feat(verify)+security: dev v2.7.x 보안 4건 미러 — FORM-12 + 비밀키 패턴 + 체크포인트 투명화 (v1.7.5)

[Ps-Neko]

무엇 (dev v2.7.x 보안 4건 미러 — v1.7.5)

dev(project-doctor-dev)에서 공개판에 적용 가능한 보안/무결성 4건을 미러합니다.

1. [검사기] FORM-12 발견ID 양방향 무결성 (verify_report_format.py): 사람용 본문/부록의 카탈로그 ID 집합 ↔ 기계 발견ID: 줄의 ID 집합이 정확히 일치하는지 교차검사. 한쪽에만 있는 ID(근거 없는 발견ID / 발견ID 줄 누락)는 채점기(compare_report)의 탐지율 오집계 원인이라 형식 위반으로 잡습니다. 부록 전용 ID·빈 기계블록(발견ID:(없음)인데 부록에 ID) 사각지대 포함. 회귀 테스트 +4. (dev v2.7.3·v2.7.4 미러 — 공개판 verify는 자체 헬퍼를 쓰므로 dev의 compare_report 단일출처화 리팩터는 제외해 ImportError를 회피했습니다.)
2. [보안 문서] SEC-01 패턴에 Google·OpenAI/Anthropic류 키 추가 (release-checklist.md): AIza…·sk-…를 런타임 스캔 패턴 목록에 명시 — 검사기 코드(SECRET_PATTERNS)엔 이미 있었으나 스캔 시 읽는 문서엔 빠져 1차↔2차 탐지 비대칭이 있었습니다. (dev v2.7.6 미러.)
3. [보안 행동] 체크포인트 git add -A 투명화 (prescription-protocol.md §1): 비개발자가 모르게 미추적 민감 파일을 git 기록에 넣는 'silent sweep'을 막기 위해 포함될 미추적 파일을 먼저 보이고 SEC-01·PII-01 의심 파일은 경고·확인 후 진행. 복원 완전성(-A)은 유지. (dev v2.7.7 미러.)
4. [보안 문서] 셸 명령 인젝션 주의(argv) (release-checklist.md): 남의 프로젝트에 셸 명령을 돌릴 때 인자 따옴표·내용 argv-only. (dev v2.7.11 미러.)

검증 (로컬 — 공개판 CI 전 단계)

• check_version v1.7.5 정합 통과 · pytest tests/ 65 passed · 채점 회귀 통과 · 링크 0건 · golden E2E 전부 통과.
• TDD: FORM-12 테스트 4개 먼저 추가 → red(3 fail) → 구현 → green.
• 진단 카탈로그·채점기·픽스처·정답지 무변경 → 진단 탐지율 불변(형식 계약 FORM-12만 강화).