRIPT_PATH" ] && [ -f "$TRANSCRIPT_PATH" ]; then
+  MESSAGES_JSON=$(node -e "
+    const fs = require('node:fs');
+    const path = process.argv[1];
+    if (!path || !fs.existsSync(path)) { console.log('[]'); process.exit(0); }
+    let raw;
+    try { raw = fs.readFileSync(path, 'utf8'); } catch { console.log('[]'); process.exit(0); }
+    const out = [];
+    for (const line of raw.split('\n')) {
+      const t = line.trim(); if (!t) continue;
+      try {
+        const j = JSON.parse(t);
+        const m = j.message || j;
+        if (m.role !== 'user' && m.role !== 'assistant') continue;
+        let c = m.content;
+        if (typeof c !== 'string') {
+          if (Array.isArray(c)) {
+            c = c.filter(b => b && b.type === 'text' && typeof b.text === 'string')
+                 .map(b => b.text).join('\n').trim();
+          } else { c = ''; }
+        } else { c = c.trim(); }
+        if (!c) continue;
+        out.push({ role: m.role, content: c });
+      } catch {}
+    }
+    const TURN_LIMIT = 200;
+    let pairs = 0;
+    for (let i = 1; i < out.length; i++) {
+      if (out[i-1].role === 'user' && out[i].role === 'assistant') pairs++;
+    }
+    if (pairs > TURN_LIMIT) {
+      let dropPairs = pairs - TURN_LIMIT;
+      let dropIdx = 0;
+      while (dropPairs > 0 && dropIdx < out.length - 1) {
+        if (out[dropIdx].role === 'user' && out[dropIdx+1].role === 'assistant') {
+          dropIdx += 2; dropPairs--;
+        } else { dropIdx++; }
+      }
+      out.splice(0, dropIdx);
+    }
+    console.log(JSON.stringify(out));
+  " "$TRANSCRIPT_PATH" 2>/dev/null || echo "[]")
+fi
+
+# spec 2026-06-18 §3.2 marker 경로 1: 정상 flush-session 의 content-bearing success 시
+# orphan flushed marker(source=stop) 생성 → 다음 SessionStart orphan scanner 가 이 세션 제외.
+MESSAGE_COUNT=$(printf '%s' "$MESSAGES_JSON" | node -e "
+  let d=''; process.stdin.on('data',c=>d+=c).on('end',()=>{
+    try { const a=JSON.parse(d); process.stdout.write(String(Array.isArray(a)?a.length:0)); }
+    catch { process.stdout.write('0'); }
+  });
+" 2>/dev/null || echo 0)
+
+# P3 (2026-06-18 코드리뷰): messages 를 argv 대신 stdin 으로 전달 — 큰 transcript(긴 content)에서
+# ARG_MAX/env 한계로 body build 가 깨지는 것 방지 (orphan_recover 와 동일 취지).
+BODY=$(printf '%s' "$MESSAGES_JSON" | node -e "
+  let d=''; process.stdin.on('data',c=>d+=c).on('end',()=>{
+    const b = {
+      session_id: process.argv[1],
+      hostname: process.argv[2],
+      repo_url: process.argv[3] || undefined,
+      repo_path: process.argv[4],
+      transcript_path: process.argv[5] || undefined,
+    };
+    let msgs = [];
+    try { msgs = JSON.parse(d || '[]'); } catch {}
+    if (Array.isArray(msgs) && msgs.length > 0) b.messages = msgs;
+    process.stdout.write(JSON.stringify(b));
+  });
+" "$SESSION_ID" "$HOST" "$REPO_URL" "$REPO_PATH" "$TRANSCRIPT_PATH")
+
+# spec §35 PR-1 Task 3: flush-session 보다 먼저 batch-mutate 를 POST 해야
+# cold dedup 게이트(Task 2)가 hot write 결과를 SELECT 할 수 있다.
+# Latency: 본 dispatcher curl + flush-session curl 모두 --max-time 10 → 합산 최대 20s.
+# Stop hook latency budget 안 — 추가 sequential curl 도입 시 재산정 필요.
+DROP_LOG="$HOME/.rookie/dropped-mutations.log"
+# P3: messages 를 argv 대신 stdin 으로 (위 BODY build 와 동일 — ARG_MAX 회피).
+MUTATE_JSON=$(printf '%s' "$MESSAGES_JSON" | node -e "
+  let d=''; process.stdin.on('data',c=>d+=c).on('end',()=>{
+    let msgs = [];
+    try { msgs = JSON.parse(d || '[]'); } catch {}
+    if (!Array.isArray(msgs) || msgs.length === 0) return;
+    let last = null;
+    for (let i = msgs.length - 1; i >= 0; i--) {
+      if (msgs[i].role === 'assistant') { last = msgs[i]; break; }
+    }
+    if (!last || typeof last.content !== 'string') return;
+    const tick = String.fromCharCode(96).repeat(3);
+    const re = new RegExp(tick + 'rookie:mutate\\\\s*\\\\n([\\\\s\\\\S]*?)\\\\n' + tick);
+    const m = last.content.match(re);
+    if (!m) return;
+    try {
+      const j = JSON.parse(m[1]);
+      if (j && typeof j === 'object') process.stdout.write(JSON.stringify(j));
+      else process.stdout.write('PARSE_FAILED');
+    } catch { process.stdout.write('PARSE_FAILED'); }
+  });
+" 2>/dev/null) || MUTATE_JSON=""
+
+# fence 가 있었지만 JSON.parse 실패 → 무성 silent drop 대신 telemetry 로그.
+if [ "$MUTATE_JSON" = "PARSE_FAILED" ]; then
+  printf '%s fence_parse_failed session=%s\n' "$(date -u +%Y-%m-%dT%H:%M:%SZ)" "$SESSION_ID" >> "$DROP_LOG" 2>/dev/null || true
+  MUTATE_JSON=""
+fi
+
+# spec 2026-07-06 §F-1(a) — fence 경유 저장의 세션 project 귀속. fence 에서 뽑은 MUTATE_JSON 엔
+#   repo 컨텍스트가 없다 → top-level 에 repo_url/repo_path merge(이미 명시된 값은 보존). 서버가
+#   이걸로 세션 project 를 확정해 미지정 카드를 NULL 대신 세션 project 로 귀속(진입카드 stale 근본 차단).
+if [ -n "$MUTATE_JSON" ]; then
+  _MERGED_MUTATE=$(printf '%s' "$MUTATE_JSON" | node -e "
+    let d=''; process.stdin.on('data',c=>d+=c).on('end',()=>{
+      let j; try { j = JSON.parse(d); } catch { process.stdout.write(d); return; }
+      if (j && typeof j === 'object' && !Array.isArray(j)) {
+        if (process.argv[1] && j.repo_url === undefined) j.repo_url = process.argv[1];
+        if (process.argv[2] && j.repo_path === undefined) j.repo_path = process.argv[2];
+        process.stdout.write(JSON.stringify(j));
+      } else { process.stdout.write(d); }
+    });
+  " "$REPO_URL" "$REPO_PATH" 2>/dev/null)
+  if [ -n "$_MERGED_MUTATE" ]; then MUTATE_JSON="$_MERGED_MUTATE"; fi
+fi
+
+if [ -n "$MUTATE_JSON" ]; then
+  if command -v mutate_dispatch >/dev/null 2>&1; then
+    # spec §17.2 H-2.1 (retry 1회) + H-2.2 (partial failure 재큐) 책임을 lib/dispatcher.sh 로 위임.
+    # return 0 = 성공 (partial failure 재큐 가능 포함), 1 = 큐화 (전체 실패), 2 = no-op.
+    mutate_dispatch "$ENDPOINT" "$TOKEN" "$USER_ID" "$SESSION_ID" "$MUTATE_JSON" || true
+  else
+    # dispatcher.sh source 실패 → silent drop 대신 telemetry. queue 라도 살아있으면 큐화 시도.
+    printf '%s dispatcher_unavailable session=%s\n' "$(date -u +%Y-%m-%dT%H:%M:%SZ)" "$SESSION_ID" >> "$DROP_LOG" 2>/dev/null || true
+    if command -v queue_enqueue >/dev/null 2>&1; then
+      queue_enqueue "$SESSION_ID-mutate" "$MUTATE_JSON" "dispatcher-missing" 2>/dev/null || true
+    fi
+  fi
+fi
+
+# v6 P1 #5 — Stage 1 측정 hook buffer flush.
+# PreToolUse hook 가 적재한 metric jsonl 을 mutate_dispatch 와 무관하게 항상 flush 시도.
+# silent fail (buffer 잔존 시 다음 세션 재시도).
+if command -v metric_dispatch_md_read >/dev/null 2>&1; then
+  metric_dispatch_md_read "$ENDPOINT" "$TOKEN" "$USER_ID" "$SESSION_ID" || true
+fi
+
+# §17 H-1: silent (`> /dev/null || true`) → fail-aware (HTTP code + 큐화)
+# spec 2026-06-18 §3.2: 응답 body 도 캡처(chunks_inserted) → content-bearing marker 판정.
+# P3: body 를 argv(-d "$BODY") 대신 파일(--data-binary @file)로 송신 — 큰 body ARG_MAX 회피.
+# mktemp 실패 시에만 기존 -d 폴백.
+RESP_FILE=$(mktemp 2>/dev/null || echo "")
+BODY_FILE=$(mktemp 2>/dev/null || echo "")
+if [ -n "$BODY_FILE" ]; then
+  printf '%s' "$BODY" > "$BODY_FILE" 2>/dev/null
+  DATA_ARG=(--data-binary "@$BODY_FILE")
+else
+  DATA_ARG=(-d "$BODY")
+fi
+HTTP_CODE=$(curl -sS --max-time 10 \
+  -X POST \
+  -H "Authorization: Bearer $TOKEN" \
+  -H "Content-Type: application/json" \
+  -H "x-rookie-user-id: $USER_ID" \
+  "${DATA_ARG[@]}" \
+  -o "${RESP_FILE:-/dev/null}" \
+  -w "%{http_code}" \
+  "$ENDPOINT/api/rookie/flush-session" 2>/dev/null) || HTTP_CODE="000"
+
+if [ "$HTTP_CODE" = "200" ]; then
+  # 정상 — 마지막 성공 시각 갱신 + 큐가 있으면 chain drain
+  if command -v queue_record_success >/dev/null 2>&1; then
+    queue_record_success
+    queue_drain "$ENDPOINT" "$TOKEN" "$USER_ID" >/dev/null 2>&1 || true
+  fi
+  # P0.4 Step 4 (codex #10): marker 조건 = code 200(이 분기) + message_count>0 (chunks_inserted 무관).
+  # 멱등 재flush(chunks 0)도 marker 박아 orphan scan 이 같은 세션을 영구 재적재하지 않게 한다.
+  # 빈 messages 는 MESSAGE_COUNT=0 으로 미부착(복구 여지 보존).
+  if command -v orphan_mark_flushed >/dev/null 2>&1 && [ "${MESSAGE_COUNT:-0}" -gt 0 ] 2>/dev/null; then
+    orphan_mark_flushed "$SESSION_ID" "stop" "$MESSAGE_COUNT" || true
+  fi
+else
+  # §17 H-2: 큐 적재 + 1회 chain drain (일시적 깜빡임 회복)
+  if command -v queue_enqueue >/dev/null 2>&1; then
+    queue_enqueue "$SESSION_ID" "$BODY" "$HTTP_CODE" 2>/dev/null || true
+    queue_drain "$ENDPOINT" "$TOKEN" "$USER_ID" >/dev/null 2>&1 || true
+  fi
+fi
+
+if [ -n "$RESP_FILE" ]; then rm -f "$RESP_FILE" 2>/dev/null || true; fi
+if [ -n "$BODY_FILE" ]; then rm -f "$BODY_FILE" 2>/dev/null || true; fi
+exit 0

package/templates/hook/guard-destructive-db.sh

@@ -0,0 +1,24 @@
+#!/usr/bin/env bash
+# PreToolUse(Bash) 가드 — 라이브/원격 DB·git 파괴적 명령을 하네스 레벨에서 차단.
+#
+# 배경(2026-06-02 KST): 검증으로 `supabase db reset --linked`를 라이브 원격 DB에 돌려
+#   auth.users(실 로그인 계정) 전체가 소실됨. 모델 판단에 의존하지 않고
+#   명령 문자열 전체를 검사해 차단한다(파이프/래핑 우회 방지 — `printf y | npx supabase db reset --linked`도 잡힘).
+#
+# 출력: 위험 시 PreToolUse permissionDecision=deny JSON, 아니면 침묵(exit 0).
+# 정당한 경우엔 사용자가 직접 `!` 명령으로 실행(이 hook은 모델의 Bash 도구만 가로챔).
+
+cmd=$(jq -r '.tool_input.command // ""' 2>/dev/null)
+[ -z "$cmd" ] && exit 0
+
+# 위험 패턴(대소문자 무시). db reset --local 등 로컬 안전 변형은 매칭하지 않는다.
+# git push 의 -f 는 push 직후(`git push -f`)·인자 뒤(`git push origin -f`) 둘 다 잡는다.
+# drop role 은 database|schema|table 과 동일하게 앞 공백 요구 없이 잡는다(따옴표/문두 우회 방지).
+deny_re='(supabase[[:space:]]+db[[:space:]]+reset[[:space:]]+--linked|db[[:space:]]+reset[[:space:]]+--remote|drop[[:space:]]+(database|schema|table|role)|truncate[[:space:]]+(table|only)|git[[:space:]]+push[[:space:]]+(.*[[:space:]])?(--force([[:space:]=]|$)|--force-with-lease|-f([[:space:]]|$))|git[[:space:]]+reset[[:space:]]+--hard)'
+
+if printf '%s' "$cmd" | grep -qiE "$deny_re"; then
+  reason="🛑 하네스 차단(guard-destructive-db): 라이브/원격 DB 또는 git 파괴적 명령(supabase db reset --linked·drop·truncate·git push --force·git reset --hard)은 모델이 자동 실행할 수 없습니다. 스키마 검증은 로컬(supabase db reset --local)에서. 정말 필요하면 사용자가 직접 ! 명령으로 실행하세요."
+  jq -n --arg r "$reason" '{hookSpecificOutput:{hookEventName:"PreToolUse",permissionDecision:"deny",permissionDecisionReason:$r}}'
+  exit 0
+fi
+exit 0

package/templates/hook/lib/config-resolve.sh

@@ -0,0 +1,106 @@
+#!/bin/bash
+# lib/config-resolve.sh — B6 한 PC 다계정 격리 (spec 2026-07-11-memory-reliability-fix-design §B6).
+# (1) config 상향 탐색: env(ROOKIE_ENDPOINT+ROOKIE_TOKEN) > <dir>/.rookie/config.json (cwd 상향) > 전역.
+#     모든 hook 진입 스크립트가 이 함수 하나로 해석한다 — 한 곳이라도 전역 고정 경로가 남으면
+#     그 경로로 계정 오염이 재발한다(§B6-1 파일 목록 원칙).
+# (2) 세션 identity pinning(§B6-3): SessionStart 가 유효 토큰 hash 를 기록, Stop(flush)이 비교 —
+#     세션 도중 계정 전환 시 flush 를 중단해 진행 중 세션의 기억이 새 계정으로 오귀속되는 것을 차단.
+
+# cwd 기준 유효 config 경로를 stdout 으로. 로컬(.rookie/config.json, 상향 탐색) > 전역.
+# 전역 경로(~/.rookie/config.json) 자체는 로컬 후보에서 제외($HOME 도달 시 이중 판정 방지).
+rookie_config_path_for_cwd() {
+  local dir="$1"
+  local global="$HOME/.rookie/config.json"
+  if [ -z "$dir" ] || [ ! -d "$dir" ]; then
+    printf '%s' "$global"
+    return 0
+  fi
+  dir="$(cd "$dir" 2>/dev/null && pwd)" || { printf '%s' "$global"; return 0; }
+  while [ -n "$dir" ] && [ "$dir" != "/" ]; do
+    if [ "$dir/.rookie/config.json" != "$global" ] && [ -f "$dir/.rookie/config.json" ]; then
+      printf '%s' "$dir/.rookie/config.json"
+      return 0
+    fi
+    dir="$(dirname "$dir")"
+  done
+  printf '%s' "$global"
+}
+
+# env > 로컬 > 전역 해석. 결과를 전역 변수로 내보낸다:
+#   ROOKIE_RESOLVED_ENDPOINT / ROOKIE_RESOLVED_TOKEN / ROOKIE_RESOLVED_USER_ID
+#   ROOKIE_ACTIVE_CONFIG (해석된 config 파일 경로 — env 스코프는 "env", sweep partition 기준)
+# 반환 1 = 자격증명 없음(hook 은 조용히 exit 0 해야 함).
+rookie_resolve_credentials() {
+  local start_dir="$1"
+  ROOKIE_RESOLVED_ENDPOINT=""
+  ROOKIE_RESOLVED_TOKEN=""
+  ROOKIE_RESOLVED_USER_ID=""
+  ROOKIE_ACTIVE_CONFIG=""
+  # set -u 환경(user-prompt-skill-gate.sh)에서도 안전하게 :- 기본값 참조.
+  if [ -n "${ROOKIE_ENDPOINT:-}" ] && [ -n "${ROOKIE_TOKEN:-}" ]; then
+    ROOKIE_RESOLVED_ENDPOINT="$ROOKIE_ENDPOINT"
+    ROOKIE_RESOLVED_TOKEN="$ROOKIE_TOKEN"
+    ROOKIE_ACTIVE_CONFIG="env"
+    return 0
+  fi
+  local cfg
+  cfg="$(rookie_config_path_for_cwd "$start_dir")"
+  [ -f "$cfg" ] || return 1
+  ROOKIE_RESOLVED_ENDPOINT=$(node -e "console.log(require(process.argv[1]).endpoint || '')" "$cfg" 2>/dev/null || echo "")
+  ROOKIE_RESOLVED_TOKEN=$(node -e "console.log(require(process.argv[1]).token || '')" "$cfg" 2>/dev/null || echo "")
+  ROOKIE_RESOLVED_USER_ID=$(node -e "console.log(require(process.argv[1]).user_id || '')" "$cfg" 2>/dev/null || echo "")
+  [ -n "$ROOKIE_RESOLVED_TOKEN" ] || return 1
+  [ -n "$ROOKIE_RESOLVED_ENDPOINT" ] || ROOKIE_RESOLVED_ENDPOINT="http://localhost:3000"
+  ROOKIE_ACTIVE_CONFIG="$cfg"
+  return 0
+}
+
+# ── B6-3 세션 identity pinning ──
+# pinning 기준 = 유효 토큰 hash (config user_id 아님 — env 주입 세션에서도 동일 기준, 3R P2).
+ROOKIE_IDENTITY_PIN_DIR="${ROOKIE_IDENTITY_PIN_DIR:-$HOME/.rookie/session-identity}"
+ROOKIE_IDENTITY_MISMATCH_LOG="${ROOKIE_IDENTITY_MISMATCH_LOG:-$HOME/.rookie/identity-mismatch.log}"
+
+_rookie_token_hash() {
+  printf '%s' "$1" | node -e '
+    const c=require("crypto"); let d="";
+    process.stdin.on("data",x=>d+=x).on("end",()=>process.stdout.write(c.createHash("sha256").update(d).digest("hex").slice(0,16)));
+  ' 2>/dev/null
+}
+
+# SessionStart: 세션의 effective identity 기록 (+14일 지난 pin 기회적 정리).
+identity_pin_write() {
+  local sid="$1" token="$2"
+  [ -n "$sid" ] && [ -n "$token" ] || return 0
+  mkdir -p "$ROOKIE_IDENTITY_PIN_DIR" 2>/dev/null || return 0
+  local hash
+  hash="$(_rookie_token_hash "$token")"
+  [ -n "$hash" ] || return 0
+  ( umask 077; printf '%s' "$hash" > "$ROOKIE_IDENTITY_PIN_DIR/$sid" 2>/dev/null ) || true
+  # 14일+ pin 정리 — pin 은 세션 수명 추적용 소모품(마커 TTL 과 동일 감각).
+  find "$ROOKIE_IDENTITY_PIN_DIR" -type f -mtime +14 -delete 2>/dev/null || true
+  return 0
+}
+
+# Stop(flush): pin 과 현재 토큰 비교. 0 = 통과(pin 없음 포함 — 구세션 fail-open), 1 = 불일치.
+identity_pin_check() {
+  local sid="$1" token="$2"
+  [ -n "$sid" ] && [ -n "$token" ] || return 0
+  local pin_file="$ROOKIE_IDENTITY_PIN_DIR/$sid"
+  [ -f "$pin_file" ] || return 0
+  local pinned current
+  pinned="$(cat "$pin_file" 2>/dev/null)"
+  [ -n "$pinned" ] || return 0
+  current="$(_rookie_token_hash "$token")"
+  [ -n "$current" ] || return 0
+  [ "$pinned" = "$current" ] && return 0
+  return 1
+}
+
+# 불일치 로그 — doctor 가 집계·경고. 토큰·hash 원문은 남기지 않는다(§10d).
+identity_pin_log_mismatch() {
+  local sid="$1" source="${2:-stop}"
+  mkdir -p "$(dirname "$ROOKIE_IDENTITY_MISMATCH_LOG")" 2>/dev/null || return 0
+  printf '%s session=%s source=%s\n' "$(date -u +%Y-%m-%dT%H:%M:%SZ)" "$sid" "$source" \
+    >> "$ROOKIE_IDENTITY_MISMATCH_LOG" 2>/dev/null || true
+  return 0
+}

package/templates/hook/lib/cross-runtime-sweep.sh

@@ -0,0 +1,202 @@
+#!/bin/bash
+# lib/cross-runtime-sweep.sh — Phase 3 cross-runtime 로컬 sweep.
+# spec docs/superpowers/specs/2026-06-18-crash-recovery-orphan-flush.md §4 Phase 3.
+# launchd 가 주기 실행: Claude 전체 프로젝트 + Codex 세션을 사후 회수(chunk 복구).
+# fact 는 Phase 2 client-assisted(pending → 차차) 로 위임 — 여기선 chunk capture 까지만.
+#
+# 의존: lib/transcript.sh (Claude·Codex 파서) + lib/orphan-recovery.sh (marker·orphan_recover).
+# marker namespace 분리(§3.2): Codex 는 ROOKIE_ORPHAN_DIR/codex 하위(dynamic scope override)로
+#   flushed/baseline/deferred/pending/client_extracted 를 둔다 → "어느 런타임 포맷" 구분 보존.
+
+ROOKIE_CODEX_SESSIONS_DIR="${ROOKIE_CODEX_SESSIONS_DIR:-$HOME/.codex/sessions}"
+ROOKIE_CLAUDE_PROJECTS_DIR="${ROOKIE_CLAUDE_PROJECTS_DIR:-$HOME/.claude/projects}"
+ROOKIE_CODEX_SWEEP_DAYS="${ROOKIE_CODEX_SWEEP_DAYS:-7}"     # 날짜 파티션 순회 창
+ROOKIE_CODEX_SWEEP_CAP="${ROOKIE_CODEX_SWEEP_CAP:-20}"     # 1회 sweep 최대 Codex 세션 수
+ROOKIE_SWEEP_TIME_BUDGET="${ROOKIE_SWEEP_TIME_BUDGET:-30}" # 총 sweep 예산(초)
+
+# 최근 N일 Codex rollout 중 복구 후보 경로를 stdout(1줄당 1개). 최신순, marker·hold 제외, cap.
+# marker root = ROOKIE_ORPHAN_DIR 를 그대로 사용한다 — codex_recover 가 codex namespace
+#   (base/codex)로 설정해 호출하므로, 여기선 /codex 를 다시 붙이지 않는다(이중 방지).
+# allowlist: regular file·≤MAXBYTES·rollout-*.jsonl. session_meta.cwd 는 recover 단계에서 읽는다.
+codex_scan_candidates() {
+  local root="$ROOKIE_CODEX_SESSIONS_DIR"
+  [ -d "$root" ] || return 0
+  local cdir="${ROOKIE_ORPHAN_DIR:-$HOME/.rookie/orphan-recovery}"
+  node -e '
+    const fs=require("fs"), path=require("path");
+    const [root, cdir, daysS, capS, holdS, maxBytesS] = process.argv.slice(1);
+    const now=Date.now()/1000, days=+daysS, cap=+capS, hold=+holdS, maxB=+maxBytesS;
+    const flushedDir=path.join(cdir,"flushed"), baselineDir=path.join(cdir,"baseline"), deferredDir=path.join(cdir,"deferred");
+    // P0.4: Claude scanner 와 대칭으로 low_value·expired 도 제외(한쪽만 고치면 런타임 비대칭 재진입 — §12-P2-11).
+    const lowValueDir=path.join(cdir,"low_value"), expiredDir=path.join(cdir,"expired");
+    const minMtime=now-days*86400;
+    const uuidRe=/[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/i;
+    const marked=(sid)=>fs.existsSync(path.join(flushedDir,sid+".json"))||fs.existsSync(path.join(baselineDir,sid+".json"))||fs.existsSync(path.join(lowValueDir,sid+".json"))||fs.existsSync(path.join(expiredDir,sid+".json"));
+    const deferBlocked=(sid)=>{ try{
+      const j=JSON.parse(fs.readFileSync(path.join(deferredDir,sid+".json"),"utf8"));
+      if((j.fail_count||0)>=3) return true;
+      const nr=Date.parse(j.next_retry_at); return !isNaN(nr)&&nr/1000>now;
+    }catch{ return false; } };
+    // 날짜 파티션 재귀 walk → rollout-*.jsonl 수집.
+    const found=[];
+    const walk=(d)=>{ let names=[]; try{names=fs.readdirSync(d);}catch{return;}
+      for(const n of names){ const fp=path.join(d,n); let st; try{st=fs.lstatSync(fp);}catch{continue;}
+        if(st.isDirectory()){ walk(fp); continue; }
+        if(!st.isFile()) continue;
+        if(!/^rollout-.*\.jsonl$/.test(n)) continue;
+        if(st.size>maxB) continue;
+        if(st.mtimeMs/1000<minMtime) continue;        // 날짜 창 밖
+        if((now-st.mtimeMs/1000)<hold) continue;       // 최근 수정 보류
+        const m=n.slice(0,-6).match(uuidRe); if(!m) continue;  // .jsonl 제거 후 끝 UUID
+        const sid=m[0];
+        if(marked(sid)||deferBlocked(sid)) continue;
+        found.push({fp,sid,mtime:st.mtimeMs});
+      }
+    };
+    walk(root);
+    found.sort((a,b)=>b.mtime-a.mtime);
+    for(const e of found.slice(0,cap)) process.stdout.write(e.fp+"\n");
+  ' "$root" "$cdir" "$ROOKIE_CODEX_SWEEP_DAYS" "$ROOKIE_CODEX_SWEEP_CAP" \
+    "${ROOKIE_ORPHAN_AGE_HOLD:-60}" "${ROOKIE_ORPHAN_MAX_BYTES:-52428800}" 2>/dev/null
+}
+
+# Codex 세션 사후 회수. orphan_recover 의 Codex 판 — Codex 파서 + codex marker namespace(source=sweep).
+# stdout 미사용. 복구 건수는 ROOKIE_SWEEP_CODEX_COUNT.
+codex_recover() {
+  local endpoint="$1" token="$2" user_id="$3"
+  ROOKIE_SWEEP_CODEX_COUNT=0
+  [ -n "$endpoint" ] && [ -n "$token" ] || return 0
+  command -v transcript_messages_json_codex >/dev/null 2>&1 || return 0
+  # marker·scan 이 codex namespace(base/codex)를 쓰도록 dynamic scope override.
+  # base 를 먼저 읽고(별도 변수) shadow — 한 줄 분리 시 local 이 변수를 비워 $HOME 폴백되는 함정 회피.
+  local _base="${ROOKIE_ORPHAN_DIR:-$HOME/.rookie/orphan-recovery}"
+  local ROOKIE_ORPHAN_DIR="$_base/codex"
+
+  local deadline; deadline=$(( $(date +%s) + ROOKIE_SWEEP_TIME_BUDGET ))
+  local host; host="$(hostname)"
+  local candidates; candidates="$(codex_scan_candidates)" || return 0
+  [ -n "$candidates" ] || return 0
+
+  local fp sid cwd messages mc msg_file body_file code
+  while IFS= read -r fp; do
+    [ -n "$fp" ] || continue
+    [ "$(date +%s)" -ge "$deadline" ] && break
+    sid="$(transcript_session_id_from_path_codex "$fp")"
+    [ -n "$sid" ] || continue
+    _orphan_deferred_blocked "$sid" && continue
+    cwd="$(transcript_codex_cwd "$fp")"        # 프로젝트 매칭(repo_path)
+    # B6-4 (spec 2026-07-11 §B6): cwd 불명 orphan 보류 + 타 config 소속 skip — Claude 경로
+    # (orphan_recover)와 대칭. 판별 불가·타 계정 몫을 현재 config 로 flush 하지 않는다.
+    if [ -z "$cwd" ]; then
+      _orphan_log_telemetry "$sid" "codex_skip_unknown_cwd"; continue
+    fi
+    # codex R1 P1-2: cwd 디렉토리 삭제·이동 → 판별 불가 보류 (전역 폴백 flush 금지).
+    if [ ! -d "$cwd" ]; then
+      _orphan_log_telemetry "$sid" "codex_skip_missing_cwd_dir"; continue
+    fi
+    if command -v rookie_config_path_for_cwd >/dev/null 2>&1 && [ -n "${ROOKIE_ACTIVE_CONFIG:-}" ]; then
+      if [ "$(rookie_config_path_for_cwd "$cwd")" != "$ROOKIE_ACTIVE_CONFIG" ]; then
+        _orphan_log_telemetry "$sid" "codex_skip_other_config"; continue
+      fi
+    fi
+    # codex R1 P1-1: 세션 identity pin 불일치 → 보류 (orphan_recover 와 대칭).
+    if command -v identity_pin_check >/dev/null 2>&1 && ! identity_pin_check "$sid" "$token"; then
+      _orphan_log_telemetry "$sid" "codex_skip_identity_mismatch"; continue
+    fi
+    messages="$(transcript_messages_json_codex "$fp")"
+    mc="$(_orphan_messages_count "$messages")"
+    if [ "${mc:-0}" -le 0 ] 2>/dev/null; then
+      _orphan_log_telemetry "$sid" "codex_skip_empty_messages"; continue
+    fi
+    # P3: messages 를 임시 파일로 전달 (argv ARG_MAX 회피).
+    msg_file="$(mktemp 2>/dev/null)" || continue
+    printf '%s' "$messages" > "$msg_file" 2>/dev/null
+    body_file="$(mktemp 2>/dev/null)" || { rm -f "$msg_file"; continue; }
+    node -e '
+      const fs=require("fs");
+      const b={session_id:process.argv[1],hostname:process.argv[2],repo_path:process.argv[3]||undefined,transcript_path:process.argv[4]};
+      try{ const m=JSON.parse(fs.readFileSync(process.argv[5],"utf8")||"[]"); if(Array.isArray(m)&&m.length) b.messages=m; }catch{}
+      process.stdout.write(JSON.stringify(b));
+    ' "$sid" "$host" "$cwd" "$fp" "$msg_file" > "$body_file" 2>/dev/null
+    rm -f "$msg_file"
+    if [ ! -s "$body_file" ]; then rm -f "$body_file"; continue; fi
+    code="$(curl -sS --max-time 10 -X POST \
+      -H "Authorization: Bearer $token" -H "Content-Type: application/json" \
+      -H "x-rookie-user-id: $user_id" --data-binary @"$body_file" \
+      -o /dev/null -w "%{http_code}" \
+      "$endpoint/api/rookie/flush-session" 2>/dev/null)" || code="000"
+    rm -f "$body_file"
+    # P0.4 Step 4: marker 조건 = code 200 + message_count>0 (Claude 경로와 대칭).
+    if [ "$code" = "200" ] && [ "${mc:-0}" -gt 0 ] 2>/dev/null; then
+      if orphan_mark_flushed "$sid" "sweep" "$mc"; then
+        _orphan_clear_deferred "$sid"
+        # P0.4 Step 1: 짧고 내용 없는 Codex 세션은 low_value, 운영사실 있으면 pending 적재.
+        if orphan_pending_is_worthwhile "$messages" "$mc"; then
+          orphan_record_pending "$sid" "$fp" "$mc" || true   # Codex tail 도 차차가 추출(codex ns pending)
+        else
+          orphan_mark_low_value "$sid" "short_no_content" "$mc" || true
+        fi
+        ROOKIE_SWEEP_CODEX_COUNT=$((ROOKIE_SWEEP_CODEX_COUNT + 1))
+      else
+        _orphan_record_deferred "$sid" "marker_write_failed"
+      fi
+    else
+      _orphan_log_telemetry "$sid" "codex_flush_failed code=$code mc=$mc"
+    fi
+  done <<EOF
+$candidates
+EOF
+  return 0
+}
+
+# ── opportunistic 하루 1회 가드 (spec 2026-06-18 — launchd 대신 진입점 sweep 기본값) ──
+# OS 스케줄러 없이 사용자 진입점(Claude SessionStart·Codex rookie_context·수동 CLI)마다
+# "오늘 아직 안 했으면" sweep → 꺼져 있던 PC도 다음 사용 때 따라잡는다.
+_sweep_stamp_file() { printf '%s/last-sweep-date' "${ROOKIE_ORPHAN_DIR:-$HOME/.rookie/orphan-recovery}"; }
+
+# 오늘 아직 sweep 안 했으면 exit 0 (due). 이미 했으면 1.
+sweep_due_today() {
+  local f today
+  f="$(_sweep_stamp_file)"
+  today="$(date +%Y-%m-%d)"
+  [ -f "$f" ] || return 0
+  [ "$(cat "$f" 2>/dev/null)" = "$today" ] && return 1 || return 0
+}
+
+# 오늘 sweep 했음을 기록 (날짜 스탬프).
+sweep_mark_ran_today() {
+  local f; f="$(_sweep_stamp_file)"
+  mkdir -p "$(dirname "$f")" 2>/dev/null
+  ( umask 077; date +%Y-%m-%d > "$f" 2>/dev/null ) || true
+}
+
+# 전체 sweep: Claude 모든 프로젝트(orphan_recover 재사용) + Codex(codex_recover).
+# 복구 합계는 ROOKIE_SWEEP_TOTAL.
+sweep_all() {
+  local endpoint="$1" token="$2" user_id="$3"
+  ROOKIE_SWEEP_TOTAL=0
+  [ -n "$endpoint" ] && [ -n "$token" ] || return 0
+
+  # Claude: 프로젝트 디렉토리별로 orphan_recover (Claude namespace 기본 ROOKIE_ORPHAN_DIR).
+  if command -v orphan_recover >/dev/null 2>&1 && [ -d "$ROOKIE_CLAUDE_PROJECTS_DIR" ]; then
+    local d
+    for d in "$ROOKIE_CLAUDE_PROJECTS_DIR"/*/; do
+      [ -d "$d" ] || continue
+      ROOKIE_ORPHAN_PROJECT_DIR="$d" orphan_recover "$endpoint" "$token" "$user_id" >/dev/null 2>&1 || true
+      ROOKIE_SWEEP_TOTAL=$((ROOKIE_SWEEP_TOTAL + ${ROOKIE_ORPHAN_RECOVERED_COUNT:-0}))
+    done
+  fi
+
+  # Codex: 최근 N일 세션.
+  if command -v codex_recover >/dev/null 2>&1; then
+    codex_recover "$endpoint" "$token" "$user_id" || true
+    ROOKIE_SWEEP_TOTAL=$((ROOKIE_SWEEP_TOTAL + ${ROOKIE_SWEEP_CODEX_COUNT:-0}))
+  fi
+
+  # P0.4 Step 3: 14일+ 미처리 pending 정리(expired marker) — base(Claude) + codex namespace 둘 다.
+  if command -v orphan_prune_expired >/dev/null 2>&1; then
+    orphan_prune_expired || true
+    ROOKIE_ORPHAN_DIR="${ROOKIE_ORPHAN_DIR:-$HOME/.rookie/orphan-recovery}/codex" orphan_prune_expired 2>/dev/null || true
+  fi
+  return 0
+}