v1.10.88 품질·보안 개선과 미디어 카탈로그 database 전환을 반영한다.

세션·로그인 제한, ZIP/업로드 스트리밍, CSP 최소 강제와 Report-Only, Playwright 격리 검증을 추가하고 미디어 목록을 reconcile 후 database 모드로 고정한다.

Co-authored-by: Cursor <cursoragent@cursor.com>

tests/playwright/e2e/admin-publish.spec.js

@@ -0,0 +1,38 @@
+import { expect, test } from '@playwright/test'
+
+test('관리자가 로그인해 게시물을 발행하고 공개 화면에서 확인한다', async ({ page }) => {
+  const title = 'Playwright E2E Post'
+  const slug = 'playwright-e2e-post'
+
+  await page.goto('/admin/login')
+  await page.getByLabel('이메일').fill('playwright-admin@example.com')
+  await page.locator('input[type="password"]').fill('playwright-admin-password')
+
+  await Promise.all([
+    page.waitForResponse((response) =>
+      response.url().endsWith('/admin/api/auth/login') && response.status() === 200
+    ),
+    page.getByRole('button', { name: '로그인' }).click()
+  ])
+  await page.waitForURL(/\/admin(?:\/)?$/)
+
+  await page.goto('/admin/posts/new')
+  await page.waitForLoadState('networkidle')
+  await page.getByPlaceholder('제목').fill(title)
+  await expect(page.getByPlaceholder('제목')).toHaveValue(title)
+
+  const publishResponsePromise = page.waitForResponse((response) =>
+    response.url().endsWith('/admin/api/posts')
+      && response.request().method() === 'POST'
+      && response.status() === 200
+  )
+  await expect(page.getByRole('button', { name: 'Publish', exact: true })).toBeEnabled()
+  await page.getByRole('button', { name: 'Publish', exact: true }).click()
+  await expect(page.getByRole('heading', { name: '발행' })).toBeVisible()
+  await page.getByRole('button', { name: '최종 확인하고 저장 →' }).click()
+  await publishResponsePromise
+  await page.waitForURL(/\/admin\/posts\/[0-9a-f-]+$/)
+
+  await page.goto(`/post/${slug}`)
+  await expect(page.getByRole('heading', { name: title, exact: true })).toBeVisible()
+})