codebeacon 0.6.8__tar.gz → 0.7.0__tar.gz

{codebeacon-0.6.8 → codebeacon-0.7.0}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: codebeacon
-Version: 0.6.8
+Version: 0.7.0
 Summary: Source code AST analysis tool for AI context generation — unified multi-framework knowledge graph
 Project-URL: Homepage, https://github.com/codebeacon/codebeacon
 Project-URL: Repository, https://github.com/codebeacon/codebeacon
@@ -49,6 +49,7 @@ Requires-Dist: tree-sitter-ruby<0.24,>=0.23; extra == 'dev'
 Requires-Dist: tree-sitter-rust<0.25,>=0.23; extra == 'dev'
 Requires-Dist: tree-sitter-svelte<1.1,>=0.23; extra == 'dev'
 Requires-Dist: tree-sitter-swift<0.8,>=0.0.1; extra == 'dev'
+Requires-Dist: watchdog<8,>=4; extra == 'dev'
 Provides-Extra: dotnet
 Requires-Dist: tree-sitter-c-sharp<0.24,>=0.23; extra == 'dotnet'
 Provides-Extra: full
@@ -62,6 +63,7 @@ Requires-Dist: tree-sitter-ruby<0.24,>=0.23; extra == 'full'
 Requires-Dist: tree-sitter-rust<0.25,>=0.23; extra == 'full'
 Requires-Dist: tree-sitter-svelte<1.1,>=0.23; extra == 'full'
 Requires-Dist: tree-sitter-swift<0.8,>=0.0.1; extra == 'full'
+Requires-Dist: watchdog<8,>=4; extra == 'full'
 Provides-Extra: go
 Requires-Dist: tree-sitter-go<0.26,>=0.23; extra == 'go'
 Provides-Extra: html
@@ -86,6 +88,8 @@ Provides-Extra: svelte
 Requires-Dist: tree-sitter-svelte<1.1,>=0.23; extra == 'svelte'
 Provides-Extra: swift
 Requires-Dist: tree-sitter-swift<0.8,>=0.0.1; extra == 'swift'
+Provides-Extra: watch
+Requires-Dist: watchdog<8,>=4; extra == 'watch'
 Provides-Extra: web
 Requires-Dist: tree-sitter-html<0.24,>=0.23; extra == 'web'
 Requires-Dist: tree-sitter-svelte<1.1,>=0.23; extra == 'web'
@@ -118,6 +122,38 @@ Description-Content-Type: text/markdown
 
 ---
 
+## What's new in 0.7.0
+
+A capability release rather than a bug sweep: codebeacon grows a live file-watcher, links your design notes into the code graph, ships two new front-ends (an npm launcher for the MCP server and a GitHub Action), and tightens what it indexes by default. Every feature stays local-first — the core scan still needs no network, no cloud, and no model.
+
+- **`codebeacon watch` keeps the index live** — a debounced file-watcher (`codebeacon watch [path] [--debounce 2.0] [--once] [--exclude PATTERN]`) re-syncs the graph whenever watched source files change. A burst of edits — a 500-file `git checkout`, a branch switch — coalesces into a single resync, and the watcher reuses the scanner's exact ignore rules so writing the index never wakes it into a loop over its own `.codebeacon/` output. Needs the new optional extra: `pip install 'codebeacon[watch]'` (watchdog).
+- **Design notes link into the code graph** — `codebeacon knowledge` now writes its notes (ADRs, meeting notes, retros, specs) *into* `beacon.json` when an index already exists: an explicit file-path reference becomes a trusted `references` edge, and a distinctive symbol mention (`PaymentService`, never a bare `User`) becomes an `AMBIGUOUS` `mentions` edge — so an agent reading the graph learns *why* a service is shaped the way it is. Because `codebeacon scan` rebuilds the code graph from source alone and drops this overlay, **re-run `codebeacon knowledge` after a scan** to restore the links.
+- **`beacon_knowledge` MCP tool** — a new tool searches notes by keyword and/or lists the notes linked to a given code node, exposing the decision trail behind the code directly over MCP.
+- **npm launcher for the MCP server** — `@codebeacon/mcp` lets MCP clients start the server the npx-first way they expect (`"command": "npx", "args": ["-y", "@codebeacon/mcp"]`). The zero-dependency Node shim resolves a working codebeacon via PATH → `uvx` → `pipx run` → `python3 -m codebeacon` and forwards stdio untouched. See [`npm/README.md`](npm/README.md). (Ships with 0.7.0; not yet published to npm.)
+- **GitHub Action for PR context** — a composite action comments on every pull request with the affected slice of your committed knowledge graph: the wiki articles the change touches, the upstream blast radius, and any high-impact hub files it edits — an architecture-drift check for AI-era review. Requires a committed `.codebeacon/` index, `fetch-depth: 0`, and `permissions: pull-requests: write`. See [`action/README.md`](action/README.md) and [`action/examples/pr-context.yml`](action/examples/pr-context.yml).
+- **Workspace CLAUDE.md stays under ~200 lines** — in a multi-project workspace the root `CLAUDE.md` now keeps only the shared overview and moves per-project detail into scoped `.claude/rules/codebeacon-<project>.md` files whose `paths:` frontmatter loads them only when that project's files are touched (following Anthropic's own guidance for context files). Single-project output is unchanged; set `output.context_map.rules_split: false` for the old monolithic file. Duplicate project rows are also collapsed.
+- **Test fixtures are ignored by default** — `tests/fixtures/`, `test/fixtures/`, and `__fixtures__/` at any depth are now default-ignored, so a project's synthetic test inputs stop injecting fake routes and services into the graph (codebeacon's own self-scan had reported a fixture `main.py` as five "routes"). It is the lowest-precedence rule, so a `.codebeaconignore` line `!tests/fixtures/` re-includes them, and pointing a scan *at* a fixture directory still collects it.
+- **Warp route extraction is real now** — Warp's filter-combinator routes are actually extracted: `warp::path!(...)` and `warp::path("x")` segments, method combinators (`warp::get()` / `post()` / …), and `.map` / `.and_then` handlers are correlated by their enclosing binding into whole routes. Honest limits (spelled out in the query header): filters joined by `.or(...)` inside one binding collapse into a single concatenated route, and `warp::path::param()` filter-call segments and closure handlers are left unresolved.
+
+---
+
+## What's new in 0.6.9
+
+The largest audit release to date: a dual upstream-parity sweep (the first-ever full audit of codesight's tracker, plus graphify v0.9.4–v0.9.12 / issues through #1776) combined with an independent multi-agent bug hunt over codebeacon itself. Every candidate was reproduced before fixing, every fix was mutation-tested, and an adversarial second review then attacked the fixes themselves — catching 18 further holes before release. **48 real bugs fixed.**
+
+- **Your CLAUDE.md is safe now** — on a hand-written CLAUDE.md (e.g. from `/init`), the merge step could mistake the user's own `## Architecture` / `## Common Commands` sections for codebeacon output and delete them. The strip now runs only on files that positively fingerprint as codebeacon-generated, and it is anchored to the generated block — your sections survive. `codebeacon.yaml` is also written atomically now (and through symlinks, preserving file modes), so an interrupted write can't destroy a hand-curated config.
+- **Files no longer vanish from the index silently** — uppercase extensions (`App.PY`, `Page.TSX`) were skipped; source modules named after credentials (`api_key_manager.go`, `access_token_service.py`) were dropped by the secret-file heuristic; one non-UTF-8 byte in a `.gitignore` crashed the whole scan; and a repo checked out under a folder named `build/` or `dist/` had its **entire graph erased** by the artifact filter matching ancestor directories. All fixed; skipped symlinks now get one grouped warning instead of silence.
+- **`.gitignore` handling now matches git exactly** — negation semantics (`dir/` + `!dir/keep.txt`) are differential-tested against `git check-ignore` across every rule shape; a file under an excluded directory can no longer be re-included, exactly like git. The standard `dir/*` + `!dir/keep` rescue idiom works as before.
+- **Same-named projects coexist** — two (or three) sub-projects all named `frontend` used to collapse into one: colliding node IDs silently dropped routes, and their wiki/obsidian folders overwrote each other. Duplicate names are now auto-disambiguated with a parent-directory prefix.
+- **Route extraction got a correctness overhaul** — Express `app.use('/api', router)` mount prefixes are applied and chained `router.route(x).get().post()` yields every verb; Flask `register_blueprint` / FastAPI `include_router` prefixes no longer depend on where they appear in the file; Spring's `@RequestMapping(method = RequestMethod.X)` records the real verb instead of `ANY`; Next.js catch-all segments (`[...slug]`) are no longer garbled and `@slot` parallel routes are stripped from URLs; Laravel's canonical `class X extends Model` finally produces an entity (previously only fully-qualified bases matched — and `ViewModel` no longer sneaks in).
+- **Phantom graph edges eliminated** — a lowercase import like `CONFIG` no longer case-folds onto an unrelated `Config` class (the false god-node pattern), imports never bind across a language boundary (`import time` → `time.ts`), DI bindings prefer the registering project instead of the first same-named class anywhere, and a same-named service + entity in one directory no longer collapse into a single node.
+- **Exports are Windows-proof and crash-proof** — obsidian note names strip the full Windows-illegal character set (Flask `<string:id>` routes used to break the export on Windows) and guard reserved device names; `None` labels no longer crash the wiki, call-flow HTML, or obsidian exporters; git hooks are written with LF line endings so they execute on Windows; and long project names can't blow past filesystem limits mid-export.
+- **One bad input can't kill long-running surfaces** — the MCP server survives malformed JSON-RPC messages instead of dying; a corrupt `beacon.json` or AST cache (including invalid UTF-8 and null/malformed collections) is backed up and reported instead of crashing `affected`, `serve`, or the merge driver.
+- **Byte-reproducible output** — node ordering no longer tracks thread-completion order and shared-entity annotations are sorted, so scanning an unchanged tree twice produces byte-identical `beacon.json`, wiki, and CLAUDE.md. The Leiden clustering backend (silently broken by a graspologic API change — it *never* ran) is back in service.
+- **The config you write is the config that runs** — documented `codebeacon.yaml` settings (`wave.*`, `output.wiki/obsidian`, `context_map.targets`, `semantic.enabled`) were parsed and then ignored; they now drive the pipeline, `--list-only` is honored inside workspaces, and `codebeacon upgrade` gives the right command for uv-venv installs. Bonus consistency: the Projects table, Notes column, and Architecture section of CLAUDE.md now agree on one "Services" count, matching the wiki.
+
+---
+
 ## What's new in 0.6.8
 
 A graphify-parity audit of upstream v0.8.41–v0.9.3 (reported issues through #1568). Every candidate was reproduced against codebeacon before fixing and re-checked by an adversarial review pass; **7 real bugs** confirmed, headlined by a data-loss trap and a privacy leak.
@@ -265,7 +301,8 @@ Existing tools solve this partially. Route analyzers map your controllers but mi
 - **Deep-dive mode** — `--deep-dive` generates per-project `.codebeacon/` + `CLAUDE.md` for every sub-project; running `codebeacon scan . --update` from any sub-project folder automatically syncs all projects in the workspace
 - **Workspace auto-rediscovery** — on every `scan` / `sync`, codebeacon re-scans the workspace and appends any new project folders to `codebeacon.yaml` before extraction, so freshly added sub-projects are never silently skipped; pass `--no-rediscover` to opt out for hand-curated configs
 - **Graphify-style semantic enrichment** — after AST extraction, the skill dispatches one parallel subagent per chunk to emit `{nodes, edges, hyperedges}` with 8 relation types (`calls`/`implements`/`references`/`cites`/`conceptually_related_to`/`shares_data_with`/`semantically_similar_to`/`rationale_for`) and EXTRACTED/INFERRED/AMBIGUOUS confidence; on Claude Code the subagent runs one tier below the host model (Opus→Sonnet, Sonnet→Haiku) so spend stays proportional to corpus size. AST owns code nodes; LLM only contributes `concept`/`document`/`paper` nodes. Existing 0.3.x archives replay through the new schema unchanged.
-- **Knowledge mode (`codebeacon knowledge`)** — scan markdown notes (ADRs, meeting notes, retros, specs, research) and produce a single `KNOWLEDGE.md` next to `.codebeacon/`. Auto-classifies by filename and heading patterns, parses Obsidian YAML frontmatter and `[[backlinks]]`, surfaces a top-level "Key Decisions" + "Open Questions" rollup so an agent learns *why* the codebase looks the way it does. Pure heuristics — no LLM call.
+- **Knowledge mode (`codebeacon knowledge`)** — scan markdown notes (ADRs, meeting notes, retros, specs, research) and produce a single `KNOWLEDGE.md` next to `.codebeacon/`. Auto-classifies by filename and heading patterns, parses Obsidian YAML frontmatter and `[[backlinks]]`, surfaces a top-level "Key Decisions" + "Open Questions" rollup so an agent learns *why* the codebase looks the way it does. Pure heuristics — no LLM call. When a `beacon.json` already exists, the notes are also **linked into the graph**: explicit file-path references become trusted `references` edges and distinctive symbol mentions become `AMBIGUOUS` `mentions` edges. This overlay is dropped by the next `codebeacon scan` (which rebuilds the code graph from source alone), so re-run `codebeacon knowledge` after a scan to restore it.
+- **Watch mode (`codebeacon watch`)** — a debounced file-watcher re-syncs the index whenever watched source files change, coalescing a burst of edits (a 500-file `git checkout`) into a single resync and reusing the scanner's exact ignore rules so it never loops on its own `.codebeacon/` output. Optional extra: `pip install 'codebeacon[watch]'`.
 - **Bare-path shortcut** — `codebeacon ./src` is now equivalent to `codebeacon scan ./src`; when the first argument isn't a registered subcommand, `scan` is auto-injected, so muscle memory from `graphify <path>` / `codesight <path>` works here too.
 - **Hardened semantic pipeline** — `semantic-apply` guards against malformed agent JSONL (null/list/code-fence lines, missing fields), coerces broken `confidence_score` values (None/NaN/string/out-of-range) to a safe default, snapshots `beacon.json` → `beacon.json.bak` before merging so the AST baseline is always recoverable, and regenerates `beacon.html` + `callflow.html` so visual exports reflect the newly-inferred edges.
 - **Sensitive file/dir guard** — `secrets/`, `credentials/`, `.ssh/`, `.aws/`, `.gnupg/` directories are always skipped; filenames matching credential patterns (`api_token`, `oauth_token`, `private_key`, `client_secret`; underscore *and* hyphen variants) are excluded from the source-file collector before they reach extractors.
@@ -306,6 +343,18 @@ codebeacon sync                      # subsequent runs via config
 | Swift | Vapor |
 | ArkTS | `.ets` (HarmonyOS) collected — extractors framework-agnostic |
 
+> **How the "27 frameworks" count works.** Coverage is grounded in tree-sitter
+> queries, and frameworks in the same grammar family share query files — Rocket
+> reuses Actix-Web's attribute-macro pattern, the JS/TS web frameworks share the
+> class/decorator queries, and so on. That sharing is what makes broad coverage
+> tractable, but it also means depth varies per framework: some are exercised by
+> extensive fixtures, others by a single query pattern. Where a framework has
+> known limits, they're documented at the source — e.g. Warp's `.or(...)` and
+> `warp::path::param()` caveats live in the query header
+> ([`codebeacon/extract/queries/actix.scm`](codebeacon/extract/queries/actix.scm)).
+> If a specific framework matters to you, scan a representative repo and check
+> the routes/services it actually extracts before relying on the number.
+
 ---
 
 ## Architecture
@@ -496,6 +545,71 @@ codebeacon scan .
 | `beacon_blast_radius` | Upstream callers + downstream affected nodes |
 | `beacon_routes` | List all HTTP routes, filterable by project |
 | `beacon_services` | List all services/classes, filterable by project |
+| `beacon_knowledge` | Search knowledge notes (ADRs, meetings, retros, specs) or list the notes linked to a code node — the *why* behind the code |
+| `beacon_pr_context` | Given changed files (or a `base` ref), return the wiki articles in their blast radius — read the docs that matter before a PR review |
+
+### npm launcher (`@codebeacon/mcp`)
+
+MCP clients that prefer to launch servers with `npx` can use the thin Node
+wrapper instead of pointing at the `codebeacon` binary directly:
+
+```json
+{
+  "mcpServers": {
+    "codebeacon": {
+      "command": "npx",
+      "args": ["-y", "@codebeacon/mcp", "--dir", "/path/to/your/repo/.codebeacon"]
+    }
+  }
+}
+```
+
+The wrapper bundles no Python — it resolves an installed codebeacon on the host
+(PATH → `uvx` → `pipx run` → `python3 -m codebeacon`) and forwards stdio to
+`codebeacon serve` untouched. See [`npm/README.md`](npm/README.md) for the full
+per-client config snippets. (Shipping with 0.7.0; not yet published to npm.)
+
+---
+
+## GitHub Action — PR context
+
+Comment on every pull request with the affected slice of your committed
+knowledge graph — the wiki articles the change touches, the upstream blast
+radius, and any high-impact hub files it edits. It reframes review around
+**architecture drift**: instead of reading a diff in isolation, the comment
+points at the parts of the system that actually move.
+
+```yaml
+# .github/workflows/pr-context.yml
+name: codebeacon PR context
+on:
+  pull_request:
+    types: [opened, synchronize, reopened]
+permissions:
+  contents: read
+  pull-requests: write        # required to post/update the comment
+jobs:
+  pr-context:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+        with:
+          fetch-depth: 0       # required — full history so the base is diffable
+      - uses: actions/setup-python@v5
+        with:
+          python-version: "3.12"
+      - uses: codebeacon/codebeacon/action@v1
+        with:
+          base: ${{ github.base_ref }}
+```
+
+The Action does **not** scan on the runner — it reads the `.codebeacon/` index
+you commit to the repo (codebeacon's model is that the graph is a
+git-committable artifact). If the index is missing it posts one-time setup
+guidance instead of failing the build, and it updates a single marked comment in
+place rather than stacking duplicates. See [`action/README.md`](action/README.md)
+and [`action/examples/pr-context.yml`](action/examples/pr-context.yml) for inputs
+and edge-case behaviour.
 
 ---
 
@@ -504,6 +618,7 @@ codebeacon scan .
 ```bash
 pip install codebeacon              # all language grammars included
 pip install codebeacon[cluster]     # + Leiden community detection (graspologic)
+pip install codebeacon[watch]       # + live file-watcher for `codebeacon watch` (watchdog)
 pip install --upgrade codebeacon    # upgrade to latest version with all dependencies
 ```
 
@@ -535,6 +650,12 @@ codebeacon sync --config <file>           # use a specific config file
 codebeacon sync --no-rediscover           # don't auto-append newly added projects (hand-curated yaml mode)
 codebeacon sync --exclude PATTERN         # same flag, same semantics
 
+# Watch mode — keep the index live as you edit (needs the `watch` extra)
+codebeacon watch [path]                    # re-sync on file changes (default path: cwd)
+codebeacon watch . --debounce 2.0          # quiet-window before a resync fires; coalesces bursts
+codebeacon watch . --once                  # process one debounce cycle then exit
+codebeacon watch . --exclude 'docs/**'     # extra gitignore-style pattern (repeatable)
+
 # PR / CI: what does this diff actually break?
 codebeacon affected --base main           # walk upstream callers of every changed file
 codebeacon affected --base origin/main --head HEAD --depth 4 --limit 200
@@ -695,6 +816,11 @@ output:
   obsidian: true
   context_map:
     targets: [CLAUDE.md, .cursorrules, AGENTS.md]
+    rules_split: true          # multi-project workspaces: keep CLAUDE.md under
+                               # ~200 lines and move per-project detail into
+                               # scoped .claude/rules/codebeacon-<project>.md
+                               # files. Set false for the old monolithic CLAUDE.md.
+                               # No effect on single-project scans.
 
 wave:
   auto: true
@@ -734,6 +860,8 @@ fixtures/
 
 `!pattern` re-includes a previously-ignored path; later rules override earlier ones. The walker prunes directories whose name matches the rule set, but defers pruning when any negation rule could un-ignore a nested file.
 
+**Default fixture exclusion.** `tests/fixtures/`, `test/fixtures/`, and `__fixtures__/` are ignored by default at any depth — test-fixture trees are synthetic inputs for a project's *own* test suite, not product surface, and indexing them injects fake routes and services. This is the lowest-precedence rule, so a `.codebeaconignore` line `!tests/fixtures/` re-includes them, and pointing a scan directly *at* a fixture directory still collects it.
+
 ---
 
 ## How It Compares
@@ -776,6 +904,50 @@ All AST processing is local. Your source code never leaves your machine when you
 
 ---
 
+## Air-Gapped & Compliance-Friendly
+
+codebeacon's core pipeline — tree-sitter AST parsing → knowledge graph → wiki
+and context map — runs **entirely on your machine**. It requires:
+
+- **No network.** The scan makes no outbound calls; nothing about your source
+  code leaves the host.
+- **No cloud service.** There is no backend, no account, no telemetry.
+- **No LLM — not even a local one.** The graph, wiki, `beacon.json`, and
+  `CLAUDE.md` are all produced by deterministic AST analysis. (The optional
+  AI-semantic layer is a *separate*, opt-in step owned by the `/codebeacon`
+  agent — it never runs unless you invoke it; see
+  [Privacy & Security](#privacy--security) — and the CLI ships no API client,
+  key handling, or model name.)
+
+That architecture makes codebeacon suitable for **air-gapped and tightly
+regulated environments** — healthcare, defense, legal, finance — where source
+code cannot touch third-party services. To be precise about what that does and
+does not mean: codebeacon makes **no compliance certification claims** (no
+HIPAA, FedRAMP, CMMC, SOC 2, or similar). What it offers is an architecture that
+keeps code on-premises, so it can *fit* within environments governed by those
+policies. Verifying that codebeacon meets the specific controls of your
+environment remains your responsibility.
+
+**Offline install.** Because it is a normal Python package with vendored
+grammars, codebeacon installs without internet access on the target host:
+download the wheel and its dependencies on a connected machine, transfer them
+across the air gap, and install from the local files.
+
+```bash
+# On a connected machine (include the grammar extras you need — [full] grabs all):
+pip download 'codebeacon[full]' -d ./codebeacon-offline
+
+# Transfer ./codebeacon-offline across the air gap, then on the target host:
+pip install --no-index --find-links ./codebeacon-offline 'codebeacon[full]'
+```
+
+The base install bundles Python + JavaScript/TypeScript grammars; other
+languages are ordinary wheels pulled in by extras (`[jvm]`, `[backend]`,
+`[full]`, …), so include the extras you need in the download and nothing is
+fetched at runtime.
+
+---
+
 ## Contributing
 
 ```bash

{codebeacon-0.6.8 → codebeacon-0.7.0}/README.de.md

@@ -27,6 +27,38 @@
 
 ---
 
+## Neu in 0.7.0
+
+Eine Fähigkeits-Release statt eines Bug-Sweeps: codebeacon bekommt einen Live-File-Watcher, verknüpft deine Design-Notizen mit dem Code-Graphen, liefert zwei neue Front-Ends (einen npm-Launcher für den MCP-Server und eine GitHub Action) und schärft, was es standardmäßig indexiert. Jede Funktion bleibt local-first — der Kern-Scan braucht weiterhin kein Netzwerk, keine Cloud und kein Modell.
+
+- **`codebeacon watch` hält den Index live** — ein entprellter File-Watcher (`codebeacon watch [path] [--debounce 2.0] [--once] [--exclude PATTERN]`) resynchronisiert den Graphen, sobald überwachte Quelldateien sich ändern. Ein Schwall von Edits — ein `git checkout` über 500 Dateien, ein Branch-Wechsel — verschmilzt zu einer einzigen Resynchronisierung, und der Watcher verwendet exakt dieselben Ignore-Regeln wie der Scanner wieder, sodass das Schreiben des Index ihn nie in eine Schleife über seine eigene `.codebeacon/`-Ausgabe weckt. Benötigt das neue optionale Extra: `pip install 'codebeacon[watch]'` (watchdog).
+- **Design-Notizen verknüpfen sich mit dem Code-Graphen** — `codebeacon knowledge` schreibt seine Notizen (ADRs, Meeting-Notizen, Retros, Specs) jetzt *in* `beacon.json`, wenn bereits ein Index existiert: eine explizite Dateipfad-Referenz wird zu einer vertrauenswürdigen `references`-Kante, und eine markante Symbol-Erwähnung (`PaymentService`, niemals ein bloßes `User`) wird zu einer `AMBIGUOUS`-`mentions`-Kante — sodass ein Agent, der den Graphen liest, erfährt, *warum* ein service so geformt ist, wie er ist. Da `codebeacon scan` den Code-Graphen allein aus dem Quellcode neu aufbaut und dieses Overlay verwirft, **führe `codebeacon knowledge` nach einem Scan erneut aus**, um die Verknüpfungen wiederherzustellen.
+- **MCP-Tool `beacon_knowledge`** — ein neues Tool durchsucht Notizen nach Schlüsselwort und/oder listet die mit einem gegebenen Code-Node verknüpften Notizen auf und legt so die Entscheidungsspur hinter dem Code direkt über MCP offen.
+- **npm-Launcher für den MCP-Server** — `@codebeacon/mcp` lässt MCP-Clients den Server auf die npx-first-Weise starten, die sie erwarten (`"command": "npx", "args": ["-y", "@codebeacon/mcp"]`). Der abhängigkeitsfreie Node-Shim löst ein funktionierendes codebeacon über PATH → `uvx` → `pipx run` → `python3 -m codebeacon` auf und leitet stdio unangetastet weiter. Siehe [`npm/README.md`](npm/README.md). (Wird mit 0.7.0 ausgeliefert; noch nicht auf npm veröffentlicht.)
+- **GitHub Action für PR-Kontext** — eine Composite-Action kommentiert jeden Pull Request mit dem betroffenen Ausschnitt deines committeten Wissensgraphen: die Wiki-Artikel, die die Änderung berührt, den stromaufwärts gelegenen Blast-Radius und alle High-Impact-Hub-Dateien, die sie bearbeitet — eine Architektur-Drift-Prüfung für Reviews im KI-Zeitalter. Erfordert einen committeten `.codebeacon/`-Index, `fetch-depth: 0` und `permissions: pull-requests: write`. Siehe [`action/README.md`](action/README.md) und [`action/examples/pr-context.yml`](action/examples/pr-context.yml).
+- **Die Workspace-CLAUDE.md bleibt unter ~200 Zeilen** — in einem Multi-Projekt-Workspace behält die Root-`CLAUDE.md` jetzt nur die gemeinsame Übersicht und verschiebt die projektspezifischen Details in gescopte `.claude/rules/codebeacon-<project>.md`-Dateien, deren `paths:`-Frontmatter sie nur lädt, wenn die Dateien dieses Projekts berührt werden (den eigenen Empfehlungen von Anthropic für Kontextdateien folgend). Die Einzelprojekt-Ausgabe ist unverändert; setze `output.context_map.rules_split: false` für die alte monolithische Datei. Doppelte Projektzeilen werden ebenfalls zusammengefasst.
+- **Test-Fixtures werden standardmäßig ignoriert** — `tests/fixtures/`, `test/fixtures/` und `__fixtures__/` in beliebiger Tiefe werden jetzt standardmäßig ignoriert, sodass die synthetischen Test-Eingaben eines Projekts aufhören, falsche Routen und services in den Graphen einzuschleusen (codebeacons eigener Self-Scan hatte eine Fixture-`main.py` als fünf „Routen" gemeldet). Es ist die Regel mit der niedrigsten Priorität, sodass eine Zeile `!tests/fixtures/` in `.codebeaconignore` sie wieder aufnimmt, und einen Scan *auf* ein Fixture-Verzeichnis zu richten, sammelt es weiterhin ein.
+- **Warps Routen-Extraktion ist jetzt echt** — Warps Filter-Kombinator-Routen werden tatsächlich extrahiert: `warp::path!(...)`- und `warp::path("x")`-Segmente, Methoden-Kombinatoren (`warp::get()` / `post()` / …) und `.map`- / `.and_then`-Handler werden über ihr umschließendes Binding zu ganzen Routen korreliert. Ehrliche Grenzen (im Query-Header ausbuchstabiert): Filter, die innerhalb eines Bindings mit `.or(...)` verbunden sind, kollabieren zu einer einzigen verketteten Route, und `warp::path::param()`-Filteraufruf-Segmente sowie Closure-Handler bleiben unaufgelöst.
+
+---
+
+## Neu in 0.6.9
+
+Die bislang größte Audit-Release: ein doppelter Upstream-Parity-Sweep (das allererste vollständige Audit von codesights Tracker, plus graphify v0.9.4–v0.9.12 / Issues bis #1776), kombiniert mit einer unabhängigen Multi-Agent-Bug-Hunt über codebeacon selbst. Jeder Kandidat wurde vor der Behebung reproduziert, jede Behebung mutation-getestet, und eine adversariale Zweitprüfung griff anschließend die Fixes selbst an — und fing so vor der Auslieferung 18 weitere Lücken ab. **48 echte Bugs behoben.**
+
+- **Deine CLAUDE.md ist jetzt sicher** — bei einer handgeschriebenen CLAUDE.md (z. B. aus `/init`) konnte der Merge-Schritt die eigenen `## Architecture` / `## Common Commands`-Abschnitte des Nutzers für codebeacon-Ausgabe halten und löschen. Das Entfernen läuft jetzt nur noch auf Dateien, die sich eindeutig als codebeacon-generiert ausweisen, und ist am generierten Block verankert — deine Abschnitte bleiben erhalten. `codebeacon.yaml` wird jetzt zudem atomar geschrieben (und durch Symlinks hindurch, unter Erhalt der Dateimodi), sodass ein abgebrochener Schreibvorgang eine handgepflegte Konfiguration nicht zerstören kann.
+- **Dateien verschwinden nicht mehr still aus dem Index** — Großbuchstaben-Erweiterungen (`App.PY`, `Page.TSX`) wurden übersprungen; nach Zugangsdaten benannte Quellmodule (`api_key_manager.go`, `access_token_service.py`) fielen der Secret-File-Heuristik zum Opfer; ein einziges Nicht-UTF-8-Byte in einer `.gitignore` ließ den gesamten Scan abstürzen; und ein Repo, das unter einem Ordner namens `build/` oder `dist/` ausgecheckt war, bekam durch den Artefakt-Filter, der übergeordnete Verzeichnisse matchte, **seinen gesamten Graphen gelöscht**. Alles behoben; übersprungene Symlinks erhalten jetzt eine gruppierte Warnung statt Schweigen.
+- **Die `.gitignore`-Behandlung stimmt jetzt exakt mit git überein** — die Negations-Semantik (`dir/` + `!dir/keep.txt`) wird über jede Regelform hinweg differenziell gegen `git check-ignore` getestet; eine Datei unter einem ausgeschlossenen Verzeichnis kann nicht mehr wieder aufgenommen werden, genau wie bei git. Das Standard-Rettungsidiom `dir/*` + `!dir/keep` funktioniert wie bisher.
+- **Gleichnamige Projekte koexistieren** — zwei (oder drei) Unterprojekte, alle namens `frontend`, kollabierten früher zu einem einzigen: kollidierende Node-IDs ließen Routen still verschwinden, und ihre wiki-/obsidian-Ordner überschrieben sich gegenseitig. Doppelte Namen werden jetzt automatisch mit einem Präfix aus dem übergeordneten Verzeichnis eindeutig gemacht.
+- **Die Routen-Extraktion wurde grundlegend korrigiert** — Express-`app.use('/api', router)`-Mount-Präfixe werden angewendet, und verkettetes `router.route(x).get().post()` liefert jeden Verb; Flask-`register_blueprint`- / FastAPI-`include_router`-Präfixe hängen nicht mehr davon ab, wo sie in der Datei stehen; Springs `@RequestMapping(method = RequestMethod.X)` erfasst den echten Verb statt `ANY`; Next.js-Catch-all-Segmente (`[...slug]`) werden nicht mehr verstümmelt und `@slot`-Parallel-Routen aus URLs entfernt; Laravels kanonisches `class X extends Model` erzeugt endlich eine Entity (zuvor matchten nur voll qualifizierte Basen — und `ViewModel` schleicht sich nicht mehr ein).
+- **Phantom-Graph-Edges beseitigt** — ein kleingeschriebenes Import wie `CONFIG` wird nicht mehr per Case-Folding auf eine unverwandte `Config`-Klasse gefaltet (das falsche god-node-Muster), Imports binden nie über eine Sprachgrenze hinweg (`import time` → `time.ts`), DI-Bindungen bevorzugen das registrierende Projekt statt der ersten gleichnamigen Klasse irgendwo, und ein gleichnamiges Service + Entity in einem Verzeichnis kollabiert nicht mehr zu einem einzigen Node.
+- **Exporte sind Windows-fest und absturzsicher** — obsidian-Notiznamen entfernen den vollständigen unter Windows unzulässigen Zeichensatz (Flask-`<string:id>`-Routen brachen den Export unter Windows) und schützen vor reservierten Gerätenamen; `None`-Labels lassen die wiki-, Call-Flow-HTML- oder obsidian-Exporter nicht mehr abstürzen; git-Hooks werden mit LF-Zeilenenden geschrieben, damit sie unter Windows laufen; und lange Projektnamen können mitten im Export die Dateisystem-Grenzen nicht mehr sprengen.
+- **Eine fehlerhafte Eingabe kann langlaufende Prozesse nicht mehr töten** — der MCP-Server übersteht fehlerhafte JSON-RPC-Nachrichten, statt zu sterben; eine beschädigte `beacon.json` oder ein beschädigter AST-Cache (inklusive ungültigem UTF-8 und null/fehlerhaften Kollektionen) wird gesichert und gemeldet, statt `affected`, `serve` oder den Merge-Treiber abstürzen zu lassen.
+- **Byte-reproduzierbare Ausgabe** — die Node-Reihenfolge folgt nicht mehr der Thread-Fertigstellungsreihenfolge und Shared-Entity-Annotationen werden sortiert, sodass zweimaliges Scannen eines unveränderten Baums byte-identische `beacon.json`, wiki und CLAUDE.md erzeugt. Das Leiden-Clustering-Backend (durch eine graspologic-API-Änderung still kaputt — es lief *nie*) ist wieder im Dienst.
+- **Die Konfiguration, die du schreibst, ist die Konfiguration, die läuft** — dokumentierte `codebeacon.yaml`-Einstellungen (`wave.*`, `output.wiki/obsidian`, `context_map.targets`, `semantic.enabled`) wurden geparst und dann ignoriert; sie steuern jetzt die Pipeline, `--list-only` wird innerhalb von Workspaces berücksichtigt, und `codebeacon upgrade` gibt für uv-venv-Installationen den richtigen Befehl aus. Bonus-Konsistenz: die Projects-Tabelle, die Notes-Spalte und der Architecture-Abschnitt von CLAUDE.md sind sich jetzt über eine einzige „Services"-Zahl einig, passend zum wiki.
+
+---
+
 ## Neu in 0.6.8
 
 Ein graphify-Parity-Audit von Upstream v0.8.41–v0.9.3 (gemeldete Issues bis #1568). Jeder Kandidat wurde vor der Behebung gegen codebeacon reproduziert und durch eine adversariale Review-Runde erneut geprüft; **7 echte Bugs** bestätigt, angeführt von einer Datenverlust-Falle und einem Privacy-Leak.

{codebeacon-0.6.8 → codebeacon-0.7.0}/README.es.md

@@ -27,6 +27,38 @@
 
 ---
 
+## Novedades en 0.7.0
+
+Una release de capacidades más que un barrido de bugs: codebeacon estrena un file-watcher en vivo, enlaza tus notas de diseño en el grafo de código, incorpora dos nuevos front-ends (un lanzador npm para el servidor MCP y una GitHub Action) y ajusta lo que indexa por defecto. Cada funcionalidad sigue siendo local-first — el scan central sigue sin necesitar red, ni nube, ni modelo.
+
+- **`codebeacon watch` mantiene el índice en vivo** — un file-watcher con debounce (`codebeacon watch [path] [--debounce 2.0] [--once] [--exclude PATTERN]`) resincroniza el grafo cada vez que cambian los archivos fuente vigilados. Una ráfaga de ediciones — un `git checkout` de 500 archivos, un cambio de rama — se fusiona en una única resincronización, y el watcher reutiliza exactamente las mismas reglas de ignore del scanner, de modo que escribir el índice nunca lo despierta en un bucle sobre su propia salida `.codebeacon/`. Necesita el nuevo extra opcional: `pip install 'codebeacon[watch]'` (watchdog).
+- **Las notas de diseño se enlazan en el grafo de código** — `codebeacon knowledge` ahora escribe sus notas (ADRs, notas de reunión, retros, specs) *dentro* de `beacon.json` cuando ya existe un índice: una referencia explícita a una ruta de archivo se convierte en una arista `references` de confianza, y una mención de símbolo distintiva (`PaymentService`, nunca un `User` pelado) se convierte en una arista `mentions` `AMBIGUOUS` — de modo que un agente que lee el grafo aprende *por qué* un service tiene la forma que tiene. Como `codebeacon scan` reconstruye el grafo de código solo a partir del fuente y descarta esta capa, **vuelve a ejecutar `codebeacon knowledge` después de un scan** para restaurar los enlaces.
+- **Herramienta MCP `beacon_knowledge`** — una nueva herramienta busca notas por palabra clave y/o lista las notas enlazadas a un nodo de código dado, exponiendo el rastro de decisiones detrás del código directamente por MCP.
+- **Lanzador npm para el servidor MCP** — `@codebeacon/mcp` permite que los clientes MCP arranquen el servidor de la forma npx-first que esperan (`"command": "npx", "args": ["-y", "@codebeacon/mcp"]`). El shim de Node sin dependencias resuelve un codebeacon funcional vía PATH → `uvx` → `pipx run` → `python3 -m codebeacon` y reenvía stdio sin tocarlo. Ver [`npm/README.md`](npm/README.md). (Se distribuye con 0.7.0; aún no publicado en npm.)
+- **GitHub Action para contexto de PR** — una action compuesta comenta en cada pull request con la porción afectada de tu grafo de conocimiento commiteado: los artículos de wiki que toca el cambio, el radio de impacto aguas arriba, y cualquier archivo hub de alto impacto que edite — una comprobación de deriva de arquitectura para la revisión en la era de la IA. Requiere un índice `.codebeacon/` commiteado, `fetch-depth: 0` y `permissions: pull-requests: write`. Ver [`action/README.md`](action/README.md) y [`action/examples/pr-context.yml`](action/examples/pr-context.yml).
+- **El CLAUDE.md de workspace se mantiene por debajo de ~200 líneas** — en un workspace multi-proyecto, el `CLAUDE.md` raíz ahora conserva solo la visión general compartida y mueve el detalle por proyecto a archivos `.claude/rules/codebeacon-<project>.md` con alcance acotado, cuyo frontmatter `paths:` los carga solo cuando se tocan los archivos de ese proyecto (siguiendo la propia guía de Anthropic para archivos de contexto). La salida de un solo proyecto no cambia; pon `output.context_map.rules_split: false` para el antiguo archivo monolítico. Las filas de proyecto duplicadas también se colapsan.
+- **Los fixtures de test se ignoran por defecto** — `tests/fixtures/`, `test/fixtures/` y `__fixtures__/` a cualquier profundidad ahora se ignoran por defecto, de modo que las entradas de test sintéticas de un proyecto dejan de inyectar rutas y services falsos en el grafo (el propio self-scan de codebeacon había reportado un `main.py` de fixtures como cinco "rutas"). Es la regla de menor precedencia, así que una línea `!tests/fixtures/` en `.codebeaconignore` las vuelve a incluir, y apuntar un scan *a* un directorio de fixtures sigue recogiéndolo.
+- **La extracción de rutas de Warp ahora es real** — las rutas de combinadores de filtros de Warp se extraen de verdad: los segmentos `warp::path!(...)` y `warp::path("x")`, los combinadores de método (`warp::get()` / `post()` / …) y los handlers `.map` / `.and_then` se correlacionan por su binding contenedor en rutas completas. Límites honestos (detallados en la cabecera de la query): los filtros unidos por `.or(...)` dentro de un mismo binding colapsan en una única ruta concatenada, y los segmentos de llamada a filtro `warp::path::param()` y los handlers de closure quedan sin resolver.
+
+---
+
+## Novedades en 0.6.9
+
+La release de auditoría más grande hasta la fecha: un doble barrido de paridad con el upstream (la primera auditoría completa del tracker de codesight, más graphify v0.9.4–v0.9.12 / issues hasta el #1776) combinado con una caza de bugs multiagente independiente sobre el propio codebeacon. Cada candidato se reprodujo antes de corregirlo, cada corrección se probó con mutation testing, y una segunda revisión adversarial atacó luego las propias correcciones — atrapando 18 agujeros más antes de la publicación. **48 bugs reales corregidos.**
+
+- **Tu CLAUDE.md ahora está a salvo** — en un CLAUDE.md escrito a mano (p. ej. desde `/init`), el paso de fusión podía confundir las secciones `## Architecture` / `## Common Commands` propias del usuario con salida de codebeacon y borrarlas. El borrado ahora solo se ejecuta en archivos que se identifican inequívocamente como generados por codebeacon, y está anclado al bloque generado — tus secciones sobreviven. `codebeacon.yaml` también se escribe ahora de forma atómica (y a través de symlinks, preservando los modos de archivo), así que una escritura interrumpida no puede destruir una configuración curada a mano.
+- **Los archivos ya no desaparecen del índice en silencio** — las extensiones en mayúsculas (`App.PY`, `Page.TSX`) se omitían; los módulos de código con nombre de credencial (`api_key_manager.go`, `access_token_service.py`) los descartaba la heurística de archivos secretos; un solo byte no UTF-8 en un `.gitignore` hacía caer todo el scan; y un repo con checkout bajo una carpeta llamada `build/` o `dist/` veía **borrado su grafo entero** porque el filtro de artefactos matcheaba directorios ancestros. Todo corregido; los symlinks omitidos reciben ahora un único aviso agrupado en vez de silencio.
+- **El manejo de `.gitignore` ahora coincide exactamente con git** — la semántica de negación (`dir/` + `!dir/keep.txt`) se somete a differential testing contra `git check-ignore` en cada forma de regla; un archivo bajo un directorio excluido ya no puede volver a incluirse, igual que en git. El idiomático de rescate estándar `dir/*` + `!dir/keep` funciona como antes.
+- **Los proyectos con el mismo nombre coexisten** — dos (o tres) subproyectos todos llamados `frontend` solían colapsar en uno: los IDs de nodo en colisión descartaban rutas en silencio, y sus carpetas de wiki/obsidian se sobrescribían entre sí. Los nombres duplicados ahora se desambiguan automáticamente con un prefijo del directorio padre.
+- **La extracción de rutas recibió una revisión de corrección** — los prefijos de montaje `app.use('/api', router)` de Express se aplican y el encadenado `router.route(x).get().post()` produce todos los verbos; los prefijos de `register_blueprint` de Flask / `include_router` de FastAPI ya no dependen de dónde aparecen en el archivo; el `@RequestMapping(method = RequestMethod.X)` de Spring registra el verbo real en vez de `ANY`; los segmentos catch-all de Next.js (`[...slug]`) ya no se corrompen y las rutas paralelas `@slot` se eliminan de las URLs; el canónico `class X extends Model` de Laravel por fin produce una entidad (antes solo matcheaban las bases totalmente cualificadas — y `ViewModel` ya no se cuela).
+- **Aristas fantasma del grafo eliminadas** — un import en minúsculas como `CONFIG` ya no se pliega por mayúsculas/minúsculas sobre una clase `Config` no relacionada (el falso patrón god-node), los imports nunca enlazan cruzando una frontera de lenguaje (`import time` → `time.ts`), los bindings de DI prefieren el proyecto que registra en vez de la primera clase homónima en cualquier parte, y un servicio + entidad homónimos en un mismo directorio ya no colapsan en un único nodo.
+- **Las exportaciones son a prueba de Windows y a prueba de cuelgues** — los nombres de nota de obsidian eliminan el conjunto completo de caracteres ilegales en Windows (las rutas `<string:id>` de Flask rompían la exportación en Windows) y protegen contra nombres de dispositivo reservados; las etiquetas `None` ya no hacen caer los exportadores de wiki, del HTML de call-flow ni de obsidian; los git hooks se escriben con finales de línea LF para que se ejecuten en Windows; y los nombres de proyecto largos ya no pueden reventar los límites del sistema de archivos a mitad de la exportación.
+- **Una entrada defectuosa ya no puede matar procesos de larga duración** — el servidor MCP sobrevive a mensajes JSON-RPC malformados en vez de morir; un `beacon.json` o una caché de AST corruptos (incluyendo UTF-8 inválido y colecciones nulas/malformadas) se respaldan y se reportan en vez de hacer caer `affected`, `serve` o el driver de fusión.
+- **Salida reproducible byte a byte** — el orden de los nodos ya no sigue el orden de finalización de los hilos y las anotaciones de entidad compartida se ordenan, así que escanear dos veces un árbol sin cambios produce `beacon.json`, wiki y CLAUDE.md byte-idénticos. El backend de clustering Leiden (silenciosamente roto por un cambio de la API de graspologic — *nunca* llegó a ejecutarse) vuelve a estar en servicio.
+- **La configuración que escribes es la configuración que se ejecuta** — los ajustes documentados de `codebeacon.yaml` (`wave.*`, `output.wiki/obsidian`, `context_map.targets`, `semantic.enabled`) se parseaban y luego se ignoraban; ahora sí gobiernan el pipeline, `--list-only` se respeta dentro de workspaces, y `codebeacon upgrade` da el comando correcto para instalaciones con uv venv. Consistencia extra: la tabla de Projects, la columna de Notes y la sección de Architecture de CLAUDE.md ahora coinciden en un único recuento de "Services", igual que el wiki.
+
+---
+
 ## Novedades en 0.6.8
 
 Una auditoría de paridad con graphify del upstream v0.8.41–v0.9.3 (issues reportados hasta el #1568). Cada candidato se reprodujo contra codebeacon antes de corregirlo y se volvió a comprobar con una ronda de revisión adversarial; se confirmaron **7 bugs reales**, encabezados por una trampa de pérdida de datos y una fuga de privacidad.

{codebeacon-0.6.8 → codebeacon-0.7.0}/README.fr.md

@@ -27,6 +27,38 @@
 
 ---
 
+## Nouveautés en 0.7.0
+
+Une release de capacités plutôt qu'un balayage de bugs : codebeacon se dote d'un file-watcher en direct, relie vos notes de conception au graphe de code, embarque deux nouveaux front-ends (un lanceur npm pour le serveur MCP et une GitHub Action) et resserre ce qu'il indexe par défaut. Chaque fonctionnalité reste local-first — le scan central n'a toujours besoin ni de réseau, ni de cloud, ni de modèle.
+
+- **`codebeacon watch` garde l'index en direct** — un file-watcher avec debounce (`codebeacon watch [path] [--debounce 2.0] [--once] [--exclude PATTERN]`) resynchronise le graphe chaque fois que les fichiers source surveillés changent. Une rafale d'éditions — un `git checkout` de 500 fichiers, un changement de branche — se fond en une unique resynchronisation, et le watcher réutilise exactement les mêmes règles d'ignore que le scanner, si bien qu'écrire l'index ne le réveille jamais dans une boucle sur sa propre sortie `.codebeacon/`. Nécessite le nouvel extra optionnel : `pip install 'codebeacon[watch]'` (watchdog).
+- **Les notes de conception se relient au graphe de code** — `codebeacon knowledge` écrit désormais ses notes (ADR, comptes rendus de réunion, rétros, specs) *dans* `beacon.json` lorsqu'un index existe déjà : une référence explicite à un chemin de fichier devient une arête `references` de confiance, et une mention de symbole distinctive (`PaymentService`, jamais un simple `User`) devient une arête `mentions` `AMBIGUOUS` — de sorte qu'un agent qui lit le graphe apprend *pourquoi* un service a la forme qu'il a. Comme `codebeacon scan` reconstruit le graphe de code à partir du seul source et abandonne cette surcouche, **relancez `codebeacon knowledge` après un scan** pour restaurer les liens.
+- **Outil MCP `beacon_knowledge`** — un nouvel outil recherche les notes par mot-clé et/ou liste les notes reliées à un nœud de code donné, exposant la trace des décisions derrière le code directement via MCP.
+- **Lanceur npm pour le serveur MCP** — `@codebeacon/mcp` permet aux clients MCP de démarrer le serveur de la manière npx-first qu'ils attendent (`"command": "npx", "args": ["-y", "@codebeacon/mcp"]`). Le shim Node sans dépendances résout un codebeacon fonctionnel via PATH → `uvx` → `pipx run` → `python3 -m codebeacon` et relaie stdio sans y toucher. Voir [`npm/README.md`](npm/README.md). (Livré avec 0.7.0 ; pas encore publié sur npm.)
+- **GitHub Action pour le contexte de PR** — une action composite commente chaque pull request avec la tranche affectée de votre graphe de connaissances commité : les articles de wiki que touche le changement, le rayon d'impact en amont, et tout fichier hub à fort impact qu'il modifie — un contrôle de dérive d'architecture pour la revue à l'ère de l'IA. Nécessite un index `.codebeacon/` commité, `fetch-depth: 0` et `permissions: pull-requests: write`. Voir [`action/README.md`](action/README.md) et [`action/examples/pr-context.yml`](action/examples/pr-context.yml).
+- **Le CLAUDE.md de workspace reste sous ~200 lignes** — dans un workspace multi-projets, le `CLAUDE.md` racine ne conserve désormais que la vue d'ensemble partagée et déplace le détail par projet dans des fichiers `.claude/rules/codebeacon-<project>.md` à portée restreinte, dont le frontmatter `paths:` ne les charge que lorsque les fichiers de ce projet sont touchés (suivant les propres recommandations d'Anthropic pour les fichiers de contexte). La sortie mono-projet est inchangée ; mettez `output.context_map.rules_split: false` pour retrouver l'ancien fichier monolithique. Les lignes de projet en double sont également fusionnées.
+- **Les fixtures de test sont ignorées par défaut** — `tests/fixtures/`, `test/fixtures/` et `__fixtures__/` à n'importe quelle profondeur sont désormais ignorées par défaut, si bien que les entrées de test synthétiques d'un projet cessent d'injecter de fausses routes et de faux services dans le graphe (le propre self-scan de codebeacon avait signalé un `main.py` de fixtures comme cinq « routes »). C'est la règle de plus faible priorité, donc une ligne `!tests/fixtures/` dans `.codebeaconignore` les réinclut, et pointer un scan *sur* un répertoire de fixtures le collecte toujours.
+- **L'extraction des routes de Warp est réelle maintenant** — les routes à combinateurs de filtres de Warp sont réellement extraites : les segments `warp::path!(...)` et `warp::path("x")`, les combinateurs de méthode (`warp::get()` / `post()` / …) et les handlers `.map` / `.and_then` sont corrélés par leur binding englobant en routes entières. Limites honnêtes (détaillées dans l'en-tête de la requête) : les filtres joints par `.or(...)` au sein d'un même binding se fondent en une unique route concaténée, et les segments d'appel de filtre `warp::path::param()` ainsi que les handlers de closure restent non résolus.
+
+---
+
+## Nouveautés en 0.6.9
+
+La plus grande release d'audit à ce jour : un double balayage de parité amont (le tout premier audit complet du tracker de codesight, plus graphify v0.9.4–v0.9.12 / issues jusqu'au #1776) combiné à une chasse aux bugs multi-agent indépendante sur codebeacon lui-même. Chaque candidat a été reproduit avant correction, chaque correction a été testée par mutation, et une seconde revue adversariale a ensuite attaqué les correctifs eux-mêmes — attrapant 18 failles supplémentaires avant la publication. **48 bugs réels corrigés.**
+
+- **Votre CLAUDE.md est désormais protégé** — sur un CLAUDE.md écrit à la main (par ex. issu de `/init`), l'étape de fusion pouvait prendre les sections `## Architecture` / `## Common Commands` propres à l'utilisateur pour de la sortie codebeacon et les supprimer. Le nettoyage ne s'exécute désormais que sur les fichiers qui s'identifient sans ambiguïté comme générés par codebeacon, et il est ancré au bloc généré — vos sections survivent. `codebeacon.yaml` est aussi écrit atomiquement désormais (et à travers les symlinks, en préservant les modes de fichier), si bien qu'une écriture interrompue ne peut pas détruire une configuration soignée à la main.
+- **Les fichiers ne disparaissent plus silencieusement de l'index** — les extensions en majuscules (`App.PY`, `Page.TSX`) étaient ignorées ; les modules source nommés d'après des identifiants (`api_key_manager.go`, `access_token_service.py`) étaient écartés par l'heuristique des fichiers secrets ; un seul octet non-UTF-8 dans un `.gitignore` faisait planter tout le scan ; et un dépôt cloné sous un dossier nommé `build/` ou `dist/` voyait **son graphe entier effacé** par le filtre d'artefacts qui matchait les répertoires ancêtres. Tout est corrigé ; les symlinks ignorés reçoivent désormais un unique avertissement groupé au lieu du silence.
+- **La gestion de `.gitignore` correspond désormais exactement à git** — la sémantique de négation (`dir/` + `!dir/keep.txt`) est testée différentiellement contre `git check-ignore` pour chaque forme de règle ; un fichier sous un répertoire exclu ne peut plus être réinclus, exactement comme git. L'idiome de sauvetage standard `dir/*` + `!dir/keep` fonctionne comme avant.
+- **Les projets homonymes coexistent** — deux (ou trois) sous-projets tous nommés `frontend` fusionnaient auparavant en un seul : des IDs de nœud en collision faisaient disparaître des routes en silence, et leurs dossiers wiki/obsidian s'écrasaient mutuellement. Les noms en double sont désormais désambiguïsés automatiquement par un préfixe issu du répertoire parent.
+- **L'extraction des routes a été révisée pour sa justesse** — les préfixes de montage `app.use('/api', router)` d'Express sont appliqués et le chaînage `router.route(x).get().post()` produit chaque verbe ; les préfixes `register_blueprint` de Flask / `include_router` de FastAPI ne dépendent plus de leur position dans le fichier ; le `@RequestMapping(method = RequestMethod.X)` de Spring enregistre le vrai verbe au lieu de `ANY` ; les segments catch-all de Next.js (`[...slug]`) ne sont plus déformés et les routes parallèles `@slot` sont retirées des URLs ; le canonique `class X extends Model` de Laravel produit enfin une entité (auparavant seules les bases pleinement qualifiées matchaient — et `ViewModel` ne se faufile plus).
+- **Arêtes fantômes du graphe éliminées** — un import en minuscules comme `CONFIG` n'est plus replié par casse sur une classe `Config` sans rapport (le faux motif god-node), les imports ne se lient jamais par-delà une frontière de langage (`import time` → `time.ts`), les liaisons DI privilégient le projet qui enregistre plutôt que la première classe homonyme n'importe où, et un service + une entité homonymes dans un même répertoire ne fusionnent plus en un unique nœud.
+- **Les exports sont à l'épreuve de Windows et des plantages** — les noms de note obsidian retirent l'ensemble complet des caractères illégaux sous Windows (les routes `<string:id>` de Flask cassaient l'export sous Windows) et se prémunissent contre les noms de périphérique réservés ; les labels `None` ne font plus planter les exporteurs wiki, HTML call-flow ou obsidian ; les git hooks sont écrits avec des fins de ligne LF pour s'exécuter sous Windows ; et les noms de projet longs ne peuvent plus dépasser les limites du système de fichiers en plein export.
+- **Une seule mauvaise entrée ne peut plus tuer les processus longue durée** — le serveur MCP survit aux messages JSON-RPC malformés au lieu de mourir ; un `beacon.json` ou un cache AST corrompu (y compris UTF-8 invalide et collections nulles/malformées) est sauvegardé et signalé au lieu de faire planter `affected`, `serve` ou le pilote de fusion.
+- **Sortie reproductible à l'octet près** — l'ordre des nœuds ne suit plus l'ordre d'achèvement des threads et les annotations d'entité partagée sont triées, si bien que scanner deux fois un arbre inchangé produit des `beacon.json`, wiki et CLAUDE.md octet-identiques. Le backend de clustering Leiden (silencieusement cassé par un changement d'API de graspologic — il ne s'est *jamais* exécuté) est de nouveau opérationnel.
+- **La configuration que vous écrivez est la configuration qui s'exécute** — les réglages documentés de `codebeacon.yaml` (`wave.*`, `output.wiki/obsidian`, `context_map.targets`, `semantic.enabled`) étaient parsés puis ignorés ; ils pilotent désormais le pipeline, `--list-only` est respecté à l'intérieur des workspaces, et `codebeacon upgrade` donne la bonne commande pour les installations uv venv. Cohérence en bonus : le tableau Projects, la colonne Notes et la section Architecture de CLAUDE.md s'accordent désormais sur un unique décompte de « Services », en phase avec le wiki.
+
+---
+
 ## Nouveautés en 0.6.8
 
 Un audit de parité graphify de l'upstream v0.8.41–v0.9.3 (issues signalées jusqu'au #1568). Chaque candidat a été reproduit sur codebeacon avant correction, puis revérifié par une passe de revue adversariale ; **7 bugs réels** confirmés, avec en tête un piège à perte de données et une fuite de confidentialité.

{codebeacon-0.6.8 → codebeacon-0.7.0}/README.ja.md

@@ -27,6 +27,38 @@
 
 ---
 
+## 0.7.0 の新機能
+
+バグ修正のスイープというより機能リリースです:codebeacon にライブのファイルウォッチャーが加わり、設計ノートをコードグラフに繋ぎ、2つの新しいフロントエンド(MCP サーバー用の npm ランチャーと GitHub Action)を提供し、デフォルトでインデックスする対象を絞り込みました。すべての機能はローカルファーストのままです — コアスキャンは相変わらずネットワークも、クラウドも、モデルも必要としません。
+
+- **`codebeacon watch` がインデックスをライブに保ちます** — デバウンスされたファイルウォッチャー(`codebeacon watch [path] [--debounce 2.0] [--once] [--exclude PATTERN]`)が、監視中のソースファイルが変わるたびにグラフを再同期します。編集の集中 — 500ファイルの `git checkout`、ブランチ切り替え — は単一の再同期にまとめられ、ウォッチャーはスキャナーとまったく同じ無視ルールを再利用するため、インデックスを書き込む動作が自身の `.codebeacon/` 出力を巡るループでウォッチャーを起こすことはありません。新しいオプションの extra が必要です:`pip install 'codebeacon[watch]'`(watchdog)。
+- **設計ノートがコードグラフに繋がります** — `codebeacon knowledge` は、インデックスが既に存在する場合、ノート(ADR、会議メモ、レトロ、仕様)を `beacon.json` の *中に* 書き込むようになりました:明示的なファイルパス参照は信頼された `references` エッジになり、特徴的なシンボルの言及(`PaymentService`、単なる `User` は決して対象外)は `AMBIGUOUS` な `mentions` エッジになります — こうしてグラフを読むエージェントは、ある service が *なぜ* その形をしているのかを学びます。`codebeacon scan` はコードグラフをソースだけから再構築してこのオーバーレイを捨てるため、リンクを復元するには **スキャンの後に `codebeacon knowledge` を再実行してください**。
+- **`beacon_knowledge` MCP ツール** — 新しいツールがキーワードでノートを検索し、あるいは指定したコードノードに繋がったノートを一覧して、コードの背後にある意思決定の軌跡を MCP 越しに直接公開します。
+- **MCP サーバー用の npm ランチャー** — `@codebeacon/mcp` により、MCP クライアントは期待どおりの npx ファーストの方法でサーバーを起動できます(`"command": "npx", "args": ["-y", "@codebeacon/mcp"]`)。依存関係ゼロの Node シムが、動作する codebeacon を PATH → `uvx` → `pipx run` → `python3 -m codebeacon` の順に解決し、stdio を手を加えずそのまま転送します。[`npm/README.md`](npm/README.md) を参照。(0.7.0 に同梱、npm へはまだ公開されていません。)
+- **PR コンテキスト用の GitHub Action** — コンポジットアクションが、すべてのプルリクエストに、コミットされた知識グラフのうち影響を受けたスライスをコメントします:変更が触れる wiki 記事、上流のブラスト半径、そして編集された高影響のハブファイル — AI 時代のレビューのためのアーキテクチャドリフト検査です。コミットされた `.codebeacon/` インデックス、`fetch-depth: 0`、`permissions: pull-requests: write` が必要です。[`action/README.md`](action/README.md) と [`action/examples/pr-context.yml`](action/examples/pr-context.yml) を参照。
+- **ワークスペースの CLAUDE.md が約200行以下に収まります** — マルチプロジェクトのワークスペースでは、ルートの `CLAUDE.md` が共有の概要だけを保ち、プロジェクトごとの詳細を、`paths:` フロントマターがそのプロジェクトのファイルに触れたときだけ読み込むスコープ付きの `.claude/rules/codebeacon-<project>.md` ファイルに移すようになりました(コンテキストファイルに関する Anthropic 自身のガイダンスに従っています)。単一プロジェクトの出力は変わりません。従来の一枚岩ファイルが欲しい場合は `output.context_map.rules_split: false` を設定してください。重複するプロジェクト行もまとめられます。
+- **テストフィクスチャがデフォルトで無視されます** — どの深さの `tests/fixtures/`、`test/fixtures/`、`__fixtures__/` もデフォルトで無視されるようになり、プロジェクトの合成テスト入力が偽のルートや service をグラフに注入しなくなります(codebeacon 自身のセルフスキャンは、フィクスチャの `main.py` を5つの「ルート」として報告していました)。これは最も優先度の低いルールなので、`.codebeaconignore` に `!tests/fixtures/` の行を入れれば再び含められ、スキャンをフィクスチャディレクトリ *に* 向ければ依然として収集されます。
+- **Warp のルート抽出が本物になりました** — Warp のフィルタ・コンビネータのルートが実際に抽出されます:`warp::path!(...)` と `warp::path("x")` のセグメント、メソッドコンビネータ(`warp::get()` / `post()` / …)、そして `.map` / `.and_then` ハンドラが、それらを囲むバインディングを基準に相関づけられ、まるごとのルートになります。正直な限界(クエリヘッダーに明記):1つのバインディング内で `.or(...)` で繋がれたフィルタは単一の連結ルートに潰れ、`warp::path::param()` のフィルタ呼び出しセグメントとクロージャハンドラは未解決のまま残ります。
+
+---
+
+## 0.6.9 の新機能
+
+これまでで最大規模の監査リリースです。二重のアップストリーム・パリティ・スイープ(codesight のトラッカーに対する史上初の完全監査に加え、graphify v0.9.4–v0.9.12 / issue は #1776 まで)と、codebeacon 自体に対する独立したマルチエージェント・バグハントを組み合わせました。各候補は修正前に再現し、各修正は mutation テストにかけ、さらに敵対的な2次レビューが修正自体を攻撃して、リリース前にさらに18個の穴を捕まえました。**実バグ48件を修正。**
+
+- **CLAUDE.md が安全になりました** — 手書きの CLAUDE.md(例:`/init` 由来)では、マージステップがユーザー自身の `## Architecture` / `## Common Commands` セクションを codebeacon の出力と誤認して削除する可能性がありました。ストリップ処理は今や codebeacon 生成物だと確実に判別されたファイルでのみ、生成ブロックにアンカリングして実行されます — あなたのセクションは残ります。`codebeacon.yaml` もアトミックに(シンボリックリンク越しでも、ファイルモードを保持しつつ)書き込まれるようになり、中断された書き込みが手作業で整えた設定を破壊できなくなりました。
+- **ファイルがインデックスから静かに消えなくなりました** — 大文字の拡張子(`App.PY`、`Page.TSX`)がスキップされ、資格情報にちなんだ名前のソースモジュール(`api_key_manager.go`、`access_token_service.py`)がシークレットファイル・ヒューリスティックで除外され、`.gitignore` 内の非 UTF-8 バイト1個がスキャン全体をクラッシュさせ、`build/` や `dist/` という名前のフォルダ配下にチェックアウトしたリポは、アーティファクトフィルタが祖先ディレクトリにマッチして**グラフ全体が消去**されていました。すべて修正済みです。スキップされたシンボリックリンクは、沈黙の代わりにグループ化された警告を1つ出すようになりました。
+- **`.gitignore` の扱いが git と完全に一致するようになりました** — 否定セマンティクス(`dir/` + `!dir/keep.txt`)を、あらゆるルール形態にわたって `git check-ignore` と differential テストしています。git とまったく同じく、除外されたディレクトリ配下のファイルは再び含めることができません。標準の救済イディオム `dir/*` + `!dir/keep` は従来どおり動作します。
+- **同名プロジェクトが共存します** — すべて `frontend` という名前の2つ(または3つ)のサブプロジェクトが以前は1つに潰れていました:ノード ID の衝突でルートが静かに脱落し、それぞれの wiki/obsidian フォルダが互いを上書きしていました。重複する名前は今や親ディレクトリのプレフィックスで自動的に区別されます。
+- **ルート抽出を正確性の観点から全面的に見直しました** — Express の `app.use('/api', router)` マウントプレフィックスが適用され、チェーンした `router.route(x).get().post()` があらゆる verb を産出します。Flask の `register_blueprint` / FastAPI の `include_router` プレフィックスがファイル内の出現位置に依存しなくなりました。Spring の `@RequestMapping(method = RequestMethod.X)` が `ANY` ではなく実際の verb を記録します。Next.js の catch-all セグメント(`[...slug]`)が壊れなくなり、`@slot` 並列ルートが URL から除去されます。Laravel の教科書的な `class X extends Model` がついにエンティティを生成します(以前は完全修飾されたベースのみがマッチ — `ViewModel` はもう紛れ込みません)。
+- **幽霊グラフエッジを排除しました** — `CONFIG` のような小文字の import が無関係な `Config` クラスに大文字小文字の畳み込みで結び付く(偽の god-node パターン)ことがなくなり、import が言語境界を越えてバインドすることは決してなく(`import time` → `time.ts`)、DI バインディングはどこかにある最初の同名クラスではなく登録元のプロジェクトを優先し、1つのディレクトリ内の同名の service + entity が単一ノードに潰れなくなりました。
+- **エクスポートが Windows 堅牢かつクラッシュ堅牢になりました** — obsidian のノート名は Windows で不正な文字セット全体を除去し(Flask の `<string:id>` ルートは Windows でエクスポートを壊していました)、予約デバイス名を防御します。`None` ラベルは wiki・call-flow HTML・obsidian エクスポーターをもうクラッシュさせません。git hook は LF 改行で書き込まれ、Windows でも実行されます。そして長いプロジェクト名がエクスポート途中でファイルシステムの上限を超えることもなくなりました。
+- **不正な入力1つで長時間稼働のプロセスを殺せなくなりました** — MCP サーバーは不正な JSON-RPC メッセージで死なずに生き延びます。破損した `beacon.json` や AST キャッシュ(無効な UTF-8 や null/不正なコレクションを含む)はバックアップして報告され、`affected`・`serve`・マージドライバーをクラッシュさせません。
+- **バイト単位で再現可能な出力** — ノードの順序がスレッドの完了順を追わなくなり、共有エンティティの注釈がソートされるため、変更のないツリーを2回スキャンするとバイト単位で同一の `beacon.json`・wiki・CLAUDE.md が生成されます。graspologic の API 変更で静かに壊れていた(*一度も*実行されなかった)Leiden クラスタリングバックエンドも復帰しました。
+- **書いた設定が実際に走る設定です** — 文書化された `codebeacon.yaml` の設定(`wave.*`、`output.wiki/obsidian`、`context_map.targets`、`semantic.enabled`)はパースされたうえで無視されていましたが、今やパイプラインを実際に駆動します。ワークスペース内で `--list-only` が尊重され、`codebeacon upgrade` は uv venv インストールに正しいコマンドを案内します。おまけの一貫性:CLAUDE.md の Projects 表・Notes 列・Architecture セクションが単一の「Services」件数で一致し、wiki とも揃いました。
+
+---
+
 ## 0.6.8 の新機能
 
 アップストリーム v0.8.41–v0.9.3(報告された issue は #1568 まで)の graphify パリティ監査です。各候補は修正前に codebeacon 上で実際に再現し、敵対的レビューパスで再確認しました。**実バグ7件**を確認、データ損失トラップとプライバシー漏洩が目玉です。

{codebeacon-0.6.8 → codebeacon-0.7.0}/README.ko.md

@@ -27,6 +27,38 @@
 
 ---
 
+## 0.7.0 새 소식
+
+버그 스윕이라기보다 기능 릴리스입니다: codebeacon에 실시간 파일 워처가 생기고, 설계 노트를 코드 그래프에 연결하며, 두 개의 새 프런트엔드(MCP 서버용 npm 런처와 GitHub Action)를 제공하고, 기본으로 인덱싱하는 대상을 좁혔습니다. 모든 기능은 로컬 우선을 유지합니다 — 코어 스캔은 여전히 네트워크도, 클라우드도, 모델도 필요로 하지 않습니다.
+
+- **`codebeacon watch`가 인덱스를 실시간으로 유지합니다** — 디바운스된 파일 워처(`codebeacon watch [path] [--debounce 2.0] [--once] [--exclude PATTERN]`)가 감시 중인 소스 파일이 바뀔 때마다 그래프를 다시 동기화합니다. 편집 폭주 — 500개 파일 `git checkout`, 브랜치 전환 — 는 단일 재동기화로 합쳐지고, 워처가 스캐너의 정확히 동일한 무시 규칙을 재사용하므로 인덱스를 쓰는 동작이 자신의 `.codebeacon/` 출력을 도는 루프로 워처를 깨우는 일이 없습니다. 새 선택적 extra가 필요합니다: `pip install 'codebeacon[watch]'`(watchdog).
+- **설계 노트가 코드 그래프에 연결됩니다** — `codebeacon knowledge`가 인덱스가 이미 존재할 때 이제 노트(ADR, 회의록, 회고, 스펙)를 `beacon.json` *안에* 기록합니다: 명시적 파일 경로 참조는 신뢰된 `references` 엣지가 되고, 특징적인 심볼 언급(`PaymentService`, 맨 `User`은 절대 아님)은 `AMBIGUOUS` `mentions` 엣지가 됩니다 — 그래서 그래프를 읽는 에이전트가 어떤 service가 *왜* 그런 형태인지를 배웁니다. `codebeacon scan`은 코드 그래프를 소스만으로 다시 만들며 이 오버레이를 버리므로, 링크를 복원하려면 **스캔 후 `codebeacon knowledge`를 다시 실행하세요**.
+- **`beacon_knowledge` MCP 도구** — 새 도구가 키워드로 노트를 검색하거나 주어진 코드 노드에 연결된 노트를 나열해, 코드 뒤에 있는 결정의 흔적을 MCP로 직접 노출합니다.
+- **MCP 서버용 npm 런처** — `@codebeacon/mcp`는 MCP 클라이언트가 기대하는 npx 우선 방식으로 서버를 시작하게 해줍니다(`"command": "npx", "args": ["-y", "@codebeacon/mcp"]`). 의존성 없는 Node 심(shim)이 PATH → `uvx` → `pipx run` → `python3 -m codebeacon` 순으로 동작하는 codebeacon을 찾아 stdio를 손대지 않고 그대로 전달합니다. [`npm/README.md`](npm/README.md) 참조. (0.7.0에 포함, 아직 npm에 게시되지 않음.)
+- **PR 컨텍스트용 GitHub Action** — 컴포지트 액션이 모든 풀 리퀘스트에, 커밋된 지식 그래프에서 영향받는 조각을 댓글로 남깁니다: 변경이 건드리는 wiki 문서, 업스트림 폭발 반경, 그리고 편집된 고영향 허브 파일 — AI 시대 리뷰를 위한 아키텍처 드리프트 점검입니다. 커밋된 `.codebeacon/` 인덱스, `fetch-depth: 0`, `permissions: pull-requests: write`가 필요합니다. [`action/README.md`](action/README.md)와 [`action/examples/pr-context.yml`](action/examples/pr-context.yml) 참조.
+- **워크스페이스 CLAUDE.md가 ~200줄 이하로 유지됩니다** — 다중 프로젝트 워크스페이스에서 루트 `CLAUDE.md`가 이제 공유 개요만 담고, 프로젝트별 세부는 `paths:` 프런트매터가 해당 프로젝트 파일을 건드릴 때만 로드하는 스코프된 `.claude/rules/codebeacon-<project>.md` 파일로 옮깁니다(컨텍스트 파일에 대한 Anthropic 자체 가이드를 따름). 단일 프로젝트 출력은 그대로입니다. 예전의 단일 파일을 원하면 `output.context_map.rules_split: false`로 설정하세요. 중복 프로젝트 행도 합쳐집니다.
+- **테스트 픽스처가 기본으로 무시됩니다** — 어느 깊이든 `tests/fixtures/`, `test/fixtures/`, `__fixtures__/`가 이제 기본 무시되어, 프로젝트의 합성 테스트 입력이 가짜 라우트와 service를 그래프에 주입하는 일이 멈춥니다(codebeacon 자체 셀프 스캔이 픽스처 `main.py`를 다섯 개의 "라우트"로 보고했었습니다). 이는 우선순위가 가장 낮은 규칙이므로, `.codebeaconignore`에 `!tests/fixtures/` 줄을 넣으면 다시 포함되고, 스캔을 픽스처 디렉토리*로* 향하게 하면 여전히 수집됩니다.
+- **Warp 라우트 추출이 이제 실제로 됩니다** — Warp의 필터-콤비네이터 라우트가 실제로 추출됩니다: `warp::path!(...)`와 `warp::path("x")` 세그먼트, 메서드 콤비네이터(`warp::get()` / `post()` / …), 그리고 `.map` / `.and_then` 핸들러가 그것들을 감싸는 바인딩을 기준으로 상관되어 온전한 라우트로 만들어집니다. 정직한 한계(쿼리 헤더에 명시됨): 한 바인딩 안에서 `.or(...)`로 이어진 필터는 하나의 연결된 라우트로 합쳐지고, `warp::path::param()` 필터-호출 세그먼트와 클로저 핸들러는 미해결로 남습니다.
+
+---
+
+## 0.6.9 새 소식
+
+역대 최대 규모의 감사 릴리스입니다: 이중 업스트림 패리티 스윕(codesight 트래커 최초 전체 감사 + graphify v0.9.4–v0.9.12 / 이슈 #1776까지)에 codebeacon 자체에 대한 독립 멀티에이전트 버그 헌트를 결합했습니다. 모든 후보를 수정 전에 재현하고, 모든 수정을 mutation 테스트했으며, 적대적 2차 리뷰가 수정 자체를 공격해 출시 전에 추가 구멍 18개를 잡아냈습니다. **실제 버그 48건 수정.**
+
+- **이제 CLAUDE.md가 안전합니다** — 손으로 작성한 CLAUDE.md(예: `/init` 산출물)에서 병합 단계가 사용자의 `## Architecture` / `## Common Commands` 섹션을 codebeacon 출력으로 오인해 삭제할 수 있었습니다. 이제 스트립은 codebeacon 생성물로 확실히 판별되는 파일에서만, 생성 블록에 앵커링되어 동작합니다 — 사용자 섹션은 살아남습니다. `codebeacon.yaml`도 원자적으로(심링크 관통·파일 모드 보존 포함) 기록되어, 중단된 쓰기가 손수 관리한 설정을 파괴할 수 없습니다.
+- **파일이 인덱스에서 조용히 사라지지 않습니다** — 대문자 확장자(`App.PY`, `Page.TSX`)가 무시됐고, 자격증명 이름을 딴 소스 모듈(`api_key_manager.go`, `access_token_service.py`)이 시크릿 파일 휴리스틱에 걸려 탈락했으며, `.gitignore`의 비 UTF-8 바이트 하나가 스캔 전체를 중단시켰고, `build/`나 `dist/`라는 폴더 아래에 체크아웃한 리포는 아티팩트 필터가 상위 디렉토리까지 매칭해 **그래프 전체가 소거**됐습니다. 모두 수정했고, 건너뛴 심링크는 침묵 대신 그룹화된 경고 한 줄을 남깁니다.
+- **`.gitignore` 처리가 git과 정확히 일치합니다** — 부정 패턴 시맨틱(`dir/` + `!dir/keep.txt`)을 모든 규칙 형태에 대해 `git check-ignore`와 differential 테스트했습니다. git과 똑같이, 제외된 디렉토리 아래의 파일은 다시 포함될 수 없습니다. 표준 구출 관용구 `dir/*` + `!dir/keep`은 종전대로 동작합니다.
+- **동명 프로젝트가 공존합니다** — `frontend`라는 이름의 하위 프로젝트 두세 개가 하나로 합쳐지곤 했습니다: 노드 ID 충돌로 라우트가 조용히 소실되고 wiki/obsidian 폴더가 서로 덮어썼습니다. 중복 이름은 이제 부모 디렉토리 접두사로 자동 구별됩니다.
+- **라우트 추출 정확성 전면 정비** — Express `app.use('/api', router)` 마운트 프리픽스가 적용되고 체인 `router.route(x).get().post()`가 모든 verb를 산출합니다. Flask `register_blueprint` / FastAPI `include_router` 프리픽스가 파일 내 위치에 의존하지 않습니다. Spring `@RequestMapping(method = RequestMethod.X)`가 `ANY` 대신 실제 verb를 기록합니다. Next.js catch-all(`[...slug]`)이 더는 깨지지 않고 `@slot` 병렬 라우트가 URL에서 제거됩니다. Laravel의 교과서적 `class X extends Model`이 드디어 엔티티를 생성합니다(이전엔 완전 수식된 베이스만 매칭 — `ViewModel`은 이제 걸러냅니다).
+- **유령 그래프 엣지 제거** — 소문자 경로 import가 무관한 `Config` 클래스에 `CONFIG`를 케이스폴딩으로 오연결하던 가짜 god-node 패턴이 사라졌고, import가 언어 경계를 넘어 바인딩되지 않으며(`import time` → `time.ts`), DI 바인딩은 아무 프로젝트의 동명 클래스가 아니라 등록한 프로젝트를 우선하고, 한 디렉토리의 동명 service + entity가 단일 노드로 합쳐지지 않습니다.
+- **Export가 Windows-안전 + 크래시-안전** — obsidian 노트 이름이 Windows 불법 문자 전체를 제거하고(Flask `<string:id>` 라우트가 Windows에서 export를 중단시켰습니다) 예약 장치 이름을 방어합니다. `None` 라벨이 wiki·call-flow HTML·obsidian exporter를 더는 크래시시키지 않습니다. git hook이 LF 개행으로 기록되어 Windows에서도 실행되고, 긴 프로젝트 이름이 파일시스템 한계를 넘지 않습니다.
+- **입력 하나가 장수명 프로세스를 죽일 수 없습니다** — MCP 서버가 잘못된 JSON-RPC 메시지에 죽지 않고 살아남습니다. 손상된 `beacon.json`이나 AST 캐시(잘못된 UTF-8, null/기형 컬렉션 포함)는 백업 후 명확히 보고되며 `affected`·`serve`·머지 드라이버를 크래시시키지 않습니다.
+- **바이트 단위 재현 가능한 출력** — 노드 순서가 스레드 완료 순서를 따라가지 않고 공유 엔티티 주석이 정렬되어, 변경 없는 트리를 두 번 스캔하면 `beacon.json`·wiki·CLAUDE.md가 바이트 단위로 동일합니다. graspologic API 변경으로 조용히 죽어 있던(한 번도 실행되지 못한) Leiden 클러스터링 백엔드도 복구했습니다.
+- **작성한 설정이 실제로 적용됩니다** — 문서화된 `codebeacon.yaml` 설정(`wave.*`, `output.wiki/obsidian`, `context_map.targets`, `semantic.enabled`)이 파싱만 되고 무시됐는데, 이제 파이프라인을 실제로 제어합니다. 워크스페이스 안에서 `--list-only`가 존중되고, `codebeacon upgrade`가 uv venv 설치에 맞는 명령을 안내합니다. 덤으로 CLAUDE.md의 Projects 표·Notes 열·Architecture 섹션이 하나의 "Services" 수치로 일치하며 wiki와도 맞습니다.
+
+---
+
 ## 0.6.8 새 소식
 
 업스트림 v0.8.41–v0.9.3(보고된 이슈 #1568까지)에 대한 graphify-패리티 감사입니다. 모든 후보를 수정 전에 codebeacon에서 실제로 재현하고 적대적 리뷰 패스로 재검증했으며, **7개의 실제 버그**를 확인했습니다 — 데이터 손실 함정과 프라이버시 유출이 핵심입니다.