Task #54: v0.4.1 release preparation and Trusted Publishing

[postmelee]

요약

• 대상 타스크: Task M04x: v0.4.1 release preparation and Trusted Publishing #54 v0.4.1 release preparation과 Trusted Publishing gate 확정
• 왜: PR #53의 experimental custom pet/Full Profile v2를 검증된 npm artifact로 제공하기 위해 version surface와 post-merge release 순서를 고정합니다.
• 무엇: 승인된 9개 package/runtime/test version surface만 0.4.1로 갱신하고 178-test, 28-file package, preflight와 external-state gate를 검증했습니다.
• 리뷰 포인트: Stable/root 계약과 문서 diff zero, experimental opt-in patch 분류, PR merge 후 별도 tag/publish 승인 경계를 확인해 주세요.

변경 내역

• Stage 1 — Version surface를 0.4.1로 일치 (2425ae1): package, CLI/SDK와 stable/experimental client version 및 대응 test assertion만 갱신했습니다.
• Stage 2 — M04x package release readiness 검증 (41a72cc): 178 regression, 28-file candidate, 23-file published baseline, no-auth smoke와 advisory preflight를 통과했습니다.
• Stage 3 — Pre-release 통합 검증과 runbook 확정 (8c93319): 최신 main, strict pre-tag 단일 failure, 외부 release state 부재와 OIDC boundary를 확인했습니다.

영향 영역

영역	변경	리뷰 포인트
Version metadata	0.4.0에서 0.4.1로 9개 source/test surface 갱신	Historical marker 전역 치환 없이 exact allowlist인지 확인
Release operation	Trusted Publishing과 post-merge gate 문서화	PR merge 전 tag/publish 없음, 별도 실행 승인 유지
Stable/experimental boundary	제품 기능과 schema 변경 없음	Default/root SDK 불변, pet은 explicit experimental opt-in

작업 문서

• 수행 계획서: task_m04x_54.md
• 구현 계획서: task_m04x_54_impl.md
• 최종 보고서: task_m04x_54_report.md

핵심 리뷰 포인트

• Product diff가 package.json과 8개 version source/test 파일로만 제한되고 Account Usage, Full Profile v1/v2, pet runtime/schema, root SDK와 README/docs는 불변입니다.
• 일반 compatible-feature minor 분류와 달리 stable/root 계약 불변과 experimental opt-in이라는 작업지시자 결정으로 0.4.1 patch를 사용합니다.
• 이 PR에는 Issue close keyword가 없으며 merge 후에도 별도 승인 전 tag, workflow dispatch, npm publish, GitHub Release와 cleanup을 수행하지 않습니다.

검증

자동 검증

주제	검증 방법	결과	근거
전체 regression	npm test	OK	178 tests, 178 pass, 0 fail
Package artifact	isolated-cache npm pack --dry-run --json 구조 검사	OK	0.4.1, 28 files, 신규 pet/v2 artifact 5개 포함, forbidden 0개
Published before baseline	npm pack codex-usage-analyzer@0.4.0 --dry-run --json	OK	23 files, 신규 pet/v2 artifact 5개 미포함
Dependency 경계	package metadata와 lockfile 검사	OK	files allowlist 20개, runtime/dev dependency 0/0, lockfile 없음
Preflight	advisory와 strict release-preflight.js	OK	Advisory FAIL 0/WARN 1; strict는 예상 tag 부재 FAIL 1개만 발생
Product diff	origin/main...HEAD exact allowlist와 protected-path diff	OK	Version source/test 9개만 변경, runtime/schema/docs/workflow/scripts diff zero
Supply chain	publish workflow required/forbidden pattern과 sensitive scan	OK	OIDC, GitHub-hosted runner, Node 24, plain publish; long-lived token/manual provenance 없음

수동/시나리오 검증

시나리오	확인 절차	결과	자료
Account access 없는 CLI	local bin의 --help, --version, profile --help 실행	OK	Version 0.4.1, app-server/account access 없이 종료
README consumer marker	include-pet/key/selector/subpath/v2 schema 문자열 확인	OK	5개 marker 모두 존재
Release mutation gate	local/remote tag, GitHub Release와 publish dispatch 조회	OK	v0.4.1 관련 외부 산출물 0개

CI/원격 검증

항목	결과	근거
최신 origin/main 포함	OK	PR 게시 직전 HEAD..origin/main 0 commits
npm registry baseline	OK	2026-07-19 KST 기준 version/latest 0.4.0
GitHub external state	OK	v0.4.1 tag/Release/Publish Package dispatch 없음

검증 한계

• 이 PR의 CI/CodeQL check는 PR 생성 후 GitHub에서 확인합니다.
• 실제 tag, npm publish, public npx/subpath, registry signature/provenance와 GitHub Release는 merge 후 별도 실행 승인 전까지 의도적으로 미수행입니다.
• Release preparation은 실제 profile/pet endpoint를 다시 호출하지 않고 #52의 actual-pet 검증과 현재 structural regression을 기준으로 합니다.

관련 이슈

• 선행 Issue #52
• 선행 PR #53

후속 이슈 제안

• codex-usage-analyzer@0.4.1 공개 검증 완료 후 Tokenmon의 profile pet opt-in 연동을 별도 downstream task로 등록합니다.

남은 리스크

• npm publish는 irreversible하며 실패 시 같은 0.4.1 재게시나 tag 이동 없이 partial-release 상태에서 후속 patch를 결정해야 합니다.
• Desktop selected state는 항상 존재하지 않을 수 있고 spritesheet animation 계약은 이번 release 범위가 아닙니다.
• PR merge 직후 Issue M04x: v0.4.1 release preparation and Trusted Publishing #54 close/branch cleanup을 하지 않고 post-release 모든 gate 이후에만 수행합니다.