feat: 데스크톱 배포 파이프라인 + 폐쇄망 모드 + 지식·측정 커버리지 확장

.claude-plugin/marketplace.json

@@ -1,6 +1,6 @@
 {
   "name": "sapstack",
-  "version": "2.4.0",
+  "version": "2.4.1",
   "description": "SAP Enterprise Operations Platform — 20 plugins, 16 agents, 18 commands, MCP Server (20+ tools, 5 prompts), VS Code Extension, NPM, Compliance (K-SOX/SOC2/ISO27001/GDPR), exceptions/hooks/country/bridge frameworks, 55+ IMG guides, 43+ Best Practices, 7 country localizations, 6 languages",
   "author": "BoxLogoDev",
   "license": "MIT",

.cody/rules.md

@@ -16,7 +16,7 @@
 Repository: https://github.com/BoxLogoDev/sapstack
 
 <!-- BEGIN sapstack-auto: stats -->
-- **sapstack 버전**: v2.4.0
+- **sapstack 버전**: v2.4.1
 - **플러그인**: 24개
 - **서브에이전트**: 20개
 - **슬래시 커맨드**: 22개

.gitattributes

@@ -0,0 +1,35 @@
+# 기본: 텍스트 파일은 저장소에 LF 로 저장한다.
+* text=auto
+
+# 아래 확장자는 작업트리에서도 LF 를 강제한다.
+#
+# core.autocrlf=true 인 Windows 개발 환경에서는 체크아웃 시 CRLF 로 변환되는데,
+# 셸 게이트가 쓰는 정규식(awk 의 /^---$/ 등)은 줄 끝의 \r 때문에 매치되지 않는다.
+# 그러면 같은 커밋을 로컬(CRLF)과 CI(LF)에서 검사한 결과가 달라진다.
+# 실제로 check-ecc-s4-split 이 로컬에서만 통과하고 CI 에서 실패한 적이 있다.
+# 게이트는 어디서 돌리든 같은 답을 내야 한다.
+#
+# .sh 는 특히 중요하다. CRLF 면 shebang 해석까지 깨질 수 있다.
+*.sh text eol=lf
+*.mjs text eol=lf
+*.md text eol=lf
+*.yaml text eol=lf
+*.yml text eol=lf
+*.json text eol=lf
+
+# 확장자가 없어 위 규칙에 걸리지 않는 호환 레이어 파일.
+# build-multi-ai.sh 의 sync block 을 담고 있어, CRLF 로 체크아웃되면
+# awk 가  을 떨어뜨린 LF 출력을 내놓아 전 라인이 drift 로 잡힌다.
+.windsurfrules text eol=lf
+
+# 바이너리 — 줄바꿈 변환 대상이 아니다.
+*.png binary
+*.jpg binary
+*.jpeg binary
+*.gif binary
+*.ico binary
+*.icns binary
+*.tiff binary
+*.pdf binary
+*.vsix binary
+*.tgz binary

.github/workflows/ci.yml

@@ -18,7 +18,7 @@ jobs:
       - name: Setup Node.js
         uses: actions/setup-node@v4
         with:
-          node-version: '20'
+          node-version: "20"
 
       - name: Install jq
         run: sudo apt-get update && sudo apt-get install -y jq
@@ -81,6 +81,11 @@ jobs:
           node scripts/generate-asset-manifest.mjs --check
           node scripts/check-doc-stats.mjs
 
+      # 릴리스를 막는 게이트 로직 자체의 회귀 방지. 파일은 있었으나
+      # 어느 워크플로에서도 실행되지 않고 있었다.
+      - name: Test eval quality gate logic
+        run: node --test scripts/eval/check-gate.test.mjs
+
   runtime-contract:
     name: Runtime & MCP (${{ matrix.os }}, Node ${{ matrix.node }})
     runs-on: ${{ matrix.os }}
@@ -112,7 +117,7 @@ jobs:
       - uses: actions/checkout@v4
       - uses: actions/setup-node@v4
         with:
-          node-version: '20'
+          node-version: "20"
       # mcp/tsconfig.json 이 ../packages/runtime/src 를 함께 컴파일한다.
       # runtime 소스의 import 는 packages/runtime/node_modules 에서 해석되므로
       # 여기를 설치하지 않으면 prepack 의 tsc 가 js-yaml/ajv 를 못 찾는다.
@@ -131,7 +136,7 @@ jobs:
       - uses: actions/checkout@v4
       - uses: actions/setup-node@v4
         with:
-          node-version: '20'
+          node-version: "20"
       # 루트에 package-lock.json 이 없어서, 워크스페이스 루트로 올라가면
       # extension/package-lock.json 을 두고도 lockfile 을 못 찾는다.
       - working-directory: extension
@@ -146,18 +151,35 @@ jobs:
       - uses: actions/checkout@v4
       - uses: oven-sh/setup-bun@v2
         with:
-          bun-version: '1.3.14'
+          bun-version: "1.3.14"
       - uses: actions/setup-node@v4
         with:
-          node-version: '20'
+          node-version: "20"
       # electron 의 tsc 는 packages/runtime/src 까지 들어간다. runtime 소스의
       # import 는 packages/runtime/node_modules 에서 해석되므로 함께 설치한다.
       - name: Install runtime dependencies
         working-directory: packages/runtime
         run: npm ci --workspaces=false
       - working-directory: apps/desktop
         run: bun install --frozen-lockfile --ignore-scripts
+      # --ignore-scripts 는 electron 의 postinstall(바이너리 다운로드)까지 건너뛴다.
+      # 그러면 `electron-log/main` 이 로드 시점에 electron 을 require 하다
+      # "Electron failed to install correctly" 로 죽고, 그 모듈을 import 하는
+      # 테스트 파일이 통째로 실패한다. 테스트는 Electron 을 실행하지 않고
+      # 경로만 필요로 하므로 postinstall 만 따로 돌린다.
+      - name: Install Electron binary (postinstall skipped above)
+        working-directory: apps/desktop
+        run: node node_modules/electron/install.js
       - working-directory: apps/desktop
         run: bun run typecheck:shared
       - working-directory: apps/desktop
         run: bun run typecheck:electron
+
+      # 관찰 모드(continue-on-error)로 확보한 판정: ubuntu 실패 32건은
+      # 브라우저 자동화 스위트(feature flag 로 기본 off, 스위트도 함께 skip)와
+      # 환경 의존이던 refreshConnectionRuntime 테스트(hermetic 픽스처로 고정)
+      # 였다. 둘 다 처리됐으므로 정식 게이트로 승격한다. Windows 전용 실패
+      # 39건은 ubuntu 러너와 무관하다.
+      - name: Run desktop tests
+        working-directory: apps/desktop
+        run: bun test

.github/workflows/release.yml

@@ -3,15 +3,67 @@ name: sapstack Release
 on:
   push:
     tags:
-      - 'v*'
+      - "v*"
 
 permissions:
   contents: write
   packages: write
 
 jobs:
+  desktop-windows:
+    name: Desktop installer (Windows)
+    runs-on: windows-latest
+
+    steps:
+      - name: Checkout
+        uses: actions/checkout@v4
+
+      - uses: oven-sh/setup-bun@v2
+        with:
+          bun-version: "1.3.14"
+
+      - uses: actions/setup-node@v4
+        with:
+          node-version: "20"
+
+      # electron 의 tsc 는 packages/runtime/src 까지 들어간다. runtime 소스의
+      # import 는 packages/runtime/node_modules 에서 해석되므로 함께 설치한다.
+      - name: Install runtime dependencies
+        working-directory: packages/runtime
+        run: npm ci --workspaces=false
+
+      - name: Install desktop dependencies
+        working-directory: apps/desktop
+        run: bun install --frozen-lockfile --ignore-scripts
+
+      # build-win.ps1 이 Windows 빌드 전체를 담당한다: bun 바이너리 다운로드(SHA 검증) →
+      # 루트 node_modules 에서 SDK 복사 + claude-agent-sdk-binary alias 생성 →
+      # ripgrep/interceptor 복사 → electron 빌드 → electron-builder --win → 설치파일 검증.
+      # electron-builder 를 직접 호출하면 alias 가 없어 extraResources 복사가 깨진다
+      # (electron-builder.yml 118행 주석 참조).
+      - name: Build Windows installer
+        working-directory: apps/desktop/apps/electron
+        run: powershell -ExecutionPolicy Bypass -File scripts/build-win.ps1
+        env:
+          # 코드 서명 인증서가 secret 으로 설정돼 있으면 electron-builder 가 자동 서명한다.
+          # 없으면 서명 없이 빌드되고 설치 시 SmartScreen 경고가 뜬다.
+          CSC_LINK: ${{ secrets.WINDOWS_CSC_LINK }}
+          CSC_KEY_PASSWORD: ${{ secrets.WINDOWS_CSC_KEY_PASSWORD }}
+
+      - name: Upload installer artifact
+        uses: actions/upload-artifact@v4
+        with:
+          name: desktop-windows
+          # latest.yml 은 electron-updater 가 새 버전을 판별하는 매니페스트다.
+          # Release 에 함께 올라가지 않으면 자동 업데이트가 동작하지 않는다.
+          path: |
+            apps/desktop/apps/electron/release/*.exe
+            apps/desktop/apps/electron/release/latest*.yml
+          if-no-files-found: error
+
   release:
     name: Build & Release
+    needs: [desktop-windows]
     runs-on: ubuntu-latest
 
     steps:
@@ -23,8 +75,8 @@ jobs:
       - name: Setup Node.js
         uses: actions/setup-node@v4
         with:
-          node-version: '20'
-          registry-url: 'https://registry.npmjs.org'
+          node-version: "20"
+          registry-url: "https://registry.npmjs.org"
 
       - name: Extract version from tag
         id: version
@@ -90,6 +142,12 @@ jobs:
           bash scripts/generate-release-notes.sh "${{ steps.version.outputs.version }}" > RELEASE_NOTES.md
           echo "notes_file=RELEASE_NOTES.md" >> $GITHUB_OUTPUT
 
+      - name: Download desktop installer
+        uses: actions/download-artifact@v4
+        with:
+          name: desktop-windows
+          path: desktop-dist
+
       - name: Create GitHub Release
         uses: softprops/action-gh-release@v2
         with:
@@ -101,3 +159,5 @@ jobs:
           files: |
             mcp/*.tgz
             extension/*.vsix
+            desktop-dist/*.exe
+            desktop-dist/latest*.yml

.prettierignore

@@ -0,0 +1,15 @@
+# apps/desktop 은 craft-ai-agents/craft-agents-oss (Apache-2.0) 파생이고
+# 자체 eslint 체계(apps/desktop/apps/electron/eslint.config.mjs)와
+# 자체 코드 스타일(세미콜론 없음, 작은따옴표)을 쓴다.
+#
+# 루트에 prettier 설정이 없어 포맷터가 기본값(세미콜론·큰따옴표)으로 재포맷하면
+# upstream 스타일과 어긋나 동기화 diff 가 폭발한다. 실제로 주석 3줄을 고쳤을 때
+# index.ts 가 1,690줄 diff 로 부풀었다.
+#
+# upstream 코드는 upstream 규칙으로 관리한다.
+apps/desktop/
+
+# 생성물
+**/dist/
+**/release/
+**/node_modules/

.windsurfrules

@@ -1,57 +1,31 @@
 # Windsurf / Codeium Rules for sapstack
 
-> Project-wide instructions for **Windsurf (Codeium)** AI assistant.
-> Windsurf reads `.windsurfrules` automatically from the project root.
+> **Read `AGENTS.md` first.** It is the single source of truth for this
+> repository: Universal Rules, Korean field language, response modes
+> (Quick Advisory / Evidence Loop), plugin and subagent routing, the
+> compatibility matrix, and the reference map. Nothing on this page repeats it.
 >
-> For Claude Code users: `plugins/*/skills/*/SKILL.md`.
-> For Codex/Kiro users: `AGENTS.md`.
-> For Copilot users: `.github/copilot-instructions.md`.
-> For Cody users: `.cody/rules.md`.
-
----
-
-## Project: sapstack
-
-SAP operations advisory plugin collection — 24 SAP modules covering FI, CO, TR, MM, SD, PP, HCM, SFSF, ABAP, S4-Migration, BTP, BASIS, BC, PM, QM, EWM, GTS, IBP, SAC, Ariba, Integration Cloud, plus meta plugins.
+> Windsurf reads `.windsurfrules` automatically from the project root, so this
+> file carries only Windsurf-specific routing.
 
 Repository: https://github.com/BoxLogoDev/sapstack
 
 <!-- BEGIN sapstack-auto: stats -->
-- **sapstack 버전**: v2.4.0
+- **sapstack 버전**: v2.4.1
 - **플러그인**: 24개
 - **서브에이전트**: 20개
 - **슬래시 커맨드**: 22개
 <!-- END sapstack-auto: stats -->
 
-## Universal Rules (mandatory)
-
-1. NEVER hardcode company codes, G/L accounts, cost centers, org units.
-2. ALWAYS ask for environment first: SAP Release (ECC EhP / S/4HANA year), Deployment (On-Prem / RISE / Cloud PE), Industry sector, Company code.
-3. ALWAYS distinguish ECC vs S/4HANA where behavior differs.
-4. Transport request mandatory for any config change.
-5. No production changes without simulation/test run.
-6. No SE16N data edits in production.
-7. Always provide T-code AND menu path.
-
-## Korean Field Language
-
-When responding in Korean:
-- Use 외래어 as primary: "코스트 센터", "페이먼트 메소드", "트포", "미고"
-- Annotate on first occurrence: "코스트 센터 (원가센터, KOSTL)"
-- Accept conversational patterns: "돌렸는데", "뜨네요", "안 돼요"
-- Keep T-codes and abbreviations as-is (F110, PO, GR, MIGO)
-
-## Response Modes
-
-- **Quick Advisory** for factual questions: Issue → Root Cause → Check → Fix → Prevention → SAP Note
-- **Evidence Loop** for incident diagnosis: Turn 1 INTAKE → Turn 2 HYPOTHESIS → Turn 3 COLLECT → Turn 4 VERIFY (see `plugins/sap-session/skills/sap-session/SKILL.md`)
-
 ## Windsurf-Specific Tips
 
 - Use Cascade chat to reference SKILL.md files: `@plugins/sap-fi/...`
 - For multi-file SAP context, mention `data/tcodes.yaml`, `data/symptom-index.yaml`, `data/synonyms.yaml`
 - The `references/ko/quick-guide.md` (and other languages) under each plugin provides compressed quick-reference
 
-## References
+## Other AI tools
 
-Universal rules source of truth: `CLAUDE.md` (repo root).
+- Claude Code: `AGENTS.md` + `CLAUDE.md` + `plugins/*/skills/*/SKILL.md`
+- Codex / Kiro: `AGENTS.md`
+- Copilot: `.github/copilot-instructions.md`
+- Cody: `.cody/rules.md`