feat: 피드백 저장을 리뷰 서버 왕복으로 전환하고 에이전트 CLI 추가

[tonite31]

Closes #6

supercanvas view가 dist/canvas.html을 file:// 로 열던 것을 loopback 리뷰 서버로 바꿨다. opaque origin에서는 브라우저가 어디에도 쓸 수 없어서 직접 저장이 구조적으로 불가능했고, 같은 파일을 loopback으로 서빙하면 페이지가 쓸 수 있는 엔드포인트가 하나 생긴다. 디스크에서 직접 연 캔버스는 기존 다운로드·복사 모달로 폴백한다.

변경

• serve.mjs — 리뷰 서버. 페이지에 토큰 핸드셰이크를 주입하고 POST /api/feedback으로 패키지의 feedback.json을 쓴 뒤 재렌더한다. 다른 origin이 포트를 맞혀도 토큰 없이는 쓰지 못한다.
• feedback.mjs — 노드 측 피드백 파일 읽기·해결·요약·대기. 검증 규칙은 runtime/feedback.js 한 곳에 두고 vm으로 로드해 재사용한다.
• CLI feedback / resolve / discuss — 에이전트가 손으로 JSON을 고치지 않고 왕복한다. resolve와 discuss는 feedbackRevision을 올리고 재렌더까지 수행한다.
• feedback --wait — 리뷰어가 저장할 때까지 블록했다가 변경분만 출력하고 종료한다. 백그라운드 작업으로 두면 프로세스 종료가 곧 신호라서, 에이전트가 "확인해봐"라는 말 없이 다음 라운드를 집는다.
• 저장과 클리어 분리 — 저장은 resolved를 포함해 있는 그대로 쓰고, resolved 댓글은 체크 핀으로 남아 변경 요약을 보여준다. Clear resolved가 아카이브로 회전시킨다. 기존에는 저장할 때마다 자동 회전되어 사용자가 결과를 확인할 기회가 없었다.
• 서버 모드에서 canonical revision을 지켜보다 에이전트 작업이 반영되면 버전 배지에 reload 안내를 띄운다.

검증

test/review-roundtrip.mjs를 추가하고 CI에 연결했다. 예제 패키지 복사본에 서버를 띄워 토큰 없는 저장 거부(403), 저장의 파일·재렌더 반영, --wait의 저장 감지와 열린 작업 즉시 반환, CLI resolve의 상태·revision 변경, 클리어의 아카이브 회전, 잘못된 envelope 거부(422)와 파일 무변경까지 확인한다.

실제 Chrome에서 댓글 작성 → 저장 → CLI resolve → 새로고침 → 변경 요약 확인 → Clear resolved 전 구간을 왕복해 동작을 확인했다.

🤖 Generated with Claude Code

[tonite31]

리뷰 요약

file://의 opaque origin 제약을 loopback 서버로 우회한 진단과 해법이 정확합니다. 검증 규칙을 runtime/feedback.js 한 곳에 두고 Node에서 vm으로 로드해 재사용한 것, 저장이 resolved를 회전시키지 않는지를 verify.mjs 소스 검사로 고정한 것, 왕복 전체를 e2e로 덮고 CI에 연결한 것이 특히 좋습니다.

보안 쪽은 견고합니다. 127.0.0.1 바인딩에 실행마다 새 랜덤 토큰, 커스텀 헤더 요구로 다른 origin의 POST는 프리플라이트에서 막히고 CORS 헤더가 없어 GET 응답도 읽히지 않습니다. 라우트 3개 화이트리스트에 정적 파일 서빙이 없어 경로 탈출 여지가 없고, 본문 4MB 제한과 검증 실패 시 파일 무변경도 테스트가 덮고 있습니다.

머지 전에 하나는 반드시 고쳐야 합니다 — 낡은 페이지의 저장이 에이전트의 resolution을 덮어쓰는 lost update (serve.mjs). 나머지 3건은 고쳐두면 좋을 수준입니다.

확인해봤지만 문제 없던 것: waitForReview의 updatedAt 의존은 런타임이 편집·답글·상태 변경 모두에서 갱신하고 있어(runtime/board.js:1200,1210,1221) 괜찮습니다. --port 파싱도 값 누락·비수치 모두 NaN으로 떨어져 검증에 걸립니다. 2칸 K&R 스타일은 protocol.mjs·render.mjs·update.mjs와 같아 레포 컨벤션에 맞습니다. 서버 저장 경로가 verify를 건너뛰는 건 앞단 validateEnvelope가 막으니 의도적 선택으로 보고 넘겼습니다.