Skip to content

[Release] PAT 쓰기를 에이전트용 다섯 개로 좁힌다 [ #453 #451 ] - #455

Merged
dldnsgkr merged 3 commits into
mainfrom
develop
Oct 15, 2026
Merged

dldnsgkr merged 3 commits into
mainfrom
develop

Conversation

@dldnsgkr

@dldnsgkr dldnsgkr commented Oct 15, 2026 •

Copy link
Copy Markdown
Collaborator

develop → main. 3커밋. 운영 런타임 변경은 JwtAuthenticationFilter 1파일 + IssueApiTokenRequest Swagger 설명(동작 무관), Flyway 추가 없음.

담긴 것

내용
#453 WRITE PAT 의 쓰기를 5개(배포 생성·재시도, 환경변수 추가·수정, 도메인 추가)로 좁힌다. 나머지 쓰기는 403
#451 agent-tools 문서: npm 미배포를 사용법 앞에 적는다(문서만)
— 10-05 릴리스 현황·세션 인계 정리(문서만)

사용자에게 무엇이 달라지나

  • 브라우저 로그인: 변화 없음
  • WRITE PAT: 승인/거절, 토큰 발급·폐기, AI 키·클라우드 연결 변경, 삭제·종료, 예산 변경이 403 으로 막힌다. 전에는 서버가 받아 줬다
  • CLI/MCP: 쓰는 쓰기가 전부 허용 목록 안이라 영향 없음(테스트가 클라이언트 소스와 대조)
  • FE 발급 패널 WRITE 설명은 이미 이 범위와 일치

검증

  • develop CI·dev 배포 성공(f3a4428)
  • 되돌리기 검증: 검사 제거 → 2건 실패, 목록 한 줄 제거 → 2건 실패

🤖 Generated with Claude Code

dldnsgkr and others added 3 commits October 5, 2026 15:07
§0 이 세 릴리스만큼 뒤처져 있었다. develop == main 이고 오늘 다섯 번 나갔다.

ROADMAP 에 다음 세션이 볼 것을 남겼다 — 코드로 할 것은 비어 있고, 남은 셋은
사용자 손(설치 재승인·Cloudflare)과 측정 선행(#344 9-2)이다. #413 토큰 전환은
하지 않기로 결론났다.

오늘 네 번 나온 "전제가 틀렸다" 도 적었다. #332·#344·#154 는 끝난 일을 안
끝났다고 기록하고 있었고 #413 은 축소 대상이 엉뚱했다. 전부 이슈·문서를 먼저
읽고 코드를 나중에 본 탓이고, #154 는 그 때문에 사용자에게 불필요한 결정을
물었다.

Co-authored-by: Claude Opus 5 (1M context) <noreply@anthropic.com>
MCP·CLI 가 실사용 불가 상태였다. @qeploy/client·mcp·cli 가 npm 에 없는데
(레지스트리 404) README 의 사용법이 npx @qeploy/... 를 되는 것처럼 안내했고,
FE 의 PAT 화면이 그걸 그대로 옮겼다. README 는 배포 보류를 의도적으로 적고
있었다("오픈소스 공개를 결정할 때") — 의도와 사용법 문단이 서로 어긋나 있었다.

README 사용법 앞에 미배포 경고와 소스에서 실행하는 방법을 넣었다. 그 명령은
실제로 돌려 확인했다 — MCP 서버가 initialize 에 qeploy 0.1.0 으로 답하고
tools/list 로 읽기 도구 11개를 낸다(쓰기 도구는 QEPLOY_ENABLE_WRITES 없이는
숨는다, 설계대로). 처음 확인할 때 출력이 비어 서버 문제로 읽을 뻔했는데
macOS 에 timeout 명령이 없어서였다 — node 로 직접 대화해 다시 쟀다.

스코프 없는 npm "qeploy" 는 남의 패키지(중국 Qiniu 배포 CLI, 2018)라는 것도
적었다. 어디에도 그 이름을 안내하면 안 된다.

함께 고친 것:
- IssueApiTokenRequest.expiresInDays Swagger 설명이 스코프 무관하게 "생략 시
  90일, 최대 365일" 이었다. WRITE 는 기본 30·최대 90 이다. FE 는 이 설명을
  따르지 않고 실제 코드에 맞게 짰다
- FRONTEND_API_GUIDE 가 FE 정본을 Dvely_FE_test 로 적고 있었다. 그 저장소는
  7-19 이후 멈춰 있고 정본은 Dvely_FE 다. API_TEST_FLOW.md 는 구 저장소에만
  있어 경로는 두고 "정본" 표현만 고쳤다
- 설계 문서 상태줄에 "npm 미배포 — 실사용 불가" 를 넣었다

Co-authored-by: Claude Opus 5.5 <noreply@anthropic.com>
WRITE PAT 가 브라우저 로그인과 같은 쓰기 권한이어서, 승인 결정·PAT 재발급·AI 키/AWS 연결 교체·삭제가
서버에서 막히지 않았다. "에이전트에 노출하지 않는다" 는 MCP 가 도구를 안 만든 것으로만 지켜졌다.

허용 목록(배포 생성·재시도, 환경변수 추가·수정, 도메인 추가)만 통과시키고 나머지 쓰기는 403.
agent-tools 클라이언트의 쓰기 호출이 목록 밖으로 나가면 테스트가 깨진다.

Co-authored-by: Claude Opus 5.5 <noreply@anthropic.com>
@dldnsgkr
dldnsgkr merged commit aeea6a6 into main Oct 15, 2026
3 checks passed
Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment

Labels

None yet

Projects

None yet

Development

Successfully merging this pull request may close these issues.

1 participant