운영 의존성 보안 업데이트

docs/deploy.md

@@ -1,7 +1,7 @@
 # 배포 가이드
 
 > v1.11.0은 v1.10 개발 구간을 마감한 minor 릴리스다. 운영 배포 전 `068_csp_violation_aggregates.sql`, `069_media_catalog.sql`, `070_post_import_jobs.sql`을 순서대로 적용하고 미디어 카탈로그는 reconcile 완료 후 `MEDIA_CATALOG_MODE=database` 고정 순서를 지킨다. 게시물 Export·Import·일반 업로드는 디스크·임시 디렉터리 스트리밍을 사용하므로 NAS 앱 컨테이너의 임시 저장 공간과 `public/uploads/exports`, `public/uploads/_import-jobs` 쓰기 권한을 확인한다.
-> 로컬 기준 v1.11.2에서 `npm run lint`와 `npm run build` 검증을 통과했다.
+> 로컬 기준 v1.11.128에서 `npm run lint`, `npm test`, `npm run build`, `npm audit` 검증을 통과했다.
 
 ## 빌드 유형
 

docs/history.md

@@ -1,3 +1,7 @@
+## 2026-07-29 v1.11.128 — 이미지 처리 의존성은 검증 가능한 업데이트로 올린다
+
+운영 의존성 audit에서 직접 이미지 처리 경로인 `sharp`와 압축·빌드 전이 의존성인 `tar`, `brace-expansion` 경고가 다시 확인됐다. `sharp`는 업로드·썸네일 생성에 직접 영향을 주므로 단순 버전 변경만 하지 않고 게시물 카드, 본문 표시용, 페이지 커버 WebP를 실제 생성하는 스모크 테스트를 함께 추가한다. `tar`와 `brace-expansion`은 상위 패키지의 다음 릴리스를 기다리는 동안 npm `overrides`로 패치 버전을 고정해 운영 설치 결과가 취약 버전으로 되돌아가지 않게 한다.
+
 ## 2026-07-29 v1.11.127 — 미디어 카탈로그 전환 관찰 모드는 정리한다
 
 미디어 카탈로그는 개발과 운영 전환 과정에서 reconcile과 `shadow` 비교를 거쳐 `database` 모드로 고정하는 흐름을 사용했다. 이제 런타임 전환 UI가 제거되고 운영 계약도 환경 변수 기반으로 굳었으므로, 계속 사용하지 않는 `shadow` 비교 분기는 관리자 미디어 조회의 부수 로그와 비동기 DB 조회만 남긴다. 따라서 허용 모드는 `filesystem`과 `database`로 축소하고, `database` 준비 실패 시 파일시스템 목록으로 되돌아가는 안전 fallback만 유지한다.

docs/map.md

@@ -184,6 +184,7 @@
 | tests/multipart-file-upload.test.js | multipart 스트리밍·제한 단위 회귀 테스트 |
 | tests/csp-report.test.js | CSP URL 최소화·payload 형식 단위 회귀 테스트 |
 | tests/media-catalog.test.js | 미디어 URL·역할·참조·LIKE 이스케이프 단위 회귀 테스트 |
+| tests/sharp-image-processing.test.js | Sharp 기반 게시물 카드·본문·페이지 커버 WebP 파생 이미지 생성 스모크 테스트 |
 | tests/markdown-table.test.js | Markdown 표 행·정렬·블록 파싱 단위 회귀 테스트 |
 | tests/admin-pagination.test.js | 관리자 페이지네이션 페이지 보정·ellipsis 항목 단위 테스트 |
 | tests/playwright/api/core-api.spec.js | 인증·부분 설정 저장·공개 목록·CSP·미디어 reconcile/fallback·세션 무효화 API 통합 10건 |

docs/todo.md

@@ -2,8 +2,6 @@
 
 ## v1.11 내부 개선
 
-- 운영 의존성 보안 업데이트 검토.
-  - `sharp <0.35.0` audit 경고는 breaking change 가능성이 있어 별도 검증 브랜치에서 이미지 업로드·썸네일 생성·본문 이미지 백필까지 확인 후 업데이트.
 - 문서 구조 정리.
   - `docs/update.md` 장기 누적 이력은 최신 작업 중심으로 유지하고 오래된 상세 이력은 역할에 맞게 분리하는 방안 검토.
 

docs/update.md

@@ -1,5 +1,11 @@
 # 업데이트 이력
 
+## v1.11.128
+
+- `sharp`를 `0.35.3`으로 업데이트하고 `tar`·`brace-expansion` 전이 의존성을 `overrides`로 보안 패치 버전에 고정.
+- 게시물 카드·본문·페이지 커버 WebP 파생 이미지 생성 스모크 테스트 추가.
+- 운영 의존성 `npm audit` 취약점 0건 확인.
+
 ## v1.11.127
 
 - 미디어 카탈로그 조회 모드에서 전환 관찰용 `shadow` 모드 제거.