trustdex 0.7.0 → 0.8.0

package/README.ko.md

@@ -82,8 +82,8 @@ Node.js 20 이상이 필요합니다.
 npm에서 직접 실행:
 
 ```bash
-npx trustdex@0.7.0 --help
-npx trustdex@0.7.0 inspect ./mcp.json --pack strict --policy ./trustdex.policy.json
+npx trustdex@0.8.0 --help
+npx trustdex@0.8.0 inspect ./mcp.json --pack strict --policy ./trustdex.policy.json
 ```
 
 또는 소스 체크아웃에서 작업:
@@ -179,7 +179,17 @@ node ./bin/trustdex.mjs inspect-codex-settings \
   --pack strict
 ```
 
-이 명령은 승인 정책, 샌드박스 종류, 네트워크 접근, 추가 쓰기 가능 루트 개수, 웹 검색 모드 및 명시적인 서브에이전트 활성화를 보고합니다. 쓰기 가능 경로나 관련 없는 설정의 값은 보관하지 않으며, 모든 설정 범위를 하나의 실제 런타임 정책으로 병합하지 않습니다.
+이 명령은 승인 정책, 샌드박스 종류, 네트워크 접근, 추가 쓰기 가능 루트 개수, 웹 검색 모드 및 명시적인 서브에이전트 활성화를 보고합니다. 쓰기 가능 경로나 관련 없는 설정의 값은 보관하지 않습니다. 문서화된 병합 우선순위를 검사하려면 활성 소스를 명시적으로 제공하세요. `--project`는 저장소 루트에서 현재 디렉터리 방향으로 반복합니다.
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings-stack \
+  --system ./review/system.toml \
+  --user ./review/user.toml \
+  --project ./review/root-project.toml \
+  --project ./review/closest-project.toml \
+  --cli ./review/cli-overrides.toml \
+  --pack strict
+```
 
 단계별 게이트 워크플로와 이 프로젝트가 자체 검토 과정에서 Codex를 사용하는 방법은 [Codex에서 TrustDex 사용하기](docs/CODEX.ko.md)를 참고하세요.
 
@@ -193,7 +203,7 @@ node ./bin/trustdex.mjs gate-claude ./.mcp.json --pack strict --out .trustdex/cl
 claude --strict-mcp-config --mcp-config .trustdex/claude-mcp.json
 ```
 
-Claude를 시작하기 전에 게이트의 결과를 확인하세요. 기본적으로 `ALLOW` 항목만 노출되며, `ASK` 항목에는 검토가 필요합니다. 어댑터는 검사할 수 없는 설정을 조용히 신뢰하지 않고 거부합니다. 이 명령은 npm 0.5.0 이상과 소스 체크아웃에서 사용할 수 있습니다. 게시된 CLI를 실행하려면 `node ./bin/trustdex.mjs` 대신 `npx trustdex@0.7.0`을 사용하세요.
+Claude를 시작하기 전에 게이트의 결과를 확인하세요. 기본적으로 `ALLOW` 항목만 노출되며, `ASK` 항목에는 검토가 필요합니다. 어댑터는 검사할 수 없는 설정을 조용히 신뢰하지 않고 거부합니다. 이 명령은 npm 0.5.0 이상과 소스 체크아웃에서 사용할 수 있습니다. 게시된 CLI를 실행하려면 `node ./bin/trustdex.mjs` 대신 `npx trustdex@0.8.0`을 사용하세요.
 
 지원되는 설정, PowerShell 오류 처리, 서명된 검토 및 Claude Desktop 워크플로는 [Claude에서 TrustDex 사용하기](docs/CLAUDE.ko.md)를 참고하세요.
 
@@ -205,7 +215,19 @@ node ./bin/trustdex.mjs inspect-claude-settings \
   --pack strict
 ```
 
-이 명령은 구조적인 기능 증거만 보고합니다. 권한 지정자, 디렉터리 값, 훅 명령, 도메인, 자격 증명 도우미 값 또는 환경 값을 출력하거나 지문에 포함하지 않습니다. 이는 정적 검토 도구이며 설정 병합기나 런타임 샌드박스가 아닙니다.
+이 명령은 구조적인 기능 증거만 보고합니다. 권한 지정자, 디렉터리 값, 훅 명령, 도메인, 자격 증명 도우미 값 또는 환경 값을 출력하거나 지문에 포함하지 않습니다. 문서화된 파일 우선순위와 목록 병합을 계산하려면 소스를 명시적으로 제공하세요.
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --local ./.claude/settings.local.json \
+  --session ./review/session.settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict
+```
+
+스택 검사는 여전히 정적 검토 도구이며 런타임 샌드박스가 아닙니다. 파일, 환경 변수 재정의 또는 조직 정책을 자동으로 찾지 않으며, 전달된 소스만 평가합니다.
 
 ## 권한 상태 드리프트
 
@@ -223,6 +245,13 @@ node ./bin/trustdex.mjs snapshot-codex-settings \
   --pack strict \
   --out .trustdex/codex-posture.json
 
+node ./bin/trustdex.mjs snapshot-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict \
+  --out .trustdex/claude-stack-posture.json
+
 node ./bin/trustdex.mjs diff-permissions \
   .trustdex/approved-posture.json \
   .trustdex/current-posture.json \
@@ -240,7 +269,10 @@ node ./bin/trustdex.mjs diff-permissions \
 기계 소비자는 `--json` 출력을
 [`schemas/permission-posture-v1.schema.json`](schemas/permission-posture-v1.schema.json)과
 [`schemas/permission-posture-diff-v1.schema.json`](schemas/permission-posture-diff-v1.schema.json)으로
-검증할 수 있습니다. 스키마가 바뀌면 새로운 정수 `schemaVersion`을 사용하며 기존
+검증할 수 있습니다. 병합 소스 스냅샷과 차이는
+[`schemas/permission-posture-v2.schema.json`](schemas/permission-posture-v2.schema.json)과
+[`schemas/permission-posture-diff-v2.schema.json`](schemas/permission-posture-diff-v2.schema.json)을
+사용합니다. 스키마가 바뀌면 새로운 정수 `schemaVersion`을 사용하며 기존
 필드의 의미를 조용히 바꾸지 않습니다.
 
 ## 온라인 출처 관찰
@@ -388,7 +420,7 @@ node ./bin/trustdex.mjs verify .trustdex/trust-record.json \
 ```yaml
 - uses: actions/checkout@v4
 
-- uses: grigent/trustdex@v0.7.0
+- uses: grigent/trustdex@v0.8.0
   with:
     config: ./mcp.json
     pack: official-first

package/README.md

@@ -82,8 +82,8 @@ Requires Node.js 20+.
 Run directly from npm:
 
 ```bash
-npx trustdex@0.7.0 --help
-npx trustdex@0.7.0 inspect ./mcp.json --pack strict --policy ./trustdex.policy.json
+npx trustdex@0.8.0 --help
+npx trustdex@0.8.0 inspect ./mcp.json --pack strict --policy ./trustdex.policy.json
 ```
 
 Or work from a source checkout:
@@ -181,8 +181,19 @@ node ./bin/trustdex.mjs inspect-codex-settings \
 
 This reports approval policy, sandbox class, network access, additional writable-root
 count, web-search mode, and explicit subagent enablement. It does not retain writable
-paths or values from unrelated settings, and it does not merge every configuration
-scope into an effective runtime policy.
+paths or values from unrelated settings. To inspect the documented merged precedence,
+provide each active source explicitly; repeat `--project` from repository root toward
+the current directory:
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings-stack \
+  --system ./review/system.toml \
+  --user ./review/user.toml \
+  --project ./review/root-project.toml \
+  --project ./review/closest-project.toml \
+  --cli ./review/cli-overrides.toml \
+  --pack strict
+```
 
 See [Using TrustDex with Codex](docs/CODEX.md) for a step-by-step gating workflow and for how this project uses Codex in its own review process.
 
@@ -201,7 +212,7 @@ claude --strict-mcp-config --mcp-config .trustdex/claude-mcp.json
 Check the gate's result before starting Claude. Only `ALLOW` entries are exposed by
 default; `ASK` entries require review. The adapter rejects settings it cannot
 inspect instead of silently trusting them. These commands are available in npm 0.5.0 and later, and from a source checkout.
-Use `npx trustdex@0.7.0` in place of `node ./bin/trustdex.mjs` to run the published CLI.
+Use `npx trustdex@0.8.0` in place of `node ./bin/trustdex.mjs` to run the published CLI.
 
 See [Using TrustDex with Claude](docs/CLAUDE.md) for supported settings, PowerShell
 error handling, signed review, and the Claude Desktop workflow.
@@ -217,7 +228,22 @@ node ./bin/trustdex.mjs inspect-claude-settings \
 
 The command reports structural capability evidence only. It does not print or fingerprint
 permission specifiers, directory values, hook commands, domains, credential-helper values,
-or environment values. It is a static review aid, not a settings merger or runtime sandbox.
+or environment values. To calculate the documented file precedence and list merging, pass
+the sources explicitly:
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --local ./.claude/settings.local.json \
+  --session ./review/session.settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict
+```
+
+The stack inspector remains a static review aid, not a runtime sandbox. It does not discover
+files, environment overrides, or organization policy automatically; only supplied sources
+are evaluated.
 
 ## Permission posture drift
 
@@ -235,6 +261,13 @@ node ./bin/trustdex.mjs snapshot-codex-settings \
   --pack strict \
   --out .trustdex/codex-posture.json
 
+node ./bin/trustdex.mjs snapshot-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict \
+  --out .trustdex/claude-stack-posture.json
+
 node ./bin/trustdex.mjs diff-permissions \
   .trustdex/approved-posture.json \
   .trustdex/current-posture.json \
@@ -253,6 +286,9 @@ enforcement.
 Machine consumers can validate `--json` output against
 [`schemas/permission-posture-v1.schema.json`](schemas/permission-posture-v1.schema.json)
 and [`schemas/permission-posture-diff-v1.schema.json`](schemas/permission-posture-diff-v1.schema.json).
+Merged-source snapshots and their diffs use
+[`schemas/permission-posture-v2.schema.json`](schemas/permission-posture-v2.schema.json)
+and [`schemas/permission-posture-diff-v2.schema.json`](schemas/permission-posture-diff-v2.schema.json).
 Schema changes require a new integer `schemaVersion`; fields are not silently repurposed.
 
 ## Online provenance observations
@@ -400,7 +436,7 @@ The private key should never be committed.
 ```yaml
 - uses: actions/checkout@v4
 
-- uses: grigent/trustdex@v0.7.0
+- uses: grigent/trustdex@v0.8.0
   with:
     config: ./mcp.json
     pack: official-first

package/bin/trustdex.mjs

@@ -6,9 +6,9 @@ import process from 'node:process';
 
 import { inspectMcpConfig } from '../src/inspect.mjs';
 import { parseCodexMcpToml, gateCodexToml } from '../src/codex-config.mjs';
-import { inspectCodexSettingsText } from '../src/codex-settings.mjs';
+import { inspectCodexSettingsStack, inspectCodexSettingsText } from '../src/codex-settings.mjs';
 import { parseClaudeMcpConfig } from '../src/claude-config.mjs';
-import { inspectClaudeSettings } from '../src/claude-settings.mjs';
+import { inspectClaudeSettings, inspectClaudeSettingsStack } from '../src/claude-settings.mjs';
 import { inspectSkillText, inspectPluginManifest } from '../src/extensions.mjs';
 import { evaluateAll } from '../src/policy.mjs';
 import { getPolicyPack, mergePolicy } from '../src/policy-packs.mjs';
@@ -51,6 +51,9 @@ Usage:
       [--trust-store trust-store.json] [--json]
   trustdex inspect-codex-settings <config.toml> [--pack ...] [--policy policy.json] [--json]
   trustdex snapshot-codex-settings <config.toml> --out posture.json [--pack ...]
+  trustdex inspect-codex-settings-stack [--system file] [--managed file] [--user file]
+      [--profile file] [--project file ...] [--cli file] [--json]
+  trustdex snapshot-codex-settings-stack [same source flags] --out posture.json
 
   trustdex gate <mcp.json> --out gated.json [--pack ...] [--policy policy.json]
       [--trust-store trust-store.json] [--include-ask] [--json]
@@ -60,6 +63,9 @@ Usage:
   trustdex inspect-claude <.mcp.json> [--pack ...] [--policy policy.json] [--json]
   trustdex inspect-claude-settings <settings.json> [--pack ...] [--policy policy.json] [--json]
   trustdex snapshot-claude-settings <settings.json> --out posture.json [--pack ...]
+  trustdex inspect-claude-settings-stack [--user file] [--project file] [--local file]
+      [--session file] [--managed file] [--json]
+  trustdex snapshot-claude-settings-stack [same source flags] --out posture.json
   trustdex gate-claude <.mcp.json> --out gated.json [--pack ...] [--policy policy.json]
   trustdex snapshot-claude <.mcp.json> --out snapshot.json [--pack ...]
   trustdex approve-claude <.mcp.json> --private key.pem --dir review [--pack ...]
@@ -122,6 +128,17 @@ function getFlag(args, name) {
   return index >= 0 ? args[index + 1] : null;
 }
 
+function getFlags(args, name) {
+  const values = [];
+  for (let index = 0; index < args.length; index += 1) {
+    if (args[index] !== name) continue;
+    const value = args[index + 1];
+    if (!value || value.startsWith('--')) throw new Error(`${name} requires a file path.`);
+    values.push(value);
+  }
+  return values;
+}
+
 function hasFlag(args, name) {
   return args.includes(name);
 }
@@ -225,6 +242,37 @@ async function evaluateCodexSettings(configPath, args) {
   return { policy, result };
 }
 
+async function evaluateClaudeSettingsStack(args) {
+  const layers = [];
+  for (const scope of ['user', 'project', 'local', 'session', 'managed']) {
+    for (const file of getFlags(args, `--${scope}`)) {
+      let settings;
+      try { settings = await readJson(file); } catch (error) {
+        if (error instanceof SyntaxError) throw new Error(`Invalid Claude ${scope} settings JSON.`);
+        throw error;
+      }
+      layers.push({ scope, settings });
+    }
+  }
+  if (!layers.length) throw new Error('Claude settings stack requires at least one source flag.');
+  const policy = await loadPolicy(args);
+  const [result] = evaluateAll([inspectClaudeSettingsStack(layers)], policy);
+  return { policy, result };
+}
+
+async function evaluateCodexSettingsStack(args) {
+  const layers = [];
+  for (const scope of ['system', 'managed', 'user', 'profile', 'project', 'cli']) {
+    for (const file of getFlags(args, `--${scope}`)) {
+      layers.push({ scope, text: await fs.readFile(file, 'utf8') });
+    }
+  }
+  if (!layers.length) throw new Error('Codex settings stack requires at least one source flag.');
+  const policy = await loadPolicy(args);
+  const [result] = evaluateAll([inspectCodexSettingsStack(layers)], policy);
+  return { policy, result };
+}
+
 function printObservation(observation, asJson) {
   if (asJson) {
     console.log(JSON.stringify(observation, null, 2));
@@ -320,6 +368,13 @@ async function main() {
     return;
   }
 
+  if (command === 'inspect-claude-settings-stack') {
+    const { result } = await evaluateClaudeSettingsStack(args);
+    printResults([result], hasFlag(args, '--json'));
+    setInspectExitCode([result]);
+    return;
+  }
+
   if (command === 'inspect-codex') {
     const configPath = args[1];
     if (!configPath) throw new Error('inspect-codex requires a path to Codex config.toml.');
@@ -338,15 +393,29 @@ async function main() {
     return;
   }
 
-  if (command === 'snapshot-claude-settings' || command === 'snapshot-codex-settings') {
-    const configPath = args[1];
+  if (command === 'inspect-codex-settings-stack') {
+    const { result } = await evaluateCodexSettingsStack(args);
+    printResults([result], hasFlag(args, '--json'));
+    setInspectExitCode([result]);
+    return;
+  }
+
+  if (['snapshot-claude-settings', 'snapshot-codex-settings',
+    'snapshot-claude-settings-stack', 'snapshot-codex-settings-stack'].includes(command)) {
+    const isStack = command.endsWith('-stack');
+    const configPath = isStack ? null : args[1];
     const out = getFlag(args, '--out');
-    if (!configPath || !out) {
-      throw new Error(`${command} requires a settings path and --out <posture.json>.`);
+    if ((!isStack && !configPath) || !out) {
+      throw new Error(isStack
+        ? `${command} requires source flags and --out <posture.json>.`
+        : `${command} requires a settings path and --out <posture.json>.`);
     }
-    const { policy, result } = command === 'snapshot-claude-settings'
-      ? await evaluateClaudeSettings(configPath, args)
-      : await evaluateCodexSettings(configPath, args);
+    let evaluated;
+    if (command === 'snapshot-claude-settings') evaluated = await evaluateClaudeSettings(configPath, args);
+    else if (command === 'snapshot-codex-settings') evaluated = await evaluateCodexSettings(configPath, args);
+    else if (command === 'snapshot-claude-settings-stack') evaluated = await evaluateClaudeSettingsStack(args);
+    else evaluated = await evaluateCodexSettingsStack(args);
+    const { policy, result } = evaluated;
     const snapshot = createPermissionPostureSnapshot(result, policy);
     await writeFileSafe(out, `${JSON.stringify(snapshot, null, 2)}\n`);
     console.log(`Wrote ${out}\nDigest: ${snapshot.digest}`);

package/docs/ARCHITECTURE.ko.md

@@ -47,7 +47,7 @@ TrustDex는 관찰, 정책, 게이트 및 검토 증거를 분리하는 의존
 - 네트워크 조회는 명시적으로 수행하며, 관찰은 승인이 아닙니다.
 - ALLOW는 정책 결과이지 안전 인증이 아닙니다.
 
-설정 검사는 현재 권고 기능입니다. 한 번에 설정 소스 파일 하나를 읽으며 병합된 실제 런타임 정책을 계산하지 않습니다. MCP 게이트는 구현된 강제 적용 경계로 유지되고, 에이전트 작업은 운영체제 및 런타임 샌드박스가 강제합니다.
+설정 검사는 권고 기능입니다. 소스 파일 하나 또는 명시적으로 전달된 Claude/Codex 소스 스택을 읽고 지원되는 보안 필드에 대해 문서화된 우선순위를 계산할 수 있습니다. 활성 파일, 프로필, 환경 변수 재정의, 요구사항 또는 서버 전달 정책을 자동으로 찾지 않으며 보고된 정책이 실제로 활성화되었다는 것도 증명하지 않습니다. MCP 게이트는 구현된 강제 적용 경계로 유지되고, 에이전트 작업은 운영체제 및 런타임 샌드박스가 강제합니다.
 
 ## 의존성 정책
 

package/docs/ARCHITECTURE.md

@@ -47,9 +47,12 @@ The gate is the enforcement boundary. Reports alone do not prevent an agent from
 - Network lookup is explicit and observation is not approval.
 - ALLOW is a policy result, not a safety certification.
 
-Settings inspection is currently advisory. It reads one source file at a time and does
-not calculate the merged effective runtime policy. MCP gates remain the implemented
-enforcement boundary; operating-system and runtime sandboxes enforce agent actions.
+Settings inspection is advisory. It can read one source file or an explicitly supplied
+Claude/Codex source stack and calculate the documented precedence for the supported
+security fields. It does not discover active files, profiles, environment overrides,
+requirements, or server-delivered policy, and it does not prove the reported policy is
+active. MCP gates remain the implemented enforcement boundary; operating-system and
+runtime sandboxes enforce agent actions.
 
 ## Dependency policy
 

package/docs/CLAUDE.ko.md

@@ -6,7 +6,7 @@
 
 TrustDex는 Claude Code 또는 Claude Desktop이 MCP JSON을 받기 전에 이를 검사할 수 있습니다. 설정 증거를 로컬에서 평가하고, MCP 서버를 시작하지 않으며, 설정을 업로드하지 않습니다. ALLOW 결정은 증거가 정책과 일치한다는 뜻이며 서버 코드가 안전하다는 것을 증명하지 않습니다.
 
-Claude 전용 명령은 TrustDex 0.5.0 이상에서 사용할 수 있습니다. 게시된 CLI를 실행하려면 아래 예제의 `node ./bin/trustdex.mjs` 대신 `npx trustdex@0.7.0`을 사용하거나, 소스 체크아웃에서 명령을 직접 사용하세요.
+Claude 전용 명령은 TrustDex 0.5.0 이상에서 사용할 수 있습니다. 게시된 CLI를 실행하려면 아래 예제의 `node ./bin/trustdex.mjs` 대신 `npx trustdex@0.8.0`을 사용하거나, 소스 체크아웃에서 명령을 직접 사용하세요.
 
 ## 지원되는 설정
 
@@ -89,7 +89,21 @@ node ./bin/trustdex.mjs inspect-claude-settings \
 
 `ask`와 `deny` 규칙은 제한적이므로 그 자체로 위험 신호를 추가하지 않습니다. 보고서에는 규칙 개수와 기능 범주가 포함되지만 명령 패턴, 경로, 도메인, 훅 본문, 도우미 명령, 디렉터리 값, 환경 값 또는 플러그인 식별자는 포함되지 않습니다. 같은 이유로 이 첫 번째 어댑터는 설정 파일용 콘텐츠 지문이나 서명된 검토 기록을 만들지 않습니다.
 
-이 명령은 한 번에 파일 하나만 검사합니다. Claude Code는 여러 범위의 설정을 병합하고 명령줄 플래그가 세션 권한을 추가할 수 있으므로 이 결과가 실제 런타임 정책은 아닙니다. Claude Code에서 로드된 소스와 권한을 확인하고 강제 적용에는 운영체제 수준 샌드박싱을 사용하세요. 공식 참고 자료: [설정 파일 및 우선순위](https://code.claude.com/docs/en/settings), [권한](https://code.claude.com/docs/en/permissions), [보안](https://code.claude.com/docs/en/security).
+여러 활성 소스를 검토할 때는 스택 명령을 사용하세요.
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --local ./.claude/settings.local.json \
+  --session ./review/session.settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict --json
+```
+
+TrustDex는 사용자, 공유 프로젝트, 프로젝트 로컬, 세션 및 관리형 우선순위를 적용합니다. 권한 목록은 결합하고 지원되는 스칼라 권한 제어는 가장 높은 유효 소스를 사용합니다. 문서화된 범위 제한에 맞춰 프로젝트 또는 로컬 소스의 `auto`와 `bypassPermissions` 기본 모드는 무시합니다. 보고서에는 고정된 소스 범위 이름과 개수만 저장하며 입력 경로나 설정 값은 저장하지 않습니다.
+
+소스는 명시적으로 전달해야 합니다. TrustDex는 설정, 셸 환경 변수 재정의, 임베딩 호스트 정책 또는 서버 전달 관리형 설정을 자동으로 찾지 않습니다. `/status`로 로드된 소스를 확인하고 강제 적용에는 운영체제 수준 샌드박싱을 사용하세요. 공식 참고 자료: [설정 파일 및 우선순위](https://code.claude.com/docs/en/settings), [권한](https://code.claude.com/docs/en/permissions), [보안](https://code.claude.com/docs/en/security).
 
 ### 권한 상태 드리프트
 
@@ -101,6 +115,13 @@ node ./bin/trustdex.mjs snapshot-claude-settings \
   --pack strict \
   --out .trustdex/claude-posture.json
 
+node ./bin/trustdex.mjs snapshot-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict \
+  --out .trustdex/claude-stack-posture.json
+
 node ./bin/trustdex.mjs diff-permissions \
   .trustdex/approved-claude-posture.json \
   .trustdex/current-claude-posture.json
@@ -113,6 +134,8 @@ node ./bin/trustdex.mjs diff-permissions \
 플러그인 및 환경 값을 제외합니다. 제거된 규칙 내용을 의도적으로 지문화하지
 않으므로 같은 기능 범주 안에서 규칙 개수는 같고 내용만 바뀌는 경우에는 소스
 검토나 런타임 제어가 계속 필요합니다.
+병합 소스 스냅샷은 스키마 v2를 사용하고 소스 범위 개수만 포함합니다. 최종 구조적
+권한 상태가 같더라도 소스 추가, 제거 또는 범위 변경에는 재검토가 필요합니다.
 
 ## 서명된 검토 및 드리프트
 

package/docs/CLAUDE.md

@@ -10,7 +10,7 @@ upload your configuration. An ALLOW decision means the evidence matched your pol
 it does not prove that server code is safe.
 
 The Claude-specific commands are available in TrustDex 0.5.0 and later.
-Use `npx trustdex@0.7.0` in place of `node ./bin/trustdex.mjs` in the examples
+Use `npx trustdex@0.8.0` in place of `node ./bin/trustdex.mjs` in the examples
 below to run the published CLI, or use the commands directly from a source checkout.
 
 ## Supported configuration
@@ -129,10 +129,28 @@ paths, domains, hook bodies, helper commands, directory values, environment valu
 or plugin identifiers. For the same reason, this first adapter does not create a
 content fingerprint or signed review record for settings files.
 
-This command inspects one file at a time. Claude Code merges settings across scopes
-and command-line flags can add session permissions, so the result is not the effective
-runtime policy. Confirm loaded sources and permissions in Claude Code and use OS-level
-sandboxing for enforcement. Official references: [settings files and precedence](https://code.claude.com/docs/en/settings),
+Use the stack command when reviewing multiple active sources:
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --local ./.claude/settings.local.json \
+  --session ./review/session.settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict --json
+```
+
+TrustDex applies user, shared project, project-local, session, and managed precedence;
+permission lists combine, while supported scalar permission controls use the highest
+effective source. It also ignores `auto` and `bypassPermissions` defaults from project
+or local sources, matching the documented scope restriction. The report stores only
+fixed scope names and counts, never input paths or setting values.
+
+Sources must be passed explicitly. TrustDex does not discover settings, shell environment
+overrides, embedded-host policy, or server-delivered managed settings, so confirm loaded
+sources with `/status` and use OS-level sandboxing for enforcement. Official references:
+[settings files and precedence](https://code.claude.com/docs/en/settings),
 [permissions](https://code.claude.com/docs/en/permissions), and
 [security](https://code.claude.com/docs/en/security).
 
@@ -146,6 +164,13 @@ node ./bin/trustdex.mjs snapshot-claude-settings \
   --pack strict \
   --out .trustdex/claude-posture.json
 
+node ./bin/trustdex.mjs snapshot-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict \
+  --out .trustdex/claude-stack-posture.json
+
 node ./bin/trustdex.mjs diff-permissions \
   .trustdex/approved-claude-posture.json \
   .trustdex/current-claude-posture.json
@@ -158,6 +183,9 @@ The snapshot excludes source paths and every permission, hook, directory, domain
 credential-helper, plugin, and environment value. Because it intentionally does not
 fingerprint redacted rule contents, a same-count change inside one capability category
 must still be covered by source review or runtime controls.
+Merged-source snapshots use schema v2 and include only source-scope counts. Adding,
+removing, or reclassifying a source requires review even when the resulting structural
+permission posture is otherwise unchanged.
 
 ## Signed review and drift
 

package/docs/CODEX.ko.md

@@ -15,7 +15,7 @@ Codex 클라이언트는 `config.toml`(기본적으로 `~/.codex/` 아래)의 `[
 ### 1. 현재 설정 검사
 
 ```bash
-npx trustdex@0.7.0 inspect-codex ~/.codex/config.toml --pack strict
+npx trustdex@0.8.0 inspect-codex ~/.codex/config.toml --pack strict
 ```
 
 이 명령은 파일을 로컬에서 읽으며 네트워크 요청을 하지 않습니다. 출력에는 각 MCP 서버, 소스 유형, 신뢰 신호 및 ALLOW / ASK / BLOCK 결정이 표시됩니다. 환경 변수 이름은 표시될 수 있지만 값은 절대 표시되지 않습니다.
@@ -25,7 +25,7 @@ npx trustdex@0.7.0 inspect-codex ~/.codex/config.toml --pack strict
 ### 2. 게이트된 사본 작성
 
 ```bash
-npx trustdex@0.7.0 gate-codex ~/.codex/config.toml \
+npx trustdex@0.8.0 gate-codex ~/.codex/config.toml \
   --pack official-first \
   --trust-store ./trust-store.json \
   --out ./gated-config.toml
@@ -70,7 +70,21 @@ node ./bin/trustdex.mjs inspect-codex-settings \
 
 보안 관련 값의 타입이나 열거 값이 지원되지 않으면 안전하게 실패합니다. 공식 설정 레퍼런스가 함께 사용하지 말라고 명시하므로 `default_permissions`와 기존 샌드박스 설정을 같이 사용해도 실패합니다. 쓰기 가능 루트 경로와 관련 없는 설정의 값은 보관·출력·지문화하지 않습니다.
 
-이 첫 번째 어댑터는 한 번에 파일 하나를 검사하며 사용자, 프로젝트, 프로필, 관리형, 시스템 또는 명령줄 설정을 하나의 실제 정책으로 병합하지 않습니다. 이는 정적 증거이며 Codex 샌드박스 자체가 아닙니다. 클라이언트에서 활성 권한 프로필을 확인하세요. 공식 OpenAI 문서는 샌드박스 경계와 승인 처리를 구분하며 `workspace-write`와 `on-request` 조합을 더 낮은 위험의 로컬 자동화 구성으로 안내합니다. [설정 레퍼런스](https://developers.openai.com/codex/config-reference)와 [샌드박스 가이드](https://developers.openai.com/codex/sandboxing)를 참고하세요.
+문서화된 설정 우선순위를 적용하려면 스택 명령을 사용하세요. `--project`는 저장소 루트에서 현재 디렉터리 방향으로 반복하며 가장 가까운 프로젝트 파일이 우선합니다.
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings-stack \
+  --system ./review/system.toml \
+  --managed ./review/managed.toml \
+  --user ./review/user.toml \
+  --profile ./review/profile.toml \
+  --project ./review/root-project.toml \
+  --project ./review/closest-project.toml \
+  --cli ./review/cli-overrides.toml \
+  --pack strict --json
+```
+
+스택은 시스템부터 CLI 우선순위까지 지원되는 보안 필드별로 병합됩니다. 높은 소스가 재정의하더라도 어떤 소스에 지원하지 않는 구문이 있으면 안전하게 실패합니다. 보고서에는 고정된 소스 범위 개수만 남고 설정 경로나 관련 없는 값은 남지 않습니다. 소스는 명시적 입력이며 신뢰된 프로젝트, 활성 프로필, 클라우드 관리 기본값, 요구사항 또는 CLI 플래그를 자동으로 찾지 않습니다. 이는 정적 증거이며 Codex 샌드박스 자체가 아닙니다. 클라이언트에서 활성 권한 프로필을 확인하세요. 공식 OpenAI 문서는 샌드박스 경계와 승인 처리를 구분합니다. [설정 레퍼런스](https://developers.openai.com/codex/config-reference)와 [설정 우선순위](https://developers.openai.com/codex/config-basic)를 참고하세요.
 
 ### 권한 상태 드리프트
 
@@ -83,6 +97,13 @@ node ./bin/trustdex.mjs snapshot-codex-settings \
   --pack strict \
   --out .trustdex/codex-posture.json
 
+node ./bin/trustdex.mjs snapshot-codex-settings-stack \
+  --system ./review/system.toml \
+  --user ./review/user.toml \
+  --project ./review/project.toml \
+  --pack strict \
+  --out .trustdex/codex-stack-posture.json
+
 node ./bin/trustdex.mjs diff-permissions \
   .trustdex/approved-codex-posture.json \
   .trustdex/current-codex-posture.json \
@@ -96,14 +117,16 @@ node ./bin/trustdex.mjs diff-permissions \
 사용자 정의 프로필 값 또는 관련 없는 설정은 저장하지 않습니다. 다이제스트는
 우발적이거나 조정되지 않은 편집을 감지하지만 누구나 서명되지 않은 다이제스트를
 다시 계산할 수 있습니다. 인증이 아니며 Codex 런타임 샌드박스를 대체하지 않습니다.
+병합 소스 스냅샷은 스키마 v2를 사용합니다. 최종 구조 설정이 같더라도 소스 범위 개수가
+바뀌면 분류되지 않은 변경으로 처리되어 `NEEDS_REVIEW`를 반환합니다.
 
 ### 스킬 및 플러그인
 
 에이전트 스킬과 플러그인 매니페스트도 같은 방법으로 검사할 수 있습니다.
 
 ```bash
-npx trustdex@0.7.0 inspect-skill ./path/to/SKILL.md --pack strict
-npx trustdex@0.7.0 inspect-plugin ./path/to/plugin.json --pack strict
+npx trustdex@0.8.0 inspect-skill ./path/to/SKILL.md --pack strict
+npx trustdex@0.8.0 inspect-plugin ./path/to/plugin.json --pack strict
 ```
 
 이 명령은 파이프로 연결된 셸 설치 프로그램, 민감한 경로 참조, 네트워크 URL 및 와일드카드 도구 범위와 같은 관찰 가능한 신호를 보고합니다. 스킬이나 플러그인이 안전하다는 것을 증명하지는 않습니다.

package/docs/CODEX.md

@@ -15,7 +15,7 @@ Codex clients read MCP server definitions from `[mcp_servers.<name>]` tables in
 ### 1. Inspect the current configuration
 
 ```bash
-npx trustdex@0.7.0 inspect-codex ~/.codex/config.toml --pack strict
+npx trustdex@0.8.0 inspect-codex ~/.codex/config.toml --pack strict
 ```
 
 This reads the file locally and makes no network request. The output lists each MCP server, its source type, trust signals, and an ALLOW / ASK / BLOCK decision. Environment variable names may appear; their values never do.
@@ -25,7 +25,7 @@ Use `--json` for machine-readable output and `--trust-store ./trust-store.json`
 ### 2. Write a gated copy
 
 ```bash
-npx trustdex@0.7.0 gate-codex ~/.codex/config.toml \
+npx trustdex@0.8.0 gate-codex ~/.codex/config.toml \
   --pack official-first \
   --trust-store ./trust-store.json \
   --out ./gated-config.toml
@@ -76,13 +76,31 @@ Security-relevant values fail closed when their type or enum value is unsupporte
 the official configuration reference says not to combine them. Writable-root paths
 and values from unrelated settings are not retained, printed, or fingerprinted.
 
-This first adapter inspects one file at a time; it does not merge user, project,
-profile, managed, system, or command-line configuration into an effective policy.
-It is static evidence, not the Codex sandbox itself. Confirm the active permission
-profile in the client. The official OpenAI documentation distinguishes the sandbox
-boundary from approval handling and documents `workspace-write` plus `on-request`
-as the lower-risk local automation combination. See the [configuration reference](https://developers.openai.com/codex/config-reference)
-and [sandbox guide](https://developers.openai.com/codex/sandboxing).
+Use the stack command to apply the documented configuration precedence. Repeat
+`--project` from the repository root toward the current directory; the closest project
+file wins:
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings-stack \
+  --system ./review/system.toml \
+  --managed ./review/managed.toml \
+  --user ./review/user.toml \
+  --profile ./review/profile.toml \
+  --project ./review/root-project.toml \
+  --project ./review/closest-project.toml \
+  --cli ./review/cli-overrides.toml \
+  --pack strict --json
+```
+
+The stack is merged from system through CLI precedence, one supported security field
+at a time. Unsupported syntax in any source fails closed even when a higher source
+would override it. Reports retain fixed source-scope counts but not config paths or
+unrelated values. Sources are explicit inputs: the command does not discover trusted
+projects, active profiles, cloud-managed defaults, requirements, or CLI flags itself.
+It is static evidence, not the Codex sandbox. Confirm the active permission profile
+in the client. The official OpenAI documentation distinguishes the sandbox boundary
+from approval handling. See the [configuration reference](https://developers.openai.com/codex/config-reference)
+and [configuration precedence](https://developers.openai.com/codex/config-basic).
 
 ### Permission posture drift
 
@@ -95,6 +113,13 @@ node ./bin/trustdex.mjs snapshot-codex-settings \
   --pack strict \
   --out .trustdex/codex-posture.json
 
+node ./bin/trustdex.mjs snapshot-codex-settings-stack \
+  --system ./review/system.toml \
+  --user ./review/user.toml \
+  --project ./review/project.toml \
+  --pack strict \
+  --out .trustdex/codex-stack-posture.json
+
 node ./bin/trustdex.mjs diff-permissions \
   .trustdex/approved-codex-posture.json \
   .trustdex/current-codex-posture.json \
@@ -108,14 +133,16 @@ counts and documented enums, not the config path, writable-root paths, custom pr
 values, or unrelated settings. Its digest detects accidental or unreconciled edits,
 but anyone can recompute an unsigned digest; it is not authentication or a replacement
 for the Codex runtime sandbox.
+Merged-source snapshots use schema v2. A source-scope count change is unclassified
+and therefore returns `NEEDS_REVIEW`, even when the final structural settings match.
 
 ### Skills and plugins
 
 Agent skills and plugin manifests can be inspected the same way:
 
 ```bash
-npx trustdex@0.7.0 inspect-skill ./path/to/SKILL.md --pack strict
-npx trustdex@0.7.0 inspect-plugin ./path/to/plugin.json --pack strict
+npx trustdex@0.8.0 inspect-skill ./path/to/SKILL.md --pack strict
+npx trustdex@0.8.0 inspect-plugin ./path/to/plugin.json --pack strict
 ```
 
 These report observable signals such as piped shell installers, references to sensitive paths, network URLs, and wildcard tool scopes. They do not prove a skill or plugin is safe.