fix: 분리 검수 2라운드 — 중복 결제(대사 게이트·탭 갱신)·billing=null 원인 분리·codex MCP 안내/권한

[beyondworks]

분리 검수(다른 컨텍스트)가 찾은 것들이다. 자기 검수로는 못 잡았다.

2라운드로 진행됐다. 1라운드 수정(1108558)을 다시 분리 검수 2건(정합성/회귀 · 결제/신뢰경계)에 걸었더니 그 수정 자체에서 HIGH 2건이 나왔다. 같은 계열 갭은 한 번에 안 닫힌다는 이 레포의 실측이 또 맞았다.

---

1라운드 — 1108558

MED-1 · 중복 결제 유인 — bill=null이면 plan이 기기 스코프 sync.plan으로 폴백(acctPlan ?? sync?.plan)하는데, /api/me/billing이 null을 주는 순간 !bill?.hasSub가 무조건 참이 돼 실구독자에게도 "미리 구독하세요" + 결제 버튼이 떴다. → bill && 요구.

크루 MCP 범위 무력화 (v0.1.41 유입) — 카드의 mcp: 범위가 안내 목록만 거르고 실제 주입은 안 걸러, 범위를 좁혀도 codex 크루가 회사의 모든 서버를 config.toml로 받았다. SDK 경로와 동일 규칙으로 통일.

HIGH-2 — 데크의 deck.budgetStop도 제거된 설정 화면을 가리켰다(#262는 src/*.mjs만 고쳤다).
LOW — settings.budget 死키 3개 제거 / settings 재조회의 lang 의존 제거(cmd+/ 전환이 입력 중이던 회사 이름을 되돌렸다).

---

2라운드 — 1라운드 수정을 검수해서 나온 것

819659f · HIGH-1 — bill &&는 정작 위험한 창을 못 막았다

bill && 가드는 bill이 없을 때만 막는다. 실제 위험은 bill이 있는데 hasSub가 false로 굳는 쪽이고, 부여 Pro 44계정이 거기 갇혀 있었다.

유실 대사 게이트가 if (proRowActive(cur)) return false인데 proRowActive는 구독 유무를 안 본다. 부여 Pro(plan=pro·ends_at=null·구독 식별자 없음)는 항상 참 → 대사가 영구히 꺼짐 → 결제 후 웹훅 1건만 유실돼도(LS 재시도는 3회·155초가 전부) hasSub=false가 굳어 이미 낸 사람에게 결제 카드가 계속 뜬다.

게이트 판정을 reconcileUnneeded(유효 pro 그리고 구독 식별자 존재)로 분리. 자격 판정은 여전히 proRowActive 하나만 쓴다. 좁히는 방향이라 2026-07-30 검수가 잠근 "만료 pro 복구"와 같은 편이고, 대사는 승격 전용이라 강등 위험 없음. 호출량은 쿨다운 2컬럼이 그대로 막는다.

88fa853 · MED-A/MED-B — billing=null이 네 원인을 뭉갰다

클라우드 미구성 · 미로그인/게스트 · 조회 수단 없음 · 조회 예외가 전부 같은 null이라, 일시 장애가 "계정 없음"으로 읽혔다 → 기기 스코프 폴백으로 남의 Pro 배지가 뜨고(2026-08-05 실사고와 같은 계열) 앱의 유일한 체크아웃 표면이 조용히 사라졌다. 클라이언트는 1회성 fetch에 .catch(() => {})라 재시도도 없었다.

라우트가 reason을 내린다 — no-cloud·unauthenticated는 계정이 없는 정상 상태라 기기값 폴백이 옳고, unavailable은 계정이 있을 수 있으므로 메우지 않고 화면이 "못 불러왔다"고 말한다.

MED-B도 같이: bill && 요구가 granted 분기에만 있어 paywalled·free 갈래는 여전히 기기값으로 결제 CTA를 그렸다(공용 PC에서 실구독자에게 두 번째 결제를 권하는 경로).

4c139db · HIGH-2 — 결제하고 돌아온 탭이 갱신 안 됐다

체크아웃은 target=_blank라 결제가 다른 탭에서 끝나는데 billing은 폴링이 없다. 부여 Pro는 대사가 안 돌던 코호트라 돌아와도 결제 버튼이 그대로 남았고, 재클릭이 두 번째 구독을 만든다(대사의 중복 귀속 가드는 귀속만 막지 청구는 못 막는다). 탭 복귀(visibilitychange·focus)를 재조회 신호로, 5초 내 중복은 접는다.

628fc5f · MED-C/MED-2 — 안내가 거짓, 토큰이 느슨하게 저장

codex는 v0.1.41부터 실제로 MCP를 받는데 화면은 "CLI 러너에서는 실행되지 않는다"고 말했다 — 이 PR 1라운드가 범위 지정을 codex 주입에 걸어 놓고 바로 그 UI 밑에 "어차피 안 돈다"가 뜨는 상태였다. 판정을 kind가 아니라 MCP를 실제로 받는가(r.mcp)로 바꿨다.

config.toml에 MCP env 토큰이 평문으로 실리는데 기본 모드로 쓰였다(mcp.json은 #258로 0600). → 0600 + 베이스 codex-home 0700. Windows는 POSIX 모드가 없어 미적용(테스트에 사유 명시). 덤으로 살균 후 이름 충돌 시 TOML 중복 테이블 → 턴 사망을 막는다.

87220cd · MED-D — 테스트가 행동이 아니라 코드 텍스트를 잠그고 있었다

식별자 이름과 줄바꿈 배치까지 고정해 정당한 리팩터에 거짓 red를 냈다(실제로 이번 배치에서 터졌다). scopeServers() 순수 헬퍼로 뽑고 값으로 잠근다. billing-cta의 구조 검사는 SyncCard 조각이 안 끊겨 버튼 단언이 항상 참이던 것도 고쳤다.

---

검증

테스트 900건 fail 0(시작 시 896) · next build 통과 · 변경 파일 eslint 0 · 새 가드 6종 각각 변이 확인(되돌리면 red).

브라우저 실측 (격리 dev :3199 + 임시 ARGO_ROOT — 실데이터·상주 :3001 미접촉):

• 라우트가 세 reason을 실제로 내림
• unavailable 상태에서 안내 + "다시 시도"만 뜨고 결제 버튼 없음 — 한국어·영어 양쪽
• "다시 시도" 클릭 → 재조회 → 안내 사라짐(리로드 없이)
• 탭 복귀 재조회 1건 → 5초 내 중복 접힘 → 쿨다운 후 2건
• /api/runners에 codex mcp=true, 나머지 false / 마켓 배너 새 문구 노출

미검증 (미완으로 취급)

실계정·실구독·실웹훅 유실 재현 없음(상태만 강제 주입) · codex 실턴 미실행 · 크루 카드 경고 화면은 픽스처 부재로 데이터까지만 · Windows·리눅스·설치본 웹뷰 축 미실측.

범위에서 뺀 것

billingCta 배선. 7상태 중 4개(granted·manage·past-due·trial)를 이 환경에서 띄울 수 없어, 관측 못 하는 상태의 렌더를 한꺼번에 바꾸는 게 더 위험하다고 판단했다. 결정표는 그대로 두고 entitlement.mjs 주석의 "DOM 실측 가능할 때" 조건을 유지.

남은 LOW (v0.1.43 범위 판단 필요)

예산 강제는 살아 있고 편집 UI만 사라진 건 · 범위 이름 대소문자 무음 실패 · 422 로그가 정작 422 낼 값을 안 남김 · 가격 표기 불일치(버튼 $12 vs entitlement.mjs 주석 $16) · 포털 폴백 막다른 길 · Settings의 lang 미사용 변수.

---

중요: 발행된 v0.1.42는 743b84d에서 빌드됐다 — #261·#262와 이 PR은 바이너리에 없다. 다음 발행(v0.1.43)에 실린다.

🤖 Generated with Claude Code