From a7b7c6457382d56376a57ed0f1850dc51accccb1 Mon Sep 17 00:00:00 2001
From: HeuJung <heuristing@gmail.com>
Date: Thu, 20 Aug 2026 17:01:27 +0900
Subject: [PATCH 1/7] =?UTF-8?q?feat(settings):=20=EC=BD=94=EC=96=B4=20?=
 =?UTF-8?q?=EC=95=84=EC=9B=83=EB=B0=94=EC=9A=B4=EB=93=9C=20HTTP=20?=
 =?UTF-8?q?=ED=94=84=EB=A1=9D=EC=8B=9C=20=EC=84=A4=EC=A0=95=20=EC=B6=94?=
 =?UTF-8?q?=EA=B0=80?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

접속 IP 를 제한하는 결제사 API 를 로컬·스테이징에서 연동하려면 서버가
내보내는 요청의 출발지 IP 를 바꿔야 한다. 브라우저 프록시로는 바뀌지 않는
축이라 코어 환경설정으로 도입한다.

게이트는 디버그 모드이며 판정은 OutboundProxy 한 곳이 소유한다. 화면의
조건부 렌더링은 편의일 뿐이라 저장 API 직접 호출을 막지 못하므로, 실질
게이트를 판정 지점에 둔다. 주입·적용 지점은 결과만 소비한다.

적용은 Http::globalOptions 전역 옵션이라 확장의 Http:: 호출까지 함께
경유한다. 외부 연동 규약상 curl 핸들을 직접 다뤄야 하는 확장은
OutboundProxy::curlOptions 로 같은 프록시를 탄다 — KG이니시스 본인인증
승인 요청과 CBT 연결 점검을 이 통로로 편입했다. CBT 의 TCP 443 확인은
원시 소켓으로는 프록시를 태울 수 없어 curl CONNECT_ONLY 로 교체했다.

저장 전 연결 테스트는 저장값이 아니라 제출값을 검사하고, 그 프록시를
거쳤을 때 외부에 보이는 IP 를 함께 보고한다. 운영자가 결제사에 등록할
값이라 저장하고 나서 되짚지 않도록 했다. 적용과 같은 조립을 거치므로
확인한 구성과 저장 후 적용되는 구성이 어긋나지 않는다.
---
 .env.example                                  |   2 +-
 .env.testing.example                          |   2 +-
 CHANGELOG.md                                  |   8 +
 INSTALL.md                                    |   2 +-
 README.ko.md                                  |   2 +-
 README.md                                     |   2 +-
 .../Commands/MigrateSettingsToJsonCommand.php |   2 +
 .../Api/Admin/SettingsController.php          |  31 +-
 .../Requests/Settings/SaveSettingsRequest.php |  17 +
 .../Settings/TestOutboundProxyRequest.php     |  76 +++++
 app/Providers/AppServiceProvider.php          |  27 ++
 app/Providers/SettingsServiceProvider.php     |   6 +
 app/Rules/ValidOutboundProxyUrl.php           |  47 +++
 app/Services/OutboundProxyTester.php          | 116 +++++++
 app/Support/ApiDoc/ParameterDescriber.php     |   2 +
 app/Support/OutboundProxy.php                 | 191 +++++++++++
 config/app.php                                |   2 +-
 config/core.php                               |  21 ++
 config/settings/defaults.json                 |   8 +-
 docs/backend/admin-settings-access.md         |  41 +++
 docs/backend/api/settings.md                  |  76 +++++
 lang-packs/_bundled/g7-core-ja/CHANGELOG.md   |   7 +
 .../g7-core-ja/backend/ja/settings.php        |   6 +
 .../g7-core-ja/backend/ja/validation.php      |  11 +
 .../_bundled/g7-core-ja/language-pack.json    |   2 +-
 .../CHANGELOG.md                              |   6 +
 .../frontend/partial/admin.json               |   7 +
 .../language-pack.json                        |   2 +-
 lang/en/settings.php                          |   6 +
 lang/en/validation.php                        |  11 +
 lang/ko/settings.php                          |   6 +
 lang/ko/validation.php                        |  11 +
 .../sirsoft-pay_kginicis/CHANGELOG.md         |   2 +
 .../sirsoft-pay_kginicis/docs/api/cbt.md      |   4 +-
 .../_bundled/sirsoft-pay_kginicis/plugin.json |   2 +-
 .../AdminCbtConnectivityCheckController.php   |  49 ++-
 .../CHANGELOG.md                              |   7 +
 .../composer.json                             |   2 +-
 .../package.json                              |   2 +-
 .../sirsoft-verification_kginicis/plugin.json |   4 +-
 .../src/Services/InicisGateway.php            |   7 +
 routes/api.php                                |   1 +
 .../_bundled/sirsoft-admin_basic/CHANGELOG.md |   7 +
 ...ettings-outbound-proxy-visibility.test.tsx | 203 +++++++++++
 .../editor-spec/sampleData.json               |   6 +-
 .../lang/partial/en/admin.json                |   7 +
 .../lang/partial/ko/admin.json                |   7 +
 .../admin_settings/_tab_advanced.json         | 213 ++++++++++++
 .../sirsoft-admin_basic/package-lock.json     |   4 +-
 .../_bundled/sirsoft-admin_basic/package.json |   2 +-
 .../sirsoft-admin_basic/template.json         |   2 +-
 .../Settings/OutboundProxySettingTest.php     | 322 ++++++++++++++++++
 .../admin/settings-outbound-proxy.spec.ts     | 152 +++++++++
 tests/Unit/Support/OutboundProxyTest.php      | 258 ++++++++++++++
 tests/scenarios/outbound-http-proxy.yaml      |  51 +++
 55 files changed, 2040 insertions(+), 30 deletions(-)
 create mode 100644 app/Http/Requests/Settings/TestOutboundProxyRequest.php
 create mode 100644 app/Rules/ValidOutboundProxyUrl.php
 create mode 100644 app/Services/OutboundProxyTester.php
 create mode 100644 app/Support/OutboundProxy.php
 create mode 100644 templates/_bundled/sirsoft-admin_basic/__tests__/layouts/admin-settings-outbound-proxy-visibility.test.tsx
 create mode 100644 tests/Feature/Settings/OutboundProxySettingTest.php
 create mode 100644 tests/Playwright/specs/admin/settings-outbound-proxy.spec.ts
 create mode 100644 tests/Unit/Support/OutboundProxyTest.php
 create mode 100644 tests/scenarios/outbound-http-proxy.yaml

diff --git a/.env.example b/.env.example
index 373dd7dd..aae511b2 100644
--- a/.env.example
+++ b/.env.example
@@ -3,7 +3,7 @@ APP_ENV=production
 APP_KEY=
 APP_DEBUG=false
 APP_URL=http://localhost
-APP_VERSION=7.0.7
+APP_VERSION=7.1.0
 
 APP_LOCALE=ko
 APP_FALLBACK_LOCALE=ko
diff --git a/.env.testing.example b/.env.testing.example
index 6aaace74..4635cbd2 100644
--- a/.env.testing.example
+++ b/.env.testing.example
@@ -3,7 +3,7 @@ APP_ENV=testing
 APP_KEY=
 APP_DEBUG=false
 APP_URL=http://localhost
-APP_VERSION=7.0.7
+APP_VERSION=7.1.0
 
 APP_LOCALE=ko
 APP_FALLBACK_LOCALE=ko
diff --git a/CHANGELOG.md b/CHANGELOG.md
index 45dccead..6295dc62 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -4,6 +4,14 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [7.1.0] - 2026-08-20
+
+### Added
+
+- 사이트가 외부로 보내는 요청을 지정한 프록시 서버를 거쳐 나가도록 설정할 수 있습니다. 결제사처럼 접속 IP 를 제한하는 외부 서비스를 연동할 때, 개발·스테이징 환경에서도 허용된 IP 로 요청을 보낼 수 있습니다. 환경설정 > 고급에서 디버그 모드를 켜면 프록시 주소 입력칸이 나타나며, 프록시를 거치지 않을 주소를 예외 목록으로 따로 지정할 수 있습니다. 디버그 모드를 끄면 저장된 주소가 남아 있어도 프록시는 적용되지 않습니다.
+- 프록시 주소 옆의 「연결 테스트」로 저장하기 전에 연결 여부를 확인할 수 있습니다. 성공하면 그 프록시를 거쳤을 때 외부 서비스에 보이는 IP 주소를 함께 알려주므로, 결제사에 어떤 IP 를 등록해야 하는지 미리 확인할 수 있습니다.
+- 확장 개발자용: 사이트 표준 HTTP 호출은 프록시 설정이 자동으로 적용됩니다. 외부 연동 규약상 별도 방식으로 통신해야 하는 확장은 코어가 제공하는 프록시 설정을 받아 같은 경로로 내보낼 수 있습니다.
+
 ## [7.0.7] - 2026-08-19
 
 ### Security
diff --git a/INSTALL.md b/INSTALL.md
index 802b5d98..e6a9c93d 100644
--- a/INSTALL.md
+++ b/INSTALL.md
@@ -289,7 +289,7 @@ unzip g7-release.zip
 
 # 압축 해제 결과 확인 — 루트 디렉토리가 g7이 아니면 이름 변경
 ls -la
-# (필요 시) mv g7-7.0.7 g7
+# (필요 시) mv g7-7.1.0 g7
 
 # ZIP 파일 정리 (선택)
 rm g7-release.zip
diff --git a/README.ko.md b/README.ko.md
index 06a43295..dda31a78 100644
--- a/README.ko.md
+++ b/README.ko.md
@@ -10,7 +10,7 @@
 </p>
 
 <p align="center">
-  <a href="#"><img src="https://img.shields.io/badge/version-7.0.7-blue" alt="Version"></a>
+  <a href="#"><img src="https://img.shields.io/badge/version-7.1.0-blue" alt="Version"></a>
   <a href="#"><img src="https://img.shields.io/badge/PHP-8.2%2B-777BB4?logo=php&logoColor=white" alt="PHP"></a>
   <a href="#"><img src="https://img.shields.io/badge/Laravel-12.x-FF2D20?logo=laravel&logoColor=white" alt="Laravel"></a>
   <a href="#"><img src="https://img.shields.io/badge/React-19-61DAFB?logo=react&logoColor=black" alt="React"></a>
diff --git a/README.md b/README.md
index 3410c40b..506ff5c6 100644
--- a/README.md
+++ b/README.md
@@ -10,7 +10,7 @@
 </p>
 
 <p align="center">
-  <a href="#"><img src="https://img.shields.io/badge/version-7.0.7-blue" alt="Version"></a>
+  <a href="#"><img src="https://img.shields.io/badge/version-7.1.0-blue" alt="Version"></a>
   <a href="#"><img src="https://img.shields.io/badge/PHP-8.2%2B-777BB4?logo=php&logoColor=white" alt="PHP"></a>
   <a href="#"><img src="https://img.shields.io/badge/Laravel-12.x-FF2D20?logo=laravel&logoColor=white" alt="Laravel"></a>
   <a href="#"><img src="https://img.shields.io/badge/React-19-61DAFB?logo=react&logoColor=black" alt="React"></a>
diff --git a/app/Console/Commands/MigrateSettingsToJsonCommand.php b/app/Console/Commands/MigrateSettingsToJsonCommand.php
index 925d969a..9ef967dd 100644
--- a/app/Console/Commands/MigrateSettingsToJsonCommand.php
+++ b/app/Console/Commands/MigrateSettingsToJsonCommand.php
@@ -96,6 +96,8 @@ class MigrateSettingsToJsonCommand extends Command
         'debug_mode' => 'debug',
         'sql_query_log' => 'debug',
         'log_level' => 'debug',
+        'outbound_proxy' => 'debug',
+        'outbound_proxy_bypass' => 'debug',
     ];
 
     /**
diff --git a/app/Http/Controllers/Api/Admin/SettingsController.php b/app/Http/Controllers/Api/Admin/SettingsController.php
index 3dc58098..dd00c684 100644
--- a/app/Http/Controllers/Api/Admin/SettingsController.php
+++ b/app/Http/Controllers/Api/Admin/SettingsController.php
@@ -8,10 +8,12 @@ use App\Http\Requests\Settings\RestoreSettingsRequest;
 use App\Http\Requests\Settings\SaveSettingsRequest;
 use App\Http\Requests\Settings\TestDriverConnectionRequest;
 use App\Http\Requests\Settings\TestMailRequest;
+use App\Http\Requests\Settings\TestOutboundProxyRequest;
 use App\Http\Requests\Settings\UpdateSettingRequest;
 use App\Http\Resources\SettingsResource;
 use App\Services\DriverConnectionTester;
 use App\Services\DriverRegistryService;
+use App\Services\OutboundProxyTester;
 use App\Services\SettingsService;
 use Illuminate\Http\JsonResponse;
 use Illuminate\Support\Facades\Log;
@@ -27,7 +29,8 @@ class SettingsController extends AdminBaseController
     public function __construct(
         private SettingsService $settingsService,
         private DriverConnectionTester $driverConnectionTester,
-        private DriverRegistryService $driverRegistryService
+        private DriverRegistryService $driverRegistryService,
+        private OutboundProxyTester $outboundProxyTester
     ) {
         parent::__construct();
     }
@@ -340,4 +343,30 @@ class SettingsController extends AdminBaseController
             return $this->error('settings.driver_test_error', 500, $e->getMessage());
         }
     }
+
+    /**
+     * 아웃바운드 프록시 연결을 테스트합니다.
+     *
+     * 저장하기 전에 프록시가 실제로 동작하는지, 그리고 그 프록시를 거쳐 나갔을 때 상대편에
+     * 어떤 IP 로 보이는지 확인합니다. 출발지 IP 는 운영자가 결제사·외부 서비스에 등록해야
+     * 하는 값이라 결과의 핵심입니다.
+     *
+     * 검사 대상은 저장된 설정이 아니라 이번 요청이 제출한 값입니다.
+     *
+     * @param  TestOutboundProxyRequest  $request  검증된 요청
+     * @return JsonResponse 검사 결과
+     */
+    public function testOutboundProxy(TestOutboundProxyRequest $request): JsonResponse
+    {
+        $validated = $request->validated();
+
+        $result = $this->outboundProxyTester->test(
+            (string) $validated['outbound_proxy'],
+            (array) ($validated['outbound_proxy_bypass'] ?? [])
+        );
+
+        // 연결 실패는 요청 처리 실패가 아니라 진단 결과다 — 200 으로 결과를 돌려주고
+        // 성공 여부는 페이로드가 말한다 (드라이버 연결 테스트와 같은 규약).
+        return $this->success($result['message_key'], $result);
+    }
 }
diff --git a/app/Http/Requests/Settings/SaveSettingsRequest.php b/app/Http/Requests/Settings/SaveSettingsRequest.php
index a7da06c5..6ce8165a 100644
--- a/app/Http/Requests/Settings/SaveSettingsRequest.php
+++ b/app/Http/Requests/Settings/SaveSettingsRequest.php
@@ -4,6 +4,7 @@ namespace App\Http\Requests\Settings;
 
 use App\Extension\HookManager;
 use App\Models\Attachment;
+use App\Rules\ValidOutboundProxyUrl;
 use App\Search\Engines\DatabaseFulltextEngine;
 use App\Services\DriverRegistryService;
 use App\Support\AllowedExtensions;
@@ -296,6 +297,13 @@ class SaveSettingsRequest extends FormRequest
             'advanced.debug_mode' => $this->getTabRules($tab, 'advanced', 'boolean'),
             'advanced.sql_query_log' => $this->getTabRules($tab, 'advanced', 'boolean'),
 
+            // 아웃바운드 HTTP 프록시 (advanced 탭)
+            // 디버그 모드 OFF 시 하위 필드는 collapse 되어 미전송됨 → nullable 필수
+            // (geoip 하위 필드와 같은 사유 — 조건부 렌더링 내부에 있다)
+            'advanced.outbound_proxy' => ['nullable', 'string', 'max:500', new ValidOutboundProxyUrl],
+            'advanced.outbound_proxy_bypass' => ['nullable', 'array'],
+            'advanced.outbound_proxy_bypass.*' => ['string', 'max:255'],
+
             // 코어 업데이트 설정 (advanced 탭)
             'advanced.core_update_github_url' => ['nullable', 'url', 'max:500'],
             'advanced.core_update_github_token' => ['nullable', 'string', 'max:500'],
@@ -779,6 +787,13 @@ class SaveSettingsRequest extends FormRequest
             'advanced.sql_query_log.required' => __('validation.settings.sql_query_log_required'),
             'advanced.sql_query_log.boolean' => __('validation.settings.sql_query_log_boolean'),
 
+            // 아웃바운드 HTTP 프록시
+            'advanced.outbound_proxy.string' => __('validation.settings.outbound_proxy_string'),
+            'advanced.outbound_proxy.max' => __('validation.settings.outbound_proxy_max'),
+            'advanced.outbound_proxy_bypass.array' => __('validation.settings.outbound_proxy_bypass_array'),
+            'advanced.outbound_proxy_bypass.*.string' => __('validation.settings.outbound_proxy_bypass_item_string'),
+            'advanced.outbound_proxy_bypass.*.max' => __('validation.settings.outbound_proxy_bypass_item_max'),
+
             // 목록 한계값
             'advanced.pagination_result_cap.integer' => __('validation.settings.pagination_result_cap_integer'),
             'advanced.pagination_result_cap.min' => __('validation.settings.pagination_result_cap_min'),
@@ -972,6 +987,8 @@ class SaveSettingsRequest extends FormRequest
             'advanced.seo_sitemap_cache_ttl' => __('validation.attributes.seo_sitemap_cache_ttl'),
             'advanced.debug_mode' => __('validation.attributes.debug_mode'),
             'advanced.sql_query_log' => __('validation.attributes.sql_query_log'),
+            'advanced.outbound_proxy' => __('validation.attributes.outbound_proxy'),
+            'advanced.outbound_proxy_bypass' => __('validation.attributes.outbound_proxy_bypass'),
             'advanced.core_update_github_url' => __('validation.attributes.core_update_github_url'),
             'advanced.core_update_github_token' => __('validation.attributes.core_update_github_token'),
             'advanced.geoip_enabled' => __('validation.attributes.geoip_enabled'),
diff --git a/app/Http/Requests/Settings/TestOutboundProxyRequest.php b/app/Http/Requests/Settings/TestOutboundProxyRequest.php
new file mode 100644
index 00000000..17e93828
--- /dev/null
+++ b/app/Http/Requests/Settings/TestOutboundProxyRequest.php
@@ -0,0 +1,76 @@
+<?php
+
+namespace App\Http\Requests\Settings;
+
+use App\Extension\HookManager;
+use App\Rules\ValidOutboundProxyUrl;
+use Illuminate\Contracts\Validation\ValidationRule;
+use Illuminate\Foundation\Http\FormRequest;
+
+/**
+ * 아웃바운드 프록시 연결 테스트 요청 검증
+ *
+ * 저장 전에 확인하는 것이 목적이므로 검사 대상은 저장된 설정이 아니라 이번에 제출된 값입니다.
+ * 검증 강도는 저장 경로(SaveSettingsRequest)와 같게 둡니다 — 테스트만 통과하고 저장에서
+ * 거부되거나 그 반대가 되면 운영자가 어느 쪽을 믿어야 할지 알 수 없습니다.
+ *
+ * @since 7.1.0
+ */
+class TestOutboundProxyRequest extends FormRequest
+{
+    /**
+     * 권한 검사는 permission 미들웨어가 담당합니다.
+     *
+     * @return bool 항상 true
+     */
+    public function authorize(): bool
+    {
+        return true;
+    }
+
+    /**
+     * Get the validation rules that apply to the request.
+     *
+     * @return array<string, ValidationRule|array<mixed>|string>
+     */
+    public function rules(): array
+    {
+        $rules = [
+            'outbound_proxy' => ['required', 'string', 'max:500', new ValidOutboundProxyUrl],
+            'outbound_proxy_bypass' => ['nullable', 'array'],
+            'outbound_proxy_bypass.*' => ['string', 'max:255'],
+        ];
+
+        return HookManager::applyFilters('core.settings.test_outbound_proxy_validation_rules', $rules, $this);
+    }
+
+    /**
+     * 검증 실패 메시지를 반환합니다.
+     *
+     * @return array<string, string>
+     */
+    public function messages(): array
+    {
+        return [
+            'outbound_proxy.required' => __('validation.settings.outbound_proxy_required'),
+            'outbound_proxy.string' => __('validation.settings.outbound_proxy_string'),
+            'outbound_proxy.max' => __('validation.settings.outbound_proxy_max'),
+            'outbound_proxy_bypass.array' => __('validation.settings.outbound_proxy_bypass_array'),
+            'outbound_proxy_bypass.*.string' => __('validation.settings.outbound_proxy_bypass_item_string'),
+            'outbound_proxy_bypass.*.max' => __('validation.settings.outbound_proxy_bypass_item_max'),
+        ];
+    }
+
+    /**
+     * 검증 속성명을 반환합니다.
+     *
+     * @return array<string, string>
+     */
+    public function attributes(): array
+    {
+        return [
+            'outbound_proxy' => __('validation.attributes.outbound_proxy'),
+            'outbound_proxy_bypass' => __('validation.attributes.outbound_proxy_bypass'),
+        ];
+    }
+}
diff --git a/app/Providers/AppServiceProvider.php b/app/Providers/AppServiceProvider.php
index 3a22a476..4975166c 100644
--- a/app/Providers/AppServiceProvider.php
+++ b/app/Providers/AppServiceProvider.php
@@ -21,6 +21,7 @@ use Illuminate\Database\Events\QueryExecuted;
 use Illuminate\Http\Request;
 use Illuminate\Notifications\ChannelManager;
 use Illuminate\Support\Facades\DB;
+use Illuminate\Support\Facades\Http;
 use Illuminate\Support\Facades\Log;
 use Illuminate\Support\Facades\RateLimiter;
 use Illuminate\Support\Facades\Schema;
@@ -104,6 +105,9 @@ class AppServiceProvider extends ServiceProvider
         // SQL 쿼리 로그 설정
         $this->configureSqlQueryLogging();
 
+        // 아웃바운드 HTTP 프록시 설정
+        $this->configureOutboundProxy();
+
         // 로그인 라우트 per-IP 백업 throttle — 보안 환경설정의 per-account 잠금과 2중 방어.
         // 존재하지 않는 계정에 대한 brute-force / 동일 IP 의 다른 계정 시도까지 차단.
         $this->configureLoginRateLimiter();
@@ -154,6 +158,29 @@ class AppServiceProvider extends ServiceProvider
         }
     }
 
+    /**
+     * 아웃바운드 HTTP 프록시를 설정합니다.
+     *
+     * 환경설정에 프록시가 지정되어 있으면 `Http::` 파사드로 나가는 모든 요청이 그 프록시를
+     * 경유합니다. 결제 승인, 코어 업데이트 조회, GeoIP 내려받기, 알림 웹훅 등 확장이 보내는
+     * 요청까지 함께 적용되므로, 확장 코드를 고치지 않고도 출발지 IP 를 바꿀 수 있습니다.
+     *
+     * 적용 여부 판정은 `App\Support\OutboundProxy` 가 소유하며, 이 메서드는 판정 결과만
+     * 소비합니다 — 디버그 모드 게이트를 여기서 다시 검사하지 않는 이유입니다.
+     *
+     * 개별 요청이 `withOptions(['proxy' => ...])` 로 지정한 값은 전역 옵션보다 우선합니다.
+     */
+    private function configureOutboundProxy(): void
+    {
+        $proxy = config('g7.outbound_proxy');
+
+        if (empty($proxy)) {
+            return;
+        }
+
+        Http::globalOptions(['proxy' => $proxy]);
+    }
+
     /**
      * SQL 쿼리 로깅을 설정합니다.
      *
diff --git a/app/Providers/SettingsServiceProvider.php b/app/Providers/SettingsServiceProvider.php
index 05e37e67..3a3edecd 100644
--- a/app/Providers/SettingsServiceProvider.php
+++ b/app/Providers/SettingsServiceProvider.php
@@ -5,6 +5,7 @@ namespace App\Providers;
 use App\Repositories\JsonConfigRepository;
 use App\Support\AllowedExtensions;
 use App\Support\ExtensionSettingsMirror;
+use App\Support\OutboundProxy;
 use Illuminate\Support\Facades\Config;
 use Illuminate\Support\ServiceProvider;
 use Predis\Client;
@@ -274,6 +275,11 @@ class SettingsServiceProvider extends ServiceProvider
         if (isset($debugSettings['sql_query_log'])) {
             Config::set('g7.sql_query_log', (bool) $debugSettings['sql_query_log']);
         }
+
+        // 아웃바운드 HTTP 프록시 설정.
+        // 적용 여부 판정은 OutboundProxy 가 단독으로 소유한다 — 디버그 모드가 꺼져 있으면
+        // 저장값이 남아 있어도 null 이 되어 주입되지 않는다.
+        Config::set('g7.outbound_proxy', OutboundProxy::resolve($debugSettings));
     }
 
     /**
diff --git a/app/Rules/ValidOutboundProxyUrl.php b/app/Rules/ValidOutboundProxyUrl.php
new file mode 100644
index 00000000..80c2261f
--- /dev/null
+++ b/app/Rules/ValidOutboundProxyUrl.php
@@ -0,0 +1,47 @@
+<?php
+
+namespace App\Rules;
+
+use App\Support\OutboundProxy;
+use Closure;
+use Illuminate\Contracts\Validation\ValidationRule;
+
+/**
+ * 아웃바운드 프록시 URL 이 적용 가능한 형태인지 검증하는 Custom Rule.
+ *
+ * 허용 스킴 목록은 {@see OutboundProxy::ALLOWED_SCHEMES} 가 소유한다 — 저장 시점 검증과
+ * 실제 적용 판정이 서로 다른 목록을 보면 "저장은 됐는데 적용되지 않는" 상태가 조용히 생긴다.
+ *
+ * 빈 값은 통과시킨다. 프록시를 쓰지 않는 것이 기본 상태이며, 필수 여부는 FormRequest 의
+ * nullable 규칙이 정한다.
+ *
+ * @since 7.1.0
+ */
+class ValidOutboundProxyUrl implements ValidationRule
+{
+    /**
+     * 값이 적용 가능한 프록시 URL 인지 검증합니다.
+     *
+     * @param  string  $attribute  검증 대상 필드명
+     * @param  mixed  $value  검증 대상 값
+     * @param  Closure  $fail  실패 콜백
+     */
+    public function validate(string $attribute, mixed $value, Closure $fail): void
+    {
+        if ($value === null || $value === '') {
+            return;
+        }
+
+        if (! is_string($value)) {
+            $fail(__('validation.settings.outbound_proxy_invalid'));
+
+            return;
+        }
+
+        if (! OutboundProxy::isValidUrl($value)) {
+            $fail(__('validation.settings.outbound_proxy_invalid', [
+                'schemes' => implode(', ', OutboundProxy::ALLOWED_SCHEMES),
+            ]));
+        }
+    }
+}
diff --git a/app/Services/OutboundProxyTester.php b/app/Services/OutboundProxyTester.php
new file mode 100644
index 00000000..53cdae46
--- /dev/null
+++ b/app/Services/OutboundProxyTester.php
@@ -0,0 +1,116 @@
+<?php
+
+namespace App\Services;
+
+use App\Support\OutboundProxy;
+use Illuminate\Support\Facades\Http;
+use Illuminate\Support\Facades\Log;
+
+/**
+ * 아웃바운드 프록시 연결 테스트.
+ *
+ * 운영자가 입력한 프록시가 실제로 동작하는지, 그리고 그 프록시를 거쳐 나갔을 때 상대편에
+ * 어떤 IP 로 보이는지 확인합니다. 출발지 IP 는 결제사·외부 서비스에 등록해야 하는 값이라
+ * 테스트의 핵심 산출물입니다 — 프록시를 켜기 전에 어떤 IP 를 등록해야 하는지 알 수 있어야
+ * 저장하고 나서 되짚는 일이 없습니다.
+ *
+ * 검사 대상은 **저장된 설정이 아니라 이번에 제출된 값**입니다. 그래서 전역 옵션에 의존하지
+ * 않고 요청마다 프록시를 명시합니다 — 저장 전에 확인하는 것이 목적이기 때문입니다.
+ *
+ * @since 7.1.0
+ */
+class OutboundProxyTester
+{
+    /**
+     * 제출된 프록시 설정으로 외부 연결을 시도합니다.
+     *
+     * @param  string  $proxyUrl  검사할 프록시 주소
+     * @param  array<int, string>  $bypass  프록시 예외 목록
+     * @return array{success: bool, message_key: string, egress_ip: string|null, elapsed_ms: int, error: string|null} 검사 결과
+     */
+    public function test(string $proxyUrl, array $bypass = []): array
+    {
+        // 적용 시와 같은 조립·정규화를 거친다 — 여기서 손으로 배열을 만들면 저장 전에
+        // 확인한 구성과 저장 후 실제로 적용되는 구성이 달라진다.
+        $proxyOptions = OutboundProxy::options($proxyUrl, $bypass);
+
+        if ($proxyOptions === null) {
+            return $this->result(false, 'settings.outbound_proxy_test_invalid_url', null, 0);
+        }
+
+        $urls = (array) config('core.outbound_proxy.egress_lookup_urls', []);
+
+        if ($urls === []) {
+            return $this->result(false, 'settings.outbound_proxy_test_no_lookup_url', null, 0);
+        }
+
+        $timeout = (int) config('core.outbound_proxy.test_timeout_seconds', 10);
+        $startedAt = microtime(true);
+        $lastError = null;
+
+        foreach ($urls as $url) {
+            try {
+                $response = Http::withOptions(['proxy' => $proxyOptions])
+                    ->withHeaders(['User-Agent' => 'curl/8'])
+                    ->timeout($timeout)
+                    ->get($url);
+
+                if (! $response->successful()) {
+                    $lastError = 'HTTP '.$response->status();
+
+                    continue;
+                }
+
+                $ip = trim($response->body());
+
+                if (filter_var($ip, FILTER_VALIDATE_IP) === false) {
+                    $lastError = 'unexpected response body';
+
+                    continue;
+                }
+
+                return $this->result(true, 'settings.outbound_proxy_test_success', $ip, $this->elapsedMs($startedAt));
+            } catch (\Throwable $e) {
+                // 개별 조회처 실패는 다음 후보로 넘어간다 — 한 곳이 죽어 있다고 프록시가
+                // 잘못됐다고 단정할 수 없기 때문이다.
+                $lastError = $e->getMessage();
+            }
+        }
+
+        Log::warning('아웃바운드 프록시 연결 테스트 실패', ['error' => $lastError]);
+
+        return $this->result(false, 'settings.outbound_proxy_test_failed', null, $this->elapsedMs($startedAt), $lastError);
+    }
+
+    /**
+     * 경과 시간을 밀리초로 환산합니다.
+     *
+     * @param  float  $startedAt  시작 시각 (microtime)
+     * @return int 경과 밀리초
+     */
+    private function elapsedMs(float $startedAt): int
+    {
+        return (int) round((microtime(true) - $startedAt) * 1000);
+    }
+
+    /**
+     * 결과 배열을 구성합니다.
+     *
+     * @param  bool  $success  성공 여부
+     * @param  string  $messageKey  다국어 메시지 키
+     * @param  string|null  $egressIp  프록시를 거친 출발지 IP
+     * @param  int  $elapsedMs  경과 밀리초
+     * @param  string|null  $error  실패 원인 원문 (관리자 진단용)
+     * @return array{success: bool, message_key: string, egress_ip: string|null, elapsed_ms: int, error: string|null}
+     */
+    private function result(bool $success, string $messageKey, ?string $egressIp, int $elapsedMs, ?string $error = null): array
+    {
+        return [
+            'success' => $success,
+            'message_key' => $messageKey,
+            'egress_ip' => $egressIp,
+            'elapsed_ms' => $elapsedMs,
+            'error' => $error,
+        ];
+    }
+}
diff --git a/app/Support/ApiDoc/ParameterDescriber.php b/app/Support/ApiDoc/ParameterDescriber.php
index 8ce26e7e..b9bdb70b 100644
--- a/app/Support/ApiDoc/ParameterDescriber.php
+++ b/app/Support/ApiDoc/ParameterDescriber.php
@@ -262,6 +262,8 @@ class ParameterDescriber
         'cache_ttl' => '캐시 유효 시간 (초)',
         'debug_mode' => '디버그 모드 사용 여부 (상세 오류 노출)',
         'sql_query_log' => 'SQL 쿼리 로그 기록 여부',
+        'outbound_proxy' => '외부 HTTP 호출이 경유할 프록시 주소 (디버그 모드에서만 적용)',
+        'outbound_proxy_bypass' => '프록시를 경유하지 않을 호스트 목록',
         'maintenance_mode' => '점검 모드 사용 여부 (사이트 접근 차단)',
         'force_https' => 'HTTPS 강제 리다이렉트 여부',
         'max_login_attempts' => '로그인 실패 허용 횟수 (초과 시 잠금)',
diff --git a/app/Support/OutboundProxy.php b/app/Support/OutboundProxy.php
new file mode 100644
index 00000000..cbfc8592
--- /dev/null
+++ b/app/Support/OutboundProxy.php
@@ -0,0 +1,191 @@
+<?php
+
+namespace App\Support;
+
+/**
+ * 코어 아웃바운드 HTTP 프록시 판정 규약.
+ *
+ * 운영자가 환경설정(고급 탭)에 지정한 프록시를 코어의 모든 외부 HTTP 호출에 적용할지 결정한다.
+ * 프록시가 걸리면 결제 승인 요청, 코어 업데이트 조회, GeoIP 내려받기, 알림 웹훅 등 코어가
+ * 바깥으로 내보내는 트래픽 전부가 그 서버를 경유한다 — 그래서 판정을 이 클래스 한 곳에 모으고,
+ * 설정 주입 지점(SettingsServiceProvider)과 적용 지점(AppServiceProvider)은 결과만 소비한다.
+ *
+ * 게이트는 디버그 모드다. 디버그 모드가 꺼져 있으면 저장된 값이 남아 있어도 프록시를 적용하지
+ * 않는다 — 관리자 화면에서 입력칸을 감추는 것만으로는 저장 API 를 직접 호출하는 경로를 막지
+ * 못하므로, 화면이 아니라 이 판정이 실질 게이트다.
+ *
+ * @since 7.1.0
+ */
+final class OutboundProxy
+{
+    /**
+     * 프록시 URL 로 허용하는 스킴.
+     *
+     * cURL 이 프록시로 이해하는 형태만 받는다. `socks5h` / `socks4a` 는 이름 해석을 프록시
+     * 서버에 맡기는 형태로, 로컬에서 해석되지 않는 원격 전용 호스트를 다룰 때 필요하다.
+     */
+    public const ALLOWED_SCHEMES = [
+        'http',
+        'https',
+        'socks4',
+        'socks4a',
+        'socks5',
+        'socks5h',
+    ];
+
+    /**
+     * 디버그 설정으로부터 적용할 프록시 옵션을 판정합니다.
+     *
+     * 반환값은 Guzzle 의 `proxy` 옵션 형태이며, 적용하지 않을 때는 null 입니다.
+     *
+     * @param  array<string, mixed>  $debugSettings  debug 카테고리 설정 배열
+     * @return array{http: string, https: string, no: array<int, string>}|null 적용할 프록시 옵션 (미적용 시 null)
+     */
+    public static function resolve(array $debugSettings): ?array
+    {
+        // 게이트: 디버그 모드가 꺼져 있으면 저장값이 있어도 적용하지 않는다.
+        if (empty($debugSettings['mode'])) {
+            return null;
+        }
+
+        return self::options(
+            $debugSettings['outbound_proxy'] ?? null,
+            $debugSettings['outbound_proxy_bypass'] ?? []
+        );
+    }
+
+    /**
+     * 프록시 주소와 예외 목록을 Guzzle 의 `proxy` 옵션 형태로 조립합니다.
+     *
+     * 게이트(디버그 모드)는 보지 않습니다 — 저장 전 연결 테스트처럼 아직 적용 대상이 아닌
+     * 값을 그대로 검사해야 하는 경로가 있기 때문입니다. 게이트 판정은 `resolve()` 가 맡습니다.
+     *
+     * 조립을 이 한 곳에 모으는 이유는 정규화 때문입니다. 테스트가 손으로 배열을 만들면 예외
+     * 목록의 공백·빈 항목·중복 처리가 실제 적용분과 어긋나, 저장 전에 확인한 구성과 저장 후
+     * 적용되는 구성이 달라집니다.
+     *
+     * @param  mixed  $url  프록시 주소
+     * @param  mixed  $bypass  예외 목록
+     * @return array{http: string, https: string, no: array<int, string>}|null 조립된 옵션 (주소가 부적합하면 null)
+     */
+    public static function options(mixed $url, mixed $bypass = []): ?array
+    {
+        $normalized = self::normalizeUrl($url);
+
+        if ($normalized === null) {
+            return null;
+        }
+
+        return [
+            'http' => $normalized,
+            'https' => $normalized,
+            'no' => self::normalizeBypass($bypass),
+        ];
+    }
+
+    /**
+     * 프록시 URL 이 적용 가능한 형태인지 판정합니다.
+     *
+     * @param  mixed  $value  검사할 값
+     * @return bool 허용 스킴과 호스트를 갖춘 URL 이면 true
+     */
+    public static function isValidUrl(mixed $value): bool
+    {
+        return self::normalizeUrl($value) !== null;
+    }
+
+    /**
+     * 현재 적용 중인 프록시를 curl 옵션 형태로 돌려줍니다.
+     *
+     * `Http::` 파사드를 쓰지 못하는 호출 지점(외부 SDK 규약상 curl 핸들을 직접 다뤄야 하는
+     * 경우 등)이 같은 프록시를 타도록 하기 위한 통로입니다. 판정은 여기서 다시 하지 않고
+     * 이미 주입된 `g7.outbound_proxy` 를 읽습니다 — 게이트는 한 곳에만 둔다.
+     *
+     * 적용 대상이 없으면 빈 배열이므로 `curl_setopt_array()` 에 그대로 넘겨도 무해합니다.
+     *
+     * @return array<int, mixed> curl 옵션 배열 (미적용 시 빈 배열)
+     */
+    public static function curlOptions(): array
+    {
+        $proxy = config('g7.outbound_proxy');
+
+        if (! is_array($proxy) || empty($proxy['https'])) {
+            return [];
+        }
+
+        $options = [CURLOPT_PROXY => $proxy['https']];
+
+        if (! empty($proxy['no']) && is_array($proxy['no'])) {
+            $options[CURLOPT_NOPROXY] = implode(',', $proxy['no']);
+        }
+
+        return $options;
+    }
+
+    /**
+     * 프록시 URL 을 정규화합니다.
+     *
+     * 허용 스킴과 호스트를 모두 갖추지 못한 값은 null 을 돌려줍니다.
+     *
+     * @param  mixed  $value  원본 값
+     * @return string|null 정규화된 URL (부적합 시 null)
+     */
+    private static function normalizeUrl(mixed $value): ?string
+    {
+        if (! is_string($value)) {
+            return null;
+        }
+
+        $url = trim($value);
+
+        if ($url === '') {
+            return null;
+        }
+
+        $parts = parse_url($url);
+
+        if ($parts === false || empty($parts['host'])) {
+            return null;
+        }
+
+        $scheme = strtolower($parts['scheme'] ?? '');
+
+        if (! in_array($scheme, self::ALLOWED_SCHEMES, true)) {
+            return null;
+        }
+
+        return $url;
+    }
+
+    /**
+     * 프록시 예외 목록을 정규화합니다.
+     *
+     * 빈 항목과 중복을 걸러내고 순번을 다시 매깁니다 — 비연속 키는 JSON 직렬화 시 객체가 되어
+     * Guzzle 이 목록으로 읽지 못합니다.
+     *
+     * @param  mixed  $value  원본 예외 목록
+     * @return array<int, string> 정규화된 호스트 목록
+     */
+    private static function normalizeBypass(mixed $value): array
+    {
+        if (! is_array($value)) {
+            return [];
+        }
+
+        $hosts = [];
+
+        foreach ($value as $host) {
+            if (! is_string($host)) {
+                continue;
+            }
+
+            $host = trim($host);
+
+            if ($host !== '') {
+                $hosts[] = $host;
+            }
+        }
+
+        return array_values(array_unique($hosts));
+    }
+}
diff --git a/config/app.php b/config/app.php
index ca5ebd49..ccc01849 100644
--- a/config/app.php
+++ b/config/app.php
@@ -231,7 +231,7 @@ return [
     |
     */
 
-    'version' => env('APP_VERSION', '7.0.7'),
+    'version' => env('APP_VERSION', '7.1.0'),
 
     /*
     |--------------------------------------------------------------------------
diff --git a/config/core.php b/config/core.php
index 3609bbef..b1b08c28 100644
--- a/config/core.php
+++ b/config/core.php
@@ -105,6 +105,27 @@ return [
         'max_page' => 1000,
     ],
 
+    /*
+    |--------------------------------------------------------------------------
+    | 아웃바운드 프록시 연결 테스트
+    |--------------------------------------------------------------------------
+    | 운영자가 환경설정에 입력한 프록시가 실제로 동작하는지, 그리고 그 프록시를 거쳐
+    | 나갔을 때 상대편에 어떤 IP 로 보이는지 확인하는 데 쓰는 조회 대상입니다.
+    |
+    | 출발지 IP 는 운영자가 결제사·외부 서비스에 등록해야 하는 값이라, 프록시를 켠 상태의
+    | 실제 값을 알려주는 것이 이 테스트의 목적입니다. 목록은 순차 시도하며 먼저 유효한
+    | IP 를 돌려준 곳에서 멈춥니다. 폐쇄망 등 외부 조회가 불가능한 환경에서는 목록을
+    | 비워 두면 도달성만 확인하고 IP 는 보고하지 않습니다.
+    */
+    'outbound_proxy' => [
+        'egress_lookup_urls' => [
+            'https://api.ipify.org',
+            'https://ifconfig.me/ip',
+            'https://icanhazip.com',
+        ],
+        'test_timeout_seconds' => 10,
+    ],
+
     /*
     |--------------------------------------------------------------------------
     | 검색 — DBMS 별 부분일치 연산자
diff --git a/config/settings/defaults.json b/config/settings/defaults.json
index 30a388b7..dd001aef 100644
--- a/config/settings/defaults.json
+++ b/config/settings/defaults.json
@@ -102,7 +102,9 @@
         "debug": {
             "mode": false,
             "sql_query_log": false,
-            "log_level": "error"
+            "log_level": "error",
+            "outbound_proxy": "",
+            "outbound_proxy_bypass": []
         },
         "core_update": {
             "github_url": "",
@@ -270,7 +272,9 @@
             "_comment": "debug 설정은 advanced 카테고리에 병합",
             "fields": {
                 "mode": { "type": "boolean", "sensitive": false, "frontend_key": "debug_mode" },
-                "sql_query_log": { "type": "boolean", "sensitive": false, "expose": false }
+                "sql_query_log": { "type": "boolean", "sensitive": false, "expose": false },
+                "outbound_proxy": { "type": "string", "sensitive": true },
+                "outbound_proxy_bypass": { "type": "array", "sensitive": false, "expose": false }
             }
         },
         "core_update": {
diff --git a/docs/backend/admin-settings-access.md b/docs/backend/admin-settings-access.md
index a96fa95c..d26705c1 100644
--- a/docs/backend/admin-settings-access.md
+++ b/docs/backend/admin-settings-access.md
@@ -33,6 +33,8 @@
 | `general.timezone` | `app.default_user_timezone` (`app.timezone` 아님) |
 | `general.language` | `app.locale` |
 | `debug.mode` | `app.debug`, `logging.*.level` |
+| `debug.sql_query_log` | `g7.sql_query_log` |
+| `debug.outbound_proxy`, `debug.outbound_proxy_bypass` | `g7.outbound_proxy` (디버그 모드 OFF 면 `null`) |
 | `drivers.cache_driver` | `cache.default` (testing 차단) |
 | `drivers.session_driver` | `session.driver` (testing 차단) |
 | `drivers.session_lifetime` | `session.lifetime` (testing 차단) |
@@ -140,6 +142,45 @@ plugin_setting('sirsoft-pay_kginicis', 'api_key');
 
 ---
 
+## 설정이 여는 기능에 게이트가 필요한 경우
+
+설정 하나가 위험한 동작을 여는 경우, 관리자 화면에서 입력칸을 조건부로 감추는 것은 게이트가 아니다. 저장 API 를 직접 호출하면 값은 그대로 저장되므로, 실질 게이트는 **그 값을 실제로 쓸지 판정하는 지점** 하나뿐이다.
+
+`debug.outbound_proxy` 가 그 예다. 지정된 프록시는 코어가 바깥으로 내보내는 모든 HTTP 요청(결제 승인, 코어 업데이트 조회, GeoIP 내려받기, 알림 웹훅)의 경로를 바꾸므로, 디버그 모드가 켜져 있을 때만 적용한다.
+
+| 구분 | 담당 |
+|------|------|
+| 판정 (SSoT) | `App\Support\OutboundProxy::resolve()` — 디버그 모드 OFF 면 저장값이 있어도 `null` |
+| 조립 (SSoT) | `OutboundProxy::options()` — 주소·예외 목록 정규화. 저장 전 연결 테스트도 이 조립을 거친다 |
+| 주입 | `SettingsServiceProvider::applyDebugConfig()` — 판정 결과를 `g7.outbound_proxy` 에 넣는다 |
+| 적용 | `AppServiceProvider::configureOutboundProxy()` — `Http::globalOptions()` 에 실는다 |
+| 화면 | 고급 탭의 조건부 렌더링 — 편의이며 게이트가 아니다 |
+
+주입·적용 지점은 게이트를 다시 검사하지 않는다. 같은 판정을 두 곳에 두면 한쪽만 바뀌었을 때 "저장은 되는데 적용되지 않는" 상태가 예외 없이 생긴다.
+
+저장 전 확인 기능(연결 테스트 등)이 있다면 그 경로도 같은 조립을 거쳐야 한다. 테스트가 값을 손으로 조립하면 정규화가 어긋나 운영자가 확인한 구성과 저장 후 적용되는 구성이 달라지는데, 두 구성 모두 정상 동작하므로 그 어긋남 자체는 아무 신호도 남기지 않는다.
+
+새 설정이 이런 성격이라면 같은 형태를 따른다 — 판정 함수 하나, 그 결과만 소비하는 주입·적용 지점, 그리고 디버그 모드 OFF 에서 미적용을 단언하는 회귀 테스트.
+
+### 적용 범위 — `Http::` 를 쓰지 않는 호출
+
+`Http::globalOptions()` 는 `Http` 파사드가 만든 요청에만 걸린다. 같은 사이트 안에서도 아래는 갈린다.
+
+| 호출 방식 | 프록시 적용 | 비고 |
+|---|---|---|
+| `Http::get(...)` | 적용 | 코어·확장 구분 없이 자동 |
+| `Http::withOptions([...])` (다른 옵션) | 적용 | `array_replace_recursive` 라 `proxy` 키는 보존된다 |
+| `Http::withOptions(['proxy' => ...])` | 호출부 값 우선 | 의도된 우선순위 (연결 테스트가 이 경로를 쓴다) |
+| `curl_*` 직접 | **미적용** | `OutboundProxy::curlOptions()` 를 `curl_setopt_array()` 에 넘겨 편입 |
+| `new GuzzleHttp\Client()` 직접 | **미적용** | Laravel 팩토리를 거치지 않는다 |
+| `fsockopen` / 원시 소켓 | **미적용** | 프로토콜상 프록시를 태우려면 별도 구현이 필요하다 |
+
+외부 연동 규약 때문에 `Http::` 를 쓸 수 없는 확장은 `OutboundProxy::curlOptions()` 를 쓴다. 판정은 코어가 하고 확장은 결과만 받으므로 게이트가 갈라지지 않으며, 미적용 상태에서는 빈 배열이라 그대로 넘겨도 무해하다.
+
+이 결함은 신호를 남기지 않는다 — 우회한 호출도 정상 성공하고, 상대편에 보이는 출발지 IP 만 달라진다. 외부 호출 지점을 새로 만들 때 어느 통로를 쓰는지 확인한다.
+
+---
+
 ## 관련 문서
 
 - [service-provider.md](service-provider.md) — ServiceProvider 안전성 (DB 접근 가드)
diff --git a/docs/backend/api/settings.md b/docs/backend/api/settings.md
index 88cec79c..33bae599 100644
--- a/docs/backend/api/settings.md
+++ b/docs/backend/api/settings.md
@@ -240,6 +240,9 @@ HTTP/1.1 200
 | advanced.seo_cache_ttl | body | integer | 아니오 | min 0, max 14400 | SEO 캐시 만료 시간 (초, 0 = 만료 없음) |
 | advanced.debug_mode | body | boolean | 아니오 | — | 디버그 모드 사용 여부 (상세 오류 노출) |
 | advanced.sql_query_log | body | boolean | 아니오 | — | SQL 쿼리 로그 기록 여부 |
+| advanced.outbound_proxy | body | string | 아니오 | max 500, 스킴 `http`/`https`/`socks4`/`socks4a`/`socks5`/`socks5h` | 외부 HTTP 호출이 경유할 프록시 주소 (예: `socks5h://127.0.0.1:1080`). 빈 값이면 사용하지 않으며, 디버그 모드가 꺼져 있으면 저장되어도 적용되지 않는다 |
+| advanced.outbound_proxy_bypass | body | array | 아니오 | — | 프록시를 경유하지 않을 호스트 목록 |
+| advanced.outbound_proxy_bypass.* | body | string | 아니오 | max 255 | 프록시 예외 호스트 |
 | advanced.core_update_github_url | body | string | 아니오 | max 500 | 코어 업데이트를 확인할 GitHub 저장소 URL |
 | advanced.core_update_github_token | body | string | 아니오 | max 500 | 프라이빗 저장소의 코어/확장 업데이트에 사용할 GitHub 액세스 토큰 (공개 저장소는 비워둘 수 있음) |
 | advanced.geoip_enabled | body | boolean | 아니오 | — | IP 기반 타임존 감지(GeoIP) 사용 여부 |
@@ -1250,6 +1253,79 @@ _단건 응답: `data` 객체의 필드 (DriverConnectionTester::testAll() 산
 폼에 입력한 드라이버 접속 정보(S3·Redis·Memcached·Websocket 등)로 실제 연결을 시도해 결과를 반환합니다. 설정을 저장하기 전에 접속 정보가 유효한지 확인하는 용도입니다. 모든 테스트 통과 시 성공 메시지, 일부 실패 시에도 HTTP 성공 응답으로 항목별 결과(`all_passed=false` 포함)를 함께 반환합니다.
 
 
+### POST /api/admin/settings/test-outbound-proxy
+<!-- @generated:start:api.admin.settings.test-outbound-proxy -->
+- **라우트명**: `api.admin.settings.test-outbound-proxy`
+- **컨트롤러**: `AppHttpControllersApiAdminSettingsController@testOutboundProxy`
+- **인증/권한**: `auth:sanctum` + `permission:core.settings.update`
+
+**요청 파라미터**
+
+| 이름 | 위치 | 타입 | 필수 | 허용값 | 용도 |
+| --- | --- | --- | --- | --- | --- |
+| outbound_proxy | body | string | 예 | max 500, 스킴 `http`/`https`/`socks4`/`socks4a`/`socks5`/`socks5h` | 검사할 프록시 주소 |
+| outbound_proxy_bypass | body | array | 아니오 | — | 프록시를 경유하지 않을 호스트 목록 |
+| outbound_proxy_bypass.* | body | string | 아니오 | max 255 | 프록시 예외 호스트 |
+
+**요청 예시**
+
+```http
+POST /api/admin/settings/test-outbound-proxy HTTP/1.1
+Host: api.example.com
+Accept: application/json
+Authorization: Bearer {YOUR_TOKEN}
+Content-Type: application/json
+
+{
+    "outbound_proxy": "socks5h://127.0.0.1:1080",
+    "outbound_proxy_bypass": ["internal.example.com"]
+}
+```
+
+**응답 필드** (`data` 내부)
+
+| 필드 | 타입 | 실측 예시값 | 용도/설명 |
+| --- | --- | --- | --- |
+| success | boolean | `true` | 프록시를 거쳐 외부에 도달했는지 여부. `false` 여도 HTTP 200 으로 응답한다 — 연결 실패는 요청 처리 실패가 아니라 진단 결과다 |
+| egress_ip | string|null | `203.0.113.9` | 프록시를 거쳤을 때 상대편에 보이는 출발지 IP. 외부 서비스에 등록할 값이며 실패 시 `null` |
+| elapsed_ms | integer | `512` | 검사에 걸린 시간 (밀리초) |
+| error | string|null | `cURL error 7: Failed to connect` | 실패 시에만 채워지는 원인 원문 (관리자 진단용) |
+
+**응답 예시**
+
+```json
+{
+    "success": true,
+    "message": "프록시 연결에 성공했습니다. 외부 서비스에는 이 IP 로 보입니다.",
+    "data": {
+        "success": true,
+        "message_key": "settings.outbound_proxy_test_success",
+        "egress_ip": "203.0.113.9",
+        "elapsed_ms": 512,
+        "error": null
+    }
+}
+```
+
+**에러 응답**
+
+| 상태코드 | 의미 | 발생 조건 |
+| --- | --- | --- |
+| 401 | Unauthenticated | 유효한 Bearer 토큰이 없거나 만료된 경우 |
+| 403 | Forbidden | 요구 권한(`core.settings.update`)이 없는 경우 |
+| 422 | Unprocessable Entity | 프록시 주소가 비어 있거나 허용 스킴이 아닌 경우 |
+
+<!-- @generated:end -->
+
+**설명**
+
+입력한 프록시로 외부에 연결해 보고, 성공하면 그 프록시를 거쳤을 때 상대편에 보이는 출발지 IP 를 함께 반환합니다. 이 IP 는 운영자가 결제사·외부 서비스의 허용 목록에 등록해야 하는 값이라, 설정을 저장하기 전에 확인할 수 있도록 제공합니다.
+
+검사 대상은 **이번 요청이 제출한 값**입니다. 저장된 설정이나 전역 프록시 옵션을 보지 않으므로, 저장 전에도 그대로 확인할 수 있고 이 호출이 다른 요청의 경로를 바꾸지도 않습니다.
+
+조회 대상은 `config('core.outbound_proxy.egress_lookup_urls')` 가 소유하며 순차 시도합니다. 목록을 비우면 도달성만 확인하고 IP 는 보고하지 않습니다(폐쇄망 대응).
+
+
 ### POST /api/admin/settings/test-mail
 <!-- @generated:start:api.admin.settings.test-mail -->
 - **라우트명**: `api.admin.settings.test-mail`
diff --git a/lang-packs/_bundled/g7-core-ja/CHANGELOG.md b/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
index 7caf1bb9..a9c6bc09 100644
--- a/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
+++ b/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
@@ -4,6 +4,13 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.0.7] - 2026-08-20
+
+### Added
+
+- 아웃바운드 프록시 설정의 검증 메시지와 항목명 일본어 번역을 추가했습니다 (`settings.outbound_proxy_*`, `attributes.outbound_proxy*`).
+- 아웃바운드 프록시 연결 테스트 결과 안내 문구의 일본어 번역을 추가했습니다 (`settings.outbound_proxy_test_*`).
+
 ## [1.0.6] - 2026-08-19
 
 ### Changed
diff --git a/lang-packs/_bundled/g7-core-ja/backend/ja/settings.php b/lang-packs/_bundled/g7-core-ja/backend/ja/settings.php
index d6cc8a53..9c2832bc 100644
--- a/lang-packs/_bundled/g7-core-ja/backend/ja/settings.php
+++ b/lang-packs/_bundled/g7-core-ja/backend/ja/settings.php
@@ -76,6 +76,12 @@ return [
     'driver_test_partial' => '一部のドライバ接続テストが失敗しました。',
     'driver_test_error' => 'ドライバ接続テスト中にエラーが発生しました。',
     'unknown_driver' => '不明なドライバです。',
+
+    // アウトバウンドプロキシ接続テストメッセージ
+    'outbound_proxy_test_success' => 'プロキシ接続に成功しました。外部サービスにはこの IP アドレスとして見えます。',
+    'outbound_proxy_test_failed' => 'プロキシ経由で接続できませんでした。アドレスとプロキシサーバーの状態を確認してください。',
+    'outbound_proxy_test_invalid_url' => 'プロキシアドレスの形式が正しくありません。',
+    'outbound_proxy_test_no_lookup_url' => '送信元 IP の照会先が設定されていないため確認できません。',
     's3_test_success' => 'S3バケットに正常に接続されました。',
     's3_test_failed' => 'S3バケットへの接続に失敗しました。',
     's3_missing_config' => 'S3設定が不足しています。(バケット、リージョン、アクセスキー、シークレットキー)',
diff --git a/lang-packs/_bundled/g7-core-ja/backend/ja/validation.php b/lang-packs/_bundled/g7-core-ja/backend/ja/validation.php
index a0a08028..92ca8a3c 100644
--- a/lang-packs/_bundled/g7-core-ja/backend/ja/validation.php
+++ b/lang-packs/_bundled/g7-core-ja/backend/ja/validation.php
@@ -898,6 +898,15 @@ return [
         'debug_mode_boolean' => 'デバッグモードはtrueまたはfalse値である必要があります。',
         'sql_query_log_required' => 'SQLクエリログ設定を選択してください。',
         'sql_query_log_boolean' => 'SQLクエリログはtrueまたはfalse値である必要があります。',
+
+        // アウトバウンド HTTP プロキシ
+        'outbound_proxy_required' => 'アウトバウンドプロキシアドレスを入力してください。',
+        'outbound_proxy_string' => 'アウトバウンドプロキシアドレスは文字列である必要があります。',
+        'outbound_proxy_max' => 'アウトバウンドプロキシアドレスは:max文字を超えることはできません。',
+        'outbound_proxy_invalid' => 'アウトバウンドプロキシアドレスの形式が正しくありません。使用可能な形式: :schemes (例: socks5h://127.0.0.1:1080)',
+        'outbound_proxy_bypass_array' => 'プロキシ除外リストは配列である必要があります。',
+        'outbound_proxy_bypass_item_string' => 'プロキシ除外項目は文字列である必要があります。',
+        'outbound_proxy_bypass_item_max' => 'プロキシ除外項目は:max文字を超えることはできません。',
         'core_update_github_url_invalid' => 'GitHubリポジトリURLの形式が正しくありません。',
         'core_update_github_url_max' => 'GitHubリポジトリURLは500字を超えることはできません。',
         'core_update_github_token_max' => 'GitHubアクセストークンは500字を超えることはできません。',
@@ -1161,6 +1170,8 @@ return [
         'seo_sitemap_cache_ttl' => 'SEO サイトマップキャッシュ保持時間',
         'debug_mode' => 'デバッグモード',
         'sql_query_log' => 'SQL クエリログ',
+        'outbound_proxy' => 'アウトバウンドプロキシアドレス',
+        'outbound_proxy_bypass' => 'プロキシ除外リスト',
         'core_update_github_url' => 'コア更新 GitHub アドレス',
         'core_update_github_token' => 'コア更新 GitHub トークン',
         'geoip_enabled' => 'GeoIP の使用',
diff --git a/lang-packs/_bundled/g7-core-ja/language-pack.json b/lang-packs/_bundled/g7-core-ja/language-pack.json
index f904c3e6..e7ad4030 100644
--- a/lang-packs/_bundled/g7-core-ja/language-pack.json
+++ b/lang-packs/_bundled/g7-core-ja/language-pack.json
@@ -12,7 +12,7 @@
         "en": "G7 core Japanese language pack (bundled)",
         "ja": "G7 コア 日本語 言語パック(バンドル)"
     },
-    "version": "1.0.6",
+    "version": "1.0.7",
     "license": "MIT",
     "scope": "core",
     "target_identifier": null,
diff --git a/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md b/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md
index a957a097..0b64535e 100644
--- a/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md
+++ b/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md
@@ -4,6 +4,12 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.0.6] - 2026-08-20
+
+### Added
+
+- 환경설정 > 고급의 아웃바운드 프록시 설정 항목명·설명·입력 안내와 연결 테스트 버튼 라벨의 일본어 번역을 추가했습니다.
+
 ## [1.0.5] - 2026-08-19
 
 ### Added
diff --git a/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/frontend/partial/admin.json b/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/frontend/partial/admin.json
index 231be2e9..1fcd76de 100644
--- a/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/frontend/partial/admin.json
+++ b/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/frontend/partial/admin.json
@@ -1786,6 +1786,13 @@
       "dev_dashboard": "開発ダッシュボード",
       "sql_query_log": "SQLクエリログ",
       "sql_query_log_desc": "実行されたSQLクエリをログに記録します。ログファイルの場所: /storage/logs/query.log",
+      "outbound_proxy": "アウトバウンドプロキシアドレス",
+      "outbound_proxy_desc": "サイトが外部に送信するすべてのリクエスト(決済承認、コア更新確認、通知送信など)がこのサーバーを経由します。接続 IP を制限する外部サービスと連携する際に使用します。空欄の場合は使用しません。",
+      "outbound_proxy_placeholder": "socks5h://127.0.0.1:1080",
+      "outbound_proxy_bypass": "プロキシ除外リスト",
+      "outbound_proxy_bypass_desc": "このリストにあるアドレスへのリクエストはプロキシを経由せず直接送信されます。内部ネットワークのアドレスを登録すると不要な迂回を減らせます。",
+      "outbound_proxy_bypass_placeholder": "アドレスを入力して Enter",
+      "outbound_proxy_test": "接続テスト",
       "core_update": "アップデート設定",
       "core_update_desc": "コアおよび拡張（モジュール·プラグイン·テンプレート）アップデートで使用するGitHub認証情報を設定します。",
       "core_update_github_url": "GitHubリポジトリURL",
diff --git a/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/language-pack.json b/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/language-pack.json
index 063f3b9c..a69f93ef 100644
--- a/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/language-pack.json
+++ b/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/language-pack.json
@@ -12,7 +12,7 @@
         "en": "G7 template (sirsoft-admin_basic) Japanese language pack (bundled)",
         "ja": "G7 テンプレート (sirsoft-admin_basic) 日本語 言語パック(バンドル)"
     },
-    "version": "1.0.5",
+    "version": "1.0.6",
     "license": "MIT",
     "scope": "template",
     "target_identifier": "sirsoft-admin_basic",
diff --git a/lang/en/settings.php b/lang/en/settings.php
index 8b3f2797..51d403ae 100644
--- a/lang/en/settings.php
+++ b/lang/en/settings.php
@@ -86,6 +86,12 @@ return [
     'driver_test_error' => 'An error occurred while testing driver connections.',
     'unknown_driver' => 'Unknown driver.',
 
+    // Outbound proxy connection test messages
+    'outbound_proxy_test_success' => 'Connected through the proxy. External services will see this IP address.',
+    'outbound_proxy_test_failed' => 'Could not connect through the proxy. Check the address and the proxy server status.',
+    'outbound_proxy_test_invalid_url' => 'The proxy address format is invalid.',
+    'outbound_proxy_test_no_lookup_url' => 'No egress IP lookup target is configured, so the address could not be determined.',
+
     // S3 test messages
     's3_test_success' => 'Successfully connected to S3 bucket.',
     's3_test_failed' => 'Failed to connect to S3 bucket.',
diff --git a/lang/en/validation.php b/lang/en/validation.php
index 7305d75d..7e8e554e 100644
--- a/lang/en/validation.php
+++ b/lang/en/validation.php
@@ -913,6 +913,15 @@ return [
         'sql_query_log_required' => 'Please select the SQL query log setting.',
         'sql_query_log_boolean' => 'SQL query log must be true or false.',
 
+        // Outbound HTTP proxy
+        'outbound_proxy_required' => 'Please enter the outbound proxy address.',
+        'outbound_proxy_string' => 'The outbound proxy address must be a string.',
+        'outbound_proxy_max' => 'The outbound proxy address may not be greater than :max characters.',
+        'outbound_proxy_invalid' => 'The outbound proxy address format is invalid. Supported schemes: :schemes (e.g. socks5h://127.0.0.1:1080)',
+        'outbound_proxy_bypass_array' => 'The proxy bypass list must be an array.',
+        'outbound_proxy_bypass_item_string' => 'Each proxy bypass entry must be a string.',
+        'outbound_proxy_bypass_item_max' => 'Each proxy bypass entry may not be greater than :max characters.',
+
         // List limits
         'pagination_result_cap_integer' => 'The total count cap must be a number.',
         'pagination_result_cap_min' => 'The total count cap must be at least :min. (0 = unlimited)',
@@ -1307,6 +1316,8 @@ return [
         'seo_sitemap_cache_ttl' => 'SEO sitemap cache lifetime',
         'debug_mode' => 'debug mode',
         'sql_query_log' => 'SQL query log',
+        'outbound_proxy' => 'outbound proxy address',
+        'outbound_proxy_bypass' => 'proxy bypass list',
         'core_update_github_url' => 'core update GitHub URL',
         'core_update_github_token' => 'core update GitHub token',
         'geoip_enabled' => 'GeoIP',
diff --git a/lang/ko/settings.php b/lang/ko/settings.php
index 7480e8ed..4f884136 100644
--- a/lang/ko/settings.php
+++ b/lang/ko/settings.php
@@ -86,6 +86,12 @@ return [
     'driver_test_error' => '드라이버 연결 테스트 중 오류가 발생했습니다.',
     'unknown_driver' => '알 수 없는 드라이버입니다.',
 
+    // 아웃바운드 프록시 연결 테스트 메시지
+    'outbound_proxy_test_success' => '프록시 연결에 성공했습니다. 외부 서비스에는 이 IP 로 보입니다.',
+    'outbound_proxy_test_failed' => '프록시로 연결하지 못했습니다. 주소와 프록시 서버 상태를 확인해주세요.',
+    'outbound_proxy_test_invalid_url' => '프록시 주소 형식이 올바르지 않습니다.',
+    'outbound_proxy_test_no_lookup_url' => '출발지 IP 조회 대상이 설정되어 있지 않아 확인할 수 없습니다.',
+
     // S3 테스트 메시지
     's3_test_success' => 'S3 버킷에 성공적으로 연결되었습니다.',
     's3_test_failed' => 'S3 버킷 연결에 실패했습니다.',
diff --git a/lang/ko/validation.php b/lang/ko/validation.php
index ce529839..78fa94a4 100644
--- a/lang/ko/validation.php
+++ b/lang/ko/validation.php
@@ -1000,6 +1000,15 @@ return [
         'sql_query_log_required' => 'SQL 쿼리 로그 설정을 선택해주세요.',
         'sql_query_log_boolean' => 'SQL 쿼리 로그는 true 또는 false 값이어야 합니다.',
 
+        // 아웃바운드 HTTP 프록시
+        'outbound_proxy_required' => '아웃바운드 프록시 주소를 입력해주세요.',
+        'outbound_proxy_string' => '아웃바운드 프록시 주소는 문자열이어야 합니다.',
+        'outbound_proxy_max' => '아웃바운드 프록시 주소는 :max자를 초과할 수 없습니다.',
+        'outbound_proxy_invalid' => '아웃바운드 프록시 주소 형식이 올바르지 않습니다. 사용 가능한 형식: :schemes (예: socks5h://127.0.0.1:1080)',
+        'outbound_proxy_bypass_array' => '프록시 예외 목록은 배열이어야 합니다.',
+        'outbound_proxy_bypass_item_string' => '프록시 예외 항목은 문자열이어야 합니다.',
+        'outbound_proxy_bypass_item_max' => '프록시 예외 항목은 :max자를 초과할 수 없습니다.',
+
         // 목록 한계값
         'pagination_result_cap_integer' => '총 건수 집계 상한은 숫자여야 합니다.',
         'pagination_result_cap_min' => '총 건수 집계 상한은 :min 이상이어야 합니다. (0 = 무제한)',
@@ -1300,6 +1309,8 @@ return [
         'seo_sitemap_cache_ttl' => 'SEO 사이트맵 캐시 유지시간',
         'debug_mode' => '디버그 모드',
         'sql_query_log' => 'SQL 쿼리 로그',
+        'outbound_proxy' => '아웃바운드 프록시 주소',
+        'outbound_proxy_bypass' => '프록시 예외 목록',
         'core_update_github_url' => '코어 업데이트 GitHub 주소',
         'core_update_github_token' => '코어 업데이트 GitHub 토큰',
         'geoip_enabled' => 'GeoIP 사용',
diff --git a/plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md b/plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md
index 5b3a6acc..f83bc8f0 100644
--- a/plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md
+++ b/plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md
@@ -12,6 +12,7 @@
 
 ### Changed
 
+- 코어 최소 요구 버전을 7.1.0 로 상향했습니다.
 - 에스크로 배송등록 오류 안내가 다국어로 제공됩니다.
 - 결제창 닫힘 보고 사유의 길이 제한을 다른 결제 플러그인과 동일하게 160자로 통일했습니다.
 - 해외결제(CBT) 해시 요청에서 체크아웃 토큰 누락 응답이 표준 검증 응답(422)으로 통일되었습니다.
@@ -19,6 +20,7 @@
 
 ### Fixed
 
+- CBT 연결 점검이 서버 출발지 IP 와 호스트 연결 가능 여부를 사이트 환경설정의 아웃바운드 프록시 설정을 따라 확인하도록 했습니다. 이전에는 프록시를 사용하는 환경에서도 프록시를 거치지 않고 확인해, 결제사에 등록해야 할 IP 와 다른 값을 알려주고 실제로는 결제가 되는 상황에서도 "연결 불가" 로 보고했습니다.
 - 플러그인 설정 화면의 안내·상태 아이콘이 의도한 크기와 다르게 보이던 문제와, 해외결제(CBT) 연결 상태 표시에 일부 스타일이 적용되지 않던 문제를 수정했습니다.
 - 결제 실패 시 이동하는 페이지 주소에 서버 내부 오류 원문이 그대로 실려 나가던 문제를 수정했습니다. 이제 안내 문구만 전달되며, 원인 파악에 필요한 원문은 서버 로그에만 기록됩니다.
 - 플러그인 설정 저장과 관리자 주문 결제 조회의 해외결제 대사 재시도·편의점 결제 처리가 실패했을 때 실패 사유 대신 일반 안내 문구만 표시되던 문제를 수정했습니다. 이제 서버가 알려준 사유가 그대로 안내됩니다.
diff --git a/plugins/_bundled/sirsoft-pay_kginicis/docs/api/cbt.md b/plugins/_bundled/sirsoft-pay_kginicis/docs/api/cbt.md
index 52901f52..8a368aa9 100644
--- a/plugins/_bundled/sirsoft-pay_kginicis/docs/api/cbt.md
+++ b/plugins/_bundled/sirsoft-pay_kginicis/docs/api/cbt.md
@@ -42,9 +42,9 @@ _단건 응답: `data` 객체의 필드._
 
 | 필드 | 타입 | 실측 예시값 | 용도/설명 |
 | --- | --- | --- | --- |
-| egress_ip | string | `210.90.128.2` | 서버가 외부 통신 시 사용하는 egress IP. KG 이니시스 측에 DEVCBT 접근용 IP 화이트리스트 등록을 요청할 때 알려줄 IP이며, 외부 echo 서비스(ipify 등)를 순차 조회해 얻는다(모두 실패 시 null). |
+| egress_ip | string | `210.90.128.2` | 서버가 외부 통신 시 사용하는 egress IP. KG 이니시스 측에 DEVCBT 접근용 IP 화이트리스트 등록을 요청할 때 알려줄 IP이며, 외부 echo 서비스(ipify 등)를 순차 조회해 얻는다(모두 실패 시 null). 사이트 환경설정에 아웃바운드 프록시가 적용되어 있으면 그 프록시를 거쳐 조회하므로, 실제 결제 요청과 같은 경로의 IP 가 반환된다. |
 | server_ip | string | `127.0.0.1` | `$_SERVER['SERVER_ADDR']` 로 읽은 서버 내부 IP. egress IP와 대조해 NAT/프록시 여부를 가늠하는 참고값이다. |
-| hosts | array | `[{"name":"devcbt.inicis.com","env":"test","dns_resolved_i…` | 진단 대상 호스트별 결과 배열. 각 항목은 호스트명(`devcbt.inicis.com`), 환경(`test`), DNS 해석 IP(`dns_resolved_ip`), TCP 443 도달 여부(`tcp_443_reachable`)와 에러·응답지연(`tcp_443_error`, `tcp_443_latency_ms`)을 담는다. 운영계(`cbt.inicis.com`)는 화이트리스트 제약이 없어 제외된다. |
+| hosts | array | `[{"name":"devcbt.inicis.com","env":"test","dns_resolved_i…` | 진단 대상 호스트별 결과 배열. 각 항목은 호스트명(`devcbt.inicis.com`), 환경(`test`), DNS 해석 IP(`dns_resolved_ip`), TCP 443 도달 여부(`tcp_443_reachable`)와 에러·응답지연(`tcp_443_error`, `tcp_443_latency_ms`)을 담는다. 운영계(`cbt.inicis.com`)는 화이트리스트 제약이 없어 제외된다. 도달 여부는 연결만 수행하고 데이터는 주고받지 않으며, 사이트 환경설정에 아웃바운드 프록시가 적용되어 있으면 그 프록시를 거쳐 확인한다 — 실제 결제 요청이 지나는 경로와 같은 경로를 재기 위함이다. |
 | callback | object | `{"app_url":"https:\/\/g7.dev","callback_url":"https:\/\/g…` | 결제 콜백 URL 진단 정보. 앱 URL·콜백 URL과 각각의 HTTPS 여부(`app_url_https`, `callback_url_https`)·공인 호스트 여부(`app_url_public`, `callback_url_public`), 그리고 콜백 호스트가 앱 URL 호스트와 일치하는지(`host_matches_app_url`)를 담아 CBT 콜백 수신 가능 여부를 점검한다. |
 
 **응답 예시**
diff --git a/plugins/_bundled/sirsoft-pay_kginicis/plugin.json b/plugins/_bundled/sirsoft-pay_kginicis/plugin.json
index f0e400de..1f78ad77 100644
--- a/plugins/_bundled/sirsoft-pay_kginicis/plugin.json
+++ b/plugins/_bundled/sirsoft-pay_kginicis/plugin.json
@@ -13,7 +13,7 @@
         "ko": "KG 이니시스 결제 게이트웨이 (표준결제창 연동, 일본결제 지원)",
         "en": "KG Inicis payment gateway (standard payment window, Japan payment support)"
     },
-    "g7_version": ">=7.0.5",
+    "g7_version": ">=7.1.0",
     "dependencies": {
         "modules": {
             "sirsoft-ecommerce": ">=1.1.0"
diff --git a/plugins/_bundled/sirsoft-pay_kginicis/src/Controllers/AdminCbtConnectivityCheckController.php b/plugins/_bundled/sirsoft-pay_kginicis/src/Controllers/AdminCbtConnectivityCheckController.php
index 8f8693ff..d962e105 100644
--- a/plugins/_bundled/sirsoft-pay_kginicis/src/Controllers/AdminCbtConnectivityCheckController.php
+++ b/plugins/_bundled/sirsoft-pay_kginicis/src/Controllers/AdminCbtConnectivityCheckController.php
@@ -6,6 +6,7 @@ namespace Plugins\Sirsoft\PayKginicis\Controllers;
 
 use App\Helpers\ResponseHelper;
 use App\Http\Controllers\Api\Base\AdminBaseController;
+use App\Support\OutboundProxy;
 use Illuminate\Http\JsonResponse;
 use Illuminate\Support\Facades\Log;
 
@@ -114,6 +115,7 @@ class AdminCbtConnectivityCheckController extends AdminBaseController
                 return $ip;
             }
         }
+
         return null;
     }
 
@@ -129,6 +131,11 @@ class AdminCbtConnectivityCheckController extends AdminBaseController
             CURLOPT_TIMEOUT => self::EGRESS_LOOKUP_TIMEOUT,
             CURLOPT_FOLLOWLOCATION => false,
         ]);
+
+        // 코어 환경설정의 아웃바운드 프록시를 이 조회에도 적용한다.
+        // 이 값은 운영자가 이니시스에 등록할 IP 이므로 실제 결제 호출과 같은 경로로 나가야
+        // 한다 — 프록시를 켠 상태에서 직접 조회하면 등록해야 할 IP 와 다른 값을 보고한다.
+        curl_setopt_array($ch, OutboundProxy::curlOptions());
         $body = curl_exec($ch);
         curl_close($ch);
 
@@ -136,31 +143,59 @@ class AdminCbtConnectivityCheckController extends AdminBaseController
             return null;
         }
         $body = trim($body);
+
         return filter_var($body, FILTER_VALIDATE_IP) !== false ? $body : null;
     }
 
     /**
      * TCP 443 연결 가능 여부 확인.
      *
+     * 연결만 수행하고 데이터는 주고받지 않는다(`CURLOPT_CONNECT_ONLY`). 원시 소켓(`fsockopen`)
+     * 대신 curl 을 쓰는 이유는 사이트 환경설정의 아웃바운드 프록시를 이 검사에도 태우기
+     * 위해서다 — 프록시 핸드셰이크(HTTP CONNECT / SOCKS)는 curl 이 처리한다.
+     *
+     * 이 구분은 진단의 정확성을 좌우한다. 프록시를 쓰는 환경에서 원시 소켓으로 직접 확인하면
+     * 실제 결제 요청이 지나는 경로가 아닌 곳을 재는 셈이라, 결제는 정상 동작하는데 진단만
+     * "연결 불가" 로 보고하는 상태가 된다.
+     *
+     * @param  string  $host  검사 대상 호스트
      * @return array{reachable: bool, error: ?string, latency_ms: ?int}
      */
     private function checkTcp443(string $host): array
     {
         $start = microtime(true);
-        $errno = 0;
-        $errstr = '';
-        $fp = @fsockopen($host, 443, $errno, $errstr, self::TCP_TIMEOUT_SECONDS);
-        $latencyMs = (int) round((microtime(true) - $start) * 1000);
 
-        if ($fp === false) {
+        $ch = curl_init('https://'.$host);
+
+        if ($ch === false) {
             return [
                 'reachable' => false,
-                'error' => $errstr !== '' ? $errstr : 'connect failed',
+                'error' => 'connect failed',
+                'latency_ms' => 0,
+            ];
+        }
+
+        curl_setopt_array($ch, [
+            CURLOPT_CONNECT_ONLY => true,
+            CURLOPT_CONNECTTIMEOUT => self::TCP_TIMEOUT_SECONDS,
+            CURLOPT_TIMEOUT => self::TCP_TIMEOUT_SECONDS,
+        ]);
+        curl_setopt_array($ch, OutboundProxy::curlOptions());
+
+        $connected = curl_exec($ch);
+        $error = curl_error($ch);
+        curl_close($ch);
+
+        $latencyMs = (int) round((microtime(true) - $start) * 1000);
+
+        if ($connected === false) {
+            return [
+                'reachable' => false,
+                'error' => $error !== '' ? $error : 'connect failed',
                 'latency_ms' => $latencyMs,
             ];
         }
 
-        fclose($fp);
         return [
             'reachable' => true,
             'error' => null,
diff --git a/plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md b/plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md
index 6dc4c422..e12bdeab 100644
--- a/plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md
+++ b/plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md
@@ -4,6 +4,13 @@ All notable changes to this plugin will be documented in this file.
 
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.0.0/).
 
+## [1.0.4] - 2026-08-20
+
+### Changed
+
+- 본인인증 승인 요청이 사이트 환경설정의 아웃바운드 프록시 설정을 따르도록 했습니다. 이전에는 이 요청만 프록시를 거치지 않고 직접 나가서, 프록시를 사용하는 환경에서 결제사에 등록한 IP 와 다른 IP 로 접속했습니다.
+- 코어 최소 요구 버전을 7.1.0 로 상향했습니다.
+
 ## [1.0.3] - 2026-08-19
 
 ### Fixed
diff --git a/plugins/_bundled/sirsoft-verification_kginicis/composer.json b/plugins/_bundled/sirsoft-verification_kginicis/composer.json
index d3f8bb8c..edc52d24 100644
--- a/plugins/_bundled/sirsoft-verification_kginicis/composer.json
+++ b/plugins/_bundled/sirsoft-verification_kginicis/composer.json
@@ -1,7 +1,7 @@
 {
     "name": "plugins/sirsoft-verification_kginicis",
     "description": "KG Inicis Identity Verification provider for G7",
-    "version": "1.0.3",
+    "version": "1.0.4",
     "type": "library",
     "authors": [
         {
diff --git a/plugins/_bundled/sirsoft-verification_kginicis/package.json b/plugins/_bundled/sirsoft-verification_kginicis/package.json
index 65ee40f1..29db9ea3 100644
--- a/plugins/_bundled/sirsoft-verification_kginicis/package.json
+++ b/plugins/_bundled/sirsoft-verification_kginicis/package.json
@@ -1,6 +1,6 @@
 {
     "name": "@g7/sirsoft-verification_kginicis",
-    "version": "1.0.3",
+    "version": "1.0.4",
     "type": "module",
     "private": true,
     "scripts": {
diff --git a/plugins/_bundled/sirsoft-verification_kginicis/plugin.json b/plugins/_bundled/sirsoft-verification_kginicis/plugin.json
index 4a16bbf1..041c39ec 100644
--- a/plugins/_bundled/sirsoft-verification_kginicis/plugin.json
+++ b/plugins/_bundled/sirsoft-verification_kginicis/plugin.json
@@ -5,13 +5,13 @@
         "ko": "KG이니시스 본인인증",
         "en": "KG Inicis Identity Verification"
     },
-    "version": "1.0.3",
+    "version": "1.0.4",
     "license": "MIT",
     "description": {
         "ko": "KG이니시스 통합인증의 본인확인(reqSvcCd=03)을 G7 코어 IDV 인프라에 Provider 로 등록하는 플러그인",
         "en": "KG Inicis Identity Verification (reqSvcCd=03) provider for G7 core IDV infrastructure"
     },
-    "g7_version": ">=7.0.6",
+    "g7_version": ">=7.1.0",
     "dependencies": {
         "modules": {},
         "plugins": {}
diff --git a/plugins/_bundled/sirsoft-verification_kginicis/src/Services/InicisGateway.php b/plugins/_bundled/sirsoft-verification_kginicis/src/Services/InicisGateway.php
index 8bd0cc39..2b361c01 100644
--- a/plugins/_bundled/sirsoft-verification_kginicis/src/Services/InicisGateway.php
+++ b/plugins/_bundled/sirsoft-verification_kginicis/src/Services/InicisGateway.php
@@ -2,6 +2,7 @@
 
 namespace Plugins\Sirsoft\VerificationKginicis\Services;
 
+use App\Support\OutboundProxy;
 use App\Support\OutboundUrlValidator;
 use Illuminate\Support\Str;
 use Plugins\Sirsoft\VerificationKginicis\Exceptions\DecryptException;
@@ -141,6 +142,12 @@ class InicisGateway implements InicisGatewayInterface
             curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
             curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
 
+            // 코어 환경설정의 아웃바운드 프록시를 이 호출에도 적용한다.
+            // 본인인증 승인 요청은 이니시스가 가맹점 서버 IP 를 화이트리스트로 제한하는
+            // 대상이라, 코어의 다른 외부 호출과 같은 IP 로 나가야 한다. 적용 여부 판정은
+            // 코어가 소유하며 미적용 시 빈 배열이라 그대로 넘겨도 무해하다.
+            curl_setopt_array($ch, OutboundProxy::curlOptions());
+
             $responseBody = curl_exec($ch);
             $httpStatus = (int) curl_getinfo($ch, CURLINFO_HTTP_CODE);
             $curlErrno = curl_errno($ch);
diff --git a/routes/api.php b/routes/api.php
index a64b4d81..6f77af6d 100644
--- a/routes/api.php
+++ b/routes/api.php
@@ -632,6 +632,7 @@ Route::prefix('admin')->middleware(['auth:sanctum', 'check.user_status', 'admin'
         Route::post('restore', [AdminSettingsController::class, 'restore'])->middleware('permission:admin,core.settings.update')->name('api.admin.settings.restore');
         Route::post('test-mail', [AdminSettingsController::class, 'testMail'])->middleware('permission:admin,core.settings.update')->name('api.admin.settings.test-mail');
         Route::post('test-driver', [AdminSettingsController::class, 'testDriverConnection'])->middleware('permission:admin,core.settings.update')->name('api.admin.settings.test-driver');
+        Route::post('test-outbound-proxy', [AdminSettingsController::class, 'testOutboundProxy'])->middleware('permission:admin,core.settings.update')->name('api.admin.settings.test-outbound-proxy');
         Route::post('geoip/update', [AdminGeoIpController::class, 'update'])->middleware('permission:admin,core.settings.update')->name('api.admin.settings.geoip.update');
         Route::get('{key}', [AdminSettingsController::class, 'show'])->middleware('permission:admin,core.settings.read')->name('api.admin.settings.show');
         Route::put('{key}', [AdminSettingsController::class, 'update'])->middleware('permission:admin,core.settings.update')->name('api.admin.settings.update');
diff --git a/templates/_bundled/sirsoft-admin_basic/CHANGELOG.md b/templates/_bundled/sirsoft-admin_basic/CHANGELOG.md
index 072e5e09..d7b739fc 100644
--- a/templates/_bundled/sirsoft-admin_basic/CHANGELOG.md
+++ b/templates/_bundled/sirsoft-admin_basic/CHANGELOG.md
@@ -4,6 +4,13 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.0.6] - 2026-08-20
+
+### Added
+
+- 환경설정 > 고급 > 디버그 카드에 아웃바운드 프록시 설정이 추가되었습니다 — 디버그 모드를 켜면 사이트가 외부로 보내는 요청이 거쳐 갈 프록시 주소와, 프록시를 거치지 않을 주소 목록을 입력할 수 있습니다.
+- 프록시 주소 옆에 「연결 테스트」 버튼이 추가되었습니다 — 저장하기 전에 연결 여부를 확인하고, 성공 시 외부 서비스에 보이는 IP 주소를 함께 표시합니다.
+
 ## [1.0.5] - 2026-08-19
 
 ### Added
diff --git a/templates/_bundled/sirsoft-admin_basic/__tests__/layouts/admin-settings-outbound-proxy-visibility.test.tsx b/templates/_bundled/sirsoft-admin_basic/__tests__/layouts/admin-settings-outbound-proxy-visibility.test.tsx
new file mode 100644
index 00000000..09d7e06e
--- /dev/null
+++ b/templates/_bundled/sirsoft-admin_basic/__tests__/layouts/admin-settings-outbound-proxy-visibility.test.tsx
@@ -0,0 +1,203 @@
+/**
+ * @file admin-settings-outbound-proxy-visibility.test.tsx
+ * @description 아웃바운드 프록시 입력칸의 디버그 모드 조건부 노출 테스트
+ *
+ * 프록시는 코어가 바깥으로 내보내는 모든 요청의 경로를 바꾼다. 그래서 입력칸은 디버그 모드가
+ * 켜진 상태에서만 드러나야 한다. 다만 화면의 조건부 렌더링은 편의이지 게이트가 아니다 —
+ * 실제 차단은 서버측 판정(App\Support\OutboundProxy)이 맡고, 이 테스트는 화면이 그 의도와
+ * 어긋나지 않는지만 고정한다.
+ *
+ * 디버그 모드 OFF 케이스에서 SQL 쿼리 로그 토글이 함께 렌더되는 것을 먼저 확인한다.
+ * 그 확인이 없으면 "아직 렌더되지 않아서 없는 것" 과 "조건에 걸려 없는 것" 이 구분되지 않는다.
+ */
+
+import React from 'react';
+import { describe, it, expect, beforeEach, afterEach } from 'vitest';
+import { readFileSync } from 'fs';
+import { resolve } from 'path';
+import { createLayoutTest, screen } from '@core/template-engine/__tests__/utils/layoutTestUtils';
+import { ComponentRegistry } from '@core/template-engine/ComponentRegistry';
+
+const advancedPartial = JSON.parse(
+  readFileSync(resolve(__dirname, '../../layouts/partials/admin_settings/_tab_advanced.json'), 'utf-8')
+);
+
+// ---------------------------------------------------------------------------
+// 테스트용 컴포넌트
+// ---------------------------------------------------------------------------
+
+const TestDiv: React.FC<any> = ({ className, children }) => <div className={className}>{children}</div>;
+const TestInput: React.FC<any> = ({ name, type }) => <input name={name} type={type} data-testid={name} />;
+const TestToggle: React.FC<any> = ({ name }) => (
+  <input type="checkbox" role="switch" name={name} data-testid={`toggle-${name}`} />
+);
+const TestTagInput: React.FC<any> = ({ name }) => <div data-testid={`tags-${name}`} />;
+const TestButton: React.FC<any> = ({ children, text, disabled }) => (
+  <button type="button" disabled={disabled} data-testid="btn-test-proxy">{children || text}</button>
+);
+const TestA: React.FC<any> = ({ children, text }) => <a href="#">{children || text}</a>;
+const TestSpan: React.FC<any> = ({ children, text }) => <span>{children || text}</span>;
+const TestP: React.FC<any> = ({ children, text }) => <p>{children || text}</p>;
+const TestH3: React.FC<any> = ({ children, text }) => <h3>{children || text}</h3>;
+const TestFragment: React.FC<any> = ({ children }) => <>{children}</>;
+
+/**
+ * 테스트용 컴포넌트 레지스트리를 구성합니다.
+ *
+ * @returns 구성된 레지스트리
+ */
+function setupTestRegistry(): ComponentRegistry {
+  const registry = ComponentRegistry.getInstance();
+
+  (registry as any).registry = {
+    Div: { component: TestDiv, metadata: { name: 'Div', type: 'basic' } },
+    Input: { component: TestInput, metadata: { name: 'Input', type: 'basic' } },
+    Toggle: { component: TestToggle, metadata: { name: 'Toggle', type: 'composite' } },
+    TagInput: { component: TestTagInput, metadata: { name: 'TagInput', type: 'composite' } },
+    A: { component: TestA, metadata: { name: 'A', type: 'basic' } },
+    Button: { component: TestButton, metadata: { name: 'Button', type: 'basic' } },
+    Span: { component: TestSpan, metadata: { name: 'Span', type: 'basic' } },
+    P: { component: TestP, metadata: { name: 'P', type: 'basic' } },
+    H3: { component: TestH3, metadata: { name: 'H3', type: 'basic' } },
+    Fragment: { component: TestFragment, metadata: { name: 'Fragment', type: 'layout' } },
+  };
+
+  return registry;
+}
+
+/**
+ * id 로 노드를 깊이 우선 탐색합니다.
+ *
+ * @param node 탐색 시작 노드
+ * @param id 찾을 노드 id
+ * @returns 찾은 노드 또는 null
+ */
+function findNodeById(node: any, id: string): any {
+  if (!node || typeof node !== 'object') return null;
+  if (node.id === id) return node;
+  for (const child of node.children ?? []) {
+    const found = findNodeById(child, id);
+    if (found) return found;
+  }
+  return null;
+}
+
+/**
+ * partial 루트들에서 id 노드를 찾습니다.
+ *
+ * @param id 찾을 노드 id
+ * @returns 찾은 노드 또는 null
+ */
+function findInPartial(id: string): any {
+  for (const root of advancedPartial.components ?? [advancedPartial]) {
+    const found = findNodeById(root, id);
+    if (found) return found;
+  }
+  return null;
+}
+
+/**
+ * 주어진 폼 상태로 디버그 설정 카드를 렌더합니다.
+ *
+ * @param advanced 폼의 advanced 하위 상태
+ * @returns 레이아웃 테스트 유틸
+ */
+function renderDebugCard(advanced: Record<string, unknown>) {
+  const card = findInPartial('card_debug_settings');
+  expect(card).not.toBeNull();
+
+  return createLayoutTest(
+    {
+      version: '1.0.0',
+      layout_name: 'test_outbound_proxy_visibility',
+      components: [card],
+    } as any,
+    {
+      initialState: {
+        _local: {
+          form: { advanced },
+          errors: {},
+        },
+      },
+    }
+  );
+}
+
+describe('아웃바운드 프록시 입력칸 노출 조건', () => {
+  let registry: ComponentRegistry;
+
+  beforeEach(() => {
+    registry = setupTestRegistry();
+  });
+
+  afterEach(() => {
+    (registry as any).registry = {};
+  });
+
+  // @scenario debug_mode=on, proxy_value=empty, bypass_list=empty
+  // @effects proxy_inputs_visible_when_debug_mode_on
+  it('디버그 모드가 켜져 있으면 프록시 주소와 예외 목록이 렌더된다', async () => {
+    const testUtils = renderDebugCard({ debug_mode: true, sql_query_log: false });
+    await testUtils.render();
+
+    expect(screen.getByTestId('advanced.outbound_proxy')).toBeInTheDocument();
+    expect(screen.getByTestId('tags-advanced.outbound_proxy_bypass')).toBeInTheDocument();
+
+    testUtils.cleanup();
+  });
+
+  // @scenario debug_mode=off, proxy_value=valid, bypass_list=empty
+  // @effects proxy_inputs_hidden_when_debug_mode_off
+  it('디버그 모드가 꺼져 있으면 프록시 입력칸이 렌더되지 않는다', async () => {
+    const testUtils = renderDebugCard({ debug_mode: false, sql_query_log: false });
+    await testUtils.render();
+
+    // 카드 자체는 렌더됐음을 먼저 확정한다 — 그래야 아래 부재 단언이 의미를 갖는다.
+    expect(screen.getByTestId('toggle-advanced.sql_query_log')).toBeInTheDocument();
+
+    expect(screen.queryByTestId('advanced.outbound_proxy')).not.toBeInTheDocument();
+    expect(screen.queryByTestId('tags-advanced.outbound_proxy_bypass')).not.toBeInTheDocument();
+
+    testUtils.cleanup();
+  });
+
+  // @scenario debug_mode=on, proxy_value=valid, bypass_list=empty
+  // @effects proxy_inputs_visible_when_debug_mode_on
+  it('레이아웃이 참조하는 폼 필드명이 서버 저장 키와 일치한다', () => {
+    const block = findInPartial('outbound_proxy_settings');
+    expect(block).not.toBeNull();
+
+    const names: string[] = [];
+    const collect = (node: any) => {
+      if (!node || typeof node !== 'object') return;
+      if (node.props?.name) names.push(node.props.name);
+      for (const child of node.children ?? []) collect(child);
+    };
+    collect(block);
+
+    expect(names).toContain('advanced.outbound_proxy');
+    expect(names).toContain('advanced.outbound_proxy_bypass');
+  });
+  // @scenario debug_mode=on, proxy_value=valid, bypass_list=empty
+  // @effects proxy_connection_test_button_wired
+  it('연결 테스트 버튼이 제출값을 실어 테스트 엔드포인트를 호출하도록 배선되어 있다', () => {
+    const block = findInPartial('btn_test_outbound_proxy');
+    expect(block).not.toBeNull();
+
+    const apiCall = (block.actions ?? []).find((a: any) => a.handler === 'apiCall');
+    expect(apiCall).toBeDefined();
+    expect(apiCall.target).toBe('/api/admin/settings/test-outbound-proxy');
+    expect(apiCall.params.method).toBe('POST');
+
+    // 저장된 설정이 아니라 입력창의 현재 값을 보내야 저장 전 확인이 성립한다.
+    expect(apiCall.params.body.outbound_proxy).toContain('_local.form?.advanced?.outbound_proxy');
+    expect(apiCall.params.body.outbound_proxy_bypass).toContain('_local.form?.advanced?.outbound_proxy_bypass');
+
+    // 응답 후 로딩 해제가 성공/실패 양쪽에 걸려 있어야 버튼이 잠긴 채 남지 않는다.
+    for (const branch of ['onSuccess', 'onError']) {
+      const setState = (apiCall[branch] ?? []).find((a: any) => a.handler === 'setState');
+      expect(setState, branch).toBeDefined();
+      expect(setState.params.outboundProxyTesting, branch).toBe(false);
+    }
+  });
+});
diff --git a/templates/_bundled/sirsoft-admin_basic/editor-spec/sampleData.json b/templates/_bundled/sirsoft-admin_basic/editor-spec/sampleData.json
index 45ad464a..c0d1c358 100644
--- a/templates/_bundled/sirsoft-admin_basic/editor-spec/sampleData.json
+++ b/templates/_bundled/sirsoft-admin_basic/editor-spec/sampleData.json
@@ -13902,6 +13902,8 @@
           "debug_mode": true,
           "sql_query_log": false,
           "log_level": "error",
+          "outbound_proxy": "",
+          "outbound_proxy_bypass": [],
           "core_update_github_url": "https://github.com/gnuboard/g7",
           "core_update_github_token": null,
           "geoip_enabled": false,
@@ -13928,7 +13930,9 @@
         "debug": {
           "debug_mode": true,
           "sql_query_log": false,
-          "log_level": "error"
+          "log_level": "error",
+          "outbound_proxy": "",
+          "outbound_proxy_bypass": []
         },
         "drivers": {
           "storage_driver": "local",
diff --git a/templates/_bundled/sirsoft-admin_basic/lang/partial/en/admin.json b/templates/_bundled/sirsoft-admin_basic/lang/partial/en/admin.json
index 345b8e39..3daac052 100644
--- a/templates/_bundled/sirsoft-admin_basic/lang/partial/en/admin.json
+++ b/templates/_bundled/sirsoft-admin_basic/lang/partial/en/admin.json
@@ -1782,6 +1782,13 @@
       "dev_dashboard": "Dev Dashboard",
       "sql_query_log": "SQL Query Log",
       "sql_query_log_desc": "Log executed SQL queries. Log file location: /storage/logs/query.log",
+      "outbound_proxy": "Outbound proxy address",
+      "outbound_proxy_desc": "Every request this site sends out (payment approvals, core update checks, notifications) goes through this server. Use it when an external service restricts which IP addresses may connect. Leave empty to disable.",
+      "outbound_proxy_placeholder": "socks5h://127.0.0.1:1080",
+      "outbound_proxy_bypass": "Proxy bypass list",
+      "outbound_proxy_bypass_desc": "Requests to these addresses go out directly instead of through the proxy. Adding internal addresses avoids unnecessary detours.",
+      "outbound_proxy_bypass_placeholder": "Type an address and press Enter",
+      "outbound_proxy_test": "Test connection",
       "pagination": "List limits",
       "pagination_desc": "How far totals are counted on large lists, and the highest page number that can be requested directly. Beyond the cap the total is shown as \"N+\" and only the last-page jump is hidden — moving to the next page stays available.",
       "pagination_result_cap": "Total count cap",
diff --git a/templates/_bundled/sirsoft-admin_basic/lang/partial/ko/admin.json b/templates/_bundled/sirsoft-admin_basic/lang/partial/ko/admin.json
index 318a030e..613ffb2d 100644
--- a/templates/_bundled/sirsoft-admin_basic/lang/partial/ko/admin.json
+++ b/templates/_bundled/sirsoft-admin_basic/lang/partial/ko/admin.json
@@ -1786,6 +1786,13 @@
       "dev_dashboard": "개발 대시보드",
       "sql_query_log": "SQL 쿼리 로그",
       "sql_query_log_desc": "실행된 SQL 쿼리를 로그에 기록합니다. 로그 파일 위치: /storage/logs/query.log",
+      "outbound_proxy": "아웃바운드 프록시 주소",
+      "outbound_proxy_desc": "사이트가 외부로 보내는 모든 요청(결제 승인, 코어 업데이트 확인, 알림 발송 등)이 이 서버를 거쳐 나갑니다. 접속 IP를 제한하는 외부 서비스를 연동할 때 사용합니다. 비워 두면 사용하지 않습니다.",
+      "outbound_proxy_placeholder": "socks5h://127.0.0.1:1080",
+      "outbound_proxy_bypass": "프록시 예외 목록",
+      "outbound_proxy_bypass_desc": "이 목록에 있는 주소로 보내는 요청은 프록시를 거치지 않고 바로 나갑니다. 내부망 주소를 넣어두면 불필요한 우회를 줄일 수 있습니다.",
+      "outbound_proxy_bypass_placeholder": "주소 입력 후 Enter",
+      "outbound_proxy_test": "연결 테스트",
       "pagination": "목록 한계값",
       "pagination_desc": "대용량 목록에서 총 건수를 세는 범위와 직접 요청 가능한 페이지 번호의 상한입니다. 상한을 넘으면 총 건수를 \"N건 이상\" 으로 표시하고 마지막 페이지 점프만 감춥니다 — 다음 페이지 이동은 그대로 열려 있습니다.",
       "pagination_result_cap": "총 건수 집계 상한",
diff --git a/templates/_bundled/sirsoft-admin_basic/layouts/partials/admin_settings/_tab_advanced.json b/templates/_bundled/sirsoft-admin_basic/layouts/partials/admin_settings/_tab_advanced.json
index d2cbd402..b27f4596 100644
--- a/templates/_bundled/sirsoft-admin_basic/layouts/partials/admin_settings/_tab_advanced.json
+++ b/templates/_bundled/sirsoft-admin_basic/layouts/partials/admin_settings/_tab_advanced.json
@@ -905,6 +905,219 @@
                   }
                 }
               ]
+            },
+            {
+              "id": "outbound_proxy_settings",
+              "type": "basic",
+              "name": "Div",
+              "if": "{{_local.form?.advanced?.debug_mode}}",
+              "props": {
+                "className": "ml-4 pl-4 border-l-2 border-blue-200 dark:border-blue-800 space-y-4"
+              },
+              "children": [
+                {
+                  "id": "input_outbound_proxy",
+                  "type": "basic",
+                  "name": "Div",
+                  "props": {
+                    "className": "row-stack"
+                  },
+                  "children": [
+                    {
+                      "type": "basic",
+                      "name": "Div",
+                      "props": {
+                        "className": "flex-center"
+                      },
+                      "children": [
+                        {
+                          "type": "basic",
+                          "name": "Span",
+                          "props": {
+                            "className": "text-heading"
+                          },
+                          "text": "$t:admin.settings.advanced.outbound_proxy"
+                        }
+                      ]
+                    },
+                    {
+                      "type": "basic",
+                      "name": "P",
+                      "props": {
+                        "className": "text-label-subtle"
+                      },
+                      "text": "$t:admin.settings.advanced.outbound_proxy_desc"
+                    },
+                    {
+                      "type": "basic",
+                      "name": "Input",
+                      "props": {
+                        "type": "text",
+                        "name": "advanced.outbound_proxy",
+                        "placeholder": "$t:admin.settings.advanced.outbound_proxy_placeholder",
+                        "autoComplete": "off",
+                        "disabled": "{{_computed.isReadOnly}}",
+                        "className": "{{_local.errors?.['advanced.outbound_proxy'] ? 'input-error' : ''}}"
+                      }
+                    },
+                    {
+                      "type": "basic",
+                      "name": "Span",
+                      "if": "{{_local.errors?.['advanced.outbound_proxy']}}",
+                      "props": {
+                        "className": "form-error"
+                      },
+                      "text": "{{_local.errors?.['advanced.outbound_proxy']?.[0] ?? ''}}"
+                    },
+                    {
+                      "id": "outbound_proxy_test_row",
+                      "type": "basic",
+                      "name": "Div",
+                      "props": {
+                        "className": "flex items-center gap-3 mt-2"
+                      },
+                      "children": [
+                        {
+                          "id": "btn_test_outbound_proxy",
+                          "type": "basic",
+                          "name": "Button",
+                          "props": {
+                            "type": "button",
+                            "className": "px-3 py-1.5 bg-gray-700 dark:bg-gray-600 text-white dark:text-white text-xs font-medium rounded-md hover:bg-gray-800 dark:hover:bg-gray-500 transition-colors whitespace-nowrap disabled:opacity-50",
+                            "disabled": "{{_computed.isReadOnly || !_local.form?.advanced?.outbound_proxy || _local.outboundProxyTesting}}"
+                          },
+                          "text": "$t:admin.settings.advanced.outbound_proxy_test",
+                          "actions": [
+                            {
+                              "event": "click",
+                              "handler": "setState",
+                              "params": {
+                                "target": "local",
+                                "outboundProxyTesting": true
+                              }
+                            },
+                            {
+                              "event": "click",
+                              "handler": "apiCall",
+                              "target": "/api/admin/settings/test-outbound-proxy",
+                              "auth_required": true,
+                              "params": {
+                                "method": "POST",
+                                "body": {
+                                  "outbound_proxy": "{{_local.form?.advanced?.outbound_proxy}}",
+                                  "outbound_proxy_bypass": "{{_local.form?.advanced?.outbound_proxy_bypass ?? []}}"
+                                }
+                              },
+                              "onSuccess": [
+                                {
+                                  "handler": "setState",
+                                  "params": {
+                                    "target": "local",
+                                    "outboundProxyTesting": false,
+                                    "outboundProxyTest": "{{response.data}}",
+                                    "outboundProxyTestMessage": "{{response.message}}"
+                                  }
+                                },
+                                {
+                                  "handler": "toast",
+                                  "params": {
+                                    "type": "{{response.data?.success ? 'success' : 'error'}}",
+                                    "message": "{{response.message}}"
+                                  }
+                                }
+                              ],
+                              "onError": [
+                                {
+                                  "handler": "setState",
+                                  "params": {
+                                    "target": "local",
+                                    "outboundProxyTesting": false,
+                                    "outboundProxyTest": null,
+                                    "outboundProxyTestMessage": "{{error.message}}"
+                                  }
+                                },
+                                {
+                                  "handler": "toast",
+                                  "params": {
+                                    "type": "error",
+                                    "message": "{{error.message}}"
+                                  }
+                                }
+                              ]
+                            }
+                          ]
+                        },
+                        {
+                          "id": "outbound_proxy_test_result",
+                          "type": "basic",
+                          "name": "Span",
+                          "if": "{{!!_local.outboundProxyTestMessage && !_local.outboundProxyTesting}}",
+                          "props": {
+                            "className": "{{_local.outboundProxyTest?.success ? 'text-xs text-green-600 dark:text-green-400' : 'text-xs text-red-600 dark:text-red-400'}}"
+                          },
+                          "text": "{{_local.outboundProxyTest?.egress_ip ? (_local.outboundProxyTestMessage + ' (' + _local.outboundProxyTest.egress_ip + ')') : _local.outboundProxyTestMessage}}"
+                        }
+                      ]
+                    }
+                  ]
+                },
+                {
+                  "id": "input_outbound_proxy_bypass",
+                  "type": "basic",
+                  "name": "Div",
+                  "props": {
+                    "className": "row-stack"
+                  },
+                  "children": [
+                    {
+                      "type": "basic",
+                      "name": "Div",
+                      "props": {
+                        "className": "flex-center"
+                      },
+                      "children": [
+                        {
+                          "type": "basic",
+                          "name": "Span",
+                          "props": {
+                            "className": "text-heading"
+                          },
+                          "text": "$t:admin.settings.advanced.outbound_proxy_bypass"
+                        }
+                      ]
+                    },
+                    {
+                      "type": "basic",
+                      "name": "P",
+                      "props": {
+                        "className": "text-label-subtle"
+                      },
+                      "text": "$t:admin.settings.advanced.outbound_proxy_bypass_desc"
+                    },
+                    {
+                      "type": "composite",
+                      "name": "TagInput",
+                      "props": {
+                        "name": "advanced.outbound_proxy_bypass",
+                        "creatable": true,
+                        "placeholder": "$t:admin.settings.advanced.outbound_proxy_bypass_placeholder",
+                        "className": "w-full",
+                        "defaultVariant": "blue",
+                        "disabled": "{{_computed.isReadOnly}}"
+                      }
+                    },
+                    {
+                      "type": "basic",
+                      "name": "Span",
+                      "if": "{{_local.errors?.['advanced.outbound_proxy_bypass']}}",
+                      "props": {
+                        "className": "form-error"
+                      },
+                      "text": "{{_local.errors?.['advanced.outbound_proxy_bypass']?.[0] ?? ''}}"
+                    }
+                  ]
+                }
+              ]
             }
           ]
         }
diff --git a/templates/_bundled/sirsoft-admin_basic/package-lock.json b/templates/_bundled/sirsoft-admin_basic/package-lock.json
index 04fc26af..c783e329 100644
--- a/templates/_bundled/sirsoft-admin_basic/package-lock.json
+++ b/templates/_bundled/sirsoft-admin_basic/package-lock.json
@@ -1,12 +1,12 @@
 {
     "name": "sirsoft-admin_basic",
-    "version": "1.0.5",
+    "version": "1.0.6",
     "lockfileVersion": 3,
     "requires": true,
     "packages": {
         "": {
             "name": "sirsoft-admin_basic",
-            "version": "1.0.5",
+            "version": "1.0.6",
             "license": "MIT",
             "dependencies": {
                 "@dnd-kit/core": "^6.3.1",
diff --git a/templates/_bundled/sirsoft-admin_basic/package.json b/templates/_bundled/sirsoft-admin_basic/package.json
index 745366a6..90f5d65b 100644
--- a/templates/_bundled/sirsoft-admin_basic/package.json
+++ b/templates/_bundled/sirsoft-admin_basic/package.json
@@ -1,6 +1,6 @@
 {
     "name": "sirsoft-admin_basic",
-    "version": "1.0.5",
+    "version": "1.0.6",
     "description": "Gnuboard7 Basic Admin Template Components",
     "type": "module",
     "main": "dist/components.js",
diff --git a/templates/_bundled/sirsoft-admin_basic/template.json b/templates/_bundled/sirsoft-admin_basic/template.json
index 70f7689b..9c1f06ec 100644
--- a/templates/_bundled/sirsoft-admin_basic/template.json
+++ b/templates/_bundled/sirsoft-admin_basic/template.json
@@ -5,7 +5,7 @@
         "ko": "Admin Basic",
         "en": "Admin Basic"
     },
-    "version": "1.0.5",
+    "version": "1.0.6",
     "license": "MIT",
     "description": {
         "ko": "그누보드7 기본 관리자 템플릿",
diff --git a/tests/Feature/Settings/OutboundProxySettingTest.php b/tests/Feature/Settings/OutboundProxySettingTest.php
new file mode 100644
index 00000000..7801ac0f
--- /dev/null
+++ b/tests/Feature/Settings/OutboundProxySettingTest.php
@@ -0,0 +1,322 @@
+<?php
+
+namespace Tests\Feature\Settings;
+
+use App\Contracts\Repositories\ConfigRepositoryInterface;
+use App\Http\Requests\Settings\SaveSettingsRequest;
+use App\Providers\AppServiceProvider;
+use App\Services\OutboundProxyTester;
+use App\Services\SettingsService;
+use Illuminate\Http\Client\Factory;
+use Illuminate\Support\Facades\Http;
+use Illuminate\Validation\Validator;
+use ReflectionMethod;
+use ReflectionProperty;
+use Tests\TestCase;
+
+/**
+ * 아웃바운드 프록시 설정의 저장·검증·적용을 고정합니다.
+ *
+ * 이 설정은 화면 한 곳에서 입력되지만 네 지점을 지나야 실제로 동작합니다 — 검증(FormRequest),
+ * 분류 저장(고급 탭 → debug 카테고리), 판정(OutboundProxy), 적용(Http 전역 옵션). 어느 한
+ * 지점이 빠지면 "저장은 되는데 적용되지 않는" 상태가 되고, 저장 응답은 200 이라 화면에도
+ * API 에도 실패가 드러나지 않습니다.
+ *
+ * 축 조합은 각 테스트 메서드의 @scenario 주석이 담당한다.
+ *
+ * @effects proxy_setting_persists_to_debug_category
+ * @effects proxy_setting_rejects_invalid_url
+ * @effects proxy_applied_to_global_http_options
+ * @effects proxy_absent_leaves_global_http_options_untouched
+ * @effects proxy_connection_test_reports_egress_ip
+ */
+class OutboundProxySettingTest extends TestCase
+{
+    /**
+     * 고급 탭에서 저장한 프록시 값이 debug 카테고리에 기록되는지 확인합니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=normalizable
+     *
+     * @effects proxy_setting_persists_to_debug_category
+     */
+    public function test_proxy_settings_saved_from_advanced_tab_are_persisted(): void
+    {
+        $saved = app(SettingsService::class)->saveSettings([
+            '_tab' => 'advanced',
+            'advanced' => [
+                'outbound_proxy' => 'socks5h://127.0.0.1:1080',
+                'outbound_proxy_bypass' => ['g7.dev', 'localhost'],
+            ],
+        ]);
+
+        $this->assertTrue($saved, '고급 탭 저장이 실패했습니다.');
+
+        $debug = app(ConfigRepositoryInterface::class)->getCategory('debug');
+
+        $this->assertSame(
+            'socks5h://127.0.0.1:1080',
+            $debug['outbound_proxy'] ?? null,
+            'debug.outbound_proxy 가 저장되지 않았습니다 — 고급 탭 분류표에서 누락되면 값이 조용히 버려집니다.'
+        );
+        $this->assertSame(['g7.dev', 'localhost'], $debug['outbound_proxy_bypass'] ?? null);
+    }
+
+    /**
+     * 기존 설치본에도 새 키가 기본값으로 노출되는지 확인합니다.
+     *
+     * 설정 JSON 은 defaults 와 병합되어 읽히므로 별도 마이그레이션 없이 키가 생겨야 합니다.
+     *
+     * @scenario debug_mode=on, proxy_value=empty, bypass_list=empty
+     *
+     * @effects proxy_setting_persists_to_debug_category
+     */
+    public function test_new_keys_are_present_through_defaults_merge(): void
+    {
+        $debug = app(ConfigRepositoryInterface::class)->getCategory('debug');
+
+        $this->assertArrayHasKey('outbound_proxy', $debug);
+        $this->assertArrayHasKey('outbound_proxy_bypass', $debug);
+        $this->assertSame('', $debug['outbound_proxy']);
+        $this->assertSame([], $debug['outbound_proxy_bypass']);
+    }
+
+    /**
+     * 적용할 수 없는 형태의 주소는 저장 검증에서 막습니다.
+     *
+     * @scenario debug_mode=on, proxy_value=invalid, bypass_list=empty
+     *
+     * @effects proxy_setting_rejects_invalid_url
+     */
+    public function test_invalid_proxy_url_fails_validation(): void
+    {
+        $validator = $this->validatorForAdvanced([
+            'outbound_proxy' => 'ftp://proxy.internal:21',
+        ]);
+
+        $this->assertTrue(
+            $validator->fails(),
+            '허용 목록에 없는 스킴이 검증을 통과했습니다 — 저장은 되고 적용은 안 되는 상태가 됩니다.'
+        );
+        $this->assertArrayHasKey('advanced.outbound_proxy', $validator->errors()->messages());
+    }
+
+    /**
+     * 유효한 주소와 빈 값은 검증을 통과합니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=empty
+     *
+     * @effects proxy_setting_rejects_invalid_url
+     */
+    public function test_valid_and_empty_proxy_url_pass_validation(): void
+    {
+        foreach (['socks5h://127.0.0.1:1080', 'http://proxy.internal:3128', ''] as $url) {
+            $validator = $this->validatorForAdvanced(['outbound_proxy' => $url]);
+
+            $this->assertFalse(
+                $validator->errors()->has('advanced.outbound_proxy'),
+                "유효한 주소 '{$url}' 가 거부됐습니다."
+            );
+        }
+    }
+
+    /**
+     * 예외 목록의 각 항목이 문자열·길이 검증을 받는지 확인합니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=normalizable
+     *
+     * @effects proxy_setting_rejects_invalid_url
+     */
+    public function test_bypass_list_items_are_validated(): void
+    {
+        $validator = $this->validatorForAdvanced([
+            'outbound_proxy_bypass' => [str_repeat('a', 256)],
+        ]);
+
+        $this->assertTrue($validator->fails());
+        $this->assertArrayHasKey('advanced.outbound_proxy_bypass.0', $validator->errors()->messages());
+    }
+
+    /**
+     * 판정 결과가 있으면 Http 전역 옵션에 프록시가 실립니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=normalizable
+     *
+     * @effects proxy_applied_to_global_http_options
+     */
+    public function test_resolved_proxy_is_applied_to_global_http_options(): void
+    {
+        $proxy = [
+            'http' => 'socks5h://127.0.0.1:1080',
+            'https' => 'socks5h://127.0.0.1:1080',
+            'no' => ['g7.dev'],
+        ];
+
+        config(['g7.outbound_proxy' => $proxy]);
+        $this->invokeOutboundProxyConfigurer();
+
+        $this->assertSame(
+            ['proxy' => $proxy],
+            $this->globalHttpOptions(),
+            'Http 전역 옵션에 프록시가 실리지 않았습니다 — 설정은 저장되어도 실제 요청은 그대로 나갑니다.'
+        );
+    }
+
+    /**
+     * 판정 결과가 없으면 Http 전역 옵션을 건드리지 않습니다.
+     *
+     * 디버그 모드가 꺼져 있으면 판정이 null 을 돌려주므로, 이 경로가 프록시 미적용을 보장합니다.
+     *
+     * @scenario debug_mode=off, proxy_value=valid, bypass_list=empty
+     *
+     * @effects proxy_absent_leaves_global_http_options_untouched
+     */
+    public function test_absent_proxy_leaves_global_http_options_untouched(): void
+    {
+        foreach ([null, [], ''] as $value) {
+            config(['g7.outbound_proxy' => $value]);
+            $this->invokeOutboundProxyConfigurer();
+
+            $this->assertSame(
+                [],
+                $this->globalHttpOptions(),
+                '프록시 미적용 상태인데 Http 전역 옵션이 설정됐습니다.'
+            );
+        }
+    }
+
+    /**
+     * 고급 탭 검증기를 구성합니다.
+     *
+     * @param  array<string, mixed>  $advanced  advanced 탭 입력값
+     */
+    private function validatorForAdvanced(array $advanced): Validator
+    {
+        $request = new SaveSettingsRequest;
+        $request->merge(['_tab' => 'advanced', 'advanced' => $advanced]);
+        $request->setContainer(app());
+
+        return validator(
+            $request->all(),
+            $request->rules(),
+            $request->messages(),
+            $request->attributes()
+        );
+    }
+
+    /**
+     * AppServiceProvider 의 프록시 적용 로직만 실행합니다.
+     */
+    private function invokeOutboundProxyConfigurer(): void
+    {
+        $this->resetGlobalHttpOptions();
+
+        $provider = new AppServiceProvider($this->app);
+        $method = new ReflectionMethod($provider, 'configureOutboundProxy');
+        $method->setAccessible(true);
+        $method->invoke($provider);
+    }
+
+    /**
+     * Http 팩토리의 전역 옵션을 비웁니다.
+     */
+    private function resetGlobalHttpOptions(): void
+    {
+        Http::globalOptions([]);
+    }
+
+    /**
+     * Http 팩토리에 설정된 전역 옵션을 읽습니다.
+     *
+     * @return array<string, mixed>
+     */
+    private function globalHttpOptions(): array
+    {
+        $factory = $this->app->make(Factory::class);
+        $property = new ReflectionProperty($factory, 'globalOptions');
+        $property->setAccessible(true);
+
+        return (array) value($property->getValue($factory));
+    }
+
+    /**
+     * 연결 테스트가 프록시를 거친 출발지 IP 를 보고합니다.
+     *
+     * 출발지 IP 는 운영자가 결제사에 등록해야 하는 값이라, 저장하기 전에 알 수 있어야 합니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=empty
+     *
+     * @effects proxy_connection_test_reports_egress_ip
+     */
+    public function test_connection_test_reports_egress_ip(): void
+    {
+        Http::fake(['*' => Http::response('203.0.113.9', 200)]);
+
+        $result = app(OutboundProxyTester::class)->test('socks5h://127.0.0.1:1080');
+
+        $this->assertTrue($result['success']);
+        $this->assertSame('203.0.113.9', $result['egress_ip']);
+        $this->assertSame('settings.outbound_proxy_test_success', $result['message_key']);
+    }
+
+    /**
+     * 연결 테스트는 제출된 값을 검사합니다 — 저장된 설정이나 전역 옵션을 보지 않습니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=normalizable
+     *
+     * @effects proxy_connection_test_reports_egress_ip
+     */
+    public function test_connection_test_uses_submitted_proxy_not_stored_settings(): void
+    {
+        config(['g7.outbound_proxy' => null]);
+        Http::globalOptions([]);
+
+        Http::fake(['*' => Http::response('203.0.113.9', 200)]);
+
+        $result = app(OutboundProxyTester::class)->test('socks5h://10.0.0.9:1080', ['g7.dev']);
+
+        // 전역 프록시가 없는 상태에서도 제출값으로 요청이 나갔다.
+        Http::assertSentCount(1);
+        $this->assertTrue($result['success']);
+
+        // 전역 옵션은 비어 있는 채여야 한다 — 테스트가 전역 상태를 바꾸면 이후 모든 요청이
+        // 저장하지도 않은 프록시를 타게 된다.
+        $this->assertSame([], $this->globalHttpOptions());
+    }
+
+    /**
+     * 적용 불가 주소는 외부 호출 없이 즉시 거부합니다.
+     *
+     * @scenario debug_mode=on, proxy_value=invalid, bypass_list=empty
+     *
+     * @effects proxy_connection_test_reports_egress_ip
+     */
+    public function test_connection_test_rejects_invalid_url_without_calling_out(): void
+    {
+        Http::fake();
+
+        $result = app(OutboundProxyTester::class)->test('ftp://proxy.internal:21');
+
+        $this->assertFalse($result['success']);
+        $this->assertSame('settings.outbound_proxy_test_invalid_url', $result['message_key']);
+        Http::assertNothingSent();
+    }
+
+    /**
+     * 조회 대상이 없으면 확인 불가로 보고합니다 — 실패와 구분되어야 합니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=empty
+     *
+     * @effects proxy_connection_test_reports_egress_ip
+     */
+    public function test_connection_test_reports_when_no_lookup_target_is_configured(): void
+    {
+        config(['core.outbound_proxy.egress_lookup_urls' => []]);
+        Http::fake();
+
+        $result = app(OutboundProxyTester::class)->test('socks5h://127.0.0.1:1080');
+
+        $this->assertFalse($result['success']);
+        $this->assertSame('settings.outbound_proxy_test_no_lookup_url', $result['message_key']);
+        Http::assertNothingSent();
+    }
+}
diff --git a/tests/Playwright/specs/admin/settings-outbound-proxy.spec.ts b/tests/Playwright/specs/admin/settings-outbound-proxy.spec.ts
new file mode 100644
index 00000000..2059f61f
--- /dev/null
+++ b/tests/Playwright/specs/admin/settings-outbound-proxy.spec.ts
@@ -0,0 +1,152 @@
+/**
+ * E2E: 환경설정 > 고급 — 아웃바운드 HTTP 프록시 (#600)
+ *
+ * 시나리오 매니페스트: tests/scenarios/outbound-http-proxy.yaml — 마킹은 각 테스트의
+ * scenario(k=v 조합)·effects 주석이 담당하며, 헤더 요약 마킹은 파서 형식이 아니다
+ *
+ * 배경: 접속 IP 를 제한하는 결제사 API 를 로컬에서 테스트하려면 서버가 내보내는 요청의
+ * 출발지 IP 를 바꿔야 한다. 브라우저 프록시로는 바뀌지 않는 축이라 코어 설정으로 도입했다.
+ *
+ * 검증:
+ *  1. 디버그 모드가 꺼져 있으면 프록시 입력칸이 화면에 없다
+ *  2. 디버그 모드를 켜면 프록시 주소 Input 과 예외 목록 TagInput 이 마운트된다
+ *  3. 적용할 수 없는 형태의 주소는 저장이 거부되고 해당 필드에 inline 에러가 표시된다
+ */
+import { test, expect, issueToken, authenticatePage } from '../../fixtures/auth';
+
+/**
+ * 관리자 환경설정 고급 탭 진입.
+ *
+ * 이 화면은 하드 로드 시 설정 응답이 도착하기 전에도 폼이 렌더되어 조작할 수 있고,
+ * 그 조작은 뒤늦게 도착한 `initLocal` 시드에 덮인다(실측 노출 창 300~430ms).
+ * 제품 차원의 잠금은 두지 않기로 했으므로(#600 PO 결정), 테스트가 시드 완료를
+ * 기다린 뒤에 조작한다.
+ */
+async function gotoAdvancedTab(page: import('@playwright/test').Page): Promise<void> {
+  await page.goto('/admin/settings?tab=advanced');
+  await page.waitForLoadState('domcontentloaded', { timeout: 30_000 });
+  await expect(page.locator('#card_debug_settings')).toBeAttached({ timeout: 20_000 });
+
+  await expect
+    .poll(
+      () =>
+        page.evaluate(
+          () => Object.keys((window as any).G7Core?.state?.getLocal?.()?.form?.advanced ?? {}).length
+        ),
+      { timeout: 20_000 }
+    )
+    .toBeGreaterThan(0);
+}
+
+/** 디버그 모드 토글을 켠다 (이미 켜져 있으면 그대로 둔다) */
+async function enableDebugMode(page: import('@playwright/test').Page): Promise<void> {
+  const checkbox = page.locator('input[name="advanced.debug_mode"]').first();
+  await expect(checkbox).toBeAttached({ timeout: 10_000 });
+
+  if (!(await checkbox.isChecked())) {
+    // Toggle 은 sr-only checkbox 를 감싼 wrapper 가 클릭 대상이다
+    await page.locator('#toggle_debug_mode .toggle-switch-wrapper').first().click();
+  }
+
+  await expect(page.locator('#outbound_proxy_settings')).toBeAttached({ timeout: 10_000 });
+}
+
+// @scenario debug_mode=off, proxy_value=valid, bypass_list=empty
+// @effects proxy_inputs_hidden_when_debug_mode_off
+test('#600 - 디버그 모드가 꺼져 있으면 프록시 입력칸이 없다', async ({ page }) => {
+  const token = issueToken('core.settings.read', 'core.settings.update');
+  await authenticatePage(page, token);
+
+  await gotoAdvancedTab(page);
+  expect(page.url()).not.toMatch(/\/admin\/login/);
+
+  // 존재 확정: 같은 카드의 SQL 쿼리 로그 토글은 조건 없이 렌더된다.
+  // 이 확인이 없으면 아래 부재 단언이 "아직 렌더 전" 과 구분되지 않는다.
+  await expect(page.locator('[name="advanced.sql_query_log"]').first()).toBeAttached();
+
+  await expect(page.locator('#outbound_proxy_settings')).toHaveCount(0);
+  await expect(page.locator('input[name="advanced.outbound_proxy"]')).toHaveCount(0);
+});
+
+// @scenario debug_mode=on, proxy_value=valid, bypass_list=empty
+// @effects proxy_inputs_visible_when_debug_mode_on
+test('@smoke #600 - 디버그 모드를 켜면 프록시 주소와 예외 목록이 마운트된다', async ({ page }) => {
+  const token = issueToken('core.settings.read', 'core.settings.update');
+  await authenticatePage(page, token);
+
+  await gotoAdvancedTab(page);
+  await enableDebugMode(page);
+
+  const proxyInput = page.locator('input[name="advanced.outbound_proxy"]').first();
+  await expect(proxyInput).toBeAttached();
+
+  await proxyInput.fill('socks5h://127.0.0.1:1080');
+  await expect(proxyInput).toHaveValue('socks5h://127.0.0.1:1080');
+
+  // 예외 목록은 TagInput — 자유 입력 후 Enter 로 항목이 된다
+  await expect(page.locator('#input_outbound_proxy_bypass')).toBeAttached();
+});
+
+// @scenario debug_mode=on, proxy_value=invalid, bypass_list=empty
+// @effects proxy_setting_rejects_invalid_url
+test('#600 - 허용되지 않는 형태의 프록시 주소는 저장이 거부된다', async ({ page }) => {
+  const token = issueToken('core.settings.read', 'core.settings.update');
+  await authenticatePage(page, token);
+
+  await gotoAdvancedTab(page);
+  await enableDebugMode(page);
+
+  const proxyInput = page.locator('input[name="advanced.outbound_proxy"]').first();
+  await proxyInput.fill('ftp://proxy.internal:21');
+
+  const saveResponse = page.waitForResponse(
+    (response) => response.request().method() === 'POST' && /\/api\/admin\/settings\/?$/.test(new URL(response.url()).pathname),
+    { timeout: 20_000 }
+  );
+
+  await page.getByRole('button', { name: /저장|Save/ }).first().click();
+
+  const response = await saveResponse;
+  expect(response.status()).toBe(422);
+
+  await expect(page.locator('#input_outbound_proxy .form-error')).toBeVisible({ timeout: 10_000 });
+});
+
+// @scenario debug_mode=on, proxy_value=valid, bypass_list=empty
+// @effects proxy_connection_test_button_wired
+test('#600 - 연결 테스트가 프록시를 거친 출발지 IP 를 화면에 보고한다', async ({ page }) => {
+  const token = issueToken('core.settings.read', 'core.settings.update');
+  await authenticatePage(page, token);
+
+  await gotoAdvancedTab(page);
+  await enableDebugMode(page);
+
+  // 프록시 주소를 비운 상태에서는 테스트 버튼이 잠겨 있다 (보낼 값이 없다)
+  await expect(page.locator('#btn_test_outbound_proxy')).toBeDisabled();
+
+  await page.locator('input[name="advanced.outbound_proxy"]').first().fill('socks5h://127.0.0.1:1080');
+  await expect(page.locator('#btn_test_outbound_proxy')).toBeEnabled();
+
+  // 외부 프록시 서버는 E2E 환경에 없으므로 응답만 스텁한다 —
+  // 버튼 배선·요청 페이로드·결과 렌더는 전부 실경로다.
+  await page.route('**/api/admin/settings/test-outbound-proxy', async (route) => {
+    const body = route.request().postDataJSON();
+    expect(body.outbound_proxy).toBe('socks5h://127.0.0.1:1080');
+
+    await route.fulfill({
+      status: 200,
+      contentType: 'application/json',
+      body: JSON.stringify({
+        success: true,
+        message: '프록시 연결에 성공했습니다. 외부 서비스에는 이 IP 로 보입니다.',
+        data: { success: true, egress_ip: '203.0.113.9', elapsed_ms: 120, error: null },
+      }),
+    });
+  });
+
+  await page.locator('#btn_test_outbound_proxy').click();
+
+  const result = page.locator('#outbound_proxy_test_result');
+  await expect(result).toBeVisible({ timeout: 10_000 });
+  await expect(result).toContainText('203.0.113.9');
+});
diff --git a/tests/Unit/Support/OutboundProxyTest.php b/tests/Unit/Support/OutboundProxyTest.php
new file mode 100644
index 00000000..4a8cc9ed
--- /dev/null
+++ b/tests/Unit/Support/OutboundProxyTest.php
@@ -0,0 +1,258 @@
+<?php
+
+namespace Tests\Unit\Support;
+
+use App\Support\OutboundProxy;
+use Tests\TestCase;
+
+/**
+ * 아웃바운드 프록시 적용 판정을 고정합니다.
+ *
+ * 이 판정은 코어가 바깥으로 내보내는 모든 HTTP 요청의 경로를 정합니다. 잘못 열리면 결제 승인
+ * 요청까지 운영자가 지정한 제3의 서버를 경유하게 되고, 그 사실이 예외나 로그로 드러나지
+ * 않습니다 — 요청은 정상 성공하고 상대편에 보이는 출발지 IP 만 달라집니다.
+ *
+ * 그래서 관리자 화면에서 입력칸을 감추는 것은 게이트가 아닙니다. 저장 API 를 직접 호출하면
+ * 값은 그대로 저장되므로, 실질 게이트는 이 판정 하나입니다.
+ *
+ * 축 조합은 각 테스트 메서드의 @scenario 주석이 담당한다.
+ */
+class OutboundProxyTest extends TestCase
+{
+    /**
+     * 디버그 모드가 꺼져 있으면 저장값이 남아 있어도 적용하지 않습니다.
+     *
+     * @scenario debug_mode=off, proxy_value=valid, bypass_list=empty
+     *
+     * @effects proxy_not_applied_when_debug_mode_off
+     */
+    public function test_proxy_is_not_applied_when_debug_mode_is_off(): void
+    {
+        $resolved = OutboundProxy::resolve([
+            'mode' => false,
+            'outbound_proxy' => 'socks5h://127.0.0.1:1080',
+            'outbound_proxy_bypass' => ['internal.example'],
+        ]);
+
+        $this->assertNull(
+            $resolved,
+            '디버그 모드가 꺼진 상태에서 프록시가 적용되었습니다 — 화면 조건부 렌더링은 저장 API 직접 호출을 막지 못하므로 이 판정이 유일한 게이트입니다.'
+        );
+    }
+
+    /**
+     * mode 키 자체가 없는 설정도 미적용으로 판정합니다.
+     *
+     * @scenario debug_mode=off, proxy_value=valid, bypass_list=empty
+     *
+     * @effects proxy_not_applied_when_debug_mode_off
+     */
+    public function test_proxy_is_not_applied_when_mode_key_is_absent(): void
+    {
+        $this->assertNull(
+            OutboundProxy::resolve(['outbound_proxy' => 'http://proxy.internal:3128']),
+            'mode 키 부재를 디버그 모드 ON 으로 해석했습니다 — 판정은 fail-closed 여야 합니다.'
+        );
+    }
+
+    /**
+     * 디버그 모드가 켜져 있고 주소가 유효하면 http/https 양쪽에 적용합니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=empty
+     *
+     * @effects proxy_applied_when_debug_mode_on
+     */
+    public function test_proxy_is_applied_for_both_schemes_when_debug_mode_is_on(): void
+    {
+        $resolved = OutboundProxy::resolve([
+            'mode' => true,
+            'outbound_proxy' => 'socks5h://127.0.0.1:1080',
+        ]);
+
+        $this->assertSame([
+            'http' => 'socks5h://127.0.0.1:1080',
+            'https' => 'socks5h://127.0.0.1:1080',
+            'no' => [],
+        ], $resolved);
+    }
+
+    /**
+     * 값이 비어 있으면 프록시를 쓰지 않는 상태로 판정합니다.
+     *
+     * @scenario debug_mode=on, proxy_value=empty, bypass_list=empty
+     *
+     * @effects proxy_applied_when_debug_mode_on
+     */
+    public function test_empty_proxy_value_disables_proxy(): void
+    {
+        $this->assertNull(OutboundProxy::resolve(['mode' => true, 'outbound_proxy' => '']));
+        $this->assertNull(OutboundProxy::resolve(['mode' => true, 'outbound_proxy' => '   ']));
+        $this->assertNull(OutboundProxy::resolve(['mode' => true]));
+    }
+
+    /**
+     * 허용 목록에 없는 스킴과 호스트 없는 주소는 적용하지 않습니다.
+     *
+     * @scenario debug_mode=on, proxy_value=invalid, bypass_list=empty
+     *
+     * @effects proxy_rejects_disallowed_scheme
+     *
+     * @dataProvider invalidProxyUrls
+     */
+    public function test_invalid_proxy_url_is_not_applied(string $url, string $why): void
+    {
+        $this->assertNull(
+            OutboundProxy::resolve(['mode' => true, 'outbound_proxy' => $url]),
+            $why
+        );
+        $this->assertFalse(OutboundProxy::isValidUrl($url), $why);
+    }
+
+    /**
+     * 적용 불가 주소 목록.
+     *
+     * @return array<string, array{0: string, 1: string}>
+     */
+    public static function invalidProxyUrls(): array
+    {
+        return [
+            '스킴 없음' => ['127.0.0.1:1080', '스킴 없는 주소가 통과했습니다 — cURL 이 프록시로 해석하지 못합니다.'],
+            '파일 스킴' => ['file:///etc/passwd', 'file 스킴이 통과했습니다.'],
+            'ftp 스킴' => ['ftp://proxy.internal:21', '허용 목록에 없는 스킴이 통과했습니다.'],
+            '호스트 없음' => ['http://', '호스트 없는 주소가 통과했습니다.'],
+            '빈 문자열' => ['', '빈 값이 유효 주소로 판정됐습니다.'],
+        ];
+    }
+
+    /**
+     * 허용 스킴은 모두 적용 가능해야 합니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=empty
+     *
+     * @effects proxy_applied_when_debug_mode_on
+     */
+    public function test_every_allowed_scheme_is_accepted(): void
+    {
+        foreach (OutboundProxy::ALLOWED_SCHEMES as $scheme) {
+            $this->assertTrue(
+                OutboundProxy::isValidUrl($scheme.'://proxy.internal:1080'),
+                "허용 목록의 스킴 {$scheme} 이 거부됐습니다 — 목록과 판정이 어긋나면 저장은 되는데 적용되지 않습니다."
+            );
+        }
+    }
+
+    /**
+     * 예외 목록은 공백 제거·빈 항목 제거·중복 제거 후 순번을 다시 매깁니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=normalizable
+     *
+     * @effects proxy_bypass_list_normalized
+     */
+    public function test_bypass_list_is_normalized(): void
+    {
+        $resolved = OutboundProxy::resolve([
+            'mode' => true,
+            'outbound_proxy' => 'http://proxy.internal:3128',
+            'outbound_proxy_bypass' => [' g7.dev ', '', 'g7.dev', 'localhost', 42, null],
+        ]);
+
+        $this->assertSame(['g7.dev', 'localhost'], $resolved['no']);
+        $this->assertSame(
+            [0, 1],
+            array_keys($resolved['no']),
+            '예외 목록 키가 비연속입니다 — JSON 직렬화 시 객체가 되어 목록으로 읽히지 않습니다.'
+        );
+    }
+
+    /**
+     * 예외 목록이 배열이 아니면 빈 목록으로 취급합니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=normalizable
+     *
+     * @effects proxy_bypass_list_normalized
+     */
+    public function test_non_array_bypass_list_becomes_empty(): void
+    {
+        $resolved = OutboundProxy::resolve([
+            'mode' => true,
+            'outbound_proxy' => 'http://proxy.internal:3128',
+            'outbound_proxy_bypass' => 'g7.dev',
+        ]);
+
+        $this->assertSame([], $resolved['no']);
+    }
+
+    /**
+     * 적용 중인 프록시는 curl 옵션 형태로도 제공됩니다.
+     *
+     * `Http::` 파사드를 쓰지 못하는 호출 지점(외부 SDK 규약상 curl 핸들을 직접 다뤄야 하는
+     * 경우)이 같은 프록시를 타려면 이 통로가 필요합니다. 이 통로가 없으면 그 경로만 조용히
+     * 직접 나가고, 요청은 정상 성공하므로 아무 신호도 남지 않습니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=normalizable
+     *
+     * @effects proxy_exposed_as_curl_options
+     */
+    public function test_resolved_proxy_is_exposed_as_curl_options(): void
+    {
+        config(['g7.outbound_proxy' => OutboundProxy::resolve([
+            'mode' => true,
+            'outbound_proxy' => 'socks5h://127.0.0.1:1080',
+            'outbound_proxy_bypass' => ['g7.dev', 'localhost'],
+        ])]);
+
+        $this->assertSame([
+            CURLOPT_PROXY => 'socks5h://127.0.0.1:1080',
+            CURLOPT_NOPROXY => 'g7.dev,localhost',
+        ], OutboundProxy::curlOptions());
+    }
+
+    /**
+     * 프록시 미적용 상태에서는 빈 배열이라 curl_setopt_array 에 그대로 넘겨도 무해합니다.
+     *
+     * @scenario debug_mode=off, proxy_value=valid, bypass_list=empty
+     *
+     * @effects proxy_exposed_as_curl_options
+     */
+    public function test_curl_options_are_empty_when_proxy_is_not_applied(): void
+    {
+        config(['g7.outbound_proxy' => OutboundProxy::resolve([
+            'mode' => false,
+            'outbound_proxy' => 'socks5h://127.0.0.1:1080',
+        ])]);
+
+        $this->assertSame([], OutboundProxy::curlOptions());
+    }
+
+    /**
+     * 저장 전 연결 테스트와 실제 적용이 같은 조립·정규화를 거칩니다.
+     *
+     * 이 테스트의 목적은 "저장 전에 확인한다" 는 기능의 전제를 지키는 것입니다. 조립을 두 곳에서
+     * 각각 하면 예외 목록의 공백·빈 항목·중복 처리가 어긋나, 운영자가 확인한 구성과 저장 후
+     * 실제로 적용되는 구성이 달라집니다. 두 구성 모두 정상 동작하므로 어긋남 자체는 아무런
+     * 오류도 남기지 않습니다.
+     *
+     * @scenario debug_mode=on, proxy_value=valid, bypass_list=normalizable
+     *
+     * @effects proxy_bypass_list_normalized
+     */
+    public function test_connection_test_and_applied_config_share_the_same_assembly(): void
+    {
+        $url = '  socks5h://127.0.0.1:1080  ';
+        $bypass = ['  g7.dev  ', '', 'g7.dev', 'localhost'];
+
+        // 실제 적용 경로 (SettingsServiceProvider → config('g7.outbound_proxy'))
+        $applied = OutboundProxy::resolve([
+            'mode' => true,
+            'outbound_proxy' => $url,
+            'outbound_proxy_bypass' => $bypass,
+        ]);
+
+        // 저장 전 연결 테스트 경로 (OutboundProxyTester)
+        $tested = OutboundProxy::options($url, $bypass);
+
+        $this->assertSame($applied, $tested);
+        $this->assertSame(['g7.dev', 'localhost'], $tested['no']);
+        $this->assertSame('socks5h://127.0.0.1:1080', $tested['https']);
+    }
+}
diff --git a/tests/scenarios/outbound-http-proxy.yaml b/tests/scenarios/outbound-http-proxy.yaml
new file mode 100644
index 00000000..f1a10153
--- /dev/null
+++ b/tests/scenarios/outbound-http-proxy.yaml
@@ -0,0 +1,51 @@
+feature: 코어 아웃바운드 HTTP 프록시 설정
+
+description: |
+  코어가 바깥으로 내보내는 모든 HTTP 요청(결제 승인, 코어 업데이트 조회, GeoIP 내려받기,
+  알림 웹훅)을 운영자가 지정한 프록시로 경유시키는 환경설정. 접속 IP 를 제한하는 외부
+  서비스를 로컬·스테이징 환경에서 연동하기 위한 것이다.
+
+  핵심 동작:
+    - 저장 키는 debug 카테고리 소속 (debug.outbound_proxy, debug.outbound_proxy_bypass)
+    - 적용 게이트는 디버그 모드 — App\Support\OutboundProxy 가 단독 판정
+    - 디버그 모드 OFF 면 저장값이 남아 있어도 미적용 (화면 조건부 렌더링은 게이트가 아님)
+    - 적용은 Http::globalOptions 전역 옵션 — 확장의 Http:: 호출까지 함께 경유
+    - 개별 요청의 withOptions(['proxy' => ...]) 가 전역 옵션보다 우선
+    - Http:: 파사드를 쓰지 못하는 curl 직접 호출은 OutboundProxy::curlOptions() 로 편입
+    - 저장 전 연결 테스트는 저장값이 아니라 제출값을 검사하고 출발지 IP 를 보고
+
+  축 설계: 판정에 실제로 영향을 주는 입력만 축으로 둔다. 검증 지점(단위/저장/적용/화면)은
+  같은 조합을 여러 계층에서 확인하는 것이므로 축이 아니라 테스트 파일의 분담이다.
+
+axes:
+  debug_mode: [on, off]
+  proxy_value: [valid, invalid, empty]
+  bypass_list: [empty, normalizable]
+
+exclusions:
+  - { debug_mode: off, proxy_value: invalid, reason: "게이트가 먼저 걸려 주소 형태를 평가하지 않는다" }
+  - { debug_mode: off, proxy_value: empty, reason: "동일 — 미적용 판정이 주소보다 앞선다" }
+  - { debug_mode: off, bypass_list: normalizable, reason: "미적용 판정에서는 예외 목록을 계산하지 않는다" }
+  - { proxy_value: invalid, bypass_list: normalizable, reason: "주소가 거부되면 예외 목록은 계산되지 않는다" }
+  - { proxy_value: empty, bypass_list: normalizable, reason: "프록시를 쓰지 않으면 예외 목록은 의미가 없다" }
+
+effects:
+  - proxy_not_applied_when_debug_mode_off
+  - proxy_applied_when_debug_mode_on
+  - proxy_rejects_disallowed_scheme
+  - proxy_bypass_list_normalized
+  - proxy_setting_persists_to_debug_category
+  - proxy_setting_rejects_invalid_url
+  - proxy_applied_to_global_http_options
+  - proxy_absent_leaves_global_http_options_untouched
+  - proxy_inputs_hidden_when_debug_mode_off
+  - proxy_inputs_visible_when_debug_mode_on
+  - proxy_exposed_as_curl_options
+  - proxy_connection_test_reports_egress_ip
+  - proxy_connection_test_button_wired
+
+test_files:
+  - tests/Unit/Support/OutboundProxyTest.php
+  - tests/Feature/Settings/OutboundProxySettingTest.php
+  - templates/_bundled/sirsoft-admin_basic/__tests__/layouts/admin-settings-outbound-proxy-visibility.test.tsx
+  - tests/Playwright/specs/admin/settings-outbound-proxy.spec.ts

From d8ca2814647f0ecc334916a50413ea1c076bd4ba Mon Sep 17 00:00:00 2001
From: HeuJung <heuristing@gmail.com>
Date: Fri, 21 Aug 2026 13:53:42 +0900
Subject: [PATCH 2/7] =?UTF-8?q?chore(release):=20=EC=BD=94=EC=96=B4=207.1.?=
 =?UTF-8?q?0=20=E2=86=92=207.0.8=20=ED=95=98=ED=96=A5=20=EB=B0=8F=207.0.7?=
 =?UTF-8?q?=20=EC=9D=B4=ED=9B=84=20=EB=B3=80=EA=B2=BD=EB=B6=84=20=EC=B6=9C?=
 =?UTF-8?q?=EC=8B=9C=EC=9D=BC=20=EC=A0=95=EB=A0=AC?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

프록시 설정 추가분을 마이너(7.1.0)가 아닌 패치(7.0.8)로 내보낸다.
7.0.7 이후 변경된 코어·템플릿·플러그인·언어팩의 출시일을 2026-08-21 로 맞춘다.

>=7.1.0 을 요구하던 본인인증 플러그인의 코어 최소 버전을 >=7.0.8 로 내린다 —
그대로 두면 존재하지 않는 버전을 요구해 플러그인이 자동 비활성화된다.
앞선 작업에서 누락된 package-lock.json 버전(1.0.3)도 함께 맞춘다.
---
 .env.example                                                  | 2 +-
 .env.testing.example                                          | 2 +-
 CHANGELOG.md                                                  | 2 +-
 INSTALL.md                                                    | 2 +-
 README.ko.md                                                  | 2 +-
 README.md                                                     | 2 +-
 app/Http/Requests/Settings/TestOutboundProxyRequest.php       | 2 +-
 app/Rules/ValidOutboundProxyUrl.php                           | 2 +-
 app/Services/OutboundProxyTester.php                          | 2 +-
 app/Support/OutboundProxy.php                                 | 2 +-
 config/app.php                                                | 2 +-
 lang-packs/_bundled/g7-core-ja/CHANGELOG.md                   | 2 +-
 .../_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md  | 2 +-
 plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md   | 4 ++--
 .../_bundled/sirsoft-verification_kginicis/package-lock.json  | 4 ++--
 plugins/_bundled/sirsoft-verification_kginicis/plugin.json    | 2 +-
 templates/_bundled/sirsoft-admin_basic/CHANGELOG.md           | 2 +-
 17 files changed, 19 insertions(+), 19 deletions(-)

diff --git a/.env.example b/.env.example
index aae511b2..51bc68e1 100644
--- a/.env.example
+++ b/.env.example
@@ -3,7 +3,7 @@ APP_ENV=production
 APP_KEY=
 APP_DEBUG=false
 APP_URL=http://localhost
-APP_VERSION=7.1.0
+APP_VERSION=7.0.8
 
 APP_LOCALE=ko
 APP_FALLBACK_LOCALE=ko
diff --git a/.env.testing.example b/.env.testing.example
index 4635cbd2..7b8d989f 100644
--- a/.env.testing.example
+++ b/.env.testing.example
@@ -3,7 +3,7 @@ APP_ENV=testing
 APP_KEY=
 APP_DEBUG=false
 APP_URL=http://localhost
-APP_VERSION=7.1.0
+APP_VERSION=7.0.8
 
 APP_LOCALE=ko
 APP_FALLBACK_LOCALE=ko
diff --git a/CHANGELOG.md b/CHANGELOG.md
index 6295dc62..09c94ea9 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [7.1.0] - 2026-08-20
+## [7.0.8] - 2026-08-21
 
 ### Added
 
diff --git a/INSTALL.md b/INSTALL.md
index e6a9c93d..2946a231 100644
--- a/INSTALL.md
+++ b/INSTALL.md
@@ -289,7 +289,7 @@ unzip g7-release.zip
 
 # 압축 해제 결과 확인 — 루트 디렉토리가 g7이 아니면 이름 변경
 ls -la
-# (필요 시) mv g7-7.1.0 g7
+# (필요 시) mv g7-7.0.8 g7
 
 # ZIP 파일 정리 (선택)
 rm g7-release.zip
diff --git a/README.ko.md b/README.ko.md
index dda31a78..b0aa6a8d 100644
--- a/README.ko.md
+++ b/README.ko.md
@@ -10,7 +10,7 @@
 </p>
 
 <p align="center">
-  <a href="#"><img src="https://img.shields.io/badge/version-7.1.0-blue" alt="Version"></a>
+  <a href="#"><img src="https://img.shields.io/badge/version-7.0.8-blue" alt="Version"></a>
   <a href="#"><img src="https://img.shields.io/badge/PHP-8.2%2B-777BB4?logo=php&logoColor=white" alt="PHP"></a>
   <a href="#"><img src="https://img.shields.io/badge/Laravel-12.x-FF2D20?logo=laravel&logoColor=white" alt="Laravel"></a>
   <a href="#"><img src="https://img.shields.io/badge/React-19-61DAFB?logo=react&logoColor=black" alt="React"></a>
diff --git a/README.md b/README.md
index 506ff5c6..fdd76c39 100644
--- a/README.md
+++ b/README.md
@@ -10,7 +10,7 @@
 </p>
 
 <p align="center">
-  <a href="#"><img src="https://img.shields.io/badge/version-7.1.0-blue" alt="Version"></a>
+  <a href="#"><img src="https://img.shields.io/badge/version-7.0.8-blue" alt="Version"></a>
   <a href="#"><img src="https://img.shields.io/badge/PHP-8.2%2B-777BB4?logo=php&logoColor=white" alt="PHP"></a>
   <a href="#"><img src="https://img.shields.io/badge/Laravel-12.x-FF2D20?logo=laravel&logoColor=white" alt="Laravel"></a>
   <a href="#"><img src="https://img.shields.io/badge/React-19-61DAFB?logo=react&logoColor=black" alt="React"></a>
diff --git a/app/Http/Requests/Settings/TestOutboundProxyRequest.php b/app/Http/Requests/Settings/TestOutboundProxyRequest.php
index 17e93828..d45b4f8d 100644
--- a/app/Http/Requests/Settings/TestOutboundProxyRequest.php
+++ b/app/Http/Requests/Settings/TestOutboundProxyRequest.php
@@ -14,7 +14,7 @@ use Illuminate\Foundation\Http\FormRequest;
  * 검증 강도는 저장 경로(SaveSettingsRequest)와 같게 둡니다 — 테스트만 통과하고 저장에서
  * 거부되거나 그 반대가 되면 운영자가 어느 쪽을 믿어야 할지 알 수 없습니다.
  *
- * @since 7.1.0
+ * @since 7.0.8
  */
 class TestOutboundProxyRequest extends FormRequest
 {
diff --git a/app/Rules/ValidOutboundProxyUrl.php b/app/Rules/ValidOutboundProxyUrl.php
index 80c2261f..195060ee 100644
--- a/app/Rules/ValidOutboundProxyUrl.php
+++ b/app/Rules/ValidOutboundProxyUrl.php
@@ -15,7 +15,7 @@ use Illuminate\Contracts\Validation\ValidationRule;
  * 빈 값은 통과시킨다. 프록시를 쓰지 않는 것이 기본 상태이며, 필수 여부는 FormRequest 의
  * nullable 규칙이 정한다.
  *
- * @since 7.1.0
+ * @since 7.0.8
  */
 class ValidOutboundProxyUrl implements ValidationRule
 {
diff --git a/app/Services/OutboundProxyTester.php b/app/Services/OutboundProxyTester.php
index 53cdae46..b967f5ba 100644
--- a/app/Services/OutboundProxyTester.php
+++ b/app/Services/OutboundProxyTester.php
@@ -17,7 +17,7 @@ use Illuminate\Support\Facades\Log;
  * 검사 대상은 **저장된 설정이 아니라 이번에 제출된 값**입니다. 그래서 전역 옵션에 의존하지
  * 않고 요청마다 프록시를 명시합니다 — 저장 전에 확인하는 것이 목적이기 때문입니다.
  *
- * @since 7.1.0
+ * @since 7.0.8
  */
 class OutboundProxyTester
 {
diff --git a/app/Support/OutboundProxy.php b/app/Support/OutboundProxy.php
index cbfc8592..d6fb7bd9 100644
--- a/app/Support/OutboundProxy.php
+++ b/app/Support/OutboundProxy.php
@@ -14,7 +14,7 @@ namespace App\Support;
  * 않는다 — 관리자 화면에서 입력칸을 감추는 것만으로는 저장 API 를 직접 호출하는 경로를 막지
  * 못하므로, 화면이 아니라 이 판정이 실질 게이트다.
  *
- * @since 7.1.0
+ * @since 7.0.8
  */
 final class OutboundProxy
 {
diff --git a/config/app.php b/config/app.php
index ccc01849..d1a68dcd 100644
--- a/config/app.php
+++ b/config/app.php
@@ -231,7 +231,7 @@ return [
     |
     */
 
-    'version' => env('APP_VERSION', '7.1.0'),
+    'version' => env('APP_VERSION', '7.0.8'),
 
     /*
     |--------------------------------------------------------------------------
diff --git a/lang-packs/_bundled/g7-core-ja/CHANGELOG.md b/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
index a9c6bc09..92e813c7 100644
--- a/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
+++ b/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.0.7] - 2026-08-20
+## [1.0.7] - 2026-08-21
 
 ### Added
 
diff --git a/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md b/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md
index 0b64535e..e9b4b3ca 100644
--- a/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md
+++ b/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md
@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.0.6] - 2026-08-20
+## [1.0.6] - 2026-08-21
 
 ### Added
 
diff --git a/plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md b/plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md
index e12bdeab..49fdac4e 100644
--- a/plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md
+++ b/plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md
@@ -4,12 +4,12 @@ All notable changes to this plugin will be documented in this file.
 
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.0.0/).
 
-## [1.0.4] - 2026-08-20
+## [1.0.4] - 2026-08-21
 
 ### Changed
 
 - 본인인증 승인 요청이 사이트 환경설정의 아웃바운드 프록시 설정을 따르도록 했습니다. 이전에는 이 요청만 프록시를 거치지 않고 직접 나가서, 프록시를 사용하는 환경에서 결제사에 등록한 IP 와 다른 IP 로 접속했습니다.
-- 코어 최소 요구 버전을 7.1.0 로 상향했습니다.
+- 코어 최소 요구 버전을 7.0.8 로 상향했습니다.
 
 ## [1.0.3] - 2026-08-19
 
diff --git a/plugins/_bundled/sirsoft-verification_kginicis/package-lock.json b/plugins/_bundled/sirsoft-verification_kginicis/package-lock.json
index a5dc8c3f..4a822121 100644
--- a/plugins/_bundled/sirsoft-verification_kginicis/package-lock.json
+++ b/plugins/_bundled/sirsoft-verification_kginicis/package-lock.json
@@ -1,12 +1,12 @@
 {
     "name": "@g7/sirsoft-verification_kginicis",
-    "version": "1.0.3",
+    "version": "1.0.4",
     "lockfileVersion": 3,
     "requires": true,
     "packages": {
         "": {
             "name": "@g7/sirsoft-verification_kginicis",
-            "version": "1.0.3",
+            "version": "1.0.4",
             "devDependencies": {
                 "jsdom": "^27.4.0",
                 "typescript": "^5.3.3",
diff --git a/plugins/_bundled/sirsoft-verification_kginicis/plugin.json b/plugins/_bundled/sirsoft-verification_kginicis/plugin.json
index 041c39ec..05ba7270 100644
--- a/plugins/_bundled/sirsoft-verification_kginicis/plugin.json
+++ b/plugins/_bundled/sirsoft-verification_kginicis/plugin.json
@@ -11,7 +11,7 @@
         "ko": "KG이니시스 통합인증의 본인확인(reqSvcCd=03)을 G7 코어 IDV 인프라에 Provider 로 등록하는 플러그인",
         "en": "KG Inicis Identity Verification (reqSvcCd=03) provider for G7 core IDV infrastructure"
     },
-    "g7_version": ">=7.1.0",
+    "g7_version": ">=7.0.8",
     "dependencies": {
         "modules": {},
         "plugins": {}
diff --git a/templates/_bundled/sirsoft-admin_basic/CHANGELOG.md b/templates/_bundled/sirsoft-admin_basic/CHANGELOG.md
index d7b739fc..257a45ea 100644
--- a/templates/_bundled/sirsoft-admin_basic/CHANGELOG.md
+++ b/templates/_bundled/sirsoft-admin_basic/CHANGELOG.md
@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.0.6] - 2026-08-20
+## [1.0.6] - 2026-08-21
 
 ### Added
 

From 565f6c0117879c82aa579b9be771916f3357298a Mon Sep 17 00:00:00 2001
From: HeuJung <heuristing@gmail.com>
Date: Fri, 21 Aug 2026 13:53:49 +0900
Subject: [PATCH 3/7] =?UTF-8?q?chore(pay=5Fkginicis):=207.0.7=20=EB=B0=B0?=
 =?UTF-8?q?=ED=8F=AC=20=EC=9D=B4=ED=9B=84=20=EB=B3=80=EA=B2=BD=EB=B6=84?=
 =?UTF-8?q?=EC=9D=84=201.1.2=20=EB=A1=9C=20=EB=B6=84=EB=A6=AC?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

CBT 연결 점검의 프록시 경유 수정과 코어 최소 버전 상향이 이미 배포된
1.1.1 섹션에 누적돼 있었다. 배포본과 내용이 어긋나지 않도록 1.1.2 로 분리한다.
---
 plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md   | 12 ++++++++++--
 plugins/_bundled/sirsoft-pay_kginicis/composer.json  |  2 +-
 .../_bundled/sirsoft-pay_kginicis/package-lock.json  |  4 ++--
 plugins/_bundled/sirsoft-pay_kginicis/package.json   |  2 +-
 plugins/_bundled/sirsoft-pay_kginicis/plugin.json    |  4 ++--
 5 files changed, 16 insertions(+), 8 deletions(-)

diff --git a/plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md b/plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md
index f83bc8f0..562adda7 100644
--- a/plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md
+++ b/plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md
@@ -4,6 +4,16 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.1.2] - 2026-08-21
+
+### Changed
+
+- 코어 최소 요구 버전을 7.0.8 로 상향했습니다.
+
+### Fixed
+
+- CBT 연결 점검이 서버 출발지 IP 와 호스트 연결 가능 여부를 사이트 환경설정의 아웃바운드 프록시 설정을 따라 확인하도록 했습니다. 이전에는 프록시를 사용하는 환경에서도 프록시를 거치지 않고 확인해, 결제사에 등록해야 할 IP 와 다른 값을 알려주고 실제로는 결제가 되는 상황에서도 "연결 불가" 로 보고했습니다.
+
 ## [1.1.1] - 2026-08-19
 
 ### Security
@@ -12,7 +22,6 @@
 
 ### Changed
 
-- 코어 최소 요구 버전을 7.1.0 로 상향했습니다.
 - 에스크로 배송등록 오류 안내가 다국어로 제공됩니다.
 - 결제창 닫힘 보고 사유의 길이 제한을 다른 결제 플러그인과 동일하게 160자로 통일했습니다.
 - 해외결제(CBT) 해시 요청에서 체크아웃 토큰 누락 응답이 표준 검증 응답(422)으로 통일되었습니다.
@@ -20,7 +29,6 @@
 
 ### Fixed
 
-- CBT 연결 점검이 서버 출발지 IP 와 호스트 연결 가능 여부를 사이트 환경설정의 아웃바운드 프록시 설정을 따라 확인하도록 했습니다. 이전에는 프록시를 사용하는 환경에서도 프록시를 거치지 않고 확인해, 결제사에 등록해야 할 IP 와 다른 값을 알려주고 실제로는 결제가 되는 상황에서도 "연결 불가" 로 보고했습니다.
 - 플러그인 설정 화면의 안내·상태 아이콘이 의도한 크기와 다르게 보이던 문제와, 해외결제(CBT) 연결 상태 표시에 일부 스타일이 적용되지 않던 문제를 수정했습니다.
 - 결제 실패 시 이동하는 페이지 주소에 서버 내부 오류 원문이 그대로 실려 나가던 문제를 수정했습니다. 이제 안내 문구만 전달되며, 원인 파악에 필요한 원문은 서버 로그에만 기록됩니다.
 - 플러그인 설정 저장과 관리자 주문 결제 조회의 해외결제 대사 재시도·편의점 결제 처리가 실패했을 때 실패 사유 대신 일반 안내 문구만 표시되던 문제를 수정했습니다. 이제 서버가 알려준 사유가 그대로 안내됩니다.
diff --git a/plugins/_bundled/sirsoft-pay_kginicis/composer.json b/plugins/_bundled/sirsoft-pay_kginicis/composer.json
index 20bff2ba..1f62194c 100644
--- a/plugins/_bundled/sirsoft-pay_kginicis/composer.json
+++ b/plugins/_bundled/sirsoft-pay_kginicis/composer.json
@@ -1,7 +1,7 @@
 {
     "name": "plugins/sirsoft-pay_kginicis",
     "description": "KG Inicis PG Plugin for G7 platform",
-    "version": "1.1.1",
+    "version": "1.1.2",
     "type": "library",
     "authors": [
         {
diff --git a/plugins/_bundled/sirsoft-pay_kginicis/package-lock.json b/plugins/_bundled/sirsoft-pay_kginicis/package-lock.json
index 25645d99..067a0feb 100644
--- a/plugins/_bundled/sirsoft-pay_kginicis/package-lock.json
+++ b/plugins/_bundled/sirsoft-pay_kginicis/package-lock.json
@@ -1,12 +1,12 @@
 {
     "name": "@g7/sirsoft-pay_kginicis",
-    "version": "1.1.1",
+    "version": "1.1.2",
     "lockfileVersion": 3,
     "requires": true,
     "packages": {
         "": {
             "name": "@g7/sirsoft-pay_kginicis",
-            "version": "1.1.1",
+            "version": "1.1.2",
             "devDependencies": {
                 "jsdom": "^27.4.0",
                 "typescript": "^5.3.3",
diff --git a/plugins/_bundled/sirsoft-pay_kginicis/package.json b/plugins/_bundled/sirsoft-pay_kginicis/package.json
index 9823d096..90dab81f 100644
--- a/plugins/_bundled/sirsoft-pay_kginicis/package.json
+++ b/plugins/_bundled/sirsoft-pay_kginicis/package.json
@@ -1,6 +1,6 @@
 {
     "name": "@g7/sirsoft-pay_kginicis",
-    "version": "1.1.1",
+    "version": "1.1.2",
     "type": "module",
     "private": true,
     "scripts": {
diff --git a/plugins/_bundled/sirsoft-pay_kginicis/plugin.json b/plugins/_bundled/sirsoft-pay_kginicis/plugin.json
index 1f78ad77..1a9c43db 100644
--- a/plugins/_bundled/sirsoft-pay_kginicis/plugin.json
+++ b/plugins/_bundled/sirsoft-pay_kginicis/plugin.json
@@ -5,7 +5,7 @@
         "ko": "KG 이니시스",
         "en": "KG Inicis"
     },
-    "version": "1.1.1",
+    "version": "1.1.2",
     "license": "MIT",
     "github_url": "https://github.com/gnuboard/g7-plugin-sirsoft-pay_kginicis",
     "github_changelog_url": "https://github.com/gnuboard/g7-plugin-sirsoft-pay_kginicis/blob/main/CHANGELOG.md",
@@ -13,7 +13,7 @@
         "ko": "KG 이니시스 결제 게이트웨이 (표준결제창 연동, 일본결제 지원)",
         "en": "KG Inicis payment gateway (standard payment window, Japan payment support)"
     },
-    "g7_version": ">=7.1.0",
+    "g7_version": ">=7.0.8",
     "dependencies": {
         "modules": {
             "sirsoft-ecommerce": ">=1.1.0"

From 03cbb99196750d81b4b7c374d01fe62125a9e1d4 Mon Sep 17 00:00:00 2001
From: HeuJung <heuristing@gmail.com>
Date: Fri, 21 Aug 2026 17:09:30 +0900
Subject: [PATCH 4/7] =?UTF-8?q?fix(extension):=20=ED=99=95=EC=9E=A5=20?=
 =?UTF-8?q?=EC=88=98=EB=AA=85=EC=A3=BC=EA=B8=B0=20=EC=BA=90=EC=8B=9C=20?=
 =?UTF-8?q?=EB=AC=B4=ED=9A=A8=ED=99=94=20=EC=88=9C=EC=84=9C=20=ED=9A=8C?=
 =?UTF-8?q?=EA=B7=80=20=EB=B0=8F=20=EC=8B=A4=ED=8C=A8=20=EC=82=AC=EC=9C=A0?=
 =?UTF-8?q?=20=EC=A0=84=EB=8B=AC?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

route:cache 는 새 앱을 부팅해 라우트를 수집하고, 그 부팅의 확장 라우트 프로바이더는
DB 가 아니라 캐시된 활성 확장 목록을 읽는다. 그래서 rebuild 가
invalidate*StatusCache 보다 앞서면 방금 바뀐 상태가 빠진 채 라우트가 박제되고,
라우트 캐시에는 스캔 폴백이 없어 오류도 로그도 없이 404 가 된다. 무효화를 굽기 직전이
아니라 DB 상태 쓰기 직후로 올려, 같은 목록을 읽는 훅 매핑 캐시까지 함께 바로잡았다.
update 경로는 Updating 전이 직후에 비우면 그 창의 오토로드 갱신이 확장을 비활성으로
판정하므로, 상태 복원 직후에 비운 뒤 훅 캐시를 다시 굽는다.

플러그인 라우트 프로바이더에는 활성 게이트가 없어 비활성 플러그인의 API 가 계속
응답했다. 화면·메뉴만 사라지고 기능은 살아 있는 상태였다. 모듈과 같은 기준을 적용했다.

실패 사유가 하위 계층에서 버려져 관리자 화면에 :error 자리표시자가 그대로 노출되던
문제도 고쳤다. 반환 경로를 깨지 않도록 배열 키 reason 과 뒤에 붙인 선택적 out
파라미터로 사유를 실어 올리고, 확장이 수명주기 훅에서 사유를 남길 수 있는 통로를
추가했다. 설치 경로의 광역 RuntimeException catch 는 도메인 예외로 좁혀 원본 키와
파라미터를 응답에 싣는다 — 상태코드 422 는 유지해 사용자 계약을 함께 바꾸지 않는다.
언어팩 화면은 프로덕션에서 예외 원문을 싣지 않는 것이 확정된 계약이므로, 자리를
일반 문구로 채우는 대신 치환 자리 자체를 제거했다. 원문은 종전대로 errors 통로를
거쳐 디버그 모드에서 도달한다.
---
 AGENTS.md                                     |   9 +-
 CHANGELOG.md                                  |  10 +
 app/Extension/AbstractModule.php              |   3 +
 app/Extension/AbstractPlugin.php              |   3 +
 app/Extension/ExtensionManager.php            |   6 +-
 app/Extension/ModuleManager.php               | 105 ++++++-
 app/Extension/PluginManager.php               | 101 ++++++-
 app/Extension/TemplateManager.php             |   6 +
 .../Traits/ReportsLifecycleFailure.php        |  58 ++++
 .../Api/Admin/ModuleController.php            |  49 +--
 .../Api/Admin/PluginController.php            |  53 ++--
 .../Api/Admin/PluginSettingsController.php    |   6 +-
 .../Api/Admin/TemplateController.php          |  47 ++-
 app/Providers/PluginRouteServiceProvider.php  |  17 ++
 app/Services/LanguagePackService.php          |   7 +-
 app/Services/ModuleService.php                |  25 +-
 app/Services/PluginService.php                |  25 +-
 app/Services/PluginSettingsService.php        |  12 +-
 app/Services/TemplateService.php              |  21 +-
 docs/backend/api/README.md                    |   4 +
 docs/backend/api/language-packs.md            |   6 +-
 docs/backend/exceptions.md                    |  21 ++
 docs/backend/routing.md                       |  52 +++-
 docs/extension/module-basics.md               |  22 ++
 lang-packs/_bundled/g7-core-ja/CHANGELOG.md   |   4 +
 .../g7-core-ja/backend/ja/language_packs.php  |  18 +-
 lang/en/language_packs.php                    |  20 +-
 lang/ko/language_packs.php                    |  18 +-
 .../Api/Admin/ModuleControllerTest.php        | 111 ++++---
 .../Api/Admin/PluginControllerTest.php        |  72 ++---
 .../Api/Admin/TemplateControllerTest.php      |  13 +-
 .../ExtensionRouteActiveGateTest.php          | 256 ++++++++++++++++
 .../ExtensionRouteCacheInvalidationTest.php   | 105 ++++++-
 .../ErrorMessageParamSubstitutionTest.php     | 283 ++++++++++++++++++
 .../GenericCatchStatusCodeContractTest.php    |  33 +-
 35 files changed, 1362 insertions(+), 239 deletions(-)
 create mode 100644 app/Extension/Traits/ReportsLifecycleFailure.php
 create mode 100644 tests/Feature/Extension/ExtensionRouteActiveGateTest.php
 create mode 100644 tests/Feature/Http/ErrorMessageParamSubstitutionTest.php

diff --git a/AGENTS.md b/AGENTS.md
index 8dd1a4df..327f801c 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -584,10 +584,15 @@ G7 은 **기본 통화**(상품·쿠폰·배송비 저장 기준), **표시 통
 | typed 예외 도입하면서 그 분기의 상태코드도 변경 | typed 는 **기존 상태코드 유지** — 예외 도입이 사용자 계약을 함께 바꾸면 회귀다 |
 | 공개(비인증) 엔드포인트 응답에 예외 원문 포함 | 원문은 `Log::error` 로만 — 관리자 전용 면의 `errors` 페이로드는 진단 정보로 허용된다 |
 | 원문을 직접 문자열로 조립해 노출 폭을 호출부가 정함 | 노출 폭은 `ResponseHelper` 가 정한다 — Throwable 을 넘기면 `app.debug` 에서만 펼쳐진다 |
+| 치환 자리(`:error`)를 가진 키를 파라미터 없이 호출 | 넷째 인자 `messageParams` 로 채운다 — 비워 두면 번역기가 자리표시자를 **그대로 둔 문장**을 돌려줘 운영자 화면에 `:error` 가 노출된다 (실패했을 때만 드러나 정상 흐름 테스트로는 안 잡힌다) |
+| 사유를 모른다고 치환 자리를 비워 두기 | 알 수 없으면 일반 문구(`errors.unknown_error`)로 채운다 |
+| 원문을 싣지 않기로 한 문구에 `:error` 자리를 남겨 두기 | 그 키에서 **치환 자리 자체를 없앤다** — 자리를 남기면 나중에 예외 원문으로 채우는 회귀를 부른다 |
+| 하위 계층이 `false`/`null` 만 돌려주고 실패 사유를 버림 | 사유를 반환 경로에 실어 올린다 (배열 키 `reason` 또는 **뒤에 붙인 선택적 out 파라미터**) — 기존 호출부를 깨지 않는다 |
+| 확장 수명주기 훅이 사유 없이 `false` 반환 | `AbstractModule`/`AbstractPlugin` 의 `failWith(__('...'))` — 코어가 그 사유를 원인 자리에 싣는다 |
 
 `message`(첫 인자)와 `errors`(셋째 인자)는 다른 통로다. **키 자리에 원문을 넘기는 것은 언제나 금지**지만, `errors` 페이로드의 원문은 금지 대상이 아니다 — `ResponseHelper::error` 가 문자열 `errors` 를 `500+` 비디버그에서만 차단하고 배열은 통과시키는 것은 `tests/Unit/Helpers/ResponseHelperTest.php` 가 고정한 의도다. 관리자에게 결제대행사·외부 시스템이 돌려준 사유를 감추면 조치 근거가 사라지고, 다국어 키는 유한해서 예상 못 한 실패를 담지 못한다. 판단 축은 "원문이냐 키냐" 가 아니라 **누구에게 / 무엇의 원문인가 / 어느 통로인가** 셋이다.
 
-상세: [exceptions.md "예외 → 응답 매핑"](docs/backend/exceptions.md). `tests/Feature/Http/GenericCatchStatusCodeContractTest.php` 가 코어와 모든 번들 확장의 컨트롤러를 전수 스캔해 두 규칙을 고정한다. 판정기를 한 확장 안에 두면 그 확장 밖의 동형 결함이 검출되지 않는다.
+상세: [exceptions.md "예외 → 응답 매핑"](docs/backend/exceptions.md). `tests/Feature/Http/GenericCatchStatusCodeContractTest.php` 가 코어와 모든 번들 확장의 컨트롤러를 전수 스캔해 두 규칙을 고정한다. 판정기를 한 확장 안에 두면 그 확장 밖의 동형 결함이 검출되지 않는다. 치환 자리 축은 `tests/Feature/Http/ErrorMessageParamSubstitutionTest.php` 가 고정한다 — 호출부를 열거하지 않고 `->error(...)` 전수를 괄호 균형으로 잘라, 키를 실제로 번역해 `:error` 를 요구하는지 판정한다. 같은 판정기가 `new *OperationException(...)` 생성자 축도 덮는다(파라미터 배열이 넷째가 아니라 둘째 인자다). 이 축이 없으면 키를 들고 다니는 예외로 던지는 경로가 통째로 사각이 된다.
 
 ### Listener 데이터 접근
 
@@ -1051,6 +1056,8 @@ BaseApiController (최상위)
 필수: ActionDispatcher 에 핸들러를 등록하는 확장은 재등록 진입점을 window 전역에 고정 이름으로 노출 — 모듈 window.__[Name].initModule, 플러그인 window.__[Name].initPlugin (미노출 시 로케일 전환 후 해당 확장 액션이 전부 무반응, 에러·토스트 없음). 진입점은 핸들러 재등록만 수행
 필수: 확장 미들웨어는 getMiddleware() 로 부착 대상(targets) 명시 선언 (self-gate) — SP Kernel 미들웨어 그룹 직접 조작·라우트 파일 자기 미들웨어 FQCN 부착 금지, 무규율 전역 개입 금지
 필수: 라우트 정의를 바꾸는 지점은 App\Support\RouteCacheHelper::rebuild() 로 라우트 캐시 갱신 — 확장 설치/활성화/비활성화/삭제/업데이트, 코어 업데이트·업그레이드 스텝. route:clear/route:cache 를 각 지점에 직접 흩어 놓지 않는다 (누락 발생, 비우기만 하면 재생성되지 않아 성능 이점 영구 소실). 훅 캐시와 달리 라우트 캐시에는 스캔 폴백이 없어 캐시에 없는 라우트는 예외·경고 없이 404. 파일 교체 중인 코어 업데이트는 중간에 clear(), 끝에서 rebuild(). 템플릿·모듈 설정은 서버 라우트 무관 (상세: docs/backend/routing.md "라우트 캐시")
+필수: 확장 라우트는 활성 상태인 확장의 것만 등록한다 — 모듈·플러그인 두 라우트 프로바이더가 같은 기준을 쓴다. 게이트가 한쪽에만 있으면 그 비대칭은 오류가 아니라 "조용히 열린 경로" 로만 나타난다: 비활성화해도 화면·메뉴·에셋만 사라지고 API 는 계속 호출 가능하며, 컨트롤러가 정상 처리하므로 오류도 로그도 남지 않는다
+필수: 그 rebuild() 는 확장 상태 캐시 무효화(invalidate*StatusCache()) 뒤에 온다 — route:cache 는 새 앱을 부팅해 라우트를 수집하는데 그 부팅의 확장 라우트 프로바이더는 DB 가 아니라 캐시된 활성 확장 목록(TTL 기본 1일)을 읽으므로, 먼저 구우면 방금 바뀐 상태가 빠진 채 박제되고 자가 회복되지 않는다 (활성화 → 그 확장 API 전량 404 / 비활성화 → 끈 확장 API 가 계속 호출 가능 / 업데이트 → 404 + 훅 리스너 누락). 무효화는 굽기 직전이 아니라 DB 상태 쓰기 직후에 둔다 — 같은 목록을 읽는 굽기가 라우트 캐시 말고도 있다 (오토로드 갱신 안의 훅 매핑 캐시). update 경로만 예외: Updating 전이 직후에는 비우지 않고 (비우면 그 창의 오토로드 갱신이 그 확장을 비활성으로 판정해 훅 리스너를 떨군다) 상태 복원 직후에 비운 뒤 ExtensionManager::regenerateHookCache() 로 훅 캐시를 다시 굽는다. 훅 캐시 폴백은 파일 부재·손상에만 작동해 내용이 stale 한 경우는 조용히 통과한다
 필수: 코어 레이아웃에 모듈 UI 주입은 layout_extensions만 사용
 필수: 모든 확장 작업은 Artisan 커맨드로 수행
 ```
diff --git a/CHANGELOG.md b/CHANGELOG.md
index 09c94ea9..9fa8c1ca 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -12,6 +12,16 @@
 - 프록시 주소 옆의 「연결 테스트」로 저장하기 전에 연결 여부를 확인할 수 있습니다. 성공하면 그 프록시를 거쳤을 때 외부 서비스에 보이는 IP 주소를 함께 알려주므로, 결제사에 어떤 IP 를 등록해야 하는지 미리 확인할 수 있습니다.
 - 확장 개발자용: 사이트 표준 HTTP 호출은 프록시 설정이 자동으로 적용됩니다. 외부 연동 규약상 별도 방식으로 통신해야 하는 확장은 코어가 제공하는 프록시 설정을 받아 같은 경로로 내보낼 수 있습니다.
 
+### Changed
+
+- 비활성화한 플러그인의 기능이 더 이상 동작하지 않습니다. 이전에는 플러그인을 꺼도 화면·메뉴·스크립트만 사라지고 그 플러그인의 기능 주소는 계속 응답해, 꺼진 결제수단으로 결제가 시도되는 등 "껐는데 아직 살아 있는" 상태가 남았습니다. 이제 모듈과 동일하게 활성화된 플러그인의 기능만 동작합니다. **결제·본인인증처럼 외부 서비스가 직접 호출하는 주소도 함께 닫히므로, 진행 중인 거래가 있을 때의 비활성화·업데이트는 처리가 끝난 뒤에 하시기 바랍니다.**
+- 확장 개발자용: 모듈·플러그인의 설치·활성화·비활성화·제거 처리에서 실패 사유를 코어에 전달할 수 있습니다. `failWith()` 로 사유를 남기고 실패를 반환하면 관리자 화면의 실패 안내에 그 사유가 함께 표시됩니다. 사유를 남기지 않아도 종전처럼 동작합니다.
+
+### Fixed
+
+- 관리자 화면의 실패 안내에 원인이 들어갈 자리가 채워지지 않아 `:error` 라는 내부 표시가 그대로 보이던 문제를 수정했습니다. 모듈·플러그인·템플릿·언어팩 관리와 플러그인 설정 저장의 실패 안내 전반에서 발생했습니다. 이제 실패 원인을 알 수 있으면 그 원인이, 알 수 없으면 일반 안내 문구가 표시됩니다. 언어팩 관리처럼 원인을 표시하지 않기로 한 안내는 문구 자체를 정리했습니다.
+- 모듈·플러그인을 활성화한 직후 그 확장의 화면과 기능이 "주소를 찾을 수 없음" 오류만 내던 문제를 수정했습니다. 활성화 시점에 사이트 내부 주소록이 활성화 이전 상태를 기준으로 다시 만들어져, 방금 켠 확장의 주소가 빠진 채로 굳어졌습니다. 시간이 지나도 스스로 복구되지 않았습니다. 같은 원인으로 비활성화한 확장의 기능이 계속 호출 가능하던 문제, 확장을 업데이트한 직후 그 확장의 기능과 다른 기능과의 연동 동작이 함께 누락되던 문제도 바로잡았습니다.
+
 ## [7.0.7] - 2026-08-19
 
 ### Security
diff --git a/app/Extension/AbstractModule.php b/app/Extension/AbstractModule.php
index 5bdfde59..cf4f9033 100644
--- a/app/Extension/AbstractModule.php
+++ b/app/Extension/AbstractModule.php
@@ -9,6 +9,7 @@ use App\Contracts\Extension\StorageInterface;
 use App\Contracts\Extension\UpgradeStepInterface;
 use App\Extension\Cache\ModuleCacheDriver;
 use App\Extension\Storage\ModuleStorageDriver;
+use App\Extension\Traits\ReportsLifecycleFailure;
 use Illuminate\Database\Seeder;
 use ReflectionClass;
 
@@ -21,6 +22,8 @@ use ReflectionClass;
  */
 abstract class AbstractModule implements CacheableExtensionInterface, ModuleInterface
 {
+    use ReportsLifecycleFailure;
+
     /**
      * 모듈 디렉토리 경로 (캐시)
      */
diff --git a/app/Extension/AbstractPlugin.php b/app/Extension/AbstractPlugin.php
index 380ef150..c6fc3b00 100644
--- a/app/Extension/AbstractPlugin.php
+++ b/app/Extension/AbstractPlugin.php
@@ -9,6 +9,7 @@ use App\Contracts\Extension\StorageInterface;
 use App\Contracts\Extension\UpgradeStepInterface;
 use App\Extension\Cache\PluginCacheDriver;
 use App\Extension\Storage\PluginStorageDriver;
+use App\Extension\Traits\ReportsLifecycleFailure;
 use Illuminate\Database\Seeder;
 use ReflectionClass;
 
@@ -24,6 +25,8 @@ use ReflectionClass;
  */
 abstract class AbstractPlugin implements CacheableExtensionInterface, PluginInterface
 {
+    use ReportsLifecycleFailure;
+
     /**
      * 플러그인 디렉토리 경로 (캐시)
      */
diff --git a/app/Extension/ExtensionManager.php b/app/Extension/ExtensionManager.php
index 8facbd27..a53a25e8 100644
--- a/app/Extension/ExtensionManager.php
+++ b/app/Extension/ExtensionManager.php
@@ -74,8 +74,12 @@ class ExtensionManager
      *
      * 모듈/플러그인 리스너 수집을 위해 각 Manager 를 (재)로드한 뒤 HookCacheManager 에 위임한다.
      * 생성 실패는 부팅 시 스캔 폴백으로 흡수되므로 확장 업데이트 흐름을 중단시키지 않는다.
+     *
+     * 확장 수명주기에서 상태를 되돌린 뒤 다시 부를 수 있도록 public 이다 —
+     * Updating 창 안에서 구워진 훅 캐시는 그 확장의 리스너가 빠진 채 남고,
+     * 훅 캐시 폴백은 파일 부재/손상에만 작동해 stale 한 내용은 조용히 통과하기 때문이다.
      */
-    protected function regenerateHookCache(): void
+    public function regenerateHookCache(): void
     {
         try {
             $moduleManager = app(ModuleManager::class);
diff --git a/app/Extension/ModuleManager.php b/app/Extension/ModuleManager.php
index f3b4ce63..df68fb30 100644
--- a/app/Extension/ModuleManager.php
+++ b/app/Extension/ModuleManager.php
@@ -311,6 +311,7 @@ class ModuleManager implements ModuleManagerInterface
      * @param  \Closure|null  $onProgress  진행 콜백 (?string $step, string $message)
      * @param  VendorMode  $vendorMode  vendor 디렉토리 처리 모드
      * @param  bool  $force  강제 설치 여부
+     * @param  string|null  $failureReason  실패 시 사유가 담기는 out 파라미터 (성공 시 null)
      * @return bool 설치 성공 여부
      *
      * @throws \Exception 모듈을 찾을 수 없거나 의존성 문제 시
@@ -320,7 +321,10 @@ class ModuleManager implements ModuleManagerInterface
         ?\Closure $onProgress = null,
         VendorMode $vendorMode = VendorMode::Auto,
         bool $force = false,
+        ?string &$failureReason = null,
     ): bool {
+        $failureReason = null;
+
         // identifier 형식 검증 (내부 호출 방어)
         ExtensionManager::validateIdentifierFormat($moduleName);
 
@@ -404,9 +408,12 @@ class ModuleManager implements ModuleManagerInterface
         $this->validateSeoVariables($module, 'module');
 
         // 모듈 설치 실행
+        $module->clearLifecycleFailureReason();
         $result = $module->install();
 
         if (! $result) {
+            $failureReason = $module->getLifecycleFailureReason() ?? __('modules.errors.unknown_error');
+
             return false;
         }
 
@@ -540,9 +547,15 @@ class ModuleManager implements ModuleManagerInterface
     {
         $module = $this->getModule($moduleName);
         if (! $module) {
-            return ['success' => false, 'layouts_registered' => 0];
+            return [
+                'success' => false,
+                'layouts_registered' => 0,
+                'reason' => __('modules.errors.not_found', ['module' => $moduleName]),
+            ];
         }
 
+        $module->clearLifecycleFailureReason();
+
         // 상태 가드: 진행 중 상태 체크
         $record = $this->moduleRepository->findByIdentifier($module->getIdentifier());
         if ($record) {
@@ -628,6 +641,13 @@ class ModuleManager implements ModuleManagerInterface
                 'updated_at' => now(),
             ]);
 
+            // 모듈 상태 캐시 무효화 — DB 상태 쓰기 직후에 둔다.
+            // 뒤따르는 굽기(RouteCacheHelper::rebuild() 의 route:cache, 훅 캐시 재생성)는
+            // 새 애플리케이션을 부팅해 "캐시된" 활성 모듈 목록을 읽는다. 여기서 비우지 않으면
+            // 방금 활성으로 바뀐 이 모듈이 목록에서 빠진 채 라우트가 박제되고,
+            // 라우트 캐시에는 스캔 폴백이 없어 오류·경고 없이 그 엔드포인트만 404 가 된다.
+            self::invalidateModuleStatusCache();
+
             // soft deleted된 모듈 레이아웃 복원 (재활성화 시)
             $this->restoreModuleLayouts($module->getIdentifier());
 
@@ -650,9 +670,6 @@ class ModuleManager implements ModuleManagerInterface
             $this->incrementExtensionCacheVersion();
             RouteCacheHelper::rebuild();
 
-            // 모듈 상태 캐시 무효화
-            self::invalidateModuleStatusCache();
-
             // 본인인증 route scope 캐시 무효화 — 재활성화 시 이 모듈이 선언한 정책이
             // 다시 enforce 대상에 포함되도록 한다 (applyActiveExtensionScope 재평가).
             IdentityPolicy::flushRouteScopeCache();
@@ -667,7 +684,18 @@ class ModuleManager implements ModuleManagerInterface
             HookManager::doAction('core.modules.activated', $moduleName);
         }
 
-        return ['success' => $result, 'layouts_registered' => $layoutsRegistered];
+        if (! $result) {
+            // 모듈이 스스로 활성화를 거부했다. 사유를 남겼으면 그대로 싣고,
+            // 남기지 않았으면 일반 문구로 대체한다 — 원인 자리를 비워 두면
+            // 관리자 화면에 치환되지 않은 자리표시자가 그대로 노출된다.
+            return [
+                'success' => false,
+                'layouts_registered' => $layoutsRegistered,
+                'reason' => $module->getLifecycleFailureReason() ?? __('modules.errors.unknown_error'),
+            ];
+        }
+
+        return ['success' => true, 'layouts_registered' => $layoutsRegistered];
     }
 
     /**
@@ -714,9 +742,15 @@ class ModuleManager implements ModuleManagerInterface
     ): array {
         $module = $this->getModule($moduleName);
         if (! $module) {
-            return ['success' => false, 'layouts_deleted' => 0];
+            return [
+                'success' => false,
+                'layouts_deleted' => 0,
+                'reason' => __('modules.errors.not_found', ['module' => $moduleName]),
+            ];
         }
 
+        $module->clearLifecycleFailureReason();
+
         // 상태 가드: 진행 중 상태 체크
         $record = $this->moduleRepository->findByIdentifier($module->getIdentifier());
         if ($record) {
@@ -777,6 +811,12 @@ class ModuleManager implements ModuleManagerInterface
                 'updated_at' => now(),
             ]);
 
+            // 모듈 상태 캐시 무효화 — DB 상태 쓰기 직후에 둔다.
+            // 뒤따르는 RouteCacheHelper::rebuild() 가 캐시된 활성 모듈 목록을 읽으므로,
+            // 여기서 비우지 않으면 방금 비활성으로 바꾼 모듈의 라우트가 그대로 박제되어
+            // 비활성 상태에서도 그 API 가 계속 호출 가능한 상태로 남는다.
+            self::invalidateModuleStatusCache();
+
             // 모듈 레이아웃 soft delete
             $layoutsDeleted = $this->softDeleteModuleLayouts($module->getIdentifier());
 
@@ -796,9 +836,6 @@ class ModuleManager implements ModuleManagerInterface
             // 모듈 자체 캐시 전체 정리
             $this->flushModuleCache($module);
 
-            // 모듈 상태 캐시 무효화
-            self::invalidateModuleStatusCache();
-
             // 본인인증 route scope 캐시 무효화 — 비활성 모듈이 선언한 정책이 enforce 대상에서
             // 즉시 제외되도록 한다. 정책 행 자체는 변경하지 않으므로(enabled 운영자 설정 보존)
             // IdentityPolicy 모델 이벤트가 발화하지 않아, 라이프사이클에서 명시적으로 호출한다.
@@ -811,7 +848,15 @@ class ModuleManager implements ModuleManagerInterface
             HookManager::doAction('core.modules.after_deactivate', $module->getIdentifier());
         }
 
-        return ['success' => $result, 'layouts_deleted' => $layoutsDeleted];
+        if (! $result) {
+            return [
+                'success' => false,
+                'layouts_deleted' => $layoutsDeleted,
+                'reason' => $module->getLifecycleFailureReason() ?? __('modules.errors.unknown_error'),
+            ];
+        }
+
+        return ['success' => true, 'layouts_deleted' => $layoutsDeleted];
     }
 
     /**
@@ -859,12 +904,19 @@ class ModuleManager implements ModuleManagerInterface
      * @param  string  $moduleName  제거할 모듈명
      * @param  bool  $deleteData  모듈 데이터(테이블) 삭제 여부
      * @param  \Closure|null  $onProgress  진행 콜백 (?string $step, string $message)
+     * @param  string|null  $failureReason  실패 시 사유가 담기는 out 파라미터 (성공 시 null)
      * @return bool 제거 성공 여부
      *
      * @throws \Exception 모듈을 찾을 수 없을 때
      */
-    public function uninstallModule(string $moduleName, bool $deleteData = false, ?\Closure $onProgress = null): bool
-    {
+    public function uninstallModule(
+        string $moduleName,
+        bool $deleteData = false,
+        ?\Closure $onProgress = null,
+        ?string &$failureReason = null,
+    ): bool {
+        $failureReason = null;
+
         // 상태 가드: 진행 중 상태 체크
         $existingRecord = $this->moduleRepository->findByIdentifier($moduleName);
         if ($existingRecord) {
@@ -897,8 +949,13 @@ class ModuleManager implements ModuleManagerInterface
             DB::beginTransaction();
 
             // 모듈 제거 실행
+            $module->clearLifecycleFailureReason();
             $result = $module->uninstall();
 
+            if (! $result) {
+                $failureReason = $module->getLifecycleFailureReason() ?? __('modules.errors.unknown_error');
+            }
+
             if ($result) {
                 // 권한·메뉴·역할은 $deleteData=true 시에만 삭제.
                 // false 시 보존하여 재설치 시 기존 역할 할당/커스터마이징이 복원 가능하도록 한다.
@@ -960,6 +1017,12 @@ class ModuleManager implements ModuleManagerInterface
 
             // 오토로드 병합 실행 (트랜잭션 외부에서 실행)
             if ($result) {
+                // 모듈 상태 캐시 무효화 — DB 에서 모듈 행을 지운 직후(커밋 직후)에 둔다.
+                // 뒤따르는 굽기(오토로드 갱신 내 훅 캐시 재생성, RouteCacheHelper::rebuild())가
+                // 캐시된 활성 모듈 목록을 읽으므로, 여기서 비우지 않으면 이미 제거된 모듈이
+                // 목록에 남은 채로 라우트·훅이 박제된다.
+                self::invalidateModuleStatusCache();
+
                 $onProgress?->__invoke('autoload', '오토로드 갱신 중...');
                 $this->extensionManager->updateComposerAutoload();
 
@@ -977,9 +1040,6 @@ class ModuleManager implements ModuleManagerInterface
                 // 모듈 자체 캐시 전체 정리
                 $this->flushModuleCache($module);
 
-                // 모듈 상태 캐시 무효화
-                self::invalidateModuleStatusCache();
-
                 // 확장 미들웨어 인덱스 무효화 — 제거된 모듈의 미들웨어가 게이트 매칭에서 즉시 제외.
                 ExtensionMiddlewareRegistry::flush();
 
@@ -4495,6 +4555,13 @@ class ModuleManager implements ModuleManagerInterface
                 'updated_at' => now(),
             ]);
 
+            // 모듈 상태 캐시 무효화 — 상태 복원 쓰기 직후에 둔다.
+            // Updating 전이 직후에는 비우지 않는다: 그러면 Updating 창 안의
+            // updateComposerAutoload() 가 DB 를 재조회해 이 모듈을 비활성으로 판정하고
+            // 훅 캐시에서 리스너를 떨군다(지금 없는 결함을 새로 만든다).
+            // 복원 직후에 비워야 뒤따르는 굽기(라우트·훅)가 복원된 상태를 읽는다.
+            self::invalidateModuleStatusCache();
+
             // 9. 레이아웃 갱신 (이전 상태가 active였으면)
             // refreshModuleLayouts()는 캐시 무효화 + 캐시 버전 증가를 포함
             $onProgress?->__invoke('layout', '레이아웃 갱신 중...');
@@ -4518,7 +4585,13 @@ class ModuleManager implements ModuleManagerInterface
             $this->clearAllTemplateRoutesCaches();
             $this->incrementExtensionCacheVersion();
             RouteCacheHelper::rebuild();
-            self::invalidateModuleStatusCache();
+
+            // 훅 캐시 재생성 — Updating 창 안의 updateComposerAutoload() 가 구운 훅 캐시에는
+            // 그 시점 이 모듈이 Updating(=비활성)으로 판정되어 리스너가 통째로 빠져 있을 수 있다.
+            // 훅 캐시 폴백은 파일 부재/손상에만 작동하므로 내용이 stale 한 경우는 조용히 통과한다.
+            // 상태를 복원하고 상태 캐시를 비운 지금 다시 구워야 그 누락이 교정된다.
+            // updateComposerAutoload() 전체를 재호출하지 않는다 — composer autoload 병합은 이미 끝났고 비싸다.
+            $this->extensionManager->regenerateHookCache();
 
             // 훅 발행: 모듈 업데이트 완료 (Artisan 직접 호출 시에도 리스너 트리거)
             HookManager::doAction('core.modules.updated', $identifier);
diff --git a/app/Extension/PluginManager.php b/app/Extension/PluginManager.php
index 3c53cf25..dc016663 100644
--- a/app/Extension/PluginManager.php
+++ b/app/Extension/PluginManager.php
@@ -296,6 +296,7 @@ class PluginManager implements PluginManagerInterface
      * @param  \Closure|null  $onProgress  진행 콜백 (?string $step, string $message)
      * @param  VendorMode  $vendorMode  vendor 디렉토리 처리 모드
      * @param  bool  $force  강제 설치 여부
+     * @param  string|null  $failureReason  실패 시 사유가 담기는 out 파라미터 (성공 시 null)
      * @return bool 설치 성공 여부
      *
      * @throws \Exception 플러그인을 찾을 수 없거나 의존성 문제 시
@@ -305,7 +306,10 @@ class PluginManager implements PluginManagerInterface
         ?\Closure $onProgress = null,
         VendorMode $vendorMode = VendorMode::Auto,
         bool $force = false,
+        ?string &$failureReason = null,
     ): bool {
+        $failureReason = null;
+
         // identifier 형식 검증 (내부 호출 방어)
         ExtensionManager::validateIdentifierFormat($pluginName);
 
@@ -386,8 +390,13 @@ class PluginManager implements PluginManagerInterface
 
         // 플러그인 설치 실행
         $onProgress?->__invoke('validate', '검증 중...');
+        $plugin->clearLifecycleFailureReason();
         $result = $plugin->install();
 
+        if (! $result) {
+            $failureReason = $plugin->getLifecycleFailureReason() ?? __('plugins.errors.unknown_error');
+        }
+
         if (! $result) {
             return false;
         }
@@ -522,9 +531,15 @@ class PluginManager implements PluginManagerInterface
     {
         $plugin = $this->getPlugin($pluginName);
         if (! $plugin) {
-            return ['success' => false, 'layouts_registered' => 0];
+            return [
+                'success' => false,
+                'layouts_registered' => 0,
+                'reason' => __('plugins.errors.not_found', ['plugin' => $pluginName]),
+            ];
         }
 
+        $plugin->clearLifecycleFailureReason();
+
         // 상태 가드: 진행 중 상태 체크
         $record = $this->pluginRepository->findByIdentifier($plugin->getIdentifier());
         if ($record) {
@@ -613,6 +628,13 @@ class PluginManager implements PluginManagerInterface
                 'updated_at' => now(),
             ]);
 
+            // 플러그인 상태 캐시 무효화 — DB 상태 쓰기 직후에 둔다.
+            // 뒤따르는 굽기(RouteCacheHelper::rebuild() 의 route:cache, 훅 캐시 재생성)는
+            // 새 애플리케이션을 부팅해 "캐시된" 활성 플러그인 목록을 읽는다. 여기서 비우지 않으면
+            // 방금 활성으로 바뀐 이 플러그인이 목록에서 빠진 채 라우트가 박제되고,
+            // 라우트 캐시에는 스캔 폴백이 없어 오류·경고 없이 그 엔드포인트만 404 가 된다.
+            self::invalidatePluginStatusCache();
+
             // soft deleted된 플러그인 레이아웃 복원 (재활성화 시)
             $this->restorePluginLayouts($plugin->getIdentifier());
 
@@ -635,9 +657,6 @@ class PluginManager implements PluginManagerInterface
             $this->incrementExtensionCacheVersion();
             RouteCacheHelper::rebuild();
 
-            // 플러그인 상태 캐시 무효화
-            self::invalidatePluginStatusCache();
-
             // 본인인증 route scope 캐시 무효화 — 재활성화 시 이 플러그인이 선언한 정책이
             // 다시 enforce 대상에 포함되도록 한다 (applyActiveExtensionScope 재평가).
             IdentityPolicy::flushRouteScopeCache();
@@ -652,7 +671,18 @@ class PluginManager implements PluginManagerInterface
             HookManager::doAction('core.plugins.activated', $pluginName);
         }
 
-        return ['success' => $result, 'layouts_registered' => $layoutsRegistered];
+        if (! $result) {
+            // 플러그인이 스스로 활성화를 거부했다. 사유를 남겼으면 그대로 싣고,
+            // 남기지 않았으면 일반 문구로 대체한다 — 원인 자리를 비워 두면
+            // 관리자 화면에 치환되지 않은 자리표시자가 그대로 노출된다.
+            return [
+                'success' => false,
+                'layouts_registered' => $layoutsRegistered,
+                'reason' => $plugin->getLifecycleFailureReason() ?? __('plugins.errors.unknown_error'),
+            ];
+        }
+
+        return ['success' => true, 'layouts_registered' => $layoutsRegistered];
     }
 
     /**
@@ -699,9 +729,15 @@ class PluginManager implements PluginManagerInterface
     ): array {
         $plugin = $this->getPlugin($pluginName);
         if (! $plugin) {
-            return ['success' => false, 'layouts_deleted' => 0];
+            return [
+                'success' => false,
+                'layouts_deleted' => 0,
+                'reason' => __('plugins.errors.not_found', ['plugin' => $pluginName]),
+            ];
         }
 
+        $plugin->clearLifecycleFailureReason();
+
         // 상태 가드: 진행 중 상태 체크
         $record = $this->pluginRepository->findByIdentifier($plugin->getIdentifier());
         if ($record) {
@@ -765,6 +801,12 @@ class PluginManager implements PluginManagerInterface
                 'updated_at' => now(),
             ]);
 
+            // 플러그인 상태 캐시 무효화 — DB 상태 쓰기 직후에 둔다.
+            // 뒤따르는 RouteCacheHelper::rebuild() 가 캐시된 활성 플러그인 목록을 읽으므로,
+            // 여기서 비우지 않으면 방금 비활성으로 바꾼 플러그인의 라우트가 그대로 박제되어
+            // 비활성 상태에서도 그 API 가 계속 호출 가능한 상태로 남는다.
+            self::invalidatePluginStatusCache();
+
             // 플러그인 레이아웃 soft delete
             $layoutsDeleted = $this->softDeletePluginLayouts($plugin->getIdentifier());
 
@@ -784,9 +826,6 @@ class PluginManager implements PluginManagerInterface
             // 플러그인 자체 캐시 전체 정리
             $this->flushPluginCache($plugin);
 
-            // 플러그인 상태 캐시 무효화
-            self::invalidatePluginStatusCache();
-
             // 본인인증 route scope 캐시 무효화 — 비활성 플러그인이 선언한 정책이 enforce
             // 대상에서 즉시 제외되도록 한다. 정책 행은 변경하지 않으므로(enabled 보존)
             // IdentityPolicy 모델 이벤트가 발화하지 않아, 라이프사이클에서 명시적으로 호출한다.
@@ -801,6 +840,10 @@ class PluginManager implements PluginManagerInterface
 
         $response = ['success' => $result, 'layouts_deleted' => $layoutsDeleted];
 
+        if (! $result) {
+            $response['reason'] = $plugin->getLifecycleFailureReason() ?? __('plugins.errors.unknown_error');
+        }
+
         if (! empty($driverWarnings)) {
             $response['driver_warnings'] = $driverWarnings;
         }
@@ -888,12 +931,19 @@ class PluginManager implements PluginManagerInterface
      * @param  string  $pluginName  제거할 플러그인명
      * @param  bool  $deleteData  플러그인 데이터(테이블) 삭제 여부
      * @param  \Closure|null  $onProgress  진행 콜백 (?string $step, string $message)
+     * @param  string|null  $failureReason  실패 시 사유가 담기는 out 파라미터 (성공 시 null)
      * @return bool 제거 성공 여부
      *
      * @throws \Exception 플러그인을 찾을 수 없을 때
      */
-    public function uninstallPlugin(string $pluginName, bool $deleteData = false, ?\Closure $onProgress = null): bool
-    {
+    public function uninstallPlugin(
+        string $pluginName,
+        bool $deleteData = false,
+        ?\Closure $onProgress = null,
+        ?string &$failureReason = null,
+    ): bool {
+        $failureReason = null;
+
         // 상태 가드: 진행 중 상태 체크
         $existingRecord = $this->pluginRepository->findByIdentifier($pluginName);
         if ($existingRecord) {
@@ -922,8 +972,13 @@ class PluginManager implements PluginManagerInterface
             DB::beginTransaction();
 
             // 플러그인 제거 실행
+            $plugin->clearLifecycleFailureReason();
             $result = $plugin->uninstall();
 
+            if (! $result) {
+                $failureReason = $plugin->getLifecycleFailureReason() ?? __('plugins.errors.unknown_error');
+            }
+
             if ($result) {
                 // 권한/역할은 $deleteData=true 시에만 삭제.
                 // 운영 정책: "동적 권한은 '데이터도 함께 삭제' 옵션 체크 시에만 삭제"
@@ -984,6 +1039,12 @@ class PluginManager implements PluginManagerInterface
 
             // 트랜잭션 외부에서 실행
             if ($result) {
+                // 플러그인 상태 캐시 무효화 — DB 에서 플러그인 행을 지운 직후(커밋 직후)에 둔다.
+                // 뒤따르는 굽기(오토로드 갱신 내 훅 캐시 재생성, RouteCacheHelper::rebuild())가
+                // 캐시된 활성 플러그인 목록을 읽으므로, 여기서 비우지 않으면 이미 제거된
+                // 플러그인이 목록에 남은 채로 라우트·훅이 박제된다.
+                self::invalidatePluginStatusCache();
+
                 // 플러그인 설정 디렉토리 삭제 (deleteData 옵션이 true인 경우)
                 if ($deleteData) {
                     $this->deletePluginSettingsDirectory($plugin);
@@ -1009,9 +1070,6 @@ class PluginManager implements PluginManagerInterface
                 // 플러그인 자체 캐시 전체 정리
                 $this->flushPluginCache($plugin);
 
-                // 플러그인 상태 캐시 무효화
-                self::invalidatePluginStatusCache();
-
                 // 확장 미들웨어 인덱스 무효화 — 제거된 플러그인의 미들웨어가 게이트 매칭에서 즉시 제외.
                 ExtensionMiddlewareRegistry::flush();
 
@@ -4725,6 +4783,13 @@ class PluginManager implements PluginManagerInterface
                 'updated_at' => now(),
             ]);
 
+            // 플러그인 상태 캐시 무효화 — 상태 복원 쓰기 직후에 둔다.
+            // Updating 전이 직후에는 비우지 않는다: 그러면 Updating 창 안의
+            // updateComposerAutoload() 가 DB 를 재조회해 이 플러그인을 비활성으로 판정하고
+            // 훅 캐시에서 리스너를 떨군다(지금 없는 결함을 새로 만든다).
+            // 복원 직후에 비워야 뒤따르는 굽기(라우트·훅)가 복원된 상태를 읽는다.
+            self::invalidatePluginStatusCache();
+
             // 9. 레이아웃 갱신 (이전 상태가 active였으면)
             // refreshPluginLayouts()는 캐시 무효화 + 캐시 버전 증가를 포함
             $onProgress?->__invoke('layout', '레이아웃 갱신 중...');
@@ -4748,7 +4813,13 @@ class PluginManager implements PluginManagerInterface
             $this->clearAllTemplateRoutesCaches();
             $this->incrementExtensionCacheVersion();
             RouteCacheHelper::rebuild();
-            self::invalidatePluginStatusCache();
+
+            // 훅 캐시 재생성 — Updating 창 안의 updateComposerAutoload() 가 구운 훅 캐시에는
+            // 그 시점 이 플러그인이 Updating(=비활성)으로 판정되어 리스너가 통째로 빠져 있을 수 있다.
+            // 훅 캐시 폴백은 파일 부재/손상에만 작동하므로 내용이 stale 한 경우는 조용히 통과한다.
+            // 상태를 복원하고 상태 캐시를 비운 지금 다시 구워야 그 누락이 교정된다.
+            // updateComposerAutoload() 전체를 재호출하지 않는다 — composer autoload 병합은 이미 끝났고 비싸다.
+            $this->extensionManager->regenerateHookCache();
 
             // 훅 발행: 플러그인 업데이트 완료 (Artisan 직접 호출 시에도 리스너 트리거)
             HookManager::doAction('core.plugins.updated', $identifier);
diff --git a/app/Extension/TemplateManager.php b/app/Extension/TemplateManager.php
index 6f13c8c1..9fd3fbc2 100644
--- a/app/Extension/TemplateManager.php
+++ b/app/Extension/TemplateManager.php
@@ -672,15 +672,21 @@ class TemplateManager implements TemplateManagerInterface
      * @param  string  $templateName  비활성화할 템플릿명 (identifier)
      * @param  string  $reason  비활성화 사유 (DeactivationReason enum value: manual|incompatible_core)
      * @param  string|null  $incompatibleRequiredVersion  incompatible_core 사유 시 요구된 코어 버전 제약
+     * @param  string|null  $failureReason  실패 시 사유가 담기는 out 파라미터 (성공 시 null)
      * @return bool 비활성화 성공 여부
      */
     public function deactivateTemplate(
         string $templateName,
         string $reason = DeactivationReason::Manual->value,
         ?string $incompatibleRequiredVersion = null,
+        ?string &$failureReason = null,
     ): bool {
+        $failureReason = null;
+
         $template = $this->getTemplate($templateName);
         if (! $template) {
+            $failureReason = __('templates.errors.not_found', ['template' => $templateName]);
+
             return false;
         }
 
diff --git a/app/Extension/Traits/ReportsLifecycleFailure.php b/app/Extension/Traits/ReportsLifecycleFailure.php
new file mode 100644
index 00000000..06662cfc
--- /dev/null
+++ b/app/Extension/Traits/ReportsLifecycleFailure.php
@@ -0,0 +1,58 @@
+<?php
+
+namespace App\Extension\Traits;
+
+/**
+ * 확장이 수명주기 훅에서 실패 사유를 알리는 통로.
+ *
+ * `install()` / `activate()` / `deactivate()` / `uninstall()` 은 bool 만 돌려주므로,
+ * 확장이 "왜" 거부했는지가 호출자에게 전달되지 않는다. 그 결과 관리자 화면에는
+ * 원인 자리가 빈 실패 문구만 남는다.
+ *
+ * 확장은 `failWith()` 로 사유를 남기며 false 를 돌려주고, 코어(Manager)는
+ * `getLifecycleFailureReason()` 으로 그 사유를 읽어 응답에 싣는다.
+ * 사유를 남기지 않은 확장은 null 이며, 이 경우 코어가 일반 문구로 대체한다.
+ *
+ * 사유는 이미 번역된 문장이어야 한다 — 확장의 언어 파일 키는 코어가 해석할 수 없다.
+ */
+trait ReportsLifecycleFailure
+{
+    /** @var string|null 마지막 수명주기 실패 사유 (번역된 문장) */
+    protected ?string $lifecycleFailureReason = null;
+
+    /**
+     * 마지막 수명주기 훅이 남긴 실패 사유를 반환합니다.
+     *
+     * @return string|null 실패 사유. 남기지 않았으면 null
+     */
+    public function getLifecycleFailureReason(): ?string
+    {
+        return $this->lifecycleFailureReason;
+    }
+
+    /**
+     * 실패 사유를 남기고 false 를 반환합니다.
+     *
+     * 수명주기 훅에서 `return $this->failWith(__('...'));` 형태로 사용합니다.
+     *
+     * @param  string  $reason  운영자에게 보일 실패 사유 (번역된 문장)
+     * @return false 언제나 false
+     */
+    protected function failWith(string $reason): bool
+    {
+        $this->lifecycleFailureReason = $reason;
+
+        return false;
+    }
+
+    /**
+     * 직전 실패 사유를 지웁니다.
+     *
+     * 같은 확장 인스턴스로 수명주기 훅을 다시 부르기 전에 코어가 호출합니다.
+     * 지우지 않으면 이전 실패의 사유가 다음 성공/실패에 그대로 따라붙는다.
+     */
+    public function clearLifecycleFailureReason(): void
+    {
+        $this->lifecycleFailureReason = null;
+    }
+}
diff --git a/app/Http/Controllers/Api/Admin/ModuleController.php b/app/Http/Controllers/Api/Admin/ModuleController.php
index 74ffb478..ce2c228f 100644
--- a/app/Http/Controllers/Api/Admin/ModuleController.php
+++ b/app/Http/Controllers/Api/Admin/ModuleController.php
@@ -3,6 +3,7 @@
 namespace App\Http\Controllers\Api\Admin;
 
 use App\Enums\LanguagePackScope;
+use App\Exceptions\ModuleOperationException;
 use App\Extension\Vendor\VendorMode;
 use App\Http\Controllers\Api\Base\AdminBaseController;
 use App\Http\Controllers\Concerns\InjectsExtensionLanguagePacks;
@@ -199,7 +200,7 @@ class ModuleController extends AdminBaseController
             // cascade 1단계: 사용자가 선택한 의존 확장 사전 설치 (실패 시 abort)
             $this->installSelectedDependencies($validated['dependencies'] ?? []);
 
-            $module = $this->moduleService->installModule($moduleName, $vendorMode);
+            $module = $this->moduleService->installModule($moduleName, $vendorMode, false, $installFailureReason);
 
             if ($module) {
                 // cascade 2단계: 동반 번들 언어팩 best-effort 설치
@@ -210,7 +211,9 @@ class ModuleController extends AdminBaseController
 
                 return $this->success('module.install_success', $payload, 201);
             } else {
-                return $this->error('module.install_failed');
+                return $this->error('module.install_failed', 400, null, [
+                    'error' => $installFailureReason ?? __('modules.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
             // Service에서 이미 번역된 메시지를 errors에 포함하므로
@@ -271,10 +274,12 @@ class ModuleController extends AdminBaseController
                     'pending_language_packs' => $pendingLanguagePacks,
                 ]));
             } else {
-                return $this->error('module.activate_failed');
+                return $this->error('module.activate_failed', 400, null, [
+                    'error' => $result['reason'] ?? __('modules.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
-            return $this->error('module.activate_failed', 422, $e->errors());
+            return $this->error('module.activate_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('module.activate_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
@@ -320,10 +325,12 @@ class ModuleController extends AdminBaseController
 
                 return $this->success('module.deactivate_success', $result);
             } else {
-                return $this->error('module.deactivate_failed');
+                return $this->error('module.deactivate_failed', 400, null, [
+                    'error' => $result['reason'] ?? __('modules.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
-            return $this->error('module.deactivate_failed', 422, $e->errors());
+            return $this->error('module.deactivate_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('module.deactivate_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
@@ -383,15 +390,17 @@ class ModuleController extends AdminBaseController
             $moduleName = $validated['module_name'];
             $deleteData = $validated['delete_data'] ?? false;
 
-            $result = $this->moduleService->uninstallModule($moduleName, $deleteData);
+            $result = $this->moduleService->uninstallModule($moduleName, $deleteData, $uninstallFailureReason);
 
             if ($result) {
                 return $this->success('module.uninstall_success');
             } else {
-                return $this->error('module.uninstall_failed');
+                return $this->error('module.uninstall_failed', 400, null, [
+                    'error' => $uninstallFailureReason ?? __('modules.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
-            return $this->error('module.uninstall_failed', 422, $e->errors());
+            return $this->error('module.uninstall_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('module.uninstall_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
@@ -433,8 +442,10 @@ class ModuleController extends AdminBaseController
                 new ModuleResource($module),
                 201
             );
-        } catch (\RuntimeException $e) {
-            return $this->error($e->getMessage(), 422);
+        } catch (ModuleOperationException $e) {
+            // 원본 키와 파라미터를 보존해 넘긴다 — 이미 번역된 getMessage() 를 키 자리에
+            // 넘기면 키 해석에 실패해 그 문장이 그대로 나간다 (상태코드는 기존 계약 유지).
+            return $this->error($e->errorKey, 422, null, $e->params);
         } catch (\Exception $e) {
             return $this->error('module.install_failed', 500, null, ['error' => $e->getMessage()]);
         }
@@ -457,8 +468,10 @@ class ModuleController extends AdminBaseController
                 new ModuleResource($module),
                 201
             );
-        } catch (\RuntimeException $e) {
-            return $this->error($e->getMessage(), 422);
+        } catch (ModuleOperationException $e) {
+            // 원본 키와 파라미터를 보존해 넘긴다 — 이미 번역된 getMessage() 를 키 자리에
+            // 넘기면 키 해석에 실패해 그 문장이 그대로 나간다 (상태코드는 기존 계약 유지).
+            return $this->error($e->errorKey, 422, null, $e->params);
         } catch (\Exception $e) {
             return $this->error('module.install_failed', 500, null, ['error' => $e->getMessage()]);
         }
@@ -476,7 +489,7 @@ class ModuleController extends AdminBaseController
 
             return $this->success('modules.check_updates_success', $result);
         } catch (ValidationException $e) {
-            return $this->error('modules.check_updates_failed', 422, $e->errors());
+            return $this->error('modules.check_updates_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('modules.check_updates_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
@@ -505,7 +518,7 @@ class ModuleController extends AdminBaseController
 
             return $this->success('modules.check_modified_layouts_success', $result);
         } catch (ValidationException $e) {
-            return $this->error('modules.check_modified_layouts_failed', 422, $e->errors());
+            return $this->error('modules.check_modified_layouts_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('modules.check_modified_layouts_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
@@ -596,10 +609,12 @@ class ModuleController extends AdminBaseController
                     new ModuleResource($module)
                 );
             } else {
-                return $this->error('module.refresh_layouts_failed');
+                return $this->error('module.refresh_layouts_failed', 400, null, [
+                    'error' => __('modules.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
-            return $this->error('module.refresh_layouts_failed', 422, $e->errors());
+            return $this->error('module.refresh_layouts_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('module.refresh_layouts_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
diff --git a/app/Http/Controllers/Api/Admin/PluginController.php b/app/Http/Controllers/Api/Admin/PluginController.php
index 0fcc883e..7f85fb81 100644
--- a/app/Http/Controllers/Api/Admin/PluginController.php
+++ b/app/Http/Controllers/Api/Admin/PluginController.php
@@ -3,6 +3,7 @@
 namespace App\Http\Controllers\Api\Admin;
 
 use App\Enums\LanguagePackScope;
+use App\Exceptions\PluginOperationException;
 use App\Extension\Vendor\VendorMode;
 use App\Helpers\PermissionHelper;
 use App\Http\Controllers\Api\Base\AdminBaseController;
@@ -188,7 +189,7 @@ class PluginController extends AdminBaseController
             // cascade 1단계: 사용자가 선택한 의존 확장 사전 설치 (실패 시 abort)
             $this->installSelectedDependencies($validated['dependencies'] ?? []);
 
-            $pluginInfo = $this->pluginService->installPlugin($pluginName, $vendorMode);
+            $pluginInfo = $this->pluginService->installPlugin($pluginName, $vendorMode, false, $installFailureReason);
 
             if ($pluginInfo) {
                 // cascade 2단계: 동반 번들 언어팩 best-effort 설치
@@ -199,7 +200,9 @@ class PluginController extends AdminBaseController
 
                 return $this->success('plugins.install_success', $payload);
             } else {
-                return $this->error('plugins.install_failed');
+                return $this->error('plugins.install_failed', 400, null, [
+                    'error' => $installFailureReason ?? __('plugins.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
             // Service에서 이미 번역된 메시지를 errors에 포함하므로
@@ -260,13 +263,16 @@ class PluginController extends AdminBaseController
                     'pending_language_packs' => $pendingLanguagePacks,
                 ]));
             } else {
-                return $this->error('plugins.activate_failed');
+                return $this->error('plugins.activate_failed', 400, null, [
+                    'error' => $result['reason'] ?? __('plugins.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
             return $this->error(
                 'plugins.activate_validation_failed',
                 422,
-                $e->errors()
+                $e->errors(),
+                ['error' => $e->getMessage()]
             );
         } catch (\Exception $e) {
             return $this->error(
@@ -317,13 +323,16 @@ class PluginController extends AdminBaseController
 
                 return $this->success('plugins.deactivate_success', $result);
             } else {
-                return $this->error('plugins.deactivate_failed');
+                return $this->error('plugins.deactivate_failed', 400, null, [
+                    'error' => $result['reason'] ?? __('plugins.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
             return $this->error(
                 'plugins.deactivate_validation_failed',
                 422,
-                $e->errors()
+                $e->errors(),
+                ['error' => $e->getMessage()]
             );
         } catch (\Exception $e) {
             return $this->error(
@@ -388,18 +397,21 @@ class PluginController extends AdminBaseController
             $pluginName = $validated['plugin_name'];
             $deleteData = $validated['delete_data'] ?? false;
 
-            $result = $this->pluginService->uninstallPlugin($pluginName, $deleteData);
+            $result = $this->pluginService->uninstallPlugin($pluginName, $deleteData, $uninstallFailureReason);
 
             if ($result) {
                 return $this->success('plugins.uninstall_success');
             } else {
-                return $this->error('plugins.uninstall_failed');
+                return $this->error('plugins.uninstall_failed', 400, null, [
+                    'error' => $uninstallFailureReason ?? __('plugins.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
             return $this->error(
                 'plugins.uninstall_validation_failed',
                 422,
-                $e->errors()
+                $e->errors(),
+                ['error' => $e->getMessage()]
             );
         } catch (\Exception $e) {
             return $this->error(
@@ -444,8 +456,10 @@ class PluginController extends AdminBaseController
                 new PluginResource($plugin),
                 201
             );
-        } catch (\RuntimeException $e) {
-            return $this->error($e->getMessage(), 422);
+        } catch (PluginOperationException $e) {
+            // 원본 키와 파라미터를 보존해 넘긴다 — 이미 번역된 getMessage() 를 키 자리에
+            // 넘기면 키 해석에 실패해 그 문장이 그대로 나간다 (상태코드는 기존 계약 유지).
+            return $this->error($e->errorKey, 422, null, $e->params);
         } catch (\Exception $e) {
             return $this->error('plugins.install_failed', 500, null, ['error' => $e->getMessage()]);
         }
@@ -468,8 +482,10 @@ class PluginController extends AdminBaseController
                 new PluginResource($plugin),
                 201
             );
-        } catch (\RuntimeException $e) {
-            return $this->error($e->getMessage(), 422);
+        } catch (PluginOperationException $e) {
+            // 원본 키와 파라미터를 보존해 넘긴다 — 이미 번역된 getMessage() 를 키 자리에
+            // 넘기면 키 해석에 실패해 그 문장이 그대로 나간다 (상태코드는 기존 계약 유지).
+            return $this->error($e->errorKey, 422, null, $e->params);
         } catch (\Exception $e) {
             return $this->error('plugins.install_failed', 500, null, ['error' => $e->getMessage()]);
         }
@@ -487,7 +503,7 @@ class PluginController extends AdminBaseController
 
             return $this->success('plugins.check_updates_success', $result);
         } catch (ValidationException $e) {
-            return $this->error('plugins.check_updates_failed', 422, $e->errors());
+            return $this->error('plugins.check_updates_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('plugins.check_updates_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
@@ -512,7 +528,7 @@ class PluginController extends AdminBaseController
 
             return $this->success('plugins.check_modified_layouts_success', $result);
         } catch (ValidationException $e) {
-            return $this->error('plugins.check_modified_layouts_failed', 422, $e->errors());
+            return $this->error('plugins.check_modified_layouts_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('plugins.check_modified_layouts_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
@@ -608,13 +624,16 @@ class PluginController extends AdminBaseController
                     'unchanged' => $result['unchanged'],
                 ]);
             } else {
-                return $this->error('plugins.refresh_layouts_failed');
+                return $this->error('plugins.refresh_layouts_failed', 400, null, [
+                    'error' => __('plugins.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
             return $this->error(
                 'plugins.refresh_layouts_validation_failed',
                 422,
-                $e->errors()
+                $e->errors(),
+                ['error' => $e->getMessage()]
             );
         } catch (\Exception $e) {
             return $this->error(
diff --git a/app/Http/Controllers/Api/Admin/PluginSettingsController.php b/app/Http/Controllers/Api/Admin/PluginSettingsController.php
index a4b1a1e0..7387440c 100644
--- a/app/Http/Controllers/Api/Admin/PluginSettingsController.php
+++ b/app/Http/Controllers/Api/Admin/PluginSettingsController.php
@@ -113,10 +113,12 @@ class PluginSettingsController extends AdminBaseController
         // 그대로 설정 파일에 병합되는 경로로만 동작했다 (mass-assignment).
         $settings = $request->validated();
 
-        $result = $this->pluginSettingsService->save($identifier, $settings);
+        $result = $this->pluginSettingsService->save($identifier, $settings, $failureReason);
 
         if (! $result) {
-            return $this->error('plugins.settings.update_failed', 500);
+            return $this->error('plugins.settings.update_failed', 500, null, [
+                'error' => $failureReason ?? __('plugins.errors.unknown_error'),
+            ]);
         }
 
         // 저장 응답에도 카탈로그 재부착 — 화면 폼 상태가 응답으로 갱신되므로
diff --git a/app/Http/Controllers/Api/Admin/TemplateController.php b/app/Http/Controllers/Api/Admin/TemplateController.php
index 8eeabc3a..5bbef459 100644
--- a/app/Http/Controllers/Api/Admin/TemplateController.php
+++ b/app/Http/Controllers/Api/Admin/TemplateController.php
@@ -3,6 +3,7 @@
 namespace App\Http\Controllers\Api\Admin;
 
 use App\Enums\LanguagePackScope;
+use App\Exceptions\TemplateOperationException;
 use App\Helpers\PermissionHelper;
 use App\Http\Controllers\Api\Base\AdminBaseController;
 use App\Http\Controllers\Concerns\InjectsExtensionLanguagePacks;
@@ -169,7 +170,9 @@ class TemplateController extends AdminBaseController
 
                 return $this->success('templates.install_success', $payload, 201);
             } else {
-                return $this->error('templates.install_failed');
+                return $this->error('templates.install_failed', 400, null, [
+                    'error' => __('templates.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
             // Service에서 이미 번역된 메시지를 errors에 포함하므로
@@ -230,10 +233,12 @@ class TemplateController extends AdminBaseController
                     'pending_language_packs' => $pendingLanguagePacks,
                 ]));
             } else {
-                return $this->error('templates.activate_failed');
+                return $this->error('templates.activate_failed', 400, null, [
+                    'error' => $result['reason'] ?? __('templates.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
-            return $this->error('templates.activate_failed', 422, $e->errors());
+            return $this->error('templates.activate_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('templates.activate_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
@@ -249,7 +254,7 @@ class TemplateController extends AdminBaseController
     {
         try {
             $templateName = $request->validated()['template_name'];
-            $template = $this->templateService->deactivateTemplate($templateName);
+            $template = $this->templateService->deactivateTemplate($templateName, $deactivateFailureReason);
 
             if ($template) {
                 return $this->successWithResource(
@@ -257,10 +262,12 @@ class TemplateController extends AdminBaseController
                     new TemplateResource($template)
                 );
             } else {
-                return $this->error('templates.deactivate_failed');
+                return $this->error('templates.deactivate_failed', 400, null, [
+                    'error' => $deactivateFailureReason ?? __('templates.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
-            return $this->error('templates.deactivate_failed', 422, $e->errors());
+            return $this->error('templates.deactivate_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('templates.deactivate_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
@@ -284,10 +291,12 @@ class TemplateController extends AdminBaseController
             if ($result) {
                 return $this->success('templates.uninstall_success');
             } else {
-                return $this->error('templates.uninstall_failed');
+                return $this->error('templates.uninstall_failed', 400, null, [
+                    'error' => __('templates.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
-            return $this->error('templates.uninstall_failed', 422, $e->errors());
+            return $this->error('templates.uninstall_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('templates.uninstall_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
@@ -348,8 +357,10 @@ class TemplateController extends AdminBaseController
                 new TemplateResource($template),
                 201
             );
-        } catch (\RuntimeException $e) {
-            return $this->error($e->getMessage(), 422);
+        } catch (TemplateOperationException $e) {
+            // 원본 키와 파라미터를 보존해 넘긴다 — 이미 번역된 getMessage() 를 키 자리에
+            // 넘기면 키 해석에 실패해 그 문장이 그대로 나간다 (상태코드는 기존 계약 유지).
+            return $this->error($e->errorKey, 422, null, $e->params);
         } catch (\Exception $e) {
             return $this->error('templates.install_failed', 500, null, ['error' => $e->getMessage()]);
         }
@@ -372,8 +383,10 @@ class TemplateController extends AdminBaseController
                 new TemplateResource($template),
                 201
             );
-        } catch (\RuntimeException $e) {
-            return $this->error($e->getMessage(), 422);
+        } catch (TemplateOperationException $e) {
+            // 원본 키와 파라미터를 보존해 넘긴다 — 이미 번역된 getMessage() 를 키 자리에
+            // 넘기면 키 해석에 실패해 그 문장이 그대로 나간다 (상태코드는 기존 계약 유지).
+            return $this->error($e->errorKey, 422, null, $e->params);
         } catch (\Exception $e) {
             return $this->error('templates.install_failed', 500, null, ['error' => $e->getMessage()]);
         }
@@ -397,10 +410,12 @@ class TemplateController extends AdminBaseController
                     new TemplateResource($template)
                 );
             } else {
-                return $this->error('templates.refresh_layouts_failed');
+                return $this->error('templates.refresh_layouts_failed', 400, null, [
+                    'error' => __('templates.errors.unknown_error'),
+                ]);
             }
         } catch (ValidationException $e) {
-            return $this->error('templates.refresh_layouts_failed', 422, $e->errors());
+            return $this->error('templates.refresh_layouts_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('templates.refresh_layouts_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
@@ -418,7 +433,7 @@ class TemplateController extends AdminBaseController
 
             return $this->success('templates.check_updates_success', $result);
         } catch (ValidationException $e) {
-            return $this->error('templates.check_updates_failed', 422, $e->errors());
+            return $this->error('templates.check_updates_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('templates.check_updates_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
@@ -446,7 +461,7 @@ class TemplateController extends AdminBaseController
 
             return $this->success('templates.check_modified_layouts_success', $result);
         } catch (ValidationException $e) {
-            return $this->error('templates.check_modified_layouts_failed', 422, $e->errors());
+            return $this->error('templates.check_modified_layouts_failed', 422, $e->errors(), ['error' => $e->getMessage()]);
         } catch (\Exception $e) {
             return $this->error('templates.check_modified_layouts_failed', 500, $e->getMessage(), ['error' => $e->getMessage()]);
         }
diff --git a/app/Providers/PluginRouteServiceProvider.php b/app/Providers/PluginRouteServiceProvider.php
index 0798c3a3..8737078d 100644
--- a/app/Providers/PluginRouteServiceProvider.php
+++ b/app/Providers/PluginRouteServiceProvider.php
@@ -4,6 +4,7 @@ namespace App\Providers;
 
 use App\Extension\ExtensionManager;
 use App\Extension\Testing\ExtensionTestAllowlist;
+use App\Extension\Traits\CachesPluginStatus;
 use App\Support\InstallerContext;
 use Illuminate\Foundation\Support\Providers\RouteServiceProvider as ServiceProvider;
 use Illuminate\Support\Facades\File;
@@ -12,6 +13,8 @@ use Illuminate\Support\Facades\Schema;
 
 class PluginRouteServiceProvider extends ServiceProvider
 {
+    use CachesPluginStatus;
+
     /**
      * The path to the "home" route for your application.
      *
@@ -33,6 +36,8 @@ class PluginRouteServiceProvider extends ServiceProvider
 
     /**
      * 플러그인의 라우트 파일들을 로드합니다.
+     *
+     * 활성화된 플러그인만 라우트를 등록합니다.
      */
     protected function loadPluginRoutes(): void
     {
@@ -65,6 +70,11 @@ class PluginRouteServiceProvider extends ServiceProvider
             }
         }
 
+        // 활성화된 플러그인 identifier 목록 가져오기.
+        // 같은 목록을 PluginManager·PluginServiceProvider 가 이미 캐시(TTL 기본 하루)해 두므로
+        // 여기서 다시 조회하지 않고 그 캐시를 공유한다. 상태 변경 시 무효화도 같이 따라온다.
+        $activePluginIdentifiers = self::getActivePluginIdentifiers();
+
         $plugins = File::directories($pluginsPath);
         $allowlistActive = ExtensionTestAllowlist::isActive();
 
@@ -77,6 +87,13 @@ class PluginRouteServiceProvider extends ServiceProvider
                 continue;
             }
 
+            // 활성화된 플러그인만 라우트 로드 (모듈과 동일 기준).
+            // 이 게이트가 없으면 비활성 플러그인의 API 가 계속 호출 가능해, 화면·메뉴만
+            // 사라지고 기능은 살아 있는 상태가 된다.
+            if (! in_array($pluginName, $activePluginIdentifiers)) {
+                continue;
+            }
+
             // 플러그인 파일이 존재하는지 확인
             if (! File::exists($pluginFile)) {
                 continue;
diff --git a/app/Services/LanguagePackService.php b/app/Services/LanguagePackService.php
index 75e453ba..36c613f4 100644
--- a/app/Services/LanguagePackService.php
+++ b/app/Services/LanguagePackService.php
@@ -763,7 +763,12 @@ class LanguagePackService
 
             $response = Http::timeout(120)->get($url);
             if (! $response->successful()) {
-                throw new LanguagePackOperationException('language_packs.errors.download_failed', ['url' => $url]);
+                // 응답 상태를 사유로 싣는다 — 비우면 치환 자리가 남아 관리자 화면에
+                // 리터럴 ':error' 가 그대로 노출된다.
+                throw new LanguagePackOperationException('language_packs.errors.download_failed', [
+                    'url' => $url,
+                    'error' => 'HTTP '.$response->status(),
+                ]);
             }
             File::put($zipPath, $response->body());
 
diff --git a/app/Services/ModuleService.php b/app/Services/ModuleService.php
index 569ec88d..28ad15d1 100644
--- a/app/Services/ModuleService.php
+++ b/app/Services/ModuleService.php
@@ -242,6 +242,7 @@ class ModuleService
      * @param  string  $moduleName  설치할 모듈명
      * @param  VendorMode  $vendorMode  Vendor 설치 모드
      * @param  bool  $force  Updating/Failed 등 진행 중 상태도 무시하고 강제 설치 여부
+     * @param  string|null  $failureReason  실패 시 사유가 담기는 out 파라미터 (성공 시 null)
      * @return array|null 설치된 모듈 정보 또는 null
      *
      * @throws ValidationException 모듈 설치 실패 시
@@ -250,12 +251,15 @@ class ModuleService
         string $moduleName,
         VendorMode $vendorMode = VendorMode::Auto,
         bool $force = false,
+        ?string &$failureReason = null,
     ): ?array {
+        $failureReason = null;
+
         HookManager::doAction('core.modules.before_install', $moduleName);
 
         try {
             $this->moduleManager->loadModules();
-            $result = $this->moduleManager->installModule($moduleName, null, $vendorMode, $force);
+            $result = $this->moduleManager->installModule($moduleName, null, $vendorMode, $force, $failureReason);
 
             if ($result) {
                 // 설치 후 모듈 정보 반환
@@ -307,7 +311,9 @@ class ModuleService
                 ];
             }
 
-            return ['success' => false];
+            // 실패 사유(reason)를 그대로 전달한다 — 여기서 떨어뜨리면 관리자 화면의
+            // 실패 문구에 원인 자리가 비어 자리표시자가 그대로 노출된다.
+            return $result;
         } catch (\Exception $e) {
             throw ValidationException::withMessages([
                 'module_name' => [__('modules.activation_failed', ['error' => $e->getMessage()])],
@@ -359,12 +365,15 @@ class ModuleService
      *
      * @param  string  $moduleName  제거할 모듈명
      * @param  bool  $deleteData  모듈 데이터(테이블) 삭제 여부
+     * @param  string|null  $failureReason  실패 시 사유가 담기는 out 파라미터 (성공 시 null)
      * @return bool 제거 성공 여부
      *
      * @throws ValidationException 모듈 제거 실패 시
      */
-    public function uninstallModule(string $moduleName, bool $deleteData = false): bool
+    public function uninstallModule(string $moduleName, bool $deleteData = false, ?string &$failureReason = null): bool
     {
+        $failureReason = null;
+
         HookManager::doAction('core.modules.before_uninstall', $moduleName, $deleteData);
 
         try {
@@ -372,7 +381,7 @@ class ModuleService
             $this->moduleManager->loadModules();
             $moduleInfo = $this->moduleManager->getModuleInfo($moduleName);
 
-            $result = $this->moduleManager->uninstallModule($moduleName, $deleteData);
+            $result = $this->moduleManager->uninstallModule($moduleName, $deleteData, null, $failureReason);
 
             if ($result) {
                 $module = $this->moduleRepository->findByName($moduleName);
@@ -867,10 +876,14 @@ class ModuleService
     private function executeModuleInstall(string $identifier): array
     {
         $this->moduleManager->loadModules();
-        $result = $this->moduleManager->installModule($identifier);
+        $result = $this->moduleManager->installModule($identifier, null, VendorMode::Auto, false, $failureReason);
 
         if (! $result) {
-            throw new ModuleOperationException('modules.errors.install_failed');
+            // 사유를 실어 올리지 않으면 'modules.errors.install_failed' 의 치환 자리가
+            // 비어 관리자 화면에 리터럴 ':error' 가 그대로 노출된다.
+            throw new ModuleOperationException('modules.errors.install_failed', [
+                'error' => $failureReason ?? __('modules.errors.unknown_error'),
+            ]);
         }
 
         return $this->moduleManager->getModuleInfo($identifier);
diff --git a/app/Services/PluginService.php b/app/Services/PluginService.php
index 2139aa24..2af946db 100644
--- a/app/Services/PluginService.php
+++ b/app/Services/PluginService.php
@@ -115,6 +115,7 @@ class PluginService
      * @param  string  $pluginName  플러그인 식별자
      * @param  VendorMode  $vendorMode  vendor 설치 모드 (Auto/Composer/Bundled)
      * @param  bool  $force  Updating/Failed 등 진행 중 상태도 무시하고 강제 설치 여부
+     * @param  string|null  $failureReason  실패 시 사유가 담기는 out 파라미터 (성공 시 null)
      * @return array|null 설치된 플러그인 정보 또는 설치 실패 시 null
      *
      * @throws ValidationException 플러그인 설치 실패 시
@@ -123,12 +124,15 @@ class PluginService
         string $pluginName,
         VendorMode $vendorMode = VendorMode::Auto,
         bool $force = false,
+        ?string &$failureReason = null,
     ): ?array {
+        $failureReason = null;
+
         HookManager::doAction('core.plugins.before_install', $pluginName);
 
         try {
             $this->pluginManager->loadPlugins();
-            $result = $this->pluginManager->installPlugin($pluginName, null, $vendorMode, $force);
+            $result = $this->pluginManager->installPlugin($pluginName, null, $vendorMode, $force, $failureReason);
 
             if ($result) {
                 // 설치 후 플러그인 정보 반환
@@ -182,7 +186,9 @@ class PluginService
                 ];
             }
 
-            return ['success' => false];
+            // 실패 사유(reason)를 그대로 전달한다 — 여기서 떨어뜨리면 관리자 화면의
+            // 실패 문구에 원인 자리가 비어 자리표시자가 그대로 노출된다.
+            return $result;
         } catch (\Exception $e) {
             throw ValidationException::withMessages([
                 'plugin_name' => [__('plugins.activation_failed', ['error' => $e->getMessage()])],
@@ -236,18 +242,21 @@ class PluginService
      *
      * @param  string  $pluginName  플러그인 식별자
      * @param  bool  $deleteData  플러그인이 생성한 DB 데이터/스토리지 디렉토리까지 삭제 여부
+     * @param  string|null  $failureReason  실패 시 사유가 담기는 out 파라미터 (성공 시 null)
      * @return bool 제거 성공 여부
      *
      * @throws ValidationException 제거 실패 시
      */
-    public function uninstallPlugin(string $pluginName, bool $deleteData = false): bool
+    public function uninstallPlugin(string $pluginName, bool $deleteData = false, ?string &$failureReason = null): bool
     {
+        $failureReason = null;
+
         HookManager::doAction('core.plugins.before_uninstall', $pluginName, $deleteData);
 
         try {
             $this->pluginManager->loadPlugins();
 
-            $result = $this->pluginManager->uninstallPlugin($pluginName, $deleteData);
+            $result = $this->pluginManager->uninstallPlugin($pluginName, $deleteData, null, $failureReason);
 
             HookManager::doAction('core.plugins.after_uninstall', $pluginName, $deleteData, $result);
 
@@ -983,10 +992,14 @@ class PluginService
     private function executePluginInstall(string $identifier): array
     {
         $this->pluginManager->loadPlugins();
-        $result = $this->pluginManager->installPlugin($identifier);
+        $result = $this->pluginManager->installPlugin($identifier, null, VendorMode::Auto, false, $failureReason);
 
         if (! $result) {
-            throw new PluginOperationException('plugins.errors.install_failed');
+            // 사유를 실어 올리지 않으면 'plugins.errors.install_failed' 의 치환 자리가
+            // 비어 관리자 화면에 리터럴 ':error' 가 그대로 노출된다.
+            throw new PluginOperationException('plugins.errors.install_failed', [
+                'error' => $failureReason ?? __('plugins.errors.unknown_error'),
+            ]);
         }
 
         return $this->pluginManager->getPluginInfo($identifier);
diff --git a/app/Services/PluginSettingsService.php b/app/Services/PluginSettingsService.php
index 3043333c..436dae55 100644
--- a/app/Services/PluginSettingsService.php
+++ b/app/Services/PluginSettingsService.php
@@ -151,10 +151,13 @@ class PluginSettingsService
      *
      * @param  string  $identifier  플러그인 식별자
      * @param  array<string, mixed>  $settings  저장할 설정 (검증 통과분)
+     * @param  string|null  $failureReason  실패 시 사유가 담기는 out 파라미터 (성공 시 null)
      * @return bool 저장 성공 여부
      */
-    public function save(string $identifier, array $settings): bool
+    public function save(string $identifier, array $settings, ?string &$failureReason = null): bool
     {
+        $failureReason = null;
+
         // Before 훅
         HookManager::doAction('core.plugin_settings.before_save', $identifier, $settings);
 
@@ -164,6 +167,8 @@ class PluginSettingsService
         // 플러그인 인스턴스 확인
         $pluginInstance = $this->pluginManager->getPlugin($identifier);
         if (! $pluginInstance) {
+            $failureReason = __('plugins.errors.not_found', ['plugin' => $identifier]);
+
             return false;
         }
 
@@ -187,6 +192,11 @@ class PluginSettingsService
         // 파일에 저장
         $result = $this->saveSettingsToFile($identifier, $mergedSettings);
 
+        if (! $result && $failureReason === null) {
+            // 파일 쓰기 실패 — 스토리지 드라이버가 사유를 돌려주지 않으므로 일반 문구로 대체한다.
+            $failureReason = __('plugins.errors.unknown_error');
+        }
+
         // 캐시 초기화
         if ($result) {
             unset($this->settingsCache[$identifier]);
diff --git a/app/Services/TemplateService.php b/app/Services/TemplateService.php
index 658c913d..37cc899f 100644
--- a/app/Services/TemplateService.php
+++ b/app/Services/TemplateService.php
@@ -7,6 +7,7 @@ use App\Contracts\Extension\PluginManagerInterface;
 use App\Contracts\Extension\TemplateManagerInterface;
 use App\Contracts\Repositories\LayoutVersionRepositoryInterface;
 use App\Contracts\Repositories\TemplateRepositoryInterface;
+use App\Enums\DeactivationReason;
 use App\Enums\ExtensionStatus;
 use App\Exceptions\TemplateNotFoundException;
 use App\Exceptions\TemplateOperationException;
@@ -476,12 +477,15 @@ class TemplateService
      * 템플릿을 비활성화합니다.
      *
      * @param  int|string  $idOrIdentifier  템플릿 ID 또는 식별자
+     * @param  string|null  $failureReason  실패 시 사유가 담기는 out 파라미터 (성공 시 null)
      * @return array|null 비활성화된 템플릿 정보 또는 null
      *
      * @throws ValidationException 비활성화 실패 시
      */
-    public function deactivateTemplate(int|string $idOrIdentifier): ?array
+    public function deactivateTemplate(int|string $idOrIdentifier, ?string &$failureReason = null): ?array
     {
+        $failureReason = null;
+
         // ID 또는 identifier로 템플릿 조회
         $template = is_int($idOrIdentifier)
             ? $this->templateRepository->findById($idOrIdentifier)
@@ -496,7 +500,14 @@ class TemplateService
         HookManager::doAction('core.templates.before_deactivate', $template->identifier);
 
         try {
-            $result = $this->templateManager->deactivateTemplate($template->identifier);
+            // 위치 인자로 넘긴다 — 이 의존성은 인터페이스 타입이고 테스트가 그 인터페이스를
+            // mock 하므로, 이름 붙인 인자는 mock 의 __call 에 닿아 "Unknown named parameter" 가 된다.
+            $result = $this->templateManager->deactivateTemplate(
+                $template->identifier,
+                DeactivationReason::Manual->value,
+                null,
+                $failureReason
+            );
 
             if ($result) {
                 // 템플릿 매니저에서 업데이트된 정보 조회
@@ -2021,7 +2032,11 @@ class TemplateService
         $result = $this->templateManager->installTemplate($identifier);
 
         if (! $result) {
-            throw new TemplateOperationException('templates.errors.install_failed');
+            // installTemplate 은 사유 out 파라미터를 갖지 않으므로 일반 문구로 채운다.
+            // 비워 두면 치환 자리가 남아 관리자 화면에 리터럴 ':error' 가 노출된다.
+            throw new TemplateOperationException('templates.errors.install_failed', [
+                'error' => __('templates.errors.unknown_error'),
+            ]);
         }
 
         return $this->templateManager->getTemplateInfo($identifier);
diff --git a/docs/backend/api/README.md b/docs/backend/api/README.md
index 75eaf33f..72652dfb 100644
--- a/docs/backend/api/README.md
+++ b/docs/backend/api/README.md
@@ -120,6 +120,10 @@ Authorization: Bearer {YOUR_TOKEN}
 | 422 | Unprocessable Entity | 요청 파라미터가 검증 규칙을 위반한 경우 (`errors` 에 필드별 메시지) |
 | 428 | Precondition Required | 본인인증(IDV)이 선행되어야 하는 경우 |
 
+확장(모듈·플러그인)이 제공하는 엔드포인트(`/api/modules/{id}/…`, `/api/plugins/{id}/…`)는 그 확장이
+**활성 상태일 때만** 존재합니다. 비활성화·제거된 확장의 엔드포인트는 404 를 반환하며, 이는 권한
+문제가 아니라 라우트가 등록되지 않은 상태입니다. 확장을 업데이트하는 동안에도 잠시 같은 상태가 됩니다.
+
 428 응답은 `error_code: "identity_verification_required"` 와 함께 `verification` 객체를 반환합니다.
 클라이언트는 이 값으로 본인인증 화면을 띄운 뒤 원래 요청을 재시도합니다.
 
diff --git a/docs/backend/api/language-packs.md b/docs/backend/api/language-packs.md
index abc9a9f3..5c1375b0 100644
--- a/docs/backend/api/language-packs.md
+++ b/docs/backend/api/language-packs.md
@@ -371,7 +371,7 @@ HTTP/1.1 200
 | 401 | Unauthenticated | 유효한 Bearer 토큰이 없거나 만료된 경우 |
 | 403 | Forbidden | 요구 권한(`core.language_packs.read`)이 없는 경우 |
 | 422 | Unprocessable Entity | 요청 파라미터가 검증 규칙을 위반한 경우 (`error.errors` 에 필드별 메시지) |
-| 500 | Internal Server Error | 업데이트 확인 중 예외 발생 (`업데이트 확인에 실패했습니다: :error` — `language_packs.check_updates_failed`) |
+| 500 | Internal Server Error | 업데이트 확인 중 예외 발생 (`업데이트 확인에 실패했습니다.` — `language_packs.check_updates_failed`) |
 
 <!-- @generated:end -->
 
@@ -633,7 +633,7 @@ HTTP/1.1 201
 }
 ```
 
-> manifest 검증 실패 시 422 (`language-pack.json 검증에 실패했습니다.`), 그 외 설치 실패 시 500 (`언어팩 설치에 실패했습니다: :error`) 으로 응답합니다.
+> manifest 검증 실패 시 422 (`language-pack.json 검증에 실패했습니다.`), 그 외 설치 실패 시 500 (`언어팩 설치에 실패했습니다.`) 으로 응답합니다.
 
 **에러 응답**
 
@@ -1664,7 +1664,7 @@ HTTP/1.1 200
 }
 ```
 
-> 업데이트 소스 정보가 없거나(`업데이트 소스 정보가 없습니다 (GitHub 소스 언어팩만 업데이트 가능).`) 이미 최신 버전이면(`이미 최신 버전입니다.`) 500 (`언어팩 업데이트에 실패했습니다: :error`) 으로 응답합니다.
+> 업데이트 소스 정보가 없거나(`업데이트 소스 정보가 없습니다 (GitHub 소스 언어팩만 업데이트 가능).`) 이미 최신 버전이면(`이미 최신 버전입니다.`) 500 (`언어팩 업데이트에 실패했습니다.`) 으로 응답합니다.
 
 **에러 응답**
 
diff --git a/docs/backend/exceptions.md b/docs/backend/exceptions.md
index b0cf9f89..20aa1314 100644
--- a/docs/backend/exceptions.md
+++ b/docs/backend/exceptions.md
@@ -164,6 +164,27 @@ class MaxDepthExceededException extends Exception
 }
 ```
 
+### 치환 자리는 비워 둘 수 없다
+
+`:error` 같은 치환 자리를 가진 키를 파라미터 없이 부르면, 번역기는 그 자리를 **그대로 둔 문장**을
+돌려준다. 그래서 운영자 화면에 `모듈 활성화에 실패했습니다: :error` 처럼 내부 자리표시자가 노출된다.
+예외도 로그도 남지 않고 실패했을 때만 드러나므로, 정상 흐름만 보는 테스트로는 잡히지 않는다.
+
+| ❌ 금지 | ✅ 올바른 사용 |
+|--------|---------------|
+| `error('x.activate_failed')` — 치환 자리를 가진 키를 파라미터 없이 | `error('x.activate_failed', 400, null, ['error' => $reason])` |
+| 사유를 모른다고 자리를 비워 두기 | 사유를 알 수 없으면 일반 문구로 채운다 (`errors.unknown_error`) |
+| 원인을 싣지 않기로 한 문구에 `:error` 자리를 남겨 두기 | 그 키에서 치환 자리 자체를 없앤다 |
+| 하위 계층이 `false` 만 돌려주고 사유를 버리기 | 사유를 반환 경로에 실어 올린다 (배열 키 또는 선택적 out 파라미터) |
+
+셋째 인자 `errors` 페이로드와 넷째 인자 `messageParams` 는 **다른 통로**다. `errors` 에 예외를 넘기는
+것은 진단 정보이고(노출 폭은 `ResponseHelper` 가 `app.debug` 로 정한다), 문구의 치환 자리를 채우는
+것은 `messageParams` 뿐이다. 한쪽만 채우면 자리표시자는 그대로 남는다.
+
+응답 문구에 예외 원문을 싣지 않기로 정한 화면(언어팩 관리 등)은 **파라미터를 채우는 대신 키에서
+치환 자리를 없앤다.** 자리를 남긴 채 일반 문구로 채우면 "…실패했습니다: 알 수 없는 오류" 처럼
+의미 없는 꼬리가 붙고, 나중에 누군가 그 자리를 예외 원문으로 채우는 회귀를 부른다.
+
 ---
 
 ## 예외 → 응답 매핑
diff --git a/docs/backend/routing.md b/docs/backend/routing.md
index e65153b5..669aee69 100644
--- a/docs/backend/routing.md
+++ b/docs/backend/routing.md
@@ -343,8 +343,9 @@ Route::prefix('products')->group(function () {
 | `RouteCacheHelper::rebuild()` | 비운 뒤 즉시 재생성. 테스트 환경·설치 미완료는 비우기까지만 |
 | `RouteCacheHelper::clear()` | 재생성 없이 비우기만 — 재생성이 부적절한 흐름 중간용 |
 
-`rebuild()` 는 `route:cache` 를 호출하며, 이 커맨드는 새 애플리케이션을 부팅해 라우트를
-수집하므로 방금 설치·활성화한 확장의 라우트도 함께 잡힌다. 재생성이 실패하면(직렬화
+`rebuild()` 는 `route:cache` 를 호출하며, 이 커맨드는 **새 애플리케이션을 부팅해** 라우트를
+수집한다. 방금 설치·활성화한 확장의 라우트가 함께 잡히려면 그 새 부팅이 바뀐 상태를 읽어야
+하므로, 굽기 전에 상태 캐시를 비워야 한다(아래 절). 재생성이 실패하면(직렬화
 불가한 클로저 라우트 등) 비운 상태로 둔다 — 비어 있으면 느릴 뿐 정확하지만, 낡은 캐시는
 방금 설치한 확장을 통째로 없는 것으로 만든다.
 
@@ -362,6 +363,53 @@ Route::prefix('products')->group(function () {
 서버 라우트에 영향을 주지 않는다. 모듈 설정의 경로 값도 마찬가지다(서버 라우트 접두사는
 `api/modules/{identifier}` 로 식별자에 고정).
 
+### 확장 라우트는 활성 상태로 게이트된다
+
+모듈·플러그인 라우트는 **활성 상태인 확장의 것만** 등록한다. 비활성화하면 화면·메뉴·프론트엔드
+에셋은 사라지지만, 라우트 등록을 게이트하지 않으면 그 확장의 API 는 계속 호출 가능한 상태로 남는다.
+컨트롤러 파일이 그대로 있으므로 요청은 정상 처리되고 오류도 로그도 남지 않아, 화면만 보고는
+꺼진 기능이 여전히 동작한다는 사실을 알 수 없다.
+
+| ❌ 금지 | ✅ 올바른 사용 |
+|--------|---------------|
+| 라우트 프로바이더가 디렉토리에 있는 확장 전부를 등록 | 활성 식별자 목록으로 걸러 등록 |
+| 한쪽(모듈)만 게이트하고 다른 쪽(플러그인)은 무게이트 | 두 경로가 같은 기준을 공유 |
+| 게이트를 개별 컨트롤러·미들웨어에 흩어 놓기 | 라우트 등록 지점 한 곳에서 판정 |
+
+활성 목록은 상태 캐시를 공유하므로, 상태를 바꾼 쪽이 그 캐시를 비워야 다음 부팅이 새 상태를
+읽는다(아래 절).
+
+### 굽기는 상태 캐시 무효화 뒤에 온다
+
+`route:cache` 가 부팅하는 새 애플리케이션에서 확장 라우트 프로바이더는 DB 가 아니라
+**캐시된 활성 확장 목록**을 읽는다(TTL 기본 1일). 그래서 확장의 상태를 DB 에 쓴 뒤
+그 상태 캐시를 비우기 **전에** 구우면, 새 부팅이 낡은 목록을 읽어 방금 바뀐 상태가
+반영되지 않은 라우트가 박제된다.
+
+```text
+DB 상태 쓰기 → 상태 캐시 무효화 → 굽기(rebuild / 훅 캐시 재생성)
+```
+
+순서가 뒤집혔을 때의 결과는 방향마다 다르고, 어느 쪽도 스스로 회복되지 않는다.
+
+| 수명주기 | 낡은 목록의 내용 | 결과 |
+|---------|----------------|------|
+| 활성화 | 그 확장이 없음 | 방금 켠 확장의 API 전량 404 |
+| 비활성화 | 그 확장이 남아 있음 | 끈 확장의 API 가 계속 호출 가능 |
+| 업데이트 | `Updating`(=비활성)으로 판정 | 업데이트 후 API 404 + 훅 리스너 누락 |
+
+상태 캐시 무효화는 **DB 상태 쓰기 직후**에 둔다. 굽기 직전으로 옮기는 것으로는 부족하다 —
+같은 목록을 읽는 굽기가 라우트 캐시 말고도 있기 때문이다(훅 매핑 캐시가 오토로드 갱신
+안에서 구워진다).
+
+업데이트 경로만 예외가 하나 있다. `Updating` 전이 직후에는 비우지 않는다 — 비우면 그 창
+안에서 도는 오토로드 갱신이 DB 를 재조회해 그 확장을 비활성으로 판정하고 훅 캐시에서
+리스너를 떨군다. 대신 **상태 복원 직후**에 비우고, 그 뒤 훅 캐시를 다시 굽는다. 훅 캐시
+폴백은 파일 부재·손상에만 작동하므로 내용이 낡은 경우는 조용히 통과하기 때문이다.
+
+이 순서는 정적 검사로 강제된다 — `rebuild()` 를 호출하는 수명주기 메서드를 리플렉션으로
+도출해(개별 열거 금지) 각각에서 무효화가 앞서는지 확인한다.
+
 ### 캐시 안전한 라우트 작성
 
 캐시가 걸리면 `RouteServiceProvider::boot()` 이 캐시 파일 로드로 분기해 **라우트 파일 자체가
diff --git a/docs/extension/module-basics.md b/docs/extension/module-basics.md
index d9429367..428c9888 100644
--- a/docs/extension/module-basics.md
+++ b/docs/extension/module-basics.md
@@ -143,6 +143,28 @@
 | `getMetadata()` | `[]` | 메타데이터 |
 | `getMiddleware()` | `[]` | 확장 미들웨어 선언 (self-gate targets) — `{class, groups, timing?, targets}` ([middleware.md](../backend/middleware.md)) |
 | `getBenchmarkProfiles()` | `[]` | 성능 계측 대상 선언 (`g7:bench` 가 수집) — 목록/화면/쓰기/배치 4축 ([benchmark.md](../backend/benchmark.md)) |
+
+#### 수명주기 훅이 실패를 알리는 방법
+
+`install()` / `activate()` / `deactivate()` / `uninstall()` 은 bool 만 돌려주므로, 그냥 `false` 를
+반환하면 **왜 거부했는지가 코어에 전달되지 않는다.** 그 결과 운영자는 원인이 빠진 실패 문구만 본다.
+
+사유를 남기려면 `failWith()` 로 반환한다. 코어가 그 사유를 응답 문구의 원인 자리에 싣는다.
+
+```php
+public function activate(): bool
+{
+    if (! extension_loaded('gd')) {
+        return $this->failWith(__('my-module::messages.gd_required'));
+    }
+
+    return true;
+}
+```
+
+- 사유는 **이미 번역된 문장**이어야 한다 — 확장의 언어 파일 키는 코어가 해석할 수 없다.
+- 사유를 남기지 않고 `false` 만 돌려주면 코어가 일반 문구로 대체한다(동작은 그대로).
+- 같은 규칙이 플러그인(`AbstractPlugin`)에도 동일하게 적용된다.
 | `upgrades()` | `[]` | 업그레이드 스텝 (`upgrades/` 디렉토리 자동 발견). **`g7_version >= 7.0.0-beta.5` 인 모듈은 신규 step 이 `AbstractUpgradeStep` 상속 의무** ([upgrade-step-guide §13](upgrade-step-guide.md)) — 미상속 시 `ModuleManager::runUpgradeSteps` 가 `RuntimeException` throw |
 
 #### 동적 권한/역할/메뉴 보존 규칙
diff --git a/lang-packs/_bundled/g7-core-ja/CHANGELOG.md b/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
index 92e813c7..ca13d9d8 100644
--- a/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
+++ b/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
@@ -11,6 +11,10 @@
 - 아웃바운드 프록시 설정의 검증 메시지와 항목명 일본어 번역을 추가했습니다 (`settings.outbound_proxy_*`, `attributes.outbound_proxy*`).
 - 아웃바운드 프록시 연결 테스트 결과 안내 문구의 일본어 번역을 추가했습니다 (`settings.outbound_proxy_test_*`).
 
+### Changed
+
+- 언어팩 관리(조회·설치·활성화·비활성화·제거·업데이트 확인·업데이트·캐시 갱신·manifest 미리보기) 실패 안내에서 오류 원문 노출(`:error`)이 제거된 것에 맞춰, 해당 실패 문구의 일본어 번역을 갱신했습니다 (`language_packs.*_failed`).
+
 ## [1.0.6] - 2026-08-19
 
 ### Changed
diff --git a/lang-packs/_bundled/g7-core-ja/backend/ja/language_packs.php b/lang-packs/_bundled/g7-core-ja/backend/ja/language_packs.php
index cfa7e138..ec9c8cdb 100644
--- a/lang-packs/_bundled/g7-core-ja/backend/ja/language_packs.php
+++ b/lang-packs/_bundled/g7-core-ja/backend/ja/language_packs.php
@@ -2,25 +2,25 @@
 
 return [
     'fetch_success' => '言語パックリストを取得しました。',
-    'fetch_failed' => '言語パックリストを読み込めませんでした: :error',
+    'fetch_failed' => '言語パックリストを読み込めませんでした。',
     'not_found' => '言語パックが見つかりません。',
     'install_success' => '言語パックをインストールしました。',
-    'install_failed' => '言語パックのインストールに失敗しました: :error',
+    'install_failed' => '言語パックのインストールに失敗しました。',
     'activate_success' => '言語パックを有効化しました。',
-    'activate_failed' => '言語パックの有効化に失敗しました: :error',
+    'activate_failed' => '言語パックの有効化に失敗しました。',
     'deactivate_success' => '言語パックを無効化しました。',
-    'deactivate_failed' => '言語パックの無効化に失敗しました: :error',
+    'deactivate_failed' => '言語パックの無効化に失敗しました。',
     'uninstall_success' => '言語パックを削除しました。',
-    'uninstall_failed' => '言語パックの削除に失敗しました: :error',
+    'uninstall_failed' => '言語パックの削除に失敗しました。',
     'manifest_invalid' => 'language-pack.json の検証に失敗しました。',
     'check_updates_success' => 'アップデート確認が完了しました。',
-    'check_updates_failed' => 'アップデート確認に失敗しました: :error',
+    'check_updates_failed' => 'アップデート確認に失敗しました。',
     'update_success' => '言語パックをアップデートしました。',
-    'update_failed' => '言語パックのアップデートに失敗しました: :error',
+    'update_failed' => '言語パックのアップデートに失敗しました。',
     'refresh_cache_success' => '言語パックキャッシュを更新しました。',
-    'refresh_cache_failed' => '言語パックキャッシュの更新に失敗しました: :error',
+    'refresh_cache_failed' => '言語パックキャッシュの更新に失敗しました。',
     'preview_success' => 'manifest プレビューが完了しました。',
-    'preview_failed' => 'manifest プレビューに失敗しました: :error',
+    'preview_failed' => 'manifest プレビューに失敗しました。',
     'errors' => [
         'manifest_not_found' => 'ZIP内に language-pack.json ファイルが見つかりません。',
         'manifest_invalid_json' => 'language-pack.json の JSON 形式が正しくありません。',
diff --git a/lang/en/language_packs.php b/lang/en/language_packs.php
index 674f1dff..c7ae49e7 100644
--- a/lang/en/language_packs.php
+++ b/lang/en/language_packs.php
@@ -2,25 +2,25 @@
 
 return [
     'fetch_success' => 'Language pack list retrieved.',
-    'fetch_failed' => 'Failed to load language pack list: :error',
+    'fetch_failed' => 'Failed to load language pack list.',
     'not_found' => 'Language pack not found.',
     'install_success' => 'Language pack installed.',
-    'install_failed' => 'Failed to install language pack: :error',
+    'install_failed' => 'Failed to install language pack.',
     'activate_success' => 'Language pack activated.',
-    'activate_failed' => 'Failed to activate language pack: :error',
+    'activate_failed' => 'Failed to activate language pack.',
     'deactivate_success' => 'Language pack deactivated.',
-    'deactivate_failed' => 'Failed to deactivate language pack: :error',
+    'deactivate_failed' => 'Failed to deactivate language pack.',
     'uninstall_success' => 'Language pack removed.',
-    'uninstall_failed' => 'Failed to remove language pack: :error',
+    'uninstall_failed' => 'Failed to remove language pack.',
     'manifest_invalid' => 'language-pack.json validation failed.',
     'check_updates_success' => 'Update check completed.',
-    'check_updates_failed' => 'Failed to check updates: :error',
+    'check_updates_failed' => 'Failed to check updates.',
     'update_success' => 'Language pack updated.',
-    'update_failed' => 'Failed to update language pack: :error',
+    'update_failed' => 'Failed to update language pack.',
     'refresh_cache_success' => 'Language pack cache refreshed.',
-    'refresh_cache_failed' => 'Failed to refresh language pack cache: :error',
+    'refresh_cache_failed' => 'Failed to refresh language pack cache.',
     'preview_success' => 'Manifest preview completed.',
-    'preview_failed' => 'Failed to preview manifest: :error',
+    'preview_failed' => 'Failed to preview manifest.',
 
     'errors' => [
         'manifest_not_found' => 'language-pack.json file not found in archive.',
@@ -36,7 +36,7 @@ return [
         'target_version_too_old' => 'Target :scope (":target") version does not satisfy the required constraint (:constraint).',
         'downgrade_blocked' => 'Downgrade blocked (:from → :to).',
         'protected_pack' => 'Protected language packs cannot be deactivated or removed.',
-        'download_failed' => 'Failed to download from URL: :url',
+        'download_failed' => 'Failed to download the language pack from URL (:url): :error',
         'download_url_not_public' => 'Language packs cannot be downloaded from internal network addresses (private IPs, localhost, etc.). Use a publicly reachable https address.',
         'checksum_mismatch' => 'Checksum mismatch.',
         'update_no_source' => 'No update source available (only GitHub-sourced packs can be updated).',
diff --git a/lang/ko/language_packs.php b/lang/ko/language_packs.php
index d5654726..2f815335 100644
--- a/lang/ko/language_packs.php
+++ b/lang/ko/language_packs.php
@@ -2,25 +2,25 @@
 
 return [
     'fetch_success' => '언어팩 목록을 조회했습니다.',
-    'fetch_failed' => '언어팩 목록을 불러오지 못했습니다: :error',
+    'fetch_failed' => '언어팩 목록을 불러오지 못했습니다.',
     'not_found' => '언어팩을 찾을 수 없습니다.',
     'install_success' => '언어팩을 설치했습니다.',
-    'install_failed' => '언어팩 설치에 실패했습니다: :error',
+    'install_failed' => '언어팩 설치에 실패했습니다.',
     'activate_success' => '언어팩을 활성화했습니다.',
-    'activate_failed' => '언어팩 활성화에 실패했습니다: :error',
+    'activate_failed' => '언어팩 활성화에 실패했습니다.',
     'deactivate_success' => '언어팩을 비활성화했습니다.',
-    'deactivate_failed' => '언어팩 비활성화에 실패했습니다: :error',
+    'deactivate_failed' => '언어팩 비활성화에 실패했습니다.',
     'uninstall_success' => '언어팩을 제거했습니다.',
-    'uninstall_failed' => '언어팩 제거에 실패했습니다: :error',
+    'uninstall_failed' => '언어팩 제거에 실패했습니다.',
     'manifest_invalid' => 'language-pack.json 검증에 실패했습니다.',
     'check_updates_success' => '업데이트 확인을 완료했습니다.',
-    'check_updates_failed' => '업데이트 확인에 실패했습니다: :error',
+    'check_updates_failed' => '업데이트 확인에 실패했습니다.',
     'update_success' => '언어팩을 업데이트했습니다.',
-    'update_failed' => '언어팩 업데이트에 실패했습니다: :error',
+    'update_failed' => '언어팩 업데이트에 실패했습니다.',
     'refresh_cache_success' => '언어팩 캐시를 갱신했습니다.',
-    'refresh_cache_failed' => '언어팩 캐시 갱신에 실패했습니다: :error',
+    'refresh_cache_failed' => '언어팩 캐시 갱신에 실패했습니다.',
     'preview_success' => 'manifest 미리보기를 완료했습니다.',
-    'preview_failed' => 'manifest 미리보기에 실패했습니다: :error',
+    'preview_failed' => 'manifest 미리보기에 실패했습니다.',
 
     'errors' => [
         'manifest_not_found' => 'ZIP 안에서 language-pack.json 파일을 찾을 수 없습니다.',
diff --git a/tests/Feature/Api/Admin/ModuleControllerTest.php b/tests/Feature/Api/Admin/ModuleControllerTest.php
index c4179478..114c214c 100644
--- a/tests/Feature/Api/Admin/ModuleControllerTest.php
+++ b/tests/Feature/Api/Admin/ModuleControllerTest.php
@@ -3,11 +3,15 @@
 namespace Tests\Feature\Api\Admin;
 
 use App\Enums\ExtensionOwnerType;
+use App\Enums\PermissionType;
+use App\Exceptions\ModuleOperationException;
 use App\Models\Permission;
 use App\Models\Role;
 use App\Models\User;
+use App\Services\ModuleService;
 use Illuminate\Foundation\Testing\RefreshDatabase;
 use Illuminate\Http\UploadedFile;
+use Illuminate\Support\Facades\File;
 use Illuminate\Support\Facades\Storage;
 use Tests\TestCase;
 
@@ -54,7 +58,7 @@ class ModuleControllerTest extends TestCase
                     'description' => json_encode(['ko' => $permIdentifier.' 권한', 'en' => $permIdentifier.' Permission']),
                     'extension_type' => ExtensionOwnerType::Core,
                     'extension_identifier' => 'core',
-                    'type' => \App\Enums\PermissionType::Admin,
+                    'type' => PermissionType::Admin,
                 ]
             );
             $permissionIds[] = $permission->id;
@@ -498,7 +502,7 @@ class ModuleControllerTest extends TestCase
      */
     public function test_install_from_file_succeeds_with_valid_zip(): void
     {
-        $moduleServiceMock = \Mockery::mock(\App\Services\ModuleService::class);
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
         $moduleServiceMock->shouldReceive('installFromZipFile')
             ->once()
             ->andReturn([
@@ -506,7 +510,7 @@ class ModuleControllerTest extends TestCase
                 'name' => 'Test Module',
                 'version' => '1.0.0',
             ]);
-        $this->app->instance(\App\Services\ModuleService::class, $moduleServiceMock);
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
 
         $file = UploadedFile::fake()->create('module.zip', 100, 'application/zip');
 
@@ -520,15 +524,20 @@ class ModuleControllerTest extends TestCase
     }
 
     /**
-     * ModuleService에서 RuntimeException 발생 시 422 반환
+     * ModuleService에서 도메인 예외 발생 시 422 반환 + 키가 해석된 문구
+     *
+     * 종전에는 raw `\RuntimeException` 이 이미 번역된 문장을 들고 오는 것을 컨트롤러가
+     * 메시지 **키** 자리로 넘겨 그대로 내보냈다. 키 해석에 실패한 원문이 나가는 형태라
+     * 계약 테스트가 이 지점을 위반으로 등재해 두고 있었다. 이제 도메인 실패는 키와
+     * 파라미터를 들고 다니는 예외로 오고, 컨트롤러가 그 키를 해석해 내보낸다.
      */
-    public function test_install_from_file_returns_422_on_runtime_exception(): void
+    public function test_install_from_file_returns_422_on_domain_exception(): void
     {
-        $moduleServiceMock = \Mockery::mock(\App\Services\ModuleService::class);
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
         $moduleServiceMock->shouldReceive('installFromZipFile')
             ->once()
-            ->andThrow(new \RuntimeException('module.json을 찾을 수 없습니다.'));
-        $this->app->instance(\App\Services\ModuleService::class, $moduleServiceMock);
+            ->andThrow(new ModuleOperationException('modules.errors.module_json_not_found'));
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
 
         $file = UploadedFile::fake()->create('module.zip', 100, 'application/zip');
 
@@ -537,7 +546,27 @@ class ModuleControllerTest extends TestCase
         ]);
 
         $response->assertStatus(422);
-        $response->assertJsonPath('message', 'module.json을 찾을 수 없습니다.');
+        $response->assertJsonPath('message', __('modules.errors.module_json_not_found'));
+    }
+
+    /**
+     * 도메인 예외가 아닌 raw RuntimeException 은 500 (인프라 장애를 입력 오류로 위장하지 않는다)
+     */
+    public function test_install_from_file_returns_500_on_raw_runtime_exception(): void
+    {
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
+        $moduleServiceMock->shouldReceive('installFromZipFile')
+            ->once()
+            ->andThrow(new \RuntimeException('disk full'));
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
+
+        $file = UploadedFile::fake()->create('module.zip', 100, 'application/zip');
+
+        $response = $this->authRequest()->postJson('/api/admin/modules/install-from-file', [
+            'file' => $file,
+        ]);
+
+        $response->assertStatus(500);
     }
 
     /**
@@ -545,11 +574,11 @@ class ModuleControllerTest extends TestCase
      */
     public function test_install_from_file_returns_500_on_general_exception(): void
     {
-        $moduleServiceMock = \Mockery::mock(\App\Services\ModuleService::class);
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
         $moduleServiceMock->shouldReceive('installFromZipFile')
             ->once()
             ->andThrow(new \Exception('예상치 못한 오류'));
-        $this->app->instance(\App\Services\ModuleService::class, $moduleServiceMock);
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
 
         $file = UploadedFile::fake()->create('module.zip', 100, 'application/zip');
 
@@ -569,7 +598,7 @@ class ModuleControllerTest extends TestCase
      */
     public function test_install_from_github_calls_service_with_valid_url(): void
     {
-        $moduleServiceMock = \Mockery::mock(\App\Services\ModuleService::class);
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
         $moduleServiceMock->shouldReceive('installFromGithub')
             ->once()
             ->with('https://github.com/sirsoft/sample-module')
@@ -578,7 +607,7 @@ class ModuleControllerTest extends TestCase
                 'name' => 'Sample Module',
                 'version' => '1.0.0',
             ]);
-        $this->app->instance(\App\Services\ModuleService::class, $moduleServiceMock);
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
 
         $response = $this->authRequest()->postJson('/api/admin/modules/install-from-github', [
             'github_url' => 'https://github.com/sirsoft/sample-module',
@@ -592,20 +621,20 @@ class ModuleControllerTest extends TestCase
     /**
      * ModuleService에서 RuntimeException 발생 시 422 반환 (GitHub)
      */
-    public function test_install_from_github_returns_422_on_runtime_exception(): void
+    public function test_install_from_github_returns_422_on_domain_exception(): void
     {
-        $moduleServiceMock = \Mockery::mock(\App\Services\ModuleService::class);
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
         $moduleServiceMock->shouldReceive('installFromGithub')
             ->once()
-            ->andThrow(new \RuntimeException('GitHub 저장소를 찾을 수 없습니다.'));
-        $this->app->instance(\App\Services\ModuleService::class, $moduleServiceMock);
+            ->andThrow(new ModuleOperationException('modules.errors.github_repo_not_found'));
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
 
         $response = $this->authRequest()->postJson('/api/admin/modules/install-from-github', [
             'github_url' => 'https://github.com/sirsoft/sample-module',
         ]);
 
         $response->assertStatus(422);
-        $response->assertJsonPath('message', 'GitHub 저장소를 찾을 수 없습니다.');
+        $response->assertJsonPath('message', __('modules.errors.github_repo_not_found'));
     }
 
     /**
@@ -613,11 +642,11 @@ class ModuleControllerTest extends TestCase
      */
     public function test_install_from_github_returns_500_on_general_exception(): void
     {
-        $moduleServiceMock = \Mockery::mock(\App\Services\ModuleService::class);
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
         $moduleServiceMock->shouldReceive('installFromGithub')
             ->once()
             ->andThrow(new \Exception('예상치 못한 오류'));
-        $this->app->instance(\App\Services\ModuleService::class, $moduleServiceMock);
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
 
         $response = $this->authRequest()->postJson('/api/admin/modules/install-from-github', [
             'github_url' => 'https://github.com/sirsoft/sample-module',
@@ -682,7 +711,7 @@ class ModuleControllerTest extends TestCase
     public function test_activate_returns_409_when_dependencies_not_met(): void
     {
         // Arrange: ModuleService를 Mock
-        $moduleServiceMock = \Mockery::mock(\App\Services\ModuleService::class);
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
         $moduleServiceMock->shouldReceive('activateModule')
             ->with('test-module', false)
             ->andReturn([
@@ -696,7 +725,7 @@ class ModuleControllerTest extends TestCase
                 ],
                 'message' => '이 모듈을 활성화하려면 필요한 의존성이 충족되어야 합니다.',
             ]);
-        $this->app->instance(\App\Services\ModuleService::class, $moduleServiceMock);
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
 
         // Act
         $response = $this->authRequest()->postJson('/api/admin/modules/activate', [
@@ -731,7 +760,7 @@ class ModuleControllerTest extends TestCase
     public function test_activate_with_force_bypasses_dependency_check(): void
     {
         // Arrange: ModuleService를 Mock
-        $moduleServiceMock = \Mockery::mock(\App\Services\ModuleService::class);
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
         $moduleServiceMock->shouldReceive('activateModule')
             ->with('test-module', true)
             ->andReturn([
@@ -742,7 +771,7 @@ class ModuleControllerTest extends TestCase
                     'status' => 'active',
                 ],
             ]);
-        $this->app->instance(\App\Services\ModuleService::class, $moduleServiceMock);
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
 
         // Act
         $response = $this->authRequest()->postJson('/api/admin/modules/activate', [
@@ -761,7 +790,7 @@ class ModuleControllerTest extends TestCase
     public function test_deactivate_returns_409_when_dependents_exist(): void
     {
         // Arrange: ModuleService를 Mock
-        $moduleServiceMock = \Mockery::mock(\App\Services\ModuleService::class);
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
         $moduleServiceMock->shouldReceive('deactivateModule')
             ->with('test-module', false)
             ->andReturn([
@@ -774,7 +803,7 @@ class ModuleControllerTest extends TestCase
                 'dependent_plugins' => [],
                 'message' => '이 모듈에 의존하는 활성화된 확장이 있습니다.',
             ]);
-        $this->app->instance(\App\Services\ModuleService::class, $moduleServiceMock);
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
 
         // Act
         $response = $this->authRequest()->postJson('/api/admin/modules/deactivate', [
@@ -801,7 +830,7 @@ class ModuleControllerTest extends TestCase
     public function test_deactivate_with_force_bypasses_dependent_check(): void
     {
         // Arrange: ModuleService를 Mock
-        $moduleServiceMock = \Mockery::mock(\App\Services\ModuleService::class);
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
         $moduleServiceMock->shouldReceive('deactivateModule')
             ->with('test-module', true)
             ->andReturn([
@@ -812,7 +841,7 @@ class ModuleControllerTest extends TestCase
                     'status' => 'inactive',
                 ],
             ]);
-        $this->app->instance(\App\Services\ModuleService::class, $moduleServiceMock);
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
 
         // Act
         $response = $this->authRequest()->postJson('/api/admin/modules/deactivate', [
@@ -835,7 +864,7 @@ class ModuleControllerTest extends TestCase
     public function test_activate_response_includes_assets_when_module_has_assets(): void
     {
         // Arrange: ModuleService를 Mock
-        $moduleServiceMock = \Mockery::mock(\App\Services\ModuleService::class);
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
         $moduleServiceMock->shouldReceive('activateModule')
             ->with('test-module', false)
             ->andReturn([
@@ -851,7 +880,7 @@ class ModuleControllerTest extends TestCase
                     ],
                 ],
             ]);
-        $this->app->instance(\App\Services\ModuleService::class, $moduleServiceMock);
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
 
         // Act
         $response = $this->authRequest()->postJson('/api/admin/modules/activate', [
@@ -872,7 +901,7 @@ class ModuleControllerTest extends TestCase
     public function test_deactivate_response_includes_assets_when_module_has_assets(): void
     {
         // Arrange: ModuleService를 Mock
-        $moduleServiceMock = \Mockery::mock(\App\Services\ModuleService::class);
+        $moduleServiceMock = \Mockery::mock(ModuleService::class);
         $moduleServiceMock->shouldReceive('deactivateModule')
             ->with('test-module', false)
             ->andReturn([
@@ -888,7 +917,7 @@ class ModuleControllerTest extends TestCase
                     ],
                 ],
             ]);
-        $this->app->instance(\App\Services\ModuleService::class, $moduleServiceMock);
+        $this->app->instance(ModuleService::class, $moduleServiceMock);
 
         // Act
         $response = $this->authRequest()->postJson('/api/admin/modules/deactivate', [
@@ -913,8 +942,8 @@ class ModuleControllerTest extends TestCase
     {
         // Arrange: 테스트용 CHANGELOG.md 생성
         $modulePath = base_path('modules/test-changelog-mod');
-        \Illuminate\Support\Facades\File::ensureDirectoryExists($modulePath);
-        \Illuminate\Support\Facades\File::put($modulePath.'/CHANGELOG.md', "# Changelog\n\n## [0.1.1] - 2026-02-25\n\n### Added\n- 새 기능\n\n## [0.1.0] - 2026-02-20\n\n### Added\n- 초기 릴리스\n");
+        File::ensureDirectoryExists($modulePath);
+        File::put($modulePath.'/CHANGELOG.md', "# Changelog\n\n## [0.1.1] - 2026-02-25\n\n### Added\n- 새 기능\n\n## [0.1.0] - 2026-02-20\n\n### Added\n- 초기 릴리스\n");
 
         try {
             $response = $this->authRequest()->getJson('/api/admin/modules/test-changelog-mod/changelog');
@@ -924,7 +953,7 @@ class ModuleControllerTest extends TestCase
                 ->assertJsonPath('data.changelog.0.categories.0.name', 'Added')
                 ->assertJsonPath('data.changelog.1.version', '0.1.0');
         } finally {
-            \Illuminate\Support\Facades\File::deleteDirectory($modulePath);
+            File::deleteDirectory($modulePath);
         }
     }
 
@@ -945,8 +974,8 @@ class ModuleControllerTest extends TestCase
     public function test_changelog_with_version_range(): void
     {
         $modulePath = base_path('modules/test-changelog-range');
-        \Illuminate\Support\Facades\File::ensureDirectoryExists($modulePath);
-        \Illuminate\Support\Facades\File::put($modulePath.'/CHANGELOG.md', "# Changelog\n\n## [0.1.2] - 2026-02-28\n\n### Added\n- 기능 C\n\n## [0.1.1] - 2026-02-25\n\n### Added\n- 기능 B\n\n## [0.1.0] - 2026-02-20\n\n### Added\n- 초기 릴리스\n");
+        File::ensureDirectoryExists($modulePath);
+        File::put($modulePath.'/CHANGELOG.md', "# Changelog\n\n## [0.1.2] - 2026-02-28\n\n### Added\n- 기능 C\n\n## [0.1.1] - 2026-02-25\n\n### Added\n- 기능 B\n\n## [0.1.0] - 2026-02-20\n\n### Added\n- 초기 릴리스\n");
 
         try {
             $response = $this->authRequest()->getJson('/api/admin/modules/test-changelog-range/changelog?from_version=0.1.0&to_version=0.1.2');
@@ -957,7 +986,7 @@ class ModuleControllerTest extends TestCase
             $this->assertSame('0.1.2', $changelog[0]['version']);
             $this->assertSame('0.1.1', $changelog[1]['version']);
         } finally {
-            \Illuminate\Support\Facades\File::deleteDirectory($modulePath);
+            File::deleteDirectory($modulePath);
         }
     }
 
@@ -980,8 +1009,8 @@ class ModuleControllerTest extends TestCase
     public function test_license_returns_content(): void
     {
         $modulePath = base_path('modules/test-license-mod');
-        \Illuminate\Support\Facades\File::ensureDirectoryExists($modulePath);
-        \Illuminate\Support\Facades\File::put($modulePath.'/LICENSE', 'MIT License - Test');
+        File::ensureDirectoryExists($modulePath);
+        File::put($modulePath.'/LICENSE', 'MIT License - Test');
 
         try {
             $response = $this->authRequest()->getJson('/api/admin/modules/test-license-mod/license');
@@ -989,7 +1018,7 @@ class ModuleControllerTest extends TestCase
             $response->assertStatus(200)
                 ->assertJsonPath('data.content', 'MIT License - Test');
         } finally {
-            \Illuminate\Support\Facades\File::deleteDirectory($modulePath);
+            File::deleteDirectory($modulePath);
         }
     }
 
diff --git a/tests/Feature/Api/Admin/PluginControllerTest.php b/tests/Feature/Api/Admin/PluginControllerTest.php
index 4aeeece4..ed9dc95a 100644
--- a/tests/Feature/Api/Admin/PluginControllerTest.php
+++ b/tests/Feature/Api/Admin/PluginControllerTest.php
@@ -3,11 +3,15 @@
 namespace Tests\Feature\Api\Admin;
 
 use App\Enums\ExtensionOwnerType;
+use App\Enums\PermissionType;
+use App\Exceptions\PluginOperationException;
 use App\Models\Permission;
 use App\Models\Role;
 use App\Models\User;
+use App\Services\PluginService;
 use Illuminate\Foundation\Testing\RefreshDatabase;
 use Illuminate\Http\UploadedFile;
+use Illuminate\Support\Facades\File;
 use Illuminate\Support\Facades\Storage;
 use Tests\TestCase;
 
@@ -51,7 +55,7 @@ class PluginControllerTest extends TestCase
                     'description' => json_encode(['ko' => $permIdentifier.' 권한', 'en' => $permIdentifier.' Permission']),
                     'extension_type' => ExtensionOwnerType::Core,
                     'extension_identifier' => 'core',
-                    'type' => \App\Enums\PermissionType::Admin,
+                    'type' => PermissionType::Admin,
                 ]
             );
             $permissionIds[] = $permission->id;
@@ -423,7 +427,7 @@ class PluginControllerTest extends TestCase
     public function test_activate_returns_409_when_dependencies_not_met(): void
     {
         // Arrange: PluginService를 Mock
-        $pluginServiceMock = \Mockery::mock(\App\Services\PluginService::class);
+        $pluginServiceMock = \Mockery::mock(PluginService::class);
         $pluginServiceMock->shouldReceive('activatePlugin')
             ->with('test-plugin', false)
             ->andReturn([
@@ -437,7 +441,7 @@ class PluginControllerTest extends TestCase
                 ],
                 'message' => '플러그인 활성화를 위해 필요한 의존성이 충족되지 않았습니다.',
             ]);
-        $this->app->instance(\App\Services\PluginService::class, $pluginServiceMock);
+        $this->app->instance(PluginService::class, $pluginServiceMock);
 
         // Act
         $response = $this->authRequest()->postJson('/api/admin/plugins/activate', [
@@ -472,7 +476,7 @@ class PluginControllerTest extends TestCase
     public function test_activate_with_force_bypasses_dependency_check(): void
     {
         // Arrange: PluginService를 Mock
-        $pluginServiceMock = \Mockery::mock(\App\Services\PluginService::class);
+        $pluginServiceMock = \Mockery::mock(PluginService::class);
         $pluginServiceMock->shouldReceive('activatePlugin')
             ->with('test-plugin', true)
             ->andReturn([
@@ -483,7 +487,7 @@ class PluginControllerTest extends TestCase
                     'status' => 'active',
                 ],
             ]);
-        $this->app->instance(\App\Services\PluginService::class, $pluginServiceMock);
+        $this->app->instance(PluginService::class, $pluginServiceMock);
 
         // Act
         $response = $this->authRequest()->postJson('/api/admin/plugins/activate', [
@@ -502,7 +506,7 @@ class PluginControllerTest extends TestCase
     public function test_deactivate_returns_409_when_dependents_exist(): void
     {
         // Arrange: PluginService를 Mock
-        $pluginServiceMock = \Mockery::mock(\App\Services\PluginService::class);
+        $pluginServiceMock = \Mockery::mock(PluginService::class);
         $pluginServiceMock->shouldReceive('deactivatePlugin')
             ->with('test-plugin', false)
             ->andReturn([
@@ -517,7 +521,7 @@ class PluginControllerTest extends TestCase
                 ],
                 'message' => '이 플러그인에 의존하는 활성화된 확장이 있습니다.',
             ]);
-        $this->app->instance(\App\Services\PluginService::class, $pluginServiceMock);
+        $this->app->instance(PluginService::class, $pluginServiceMock);
 
         // Act
         $response = $this->authRequest()->postJson('/api/admin/plugins/deactivate', [
@@ -545,7 +549,7 @@ class PluginControllerTest extends TestCase
     public function test_deactivate_with_force_bypasses_dependent_check(): void
     {
         // Arrange: PluginService를 Mock
-        $pluginServiceMock = \Mockery::mock(\App\Services\PluginService::class);
+        $pluginServiceMock = \Mockery::mock(PluginService::class);
         $pluginServiceMock->shouldReceive('deactivatePlugin')
             ->with('test-plugin', true)
             ->andReturn([
@@ -556,7 +560,7 @@ class PluginControllerTest extends TestCase
                     'status' => 'inactive',
                 ],
             ]);
-        $this->app->instance(\App\Services\PluginService::class, $pluginServiceMock);
+        $this->app->instance(PluginService::class, $pluginServiceMock);
 
         // Act
         $response = $this->authRequest()->postJson('/api/admin/plugins/deactivate', [
@@ -579,7 +583,7 @@ class PluginControllerTest extends TestCase
     public function test_activate_response_includes_assets_when_plugin_has_assets(): void
     {
         // Arrange: PluginService를 Mock
-        $pluginServiceMock = \Mockery::mock(\App\Services\PluginService::class);
+        $pluginServiceMock = \Mockery::mock(PluginService::class);
         $pluginServiceMock->shouldReceive('activatePlugin')
             ->with('test-plugin', false)
             ->andReturn([
@@ -595,7 +599,7 @@ class PluginControllerTest extends TestCase
                     ],
                 ],
             ]);
-        $this->app->instance(\App\Services\PluginService::class, $pluginServiceMock);
+        $this->app->instance(PluginService::class, $pluginServiceMock);
 
         // Act
         $response = $this->authRequest()->postJson('/api/admin/plugins/activate', [
@@ -616,7 +620,7 @@ class PluginControllerTest extends TestCase
     public function test_deactivate_response_includes_assets_when_plugin_has_assets(): void
     {
         // Arrange: PluginService를 Mock
-        $pluginServiceMock = \Mockery::mock(\App\Services\PluginService::class);
+        $pluginServiceMock = \Mockery::mock(PluginService::class);
         $pluginServiceMock->shouldReceive('deactivatePlugin')
             ->with('test-plugin', false)
             ->andReturn([
@@ -632,7 +636,7 @@ class PluginControllerTest extends TestCase
                     ],
                 ],
             ]);
-        $this->app->instance(\App\Services\PluginService::class, $pluginServiceMock);
+        $this->app->instance(PluginService::class, $pluginServiceMock);
 
         // Act
         $response = $this->authRequest()->postJson('/api/admin/plugins/deactivate', [
@@ -656,8 +660,8 @@ class PluginControllerTest extends TestCase
     public function test_changelog_returns_parsed_entries(): void
     {
         $pluginPath = base_path('plugins/test-changelog-plg');
-        \Illuminate\Support\Facades\File::ensureDirectoryExists($pluginPath);
-        \Illuminate\Support\Facades\File::put($pluginPath.'/CHANGELOG.md', "# Changelog\n\n## [0.1.1] - 2026-02-25\n\n### Fixed\n- 버그 수정\n");
+        File::ensureDirectoryExists($pluginPath);
+        File::put($pluginPath.'/CHANGELOG.md', "# Changelog\n\n## [0.1.1] - 2026-02-25\n\n### Fixed\n- 버그 수정\n");
 
         try {
             $response = $this->authRequest()->getJson('/api/admin/plugins/test-changelog-plg/changelog');
@@ -666,7 +670,7 @@ class PluginControllerTest extends TestCase
                 ->assertJsonPath('data.changelog.0.version', '0.1.1')
                 ->assertJsonPath('data.changelog.0.categories.0.name', 'Fixed');
         } finally {
-            \Illuminate\Support\Facades\File::deleteDirectory($pluginPath);
+            File::deleteDirectory($pluginPath);
         }
     }
 
@@ -817,7 +821,7 @@ class PluginControllerTest extends TestCase
      */
     public function test_install_from_file_calls_service_with_valid_zip(): void
     {
-        $pluginServiceMock = \Mockery::mock(\App\Services\PluginService::class);
+        $pluginServiceMock = \Mockery::mock(PluginService::class);
         $pluginServiceMock->shouldReceive('installFromZipFile')
             ->once()
             ->andReturn([
@@ -825,7 +829,7 @@ class PluginControllerTest extends TestCase
                 'name' => 'Test Plugin',
                 'version' => '1.0.0',
             ]);
-        $this->app->instance(\App\Services\PluginService::class, $pluginServiceMock);
+        $this->app->instance(PluginService::class, $pluginServiceMock);
 
         $file = UploadedFile::fake()->create('plugin.zip', 100, 'application/zip');
 
@@ -841,13 +845,13 @@ class PluginControllerTest extends TestCase
     /**
      * PluginService에서 RuntimeException 발생 시 422 반환
      */
-    public function test_install_from_file_returns_422_on_runtime_exception(): void
+    public function test_install_from_file_returns_422_on_domain_exception(): void
     {
-        $pluginServiceMock = \Mockery::mock(\App\Services\PluginService::class);
+        $pluginServiceMock = \Mockery::mock(PluginService::class);
         $pluginServiceMock->shouldReceive('installFromZipFile')
             ->once()
-            ->andThrow(new \RuntimeException('plugin.json을 찾을 수 없습니다.'));
-        $this->app->instance(\App\Services\PluginService::class, $pluginServiceMock);
+            ->andThrow(new PluginOperationException('plugins.errors.plugin_json_not_found'));
+        $this->app->instance(PluginService::class, $pluginServiceMock);
 
         $file = UploadedFile::fake()->create('plugin.zip', 100, 'application/zip');
 
@@ -856,7 +860,7 @@ class PluginControllerTest extends TestCase
         ]);
 
         $response->assertStatus(422);
-        $response->assertJsonPath('message', 'plugin.json을 찾을 수 없습니다.');
+        $response->assertJsonPath('message', __('plugins.errors.plugin_json_not_found'));
     }
 
     /**
@@ -864,11 +868,11 @@ class PluginControllerTest extends TestCase
      */
     public function test_install_from_file_returns_500_on_general_exception(): void
     {
-        $pluginServiceMock = \Mockery::mock(\App\Services\PluginService::class);
+        $pluginServiceMock = \Mockery::mock(PluginService::class);
         $pluginServiceMock->shouldReceive('installFromZipFile')
             ->once()
             ->andThrow(new \Exception('예상치 못한 오류'));
-        $this->app->instance(\App\Services\PluginService::class, $pluginServiceMock);
+        $this->app->instance(PluginService::class, $pluginServiceMock);
 
         $file = UploadedFile::fake()->create('plugin.zip', 100, 'application/zip');
 
@@ -970,7 +974,7 @@ class PluginControllerTest extends TestCase
      */
     public function test_install_from_github_calls_service_with_valid_url(): void
     {
-        $pluginServiceMock = \Mockery::mock(\App\Services\PluginService::class);
+        $pluginServiceMock = \Mockery::mock(PluginService::class);
         $pluginServiceMock->shouldReceive('installFromGithub')
             ->once()
             ->with('https://github.com/sirsoft/sample-plugin')
@@ -979,7 +983,7 @@ class PluginControllerTest extends TestCase
                 'name' => 'Sample Plugin',
                 'version' => '1.0.0',
             ]);
-        $this->app->instance(\App\Services\PluginService::class, $pluginServiceMock);
+        $this->app->instance(PluginService::class, $pluginServiceMock);
 
         $response = $this->authRequest()->postJson('/api/admin/plugins/install-from-github', [
             'github_url' => 'https://github.com/sirsoft/sample-plugin',
@@ -993,20 +997,20 @@ class PluginControllerTest extends TestCase
     /**
      * PluginService에서 RuntimeException 발생 시 422 반환
      */
-    public function test_install_from_github_returns_422_on_runtime_exception(): void
+    public function test_install_from_github_returns_422_on_domain_exception(): void
     {
-        $pluginServiceMock = \Mockery::mock(\App\Services\PluginService::class);
+        $pluginServiceMock = \Mockery::mock(PluginService::class);
         $pluginServiceMock->shouldReceive('installFromGithub')
             ->once()
-            ->andThrow(new \RuntimeException('GitHub 저장소를 다운로드할 수 없습니다.'));
-        $this->app->instance(\App\Services\PluginService::class, $pluginServiceMock);
+            ->andThrow(new PluginOperationException('plugins.errors.github_repo_not_found'));
+        $this->app->instance(PluginService::class, $pluginServiceMock);
 
         $response = $this->authRequest()->postJson('/api/admin/plugins/install-from-github', [
             'github_url' => 'https://github.com/sirsoft/sample-plugin',
         ]);
 
         $response->assertStatus(422);
-        $response->assertJsonPath('message', 'GitHub 저장소를 다운로드할 수 없습니다.');
+        $response->assertJsonPath('message', __('plugins.errors.github_repo_not_found'));
     }
 
     /**
@@ -1014,11 +1018,11 @@ class PluginControllerTest extends TestCase
      */
     public function test_install_from_github_returns_500_on_general_exception(): void
     {
-        $pluginServiceMock = \Mockery::mock(\App\Services\PluginService::class);
+        $pluginServiceMock = \Mockery::mock(PluginService::class);
         $pluginServiceMock->shouldReceive('installFromGithub')
             ->once()
             ->andThrow(new \Exception('예상치 못한 오류'));
-        $this->app->instance(\App\Services\PluginService::class, $pluginServiceMock);
+        $this->app->instance(PluginService::class, $pluginServiceMock);
 
         $response = $this->authRequest()->postJson('/api/admin/plugins/install-from-github', [
             'github_url' => 'https://github.com/sirsoft/sample-plugin',
diff --git a/tests/Feature/Api/Admin/TemplateControllerTest.php b/tests/Feature/Api/Admin/TemplateControllerTest.php
index a18dcce2..b9d9ee47 100644
--- a/tests/Feature/Api/Admin/TemplateControllerTest.php
+++ b/tests/Feature/Api/Admin/TemplateControllerTest.php
@@ -4,6 +4,7 @@ namespace Tests\Feature\Api\Admin;
 
 use App\Contracts\Extension\TemplateManagerInterface;
 use App\Enums\ExtensionOwnerType;
+use App\Exceptions\TemplateOperationException;
 use App\Models\Permission;
 use App\Models\Role;
 use App\Models\Template;
@@ -1024,12 +1025,12 @@ class TemplateControllerTest extends TestCase
     /**
      * TemplateService에서 RuntimeException 발생 시 422 반환
      */
-    public function test_install_from_file_returns_422_on_runtime_exception(): void
+    public function test_install_from_file_returns_422_on_domain_exception(): void
     {
         $templateServiceMock = Mockery::mock(TemplateService::class);
         $templateServiceMock->shouldReceive('installFromZipFile')
             ->once()
-            ->andThrow(new \RuntimeException('template.json을 찾을 수 없습니다.'));
+            ->andThrow(new TemplateOperationException('templates.errors.template_json_not_found'));
         $this->app->instance(TemplateService::class, $templateServiceMock);
 
         $file = UploadedFile::fake()->create('template.zip', 100, 'application/zip');
@@ -1039,7 +1040,7 @@ class TemplateControllerTest extends TestCase
         ]);
 
         $response->assertStatus(422);
-        $response->assertJsonPath('message', 'template.json을 찾을 수 없습니다.');
+        $response->assertJsonPath('message', __('templates.errors.template_json_not_found'));
     }
 
     /**
@@ -1094,12 +1095,12 @@ class TemplateControllerTest extends TestCase
     /**
      * TemplateService에서 RuntimeException 발생 시 422 반환 (GitHub)
      */
-    public function test_install_from_github_returns_422_on_runtime_exception(): void
+    public function test_install_from_github_returns_422_on_domain_exception(): void
     {
         $templateServiceMock = Mockery::mock(TemplateService::class);
         $templateServiceMock->shouldReceive('installFromGithub')
             ->once()
-            ->andThrow(new \RuntimeException('GitHub 저장소를 찾을 수 없습니다.'));
+            ->andThrow(new TemplateOperationException('templates.errors.github_repo_not_found'));
         $this->app->instance(TemplateService::class, $templateServiceMock);
 
         $response = $this->authRequest()->postJson('/api/admin/templates/install-from-github', [
@@ -1107,7 +1108,7 @@ class TemplateControllerTest extends TestCase
         ]);
 
         $response->assertStatus(422);
-        $response->assertJsonPath('message', 'GitHub 저장소를 찾을 수 없습니다.');
+        $response->assertJsonPath('message', __('templates.errors.github_repo_not_found'));
     }
 
     /**
diff --git a/tests/Feature/Extension/ExtensionRouteActiveGateTest.php b/tests/Feature/Extension/ExtensionRouteActiveGateTest.php
new file mode 100644
index 00000000..784b638a
--- /dev/null
+++ b/tests/Feature/Extension/ExtensionRouteActiveGateTest.php
@@ -0,0 +1,256 @@
+<?php
+
+namespace Tests\Feature\Extension;
+
+use App\Enums\ExtensionStatus;
+use App\Extension\ModuleManager;
+use App\Extension\PluginManager;
+use App\Providers\ModuleRouteServiceProvider;
+use App\Providers\PluginRouteServiceProvider;
+use Illuminate\Foundation\Testing\RefreshDatabase;
+use Illuminate\Routing\Router;
+use Illuminate\Support\Facades\DB;
+use Illuminate\Support\Facades\Facade;
+use PHPUnit\Framework\Attributes\Test;
+use ReflectionClass;
+use Tests\TestCase;
+
+/**
+ * 확장 라우트가 "활성 상태" 로 게이트되는지에 대한 회귀 테스트.
+ *
+ * 확장을 비활성화하면 화면·메뉴·프론트엔드 에셋은 사라지지만, 라우트 등록이 게이트되지
+ * 않으면 그 확장의 API 는 계속 호출 가능한 상태로 남는다. 컨트롤러 파일이 그대로 있으므로
+ * 요청은 정상 처리되고, 오류도 로그도 남지 않는다 — 화면만 보고는 알 수 없다.
+ *
+ * 모듈 쪽에는 이 게이트가 있었으나 플러그인 쪽에는 처음부터 없었다(도입된 적 없음).
+ * 두 경로가 같은 기준을 쓰는지 실제 라우트 등록 결과로 확인한다.
+ */
+class ExtensionRouteActiveGateTest extends TestCase
+{
+    use RefreshDatabase;
+
+    /** @var array<int, string> 이 테스트가 라우트 등록까지 확인할 확장 */
+    protected array $requiredExtensions = ['plugins/sirsoft-gdpr', 'modules/sirsoft-page'];
+
+    /** @var Router|null 교체 전 원본 라우터 */
+    private ?Router $originalRouter = null;
+
+    protected function tearDown(): void
+    {
+        $this->restoreRouter();
+
+        parent::tearDown();
+    }
+
+    #[Test]
+    public function 비활성_플러그인의_라우트는_등록되지_않는다(): void
+    {
+        $this->seedPlugin('sirsoft-gdpr', ExtensionStatus::Active);
+        PluginManager::invalidatePluginStatusCache();
+
+        $active = $this->registerPluginRoutes();
+
+        $this->assertNotEmpty(
+            $this->urisFor($active, 'api/plugins/sirsoft-gdpr'),
+            '활성 플러그인의 라우트가 등록되지 않았다 — 판정기 모집단이 비어 아래 단언이 무의미해진다'
+        );
+
+        $this->seedPlugin('sirsoft-gdpr', ExtensionStatus::Inactive);
+        PluginManager::invalidatePluginStatusCache();
+
+        $inactive = $this->registerPluginRoutes();
+
+        $this->assertSame(
+            [],
+            $this->urisFor($inactive, 'api/plugins/sirsoft-gdpr'),
+            '비활성 플러그인의 라우트가 등록됐다 — 화면·메뉴만 사라지고 API 는 계속 호출 가능한 상태가 된다'
+        );
+    }
+
+    #[Test]
+    public function 비활성_모듈의_라우트는_등록되지_않는다(): void
+    {
+        $this->seedModule('sirsoft-page', ExtensionStatus::Active);
+        ModuleManager::invalidateModuleStatusCache();
+
+        $active = $this->registerModuleRoutes();
+
+        $this->assertNotEmpty(
+            $this->urisFor($active, 'api/modules/sirsoft-page'),
+            '활성 모듈의 라우트가 등록되지 않았다 — 판정기 모집단이 비어 아래 단언이 무의미해진다'
+        );
+
+        $this->seedModule('sirsoft-page', ExtensionStatus::Inactive);
+        ModuleManager::invalidateModuleStatusCache();
+
+        $inactive = $this->registerModuleRoutes();
+
+        $this->assertSame(
+            [],
+            $this->urisFor($inactive, 'api/modules/sirsoft-page'),
+            '비활성 모듈의 라우트가 등록됐다'
+        );
+    }
+
+    #[Test]
+    public function 두_라우트_프로바이더가_같은_활성_게이트를_쓴다(): void
+    {
+        // 한쪽에만 게이트가 있으면 그 비대칭은 오류가 아니라 "조용히 열린 경로" 로만
+        // 나타난다. 소스에서 게이트 존재를 함께 확인해, 한쪽만 제거되는 회귀를 막는다.
+        $cases = [
+            ModuleRouteServiceProvider::class => 'getActiveModuleIdentifiers',
+            PluginRouteServiceProvider::class => 'getActivePluginIdentifiers',
+        ];
+
+        foreach ($cases as $class => $resolver) {
+            $source = file_get_contents((new ReflectionClass($class))->getFileName());
+
+            $this->assertStringContainsString(
+                'self::'.$resolver.'()',
+                $source,
+                $class.' 가 활성 확장 목록을 조회하지 않는다'
+            );
+
+            $this->assertMatchesRegularExpression(
+                '/if \(! in_array\(\$\w+, \$active\w+\)\) \{\s*continue;/',
+                $source,
+                $class.' 가 활성 목록으로 라우트 등록을 게이트하지 않는다 — '
+                .'비활성 확장의 API 가 계속 호출 가능해진다'
+            );
+        }
+    }
+
+    /**
+     * 플러그인 라우트를 격리된 라우터에 등록하고 그 라우터를 반환합니다.
+     *
+     * @return Router 등록 결과가 담긴 라우터
+     */
+    private function registerPluginRoutes(): Router
+    {
+        return $this->registerRoutesWith(PluginRouteServiceProvider::class, 'loadPluginRoutes');
+    }
+
+    /**
+     * 모듈 라우트를 격리된 라우터에 등록하고 그 라우터를 반환합니다.
+     *
+     * @return Router 등록 결과가 담긴 라우터
+     */
+    private function registerModuleRoutes(): Router
+    {
+        return $this->registerRoutesWith(ModuleRouteServiceProvider::class, 'loadModuleRoutes');
+    }
+
+    /**
+     * 프로바이더의 라우트 로더를 격리된 라우터 위에서 실행합니다.
+     *
+     * 애플리케이션 라우터를 그대로 쓰면 이미 부팅 시 등록된 라우트와 섞여 "이번 호출이
+     * 등록한 것" 을 분리할 수 없다. 빈 라우터로 교체해 이번 호출의 결과만 관측한다.
+     *
+     * @param  string  $providerClass  라우트 프로바이더 클래스
+     * @param  string  $loader  라우트 로더 메서드명
+     * @return Router 등록 결과가 담긴 라우터
+     */
+    private function registerRoutesWith(string $providerClass, string $loader): Router
+    {
+        $this->restoreRouter();
+        $this->originalRouter = app('router');
+
+        $fresh = new Router(app('events'), app());
+        app()->instance('router', $fresh);
+        Facade::clearResolvedInstance('router');
+
+        $provider = new $providerClass(app());
+        (new ReflectionClass($provider))->getMethod($loader)->invoke($provider);
+
+        $this->restoreRouter();
+
+        return $fresh;
+    }
+
+    /**
+     * 교체했던 애플리케이션 라우터를 원복합니다.
+     */
+    private function restoreRouter(): void
+    {
+        if ($this->originalRouter === null) {
+            return;
+        }
+
+        app()->instance('router', $this->originalRouter);
+        Facade::clearResolvedInstance('router');
+        $this->originalRouter = null;
+    }
+
+    /**
+     * 라우터에 등록된 URI 중 주어진 접두사로 시작하는 것을 반환합니다.
+     *
+     * @param  Router  $router  대상 라우터
+     * @param  string  $prefix  URI 접두사
+     * @return array<int, string> 매칭된 URI 목록
+     */
+    private function urisFor(Router $router, string $prefix): array
+    {
+        $uris = [];
+
+        foreach ($router->getRoutes() as $route) {
+            if (str_starts_with($route->uri(), $prefix)) {
+                $uris[] = $route->uri();
+            }
+        }
+
+        return array_values(array_unique($uris));
+    }
+
+    /**
+     * plugins 테이블에 지정한 상태로 행을 준비합니다.
+     *
+     * @param  string  $identifier  플러그인 식별자
+     * @param  ExtensionStatus  $status  적용할 상태
+     */
+    private function seedPlugin(string $identifier, ExtensionStatus $status): void
+    {
+        $this->seedExtensionRow('plugins', $identifier, $status);
+    }
+
+    /**
+     * modules 테이블에 지정한 상태로 행을 준비합니다.
+     *
+     * @param  string  $identifier  모듈 식별자
+     * @param  ExtensionStatus  $status  적용할 상태
+     */
+    private function seedModule(string $identifier, ExtensionStatus $status): void
+    {
+        $this->seedExtensionRow('modules', $identifier, $status);
+    }
+
+    /**
+     * 확장 테이블에 식별자/상태 행을 upsert 합니다.
+     *
+     * @param  string  $table  대상 테이블 (modules|plugins)
+     * @param  string  $identifier  확장 식별자
+     * @param  ExtensionStatus  $status  적용할 상태
+     */
+    private function seedExtensionRow(string $table, string $identifier, ExtensionStatus $status): void
+    {
+        $existing = DB::table($table)->where('identifier', $identifier)->first();
+
+        if ($existing !== null) {
+            DB::table($table)->where('identifier', $identifier)->update([
+                'status' => $status->value,
+                'updated_at' => now(),
+            ]);
+
+            return;
+        }
+
+        DB::table($table)->insert([
+            'identifier' => $identifier,
+            'vendor' => explode('-', $identifier)[0],
+            'name' => json_encode(['ko' => $identifier, 'en' => $identifier]),
+            'version' => '1.0.0',
+            'status' => $status->value,
+            'created_at' => now(),
+            'updated_at' => now(),
+        ]);
+    }
+}
diff --git a/tests/Feature/Extension/ExtensionRouteCacheInvalidationTest.php b/tests/Feature/Extension/ExtensionRouteCacheInvalidationTest.php
index 558af3fd..dd68e24f 100644
--- a/tests/Feature/Extension/ExtensionRouteCacheInvalidationTest.php
+++ b/tests/Feature/Extension/ExtensionRouteCacheInvalidationTest.php
@@ -71,7 +71,9 @@ class ExtensionRouteCacheInvalidationTest extends TestCase
             foreach ($methods as $method) {
                 $this->assertStringContainsString(
                     'RouteCacheHelper::rebuild()',
-                    $this->methodSource($class, $method),
+                    // 주석을 걷어낸 뒤 본다 — 설명 주석의 언급만으로 통과하면
+                    // 호출이 사라져도 green 이 된다.
+                    $this->stripComments($this->methodSource($class, $method)),
                     $class.'::'.$method.' 이 라우트 캐시를 갱신하지 않는다 — '
                     .'캐시가 걸린 사이트에서 이 조작 뒤 확장 라우트가 404 가 된다'
                 );
@@ -105,6 +107,77 @@ class ExtensionRouteCacheInvalidationTest extends TestCase
         }
     }
 
+    #[Test]
+    public function 라우트_캐시_재생성은_상태_캐시_무효화_뒤에_온다(): void
+    {
+        $targets = [
+            ModuleManager::class => 'invalidateModuleStatusCache',
+            PluginManager::class => 'invalidatePluginStatusCache',
+        ];
+
+        foreach ($targets as $class => $invalidator) {
+            $found = 0;
+
+            $reflection = new ReflectionClass($class);
+
+            foreach ($reflection->getMethods() as $method) {
+                // trait 메서드는 getDeclaringClass() 가 사용 클래스를 가리키므로 이 필터만으로는
+                // 걸러지지 않는다. methodSource() 는 클래스 파일을 줄 번호로 자르므로,
+                // 다른 파일에 정의된 메서드가 섞이면 엉뚱한 구간을 읽고 판정이 오염된다.
+                if ($method->getFileName() !== $reflection->getFileName()) {
+                    continue;
+                }
+
+                // 주석을 걷어낸 뒤 판정한다 — 주석 안의 호출 언급을 실제 호출로 오인하면
+                // 순서 판정이 통째로 뒤집힌다(설명 주석이 호출보다 앞서는 것이 보통이다).
+                $source = $this->stripComments($this->methodSource($class, $method->getName()));
+                $rebuildAt = strpos($source, 'RouteCacheHelper::rebuild()');
+
+                if ($rebuildAt === false) {
+                    continue;
+                }
+
+                $found++;
+                $invalidateAt = strpos($source, $invalidator.'()');
+
+                $this->assertNotFalse(
+                    $invalidateAt,
+                    $class.'::'.$method->getName().' 이 라우트 캐시를 구우면서 상태 캐시를 무효화하지 않는다'
+                );
+
+                // route:cache 는 새 앱을 부팅해 캐시된 활성 확장 목록을 읽는다.
+                // 무효화가 뒤에 오면 방금 바뀐 상태가 반영되지 않은 채 라우트가 박제된다.
+                $this->assertLessThan(
+                    $rebuildAt,
+                    $invalidateAt,
+                    $class.'::'.$method->getName().' 이 상태 캐시 무효화보다 먼저 라우트 캐시를 굽는다 — '
+                    .'그 확장의 라우트가 빠진 채 박제되어 오류 없이 404 가 된다 (#519 회귀)'
+                );
+            }
+
+            // 판정기 자신이 모집단을 잃는 것을 막는 가드 — 리플렉션 필터가 잘못되면
+            // 0건을 순회하고도 green 이 된다.
+            $this->assertGreaterThanOrEqual(5, $found, $class.' 에서 굽기 지점을 도출하지 못했다 — 판정기 모집단이 비었다');
+        }
+    }
+
+    #[Test]
+    public function 업데이트는_상태_복원_뒤에_훅_캐시를_다시_굽는다(): void
+    {
+        foreach ([[ModuleManager::class, 'updateModule'], [PluginManager::class, 'updatePlugin']] as [$class, $method]) {
+            // 주석을 걷어낸 뒤 판정한다 — 설명 주석의 언급만으로 통과하면 안 된다.
+            $source = $this->stripComments($this->methodSource($class, $method));
+
+            // Updating 창 안에서 구워진 훅 캐시는 그 확장의 리스너를 누락한 채 남는다.
+            // 훅 캐시 폴백은 파일 부재/손상에만 작동하므로 stale 은 조용히 통과한다.
+            $this->assertStringContainsString(
+                'regenerateHookCache()',
+                $source,
+                $class.'::'.$method.' 이 상태 복원 뒤 훅 캐시를 재생성하지 않는다'
+            );
+        }
+    }
+
     /**
      * 지정한 메서드의 소스 본문을 반환합니다.
      *
@@ -124,4 +197,34 @@ class ExtensionRouteCacheInvalidationTest extends TestCase
             $target->getEndLine() - $target->getStartLine() + 1
         ));
     }
+
+    /**
+     * 소스에서 주석을 제거합니다.
+     *
+     * 호출 순서를 문자열 위치로 판정하므로, 그 호출을 설명하는 주석이 실제 호출로
+     * 오인되면 판정이 뒤집힌다. 어휘 분석으로 주석 토큰만 걷어낸다.
+     *
+     * @param  string  $source  대상 소스
+     * @return string 주석이 제거된 소스
+     */
+    private function stripComments(string $source): string
+    {
+        $stripped = '';
+
+        foreach (token_get_all('<?php '.$source) as $token) {
+            if (is_array($token)) {
+                if ($token[0] === T_COMMENT || $token[0] === T_DOC_COMMENT) {
+                    continue;
+                }
+
+                $stripped .= $token[1];
+
+                continue;
+            }
+
+            $stripped .= $token;
+        }
+
+        return $stripped;
+    }
 }
diff --git a/tests/Feature/Http/ErrorMessageParamSubstitutionTest.php b/tests/Feature/Http/ErrorMessageParamSubstitutionTest.php
new file mode 100644
index 00000000..e868bc37
--- /dev/null
+++ b/tests/Feature/Http/ErrorMessageParamSubstitutionTest.php
@@ -0,0 +1,283 @@
+<?php
+
+namespace Tests\Feature\Http;
+
+use Illuminate\Support\Facades\File;
+use PHPUnit\Framework\Attributes\Test;
+use Tests\TestCase;
+
+/**
+ * 오류 문구의 치환 자리가 비어 노출되는 것을 막는 회귀 테스트.
+ *
+ * `:error` 같은 치환 자리를 가진 다국어 키를 파라미터 없이 부르면, Laravel 은 그 자리를
+ * 그대로 둔 문장을 돌려준다. 그래서 운영자 화면에는 "모듈 활성화에 실패했습니다: :error"
+ * 처럼 내부 자리표시자가 그대로 보인다. 예외도 로그도 남지 않고, 실패했을 때만 드러나므로
+ * 정상 흐름 테스트로는 잡히지 않는다.
+ *
+ * 호출부를 손으로 열거하지 않는다 — 새 실패 분기가 생겼을 때 그 지점만 조용히 빠진다.
+ * lang 파일에서 `:error` 를 요구하는 키를 도출하고, 그 키를 쓰는 호출부 전수를 검사한다.
+ */
+class ErrorMessageParamSubstitutionTest extends TestCase
+{
+    #[Test]
+    public function error_치환_자리를_가진_키는_언제나_파라미터와_함께_호출된다(): void
+    {
+        $missing = [];
+        $checked = 0;
+
+        foreach ($this->phpFilesIn(app_path()) as $file) {
+            $source = File::get($file);
+
+            foreach ($this->errorCallsIn($source) as [$offset, $call]) {
+                if (! preg_match("/^\(\s*'([^']+)'/", $call, $m)) {
+                    continue;
+                }
+
+                // 키를 실제로 해석해 판정한다. lang 파일을 직접 파싱하면 중첩 키
+                // (`modules.errors.install_failed`)의 경로를 잃어 오탐·누락이 함께 생긴다.
+                // 존재하지 않는 키는 번역기가 키 자체를 돌려주므로 자연히 걸러진다.
+                if (! str_contains(trans($m[1], [], 'ko'), ':error')) {
+                    continue;
+                }
+
+                $checked++;
+
+                // messageParams(넷째 인자)에 'error' 키가 실렸는지 본다.
+                // 셋째 인자 errors 페이로드는 다른 통로이므로 치환에 쓰이지 않는다.
+                // 배열의 첫 키가 아닐 수 있으므로(`['module' => ..., 'error' => ...]`)
+                // 인자를 최상위 쉼표 기준으로 갈라 넷째 인자만 본다.
+                $params = $this->topLevelArguments($call)[3] ?? '';
+
+                if (preg_match("/'error'\s*=>/", $params) === 1) {
+                    continue;
+                }
+
+                $line = substr_count(substr($source, 0, $offset), "\n") + 1;
+                $missing[] = str_replace(base_path().DIRECTORY_SEPARATOR, '', $file).':'.$line.'  '.$m[1];
+            }
+        }
+
+        $this->assertGreaterThan(
+            50,
+            $checked,
+            '검사한 호출부가 너무 적다 — 호출부 탐지 정규식이 모집단을 잃었다'
+        );
+
+        $this->assertSame(
+            [],
+            $missing,
+            '다음 호출부가 :error 치환 파라미터 없이 오류 문구를 반환한다 — '
+            ."운영자 화면에 자리표시자 \":error\" 가 그대로 노출된다:\n  "
+            .implode("\n  ", $missing)
+        );
+    }
+
+    #[Test]
+    public function error_치환_자리를_가진_키는_예외_생성자에서도_파라미터와_함께_전달된다(): void
+    {
+        $missing = [];
+        $checked = 0;
+
+        foreach ($this->phpFilesIn(app_path()) as $file) {
+            $source = File::get($file);
+
+            foreach ($this->exceptionConstructorsIn($source) as [$offset, $call]) {
+                $args = $this->topLevelArguments($call);
+
+                if (! preg_match("/^\s*'([^']+)'/", $args[0] ?? '', $m)) {
+                    continue;
+                }
+
+                if (! str_contains(trans($m[1], [], 'ko'), ':error')) {
+                    continue;
+                }
+
+                $checked++;
+
+                // 예외 생성자는 `->error()` 와 인자 배치가 다르다 —
+                // 파라미터 배열이 넷째가 아니라 **둘째** 인자다.
+                if (preg_match("/'error'\s*=>/", $args[1] ?? '') === 1) {
+                    continue;
+                }
+
+                $line = substr_count(substr($source, 0, $offset), "\n") + 1;
+                $missing[] = str_replace(base_path().DIRECTORY_SEPARATOR, '', $file).':'.$line.'  '.$m[1];
+            }
+        }
+
+        $this->assertGreaterThan(
+            0,
+            $checked,
+            '검사한 예외 생성자가 0건이다 — 탐지 정규식이 모집단을 잃었다'
+        );
+
+        $this->assertSame(
+            [],
+            $missing,
+            '다음 예외 생성자가 :error 치환 파라미터 없이 던져진다 — 그 메시지가 응답으로 '
+            ."나가면 운영자 화면에 자리표시자 \":error\" 가 그대로 노출된다:\n  "
+            .implode("\n  ", $missing)
+        );
+    }
+
+    /**
+     * 소스에서 `new *OperationException(...)` 생성자 호출 전체를 잘라 반환합니다.
+     *
+     * `->error()` 스캐너는 첫 인자가 문자열 리터럴이 아니면 건너뛰므로, 키를 들고 다니는
+     * 예외로 던지는 경로는 그 판정에 걸리지 않는다. 그 축을 이 스캐너가 덮는다.
+     *
+     * @param  string  $source  대상 소스
+     * @return array<int, array{0: int, 1: string}> [호출 시작 오프셋, 호출 전체 문자열]
+     */
+    private function exceptionConstructorsIn(string $source): array
+    {
+        $calls = [];
+
+        if (! preg_match_all('/new\s+\\\\?(\w*OperationException)\(/', $source, $m, PREG_OFFSET_CAPTURE)) {
+            return $calls;
+        }
+
+        foreach ($m[0] as [$match, $at]) {
+            foreach ($this->callsIn(substr($source, $at), $match) as [$rel, $call]) {
+                if ($rel === 0) {
+                    $calls[] = [$at, $call];
+                    break;
+                }
+            }
+        }
+
+        return $calls;
+    }
+
+    /**
+     * 소스에서 `->error(...)` 호출 전체를 괄호 균형으로 잘라 반환합니다.
+     *
+     * 한 줄만 보면 여러 줄에 걸친 호출의 뒷부분(치환 파라미터)을 놓쳐 오탐이 된다.
+     *
+     * @param  string  $source  대상 소스
+     * @return array<int, array{0: int, 1: string}> [호출 시작 오프셋, 호출 전체 문자열]
+     */
+    private function errorCallsIn(string $source): array
+    {
+        return $this->callsIn($source, '->error(');
+    }
+
+    /**
+     * 소스에서 지정한 여는 토큰으로 시작하는 호출 전체를 괄호 균형으로 잘라 반환합니다.
+     *
+     * @param  string  $source  대상 소스
+     * @param  string  $token  호출 시작 토큰 (여는 괄호 포함, 예: `->error(`)
+     * @return array<int, array{0: int, 1: string}> [호출 시작 오프셋, 호출 전체 문자열]
+     */
+    private function callsIn(string $source, string $token): array
+    {
+        $calls = [];
+        $offset = 0;
+
+        while (($at = strpos($source, $token, $offset)) !== false) {
+            $open = $at + strlen($token) - 1;
+            $depth = 0;
+            $end = null;
+
+            for ($i = $open, $len = strlen($source); $i < $len; $i++) {
+                if ($source[$i] === '(') {
+                    $depth++;
+                } elseif ($source[$i] === ')') {
+                    $depth--;
+
+                    if ($depth === 0) {
+                        $end = $i;
+                        break;
+                    }
+                }
+            }
+
+            if ($end === null) {
+                break;
+            }
+
+            $calls[] = [$at, substr($source, $open, $end - $open + 1)];
+            $offset = $at + 1;
+        }
+
+        return $calls;
+    }
+
+    /**
+     * 호출 문자열 `( ... )` 을 최상위 쉼표 기준으로 갈라 인자 목록을 반환합니다.
+     *
+     * 중첩 괄호·대괄호와 따옴표 안의 쉼표는 경계로 보지 않는다.
+     *
+     * @param  string  $call  괄호를 포함한 호출 문자열
+     * @return array<int, string> 인자 문자열 목록
+     */
+    private function topLevelArguments(string $call): array
+    {
+        $inner = substr($call, 1, -1);
+        $args = [];
+        $buffer = '';
+        $depth = 0;
+        $quote = null;
+
+        for ($i = 0, $len = strlen($inner); $i < $len; $i++) {
+            $char = $inner[$i];
+
+            if ($quote !== null) {
+                $buffer .= $char;
+
+                if ($char === '\\') {
+                    $buffer .= $inner[++$i] ?? '';
+                } elseif ($char === $quote) {
+                    $quote = null;
+                }
+
+                continue;
+            }
+
+            if ($char === "'" || $char === '"') {
+                $quote = $char;
+                $buffer .= $char;
+
+                continue;
+            }
+
+            if ($char === '(' || $char === '[') {
+                $depth++;
+            } elseif ($char === ')' || $char === ']') {
+                $depth--;
+            } elseif ($char === ',' && $depth === 0) {
+                $args[] = trim($buffer);
+                $buffer = '';
+
+                continue;
+            }
+
+            $buffer .= $char;
+        }
+
+        if (trim($buffer) !== '') {
+            $args[] = trim($buffer);
+        }
+
+        return $args;
+    }
+
+    /**
+     * 주어진 디렉토리 아래의 PHP 파일 경로를 모두 반환합니다.
+     *
+     * @param  string  $directory  대상 디렉토리
+     * @return array<int, string> PHP 파일 경로 목록
+     */
+    private function phpFilesIn(string $directory): array
+    {
+        $files = [];
+
+        foreach (File::allFiles($directory) as $file) {
+            if ($file->getExtension() === 'php') {
+                $files[] = $file->getPathname();
+            }
+        }
+
+        return $files;
+    }
+}
diff --git a/tests/Feature/Http/GenericCatchStatusCodeContractTest.php b/tests/Feature/Http/GenericCatchStatusCodeContractTest.php
index 5c7474a3..846d6ba2 100644
--- a/tests/Feature/Http/GenericCatchStatusCodeContractTest.php
+++ b/tests/Feature/Http/GenericCatchStatusCodeContractTest.php
@@ -38,40 +38,29 @@ class GenericCatchStatusCodeContractTest extends TestCase
     /**
      * 예외 원문을 메시지 키로 넘기는 것이 아직 남아 있는 지점.
      *
-     * 코어 확장 설치 경로는 `\RuntimeException(__('key', [...]))` 형태로 서비스·헬퍼
-     * 40여 곳에서 던져진다. 키를 들고 다니는 예외로 승격하려면 설치/업데이트 경로 전체를
-     * 건드려야 하므로 별도 작업으로 분리한다 — 여기 남겨 두는 이유는 "판정기가 못 봐서
-     * 통과한 것" 과 "알고 남긴 것" 을 구분하기 위해서다. 목록이 늘어나면 실패한다.
+     * 확장 설치 경로 6곳(모듈·플러그인·템플릿 × from-file/from-github)이 여기 있었다.
+     * 도메인 실패가 이미 `*OperationException`(errorKey + params)으로 승격되어 있었는데
+     * catch 만 부모 `\RuntimeException` 으로 남아, 이미 번역된 문장을 키 자리로 넘기고
+     * 있었다. typed catch 로 좁히고 원본 키·파라미터를 넘기도록 바꿔 전부 해소했다.
+     *
+     * 비운 채로 둔다 — 새 위반이 생기면 그 자리에서 실패해야 한다.
      *
      * @var array<int, string>
      */
-    private const KNOWN_EXCEPTION_TEXT_AS_KEY = [
-        'app/Http/Controllers/Api/Admin/ModuleController.php:437',
-        'app/Http/Controllers/Api/Admin/ModuleController.php:461',
-        'app/Http/Controllers/Api/Admin/PluginController.php:448',
-        'app/Http/Controllers/Api/Admin/PluginController.php:472',
-        'app/Http/Controllers/Api/Admin/TemplateController.php:352',
-        'app/Http/Controllers/Api/Admin/TemplateController.php:376',
-    ];
+    private const KNOWN_EXCEPTION_TEXT_AS_KEY = [];
 
     /**
      * 광역 `\RuntimeException` catch 가 4xx 를 반환하는 것이 아직 남아 있는 지점.
      *
      * `\RuntimeException` 은 도메인 예외의 부모가 되기 쉬워, 도메인 실패를 typed 로
      * 승격한 뒤에도 이 catch 를 남겨 두면 남는 것은 인프라 예외뿐인데 그것까지 4xx 로
-     * 뭉갠다. 위 `KNOWN_EXCEPTION_TEXT_AS_KEY` 와 같은 줄이며, 같은 설치 경로 개편에서
-     * 함께 해소된다.
+     * 뭉갠다. 위 `KNOWN_EXCEPTION_TEXT_AS_KEY` 와 같은 줄이었고 함께 해소되었다.
+     *
+     * 비운 채로 둔다 — 새 위반이 생기면 그 자리에서 실패해야 한다.
      *
      * @var array<string, string>
      */
-    private const KNOWN_BROAD_RUNTIME_CATCH_4XX = [
-        'app/Http/Controllers/Api/Admin/ModuleController.php::installFromFile' => '설치 경로가 도메인 실패를 키 없는 RuntimeException 으로 던진다 — 예외 승격과 함께 해소',
-        'app/Http/Controllers/Api/Admin/ModuleController.php::installFromGithub' => '동일',
-        'app/Http/Controllers/Api/Admin/PluginController.php::installFromFile' => '동일',
-        'app/Http/Controllers/Api/Admin/PluginController.php::installFromGithub' => '동일',
-        'app/Http/Controllers/Api/Admin/TemplateController.php::installFromFile' => '동일',
-        'app/Http/Controllers/Api/Admin/TemplateController.php::installFromGithub' => '동일',
-    ];
+    private const KNOWN_BROAD_RUNTIME_CATCH_4XX = [];
 
     /**
      * 스캔 대상 컨트롤러 루트 목록 (코어 + 번들 모듈/플러그인).

From 0db8f9c5fbc00e65c1af8475b9b83e3c3fc6d05e Mon Sep 17 00:00:00 2001
From: HeuJung <heuristing@gmail.com>
Date: Fri, 21 Aug 2026 20:55:57 +0900
Subject: [PATCH 5/7] =?UTF-8?q?fix(engine):=20=EA=B5=AC=ED=98=95=20Safari?=
 =?UTF-8?q?=20=EB=B6=80=ED=8C=85=20=EC=8B=A4=ED=8C=A8=20=ED=95=B4=EC=86=8C?=
 =?UTF-8?q?=20=EB=B0=8F=20=EB=B0=B0=ED=8F=AC=20=EB=B2=88=EB=93=A4=20?=
 =?UTF-8?q?=EB=B8=8C=EB=9D=BC=EC=9A=B0=EC=A0=80=20=ED=95=98=ED=95=9C=20?=
 =?UTF-8?q?=ED=9A=8C=EA=B7=80=20=EB=B0=A9=EC=A7=80?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

코어 엔진 번들의 정규식 lookbehind 2건이 Safari 16.4 미만에서 파싱 자체를
거부당해 iOS 15 대 전 기기에서 SPA 가 통째로 뜨지 않았다. 정규식 리터럴은
스크립트 파싱 단계에서 검증되므로 그 문법을 모르는 엔진은 파일을 한 줄도
실행하지 못하고, 번들이 async/defer 없는 동기 classic 스크립트라 폴백 경로도
없었다. 빌드 타깃(es2020)이 이를 막지 못한 이유는 ES 연도와 브라우저 지원
연도가 다르기 때문이며, 정규식 리터럴 문법은 다운레벨 자체가 불가능해
어떤 타깃 설정으로도 걸러지지 않는다.

- 두 정규식을 lookbehind 없는 형태로 교체(engine-v1.60.6). 선행 따옴표·구분자를
 소비한 뒤 캡처 그룹으로 분기하며, 식별자 인덱스가 match[1] → match[2] 로
 이동한다. 무작위 200,034 표본 퍼징에서 교체 전후 결과 불일치 0건.
 파싱 하한 실측 Safari 16.4 → 14.1 (제보자 기기 15.6 포함).

- 부팅 실패 안내를 사유별로 가른다. 번들을 받았는데 실행되지 않은 경우와
 끝내 받지 못한 경우는 사용자가 취할 행동이 정반대인데 같은 문구였다.
 사유는 추측이 아니라 window error 이벤트로 SyntaxError 를 관측해 판정한다
 (파싱 실패 시 script 는 error 가 아니라 load 를 발생시켜 element 이벤트로는
 구분 불가). 비호환 분기는 새로고침해도 낫지 않으므로 버튼을 렌더하지 않는다.
 인라인 부트스트랩은 ES5 를 유지해야 이 안내 자체가 구형에서 살아남는다.

- 재발 방지: 배포 JS 산출물의 브라우저 하한 초과 문법·API 를 정적 검사로 차단.
 부팅 임계 번들(코어 엔진·템플릿 컴포넌트)은 파싱에 실패하면 안내 화면조차
 렌더되지 않으므로 하한과 같은 버전을 요구하는 정규식 리터럴 문법도 금지한다.
 lookbehind 의 Safari 16.4 는 하한과 정확히 같아 하한 초과만 보는 검사로는
 영원히 잡히지 않았다 — 그 지점이 이번 사각이었다.

- 지원 브라우저 최소 버전(Chrome 111 / Safari 16.4 / Firefox 128)과, 하한 미만
 브라우저에서도 화면 표시와 기본 이용은 유지한다는 방침을 문서에 명시.

부수 수정: network-resilience E2E 4건이 자산 URL extensionless 모드에서 URL
glob 이 한 건도 매칭되지 않아 실패하고 있었다. 같은 파일의 컴포넌트 번들
테스트만 이중 모드를 알고 형제 케이스는 몰랐던 불균형이라 매처를 통일했다.
---
 AGENTS.md                                     |  15 ++
 CHANGELOG.md                                  |   3 +
 docs/requirements.md                          |  22 +-
 lang-packs/_bundled/g7-core-ja/CHANGELOG.md   |   1 +
 .../_bundled/g7-core-ja/backend/ja/errors.php |   2 +
 lang/en/errors.php                            |   5 +
 lang/ko/errors.php                            |   5 +
 public/build/core/template-engine.min.js      |   2 +-
 .../js/core/template-engine/CHANGELOG.md      |  12 +
 .../core/template-engine/DataBindingEngine.ts |  14 +-
 .../__tests__/DataBindingEngine.test.ts       |  84 +++++++
 .../partials/bootstrap-scripts.blade.php      |  91 ++++++--
 .../View/BootstrapFallbackDiagnosisTest.php   | 154 ++++++++++++
 .../smoke/bootstrap-parse-failure.spec.ts     | 220 ++++++++++++++++++
 .../specs/smoke/network-resilience.spec.ts    |  39 +++-
 tests/scenarios/bootstrap-parse-failure.yaml  |  48 ++++
 16 files changed, 685 insertions(+), 32 deletions(-)
 create mode 100644 tests/Feature/View/BootstrapFallbackDiagnosisTest.php
 create mode 100644 tests/Playwright/specs/smoke/bootstrap-parse-failure.spec.ts
 create mode 100644 tests/scenarios/bootstrap-parse-failure.yaml

diff --git a/AGENTS.md b/AGENTS.md
index 327f801c..b391e36e 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -1126,6 +1126,21 @@ php artisan language-pack:update g7-core-ja --force
 
 번들 언어팩도 `_bundled` 는 배포 원본일 뿐이다. 설치본(`lang-packs/{id}/`)을 갱신하지 않으면 새로 추가한 번역 키가 런타임에 존재하지 않아 해당 로케일이 조용히 기준 로케일로 폴백한다.
 
+### 배포 산출물의 브라우저 하한
+
+선언 하한은 **Chrome 111 / Safari 16.4 / Firefox 128** 이다 ([requirements.md §7](docs/requirements.md)). 빌드 타깃(`target: 'es2020'`)은 이 하한을 강제하지 못한다 — **ES 연도와 브라우저 지원 연도가 다르기 때문**이다. ES2018 인 정규식 lookbehind 를 WebKit 은 Safari 16.4 에서야 구현했고, 타깃 검사는 그대로 통과시킨다.
+
+정규식 **리터럴** 문법은 그중에서도 다운레벨이 원리상 불가능하다. 번들러는 lookbehind 를 `new RegExp(...)` 로 옮길 뿐이라 파싱 오류가 **런타임 오류로 이동**할 뿐 사라지지 않는다. 따라서 타깃 하향은 해법이 아니다.
+
+| ❌ 금지 | ✅ 올바른 사용 |
+|--------|---------------|
+| 배포 JS 산출물에 선언 하한 **초과** 문법·API (`Object.groupBy`·`Promise.withResolvers`·`Array.fromAsync`·`RegExp.escape`·정규식 `v` 플래그) | 하한 이하 문법으로 작성 |
+| **부팅 임계 번들**(`public/build/core/template-engine.min.js`, `templates/_bundled/*/dist/js/components.iife.js`)에 정규식 리터럴 전용 문법(lookbehind `(?<!` `(?<=`, `v` 플래그) — 하한과 같은 버전이어도 | 그 두 파일만은 하한 미만 브라우저에서도 **파싱**돼야 한다 |
+| 빌드 타깃을 낮춰 해결 시도 | 소스에서 그 문법을 쓰지 않는다 |
+| 바이트 길이 비교식 번들러 검출기로 판정 | 문법·API 표 기반 검사 (프린터 표기 차이가 오탐을 낸다) |
+
+부팅 임계 번들 둘은 `async`/`defer` 없는 동기 classic 스크립트다. 파싱에 실패하면 **폴백 안내 화면조차 렌더되지 않아** 사용자에게는 백지 또는 거짓 진단만 남는다. 하한 미만 브라우저에 "지원 범위 밖" 안내를 띄우려면 이 두 파일은 파싱에 성공해야 하므로, 하한과 **정확히 같은** 버전을 요구하는 문법(lookbehind = Safari 16.4)도 금지한다 — 하한 초과만 보는 검사로는 영원히 잡히지 않는 지점이다. 정적 검사가 이 규칙을 강제한다.
+
 ### 코어 3-번들 구조 + 공유 런타임 (engine-v1.51.0+)
 
 `core:build` 는 코어 프론트엔드를 3개 IIFE 번들로 빌드한다:
diff --git a/CHANGELOG.md b/CHANGELOG.md
index 9fa8c1ca..1517bfdb 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -16,9 +16,12 @@
 
 - 비활성화한 플러그인의 기능이 더 이상 동작하지 않습니다. 이전에는 플러그인을 꺼도 화면·메뉴·스크립트만 사라지고 그 플러그인의 기능 주소는 계속 응답해, 꺼진 결제수단으로 결제가 시도되는 등 "껐는데 아직 살아 있는" 상태가 남았습니다. 이제 모듈과 동일하게 활성화된 플러그인의 기능만 동작합니다. **결제·본인인증처럼 외부 서비스가 직접 호출하는 주소도 함께 닫히므로, 진행 중인 거래가 있을 때의 비활성화·업데이트는 처리가 끝난 뒤에 하시기 바랍니다.**
 - 확장 개발자용: 모듈·플러그인의 설치·활성화·비활성화·제거 처리에서 실패 사유를 코어에 전달할 수 있습니다. `failWith()` 로 사유를 남기고 실패를 반환하면 관리자 화면의 실패 안내에 그 사유가 함께 표시됩니다. 사유를 남기지 않아도 종전처럼 동작합니다.
+- 지원 브라우저 문서에 최소 버전(Chrome 111 / Safari 16.4 / Firefox 128)을 명시했습니다. 이보다 오래된 브라우저에서는 스타일이 일부 깨질 수 있으나 화면 표시와 기본 이용은 가능하도록 유지한다는 방침도 함께 밝혔습니다. (#121 @bigmsg 님께서 건의해주셨습니다.)
 
 ### Fixed
 
+- 구형 iOS·macOS Safari(16.4 미만)에서 사이트가 전혀 표시되지 않던 문제를 수정했습니다. 화면 구성에 쓰이는 스크립트에 해당 브라우저가 해석하지 못하는 문법이 들어 있어, 스크립트 전체가 실행되지 못하고 사이트가 통째로 멈춰 있었습니다. (#121 @bigmsg 님께서 제보해주셨습니다.)
+- 화면을 불러오지 못했을 때 원인과 무관하게 "네트워크 연결이 불안정할 수 있습니다"로 안내되던 문제를 수정했습니다. 브라우저가 지원 범위보다 오래되어 화면을 실행하지 못한 경우에는 그에 맞는 안내를 표시하며, 새로고침해도 해결되지 않는 상황이므로 새로고침 버튼도 표시하지 않습니다.
 - 관리자 화면의 실패 안내에 원인이 들어갈 자리가 채워지지 않아 `:error` 라는 내부 표시가 그대로 보이던 문제를 수정했습니다. 모듈·플러그인·템플릿·언어팩 관리와 플러그인 설정 저장의 실패 안내 전반에서 발생했습니다. 이제 실패 원인을 알 수 있으면 그 원인이, 알 수 없으면 일반 안내 문구가 표시됩니다. 언어팩 관리처럼 원인을 표시하지 않기로 한 안내는 문구 자체를 정리했습니다.
 - 모듈·플러그인을 활성화한 직후 그 확장의 화면과 기능이 "주소를 찾을 수 없음" 오류만 내던 문제를 수정했습니다. 활성화 시점에 사이트 내부 주소록이 활성화 이전 상태를 기준으로 다시 만들어져, 방금 켠 확장의 주소가 빠진 채로 굳어졌습니다. 시간이 지나도 스스로 복구되지 않았습니다. 같은 원인으로 비활성화한 확장의 기능이 계속 호출 가능하던 문제, 확장을 업데이트한 직후 그 확장의 기능과 다른 기능과의 연동 동작이 함께 누락되던 문제도 바로잡았습니다.
 
diff --git a/docs/requirements.md b/docs/requirements.md
index 68bf1032..799d4d2a 100644
--- a/docs/requirements.md
+++ b/docs/requirements.md
@@ -320,15 +320,23 @@ Composer 설치 방식을 선택할 때만 필요하다.
 
 ## 7. 지원 브라우저
 
-| 브라우저 | 지원 기준 | 검증 방식 |
-|---------|----------|----------|
-| Chrome / Edge | React 19 + Tailwind CSS 4 호환 범위 | 자동 브라우저 테스트(Chromium)로 상시 검증 |
-| Firefox | React 19 + Tailwind CSS 4 호환 범위 | 호환 범위 기준 지원 (상시 자동 테스트 대상 아님) |
-| Safari | React 19 + Tailwind CSS 4 호환 범위 | 호환 범위 기준 지원 (상시 자동 테스트 대상 아님, 실기기 검증 미수행) |
+| 브라우저 | 최소 지원 버전 | 검증 방식 |
+|---------|--------------|----------|
+| Chrome / Edge | **111** 이상 | 자동 브라우저 테스트(Chromium)로 상시 검증 |
+| Safari (macOS / iOS) | **16.4** 이상 | 호환 범위 기준 지원 (상시 자동 테스트 대상 아님, 실기기 검증 미수행) |
+| Firefox | **128** 이상 | 호환 범위 기준 지원 (상시 자동 테스트 대상 아님) |
 
 - 지원 하한은 프론트엔드 핵심 의존성(React 19, Tailwind CSS 4)의 공식 지원 브라우저
-  범위를 따르며, 해당 의존성 버전이 변경되면 이 기준도 함께 재검토한다
-- 참고: 2026-08 현재 Tailwind CSS 4 의 공식 하한은 Chrome 111 / Safari 16.4 / Firefox 128 이다
+  범위를 따른다. 위 세 버전은 2026-08 현재 Tailwind CSS 4 의 공식 하한이며(`@property`
+  등 CSS 기능이 결정한다), 해당 의존성 버전이 변경되면 이 기준도 함께 재검토한다
+- **하한 미만 브라우저에서도 화면 표시와 기본 이용은 가능하도록 유지한다.** 최신 CSS 기능을
+  해석하지 못해 색상·간격 등 스타일이 일부 깨질 수 있으나, 그것이 이용 불가로 이어지지
+  않도록 한다. 이를 위해 배포되는 JavaScript 산출물에는 하한을 넘는 문법·API 를 넣지 않으며,
+  특히 부팅에 필요한 번들에는 다운레벨이 불가능한 정규식 리터럴 문법(lookbehind, `v` 플래그)
+  을 하한과 같은 버전이라도 사용하지 않는다 — 이 번들이 파싱되지 않으면 사이트가 통째로
+  뜨지 않기 때문이다
+- 브라우저가 화면 구성 스크립트를 끝내 실행하지 못하는 경우에는 백지 대신 그 사유를 밝히는
+  안내 화면을 표시한다
 - 자동 테스트는 테스트 도구에 포함된 단일 브라우저 빌드로 수행하므로 특정 버전
   목록(예: "최신 N개 버전")을 상시 보장하지 않는다
 - Internet Explorer 미지원
diff --git a/lang-packs/_bundled/g7-core-ja/CHANGELOG.md b/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
index ca13d9d8..06279d53 100644
--- a/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
+++ b/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
@@ -10,6 +10,7 @@
 
 - 아웃바운드 프록시 설정의 검증 메시지와 항목명 일본어 번역을 추가했습니다 (`settings.outbound_proxy_*`, `attributes.outbound_proxy*`).
 - 아웃바운드 프록시 연결 테스트 결과 안내 문구의 일본어 번역을 추가했습니다 (`settings.outbound_proxy_test_*`).
+- 브라우저가 지원 범위보다 오래되어 화면 구성 스크립트를 실행하지 못한 경우의 안내 문구 일본어 번역을 추가했습니다 (`errors.bootstrap.incompatible_title`, `errors.bootstrap.incompatible_message`).
 
 ### Changed
 
diff --git a/lang-packs/_bundled/g7-core-ja/backend/ja/errors.php b/lang-packs/_bundled/g7-core-ja/backend/ja/errors.php
index ff973b11..5b6912be 100644
--- a/lang-packs/_bundled/g7-core-ja/backend/ja/errors.php
+++ b/lang-packs/_bundled/g7-core-ja/backend/ja/errors.php
@@ -31,5 +31,7 @@ return [
         'title' => '画面を読み込めませんでした',
         'message' => 'ネットワーク接続が不安定な可能性があります。ページを更新してからもう一度お試しください。',
         'reload' => '更新',
+        'incompatible_title' => 'このブラウザでは画面を表示できません',
+        'incompatible_message' => 'ブラウザが古いため、サイトを実行できませんでした。ブラウザを最新バージョンに更新するか、別のブラウザでアクセスしてください。',
     ],
 ];
diff --git a/lang/en/errors.php b/lang/en/errors.php
index a5d7b320..6b105c96 100644
--- a/lang/en/errors.php
+++ b/lang/en/errors.php
@@ -44,5 +44,10 @@ return [
         'title' => 'Failed to load the page',
         'message' => 'Your network connection may be unstable. Please refresh and try again.',
         'reload' => 'Refresh',
+
+        // 스크립트를 받았으나 브라우저가 실행하지 못한 경우 (지원 범위보다 오래된 브라우저 등).
+        // 새로고침해도 낫지 않으므로 이 분기에서는 새로고침 버튼을 렌더하지 않는다.
+        'incompatible_title' => 'This browser cannot display the page',
+        'incompatible_message' => 'Your browser is too old to run this site. Please update it to the latest version, or try a different browser.',
     ],
 ];
diff --git a/lang/ko/errors.php b/lang/ko/errors.php
index 3cea0ead..a38ab33e 100644
--- a/lang/ko/errors.php
+++ b/lang/ko/errors.php
@@ -44,5 +44,10 @@ return [
         'title' => '화면을 불러오지 못했습니다',
         'message' => '네트워크 연결이 불안정할 수 있습니다. 새로고침 후 다시 시도해 주세요.',
         'reload' => '새로고침',
+
+        // 스크립트를 받았으나 브라우저가 실행하지 못한 경우 (지원 범위보다 오래된 브라우저 등).
+        // 새로고침해도 낫지 않으므로 이 분기에서는 새로고침 버튼을 렌더하지 않는다.
+        'incompatible_title' => '이 브라우저에서는 화면을 표시할 수 없습니다',
+        'incompatible_message' => '브라우저가 오래되어 사이트를 실행하지 못했습니다. 브라우저를 최신 버전으로 업데이트하거나 다른 브라우저로 접속해 주세요.',
     ],
 ];
diff --git a/public/build/core/template-engine.min.js b/public/build/core/template-engine.min.js
index 6b5429d3..563ad9c8 100644
--- a/public/build/core/template-engine.min.js
+++ b/public/build/core/template-engine.min.js
@@ -9,7 +9,7 @@ Error generating stack: `+u.message+`
 `).replace(oT,"")}function RS(t,r){return r=kS(r),kS(t)===r}function Tt(t,r,o,u,p,g){switch(o){case"children":typeof u=="string"?r==="body"||r==="textarea"&&u===""||qa(t,u):(typeof u=="number"||typeof u=="bigint")&&r!=="body"&&qa(t,""+u);break;case"className":xi(t,"class",u);break;case"tabIndex":xi(t,"tabindex",u);break;case"dir":case"role":case"viewBox":case"width":case"height":xi(t,o,u);break;case"style":zc(t,u,g);break;case"data":if(r!=="object"){xi(t,"data",u);break}case"src":case"href":if(u===""&&(r!=="a"||o!=="href")){t.removeAttribute(o);break}if(u==null||typeof u=="function"||typeof u=="symbol"||typeof u=="boolean"){t.removeAttribute(o);break}u=lr(""+u),t.setAttribute(o,u);break;case"action":case"formAction":if(typeof u=="function"){t.setAttribute(o,"javascript:throw new Error('A React form was unexpectedly submitted. If you called form.submit() manually, consider using form.requestSubmit() instead. If you\\'re trying to use event.stopPropagation() in a submit event handler, consider also calling event.preventDefault().')");break}else typeof g=="function"&&(o==="formAction"?(r!=="input"&&Tt(t,r,"name",p.name,p,null),Tt(t,r,"formEncType",p.formEncType,p,null),Tt(t,r,"formMethod",p.formMethod,p,null),Tt(t,r,"formTarget",p.formTarget,p,null)):(Tt(t,r,"encType",p.encType,p,null),Tt(t,r,"method",p.method,p,null),Tt(t,r,"target",p.target,p,null)));if(u==null||typeof u=="symbol"||typeof u=="boolean"){t.removeAttribute(o);break}u=lr(""+u),t.setAttribute(o,u);break;case"onClick":u!=null&&(t.onclick=Rr);break;case"onScroll":u!=null&&at("scroll",t);break;case"onScrollEnd":u!=null&&at("scrollend",t);break;case"dangerouslySetInnerHTML":if(u!=null){if(typeof u!="object"||!("__html"in u))throw Error(a(61));if(o=u.__html,o!=null){if(p.children!=null)throw Error(a(60));t.innerHTML=o}}break;case"multiple":t.multiple=u&&typeof u!="function"&&typeof u!="symbol";break;case"muted":t.muted=u&&typeof u!="function"&&typeof u!="symbol";break;case"suppressContentEditableWarning":case"suppressHydrationWarning":case"defaultValue":case"defaultChecked":case"innerHTML":case"ref":break;case"autoFocus":break;case"xlinkHref":if(u==null||typeof u=="function"||typeof u=="boolean"||typeof u=="symbol"){t.removeAttribute("xlink:href");break}o=lr(""+u),t.setAttributeNS("http://www.w3.org/1999/xlink","xlink:href",o);break;case"contentEditable":case"spellCheck":case"draggable":case"value":case"autoReverse":case"externalResourcesRequired":case"focusable":case"preserveAlpha":u!=null&&typeof u!="function"&&typeof u!="symbol"?t.setAttribute(o,""+u):t.removeAttribute(o);break;case"inert":case"allowFullScreen":case"async":case"autoPlay":case"controls":case"default":case"defer":case"disabled":case"disablePictureInPicture":case"disableRemotePlayback":case"formNoValidate":case"hidden":case"loop":case"noModule":case"noValidate":case"open":case"playsInline":case"readOnly":case"required":case"reversed":case"scoped":case"seamless":case"itemScope":u&&typeof u!="function"&&typeof u!="symbol"?t.setAttribute(o,""):t.removeAttribute(o);break;case"capture":case"download":u===!0?t.setAttribute(o,""):u!==!1&&u!=null&&typeof u!="function"&&typeof u!="symbol"?t.setAttribute(o,u):t.removeAttribute(o);break;case"cols":case"rows":case"size":case"span":u!=null&&typeof u!="function"&&typeof u!="symbol"&&!isNaN(u)&&1<=u?t.setAttribute(o,u):t.removeAttribute(o);break;case"rowSpan":case"start":u==null||typeof u=="function"||typeof u=="symbol"||isNaN(u)?t.removeAttribute(o):t.setAttribute(o,u);break;case"popover":at("beforetoggle",t),at("toggle",t),In(t,"popover",u);break;case"xlinkActuate":yn(t,"http://www.w3.org/1999/xlink","xlink:actuate",u);break;case"xlinkArcrole":yn(t,"http://www.w3.org/1999/xlink","xlink:arcrole",u);break;case"xlinkRole":yn(t,"http://www.w3.org/1999/xlink","xlink:role",u);break;case"xlinkShow":yn(t,"http://www.w3.org/1999/xlink","xlink:show",u);break;case"xlinkTitle":yn(t,"http://www.w3.org/1999/xlink","xlink:title",u);break;case"xlinkType":yn(t,"http://www.w3.org/1999/xlink","xlink:type",u);break;case"xmlBase":yn(t,"http://www.w3.org/XML/1998/namespace","xml:base",u);break;case"xmlLang":yn(t,"http://www.w3.org/XML/1998/namespace","xml:lang",u);break;case"xmlSpace":yn(t,"http://www.w3.org/XML/1998/namespace","xml:space",u);break;case"is":In(t,"is",u);break;case"innerText":case"textContent":break;default:(!(2<o.length)||o[0]!=="o"&&o[0]!=="O"||o[1]!=="n"&&o[1]!=="N")&&(o=Vf.get(o)||o,In(t,o,u))}}function zp(t,r,o,u,p,g){switch(o){case"style":zc(t,u,g);break;case"dangerouslySetInnerHTML":if(u!=null){if(typeof u!="object"||!("__html"in u))throw Error(a(61));if(o=u.__html,o!=null){if(p.children!=null)throw Error(a(60));t.innerHTML=o}}break;case"children":typeof u=="string"?qa(t,u):(typeof u=="number"||typeof u=="bigint")&&qa(t,""+u);break;case"onScroll":u!=null&&at("scroll",t);break;case"onScrollEnd":u!=null&&at("scrollend",t);break;case"onClick":u!=null&&(t.onclick=Rr);break;case"suppressContentEditableWarning":case"suppressHydrationWarning":case"innerHTML":case"ref":break;case"innerText":case"textContent":break;default:if(!Lc.hasOwnProperty(o))e:{if(o[0]==="o"&&o[1]==="n"&&(p=o.endsWith("Capture"),r=o.slice(2,p?o.length-7:void 0),g=t[An]||null,g=g!=null?g[o]:null,typeof g=="function"&&t.removeEventListener(r,g,p),typeof u=="function")){typeof g!="function"&&g!==null&&(o in t?t[o]=null:t.hasAttribute(o)&&t.removeAttribute(o)),t.addEventListener(r,u,p);break e}o in t?t[o]=u:u===!0?t.setAttribute(o,""):In(t,o,u)}}}function wn(t,r,o){switch(r){case"div":case"span":case"svg":case"path":case"a":case"g":case"p":case"li":break;case"img":at("error",t),at("load",t);var u=!1,p=!1,g;for(g in o)if(o.hasOwnProperty(g)){var w=o[g];if(w!=null)switch(g){case"src":u=!0;break;case"srcSet":p=!0;break;case"children":case"dangerouslySetInnerHTML":throw Error(a(137,r));default:Tt(t,r,g,w,o,null)}}p&&Tt(t,r,"srcSet",o.srcSet,o,null),u&&Tt(t,r,"src",o.src,o,null);return;case"input":at("invalid",t);var R=g=w=p=null,z=null,X=null;for(u in o)if(o.hasOwnProperty(u)){var re=o[u];if(re!=null)switch(u){case"name":p=re;break;case"type":w=re;break;case"checked":z=re;break;case"defaultChecked":X=re;break;case"value":g=re;break;case"defaultValue":R=re;break;case"children":case"dangerouslySetInnerHTML":if(re!=null)throw Error(a(137,r));break;default:Tt(t,r,u,re,o,null)}}Ti(t,g,R,z,X,w,p,!1);return;case"select":at("invalid",t),u=w=g=null;for(p in o)if(o.hasOwnProperty(p)&&(R=o[p],R!=null))switch(p){case"value":g=R;break;case"defaultValue":w=R;break;case"multiple":u=R;default:Tt(t,r,p,R,o,null)}r=g,o=w,t.multiple=!!u,r!=null?Pa(t,!!u,r,!1):o!=null&&Pa(t,!!u,o,!0);return;case"textarea":at("invalid",t),g=p=u=null;for(w in o)if(o.hasOwnProperty(w)&&(R=o[w],R!=null))switch(w){case"value":u=R;break;case"defaultValue":p=R;break;case"children":g=R;break;case"dangerouslySetInnerHTML":if(R!=null)throw Error(a(91));break;default:Tt(t,r,w,R,o,null)}jc(t,u,p,g);return;case"option":for(z in o)o.hasOwnProperty(z)&&(u=o[z],u!=null)&&(z==="selected"?t.selected=u&&typeof u!="function"&&typeof u!="symbol":Tt(t,r,z,u,o,null));return;case"dialog":at("beforetoggle",t),at("toggle",t),at("cancel",t),at("close",t);break;case"iframe":case"object":at("load",t);break;case"video":case"audio":for(u=0;u<xl.length;u++)at(xl[u],t);break;case"image":at("error",t),at("load",t);break;case"details":at("toggle",t);break;case"embed":case"source":case"link":at("error",t),at("load",t);case"area":case"base":case"br":case"col":case"hr":case"keygen":case"meta":case"param":case"track":case"wbr":case"menuitem":for(X in o)if(o.hasOwnProperty(X)&&(u=o[X],u!=null))switch(X){case"children":case"dangerouslySetInnerHTML":throw Error(a(137,r));default:Tt(t,r,X,u,o,null)}return;default:if(Po(r)){for(re in o)o.hasOwnProperty(re)&&(u=o[re],u!==void 0&&zp(t,r,re,u,o,void 0));return}}for(R in o)o.hasOwnProperty(R)&&(u=o[R],u!=null&&Tt(t,r,R,u,o,null))}function lT(t,r,o,u){switch(r){case"div":case"span":case"svg":case"path":case"a":case"g":case"p":case"li":break;case"input":var p=null,g=null,w=null,R=null,z=null,X=null,re=null;for(te in o){var le=o[te];if(o.hasOwnProperty(te)&&le!=null)switch(te){case"checked":break;case"value":break;case"defaultValue":z=le;default:u.hasOwnProperty(te)||Tt(t,r,te,null,u,le)}}for(var Q in u){var te=u[Q];if(le=o[Q],u.hasOwnProperty(Q)&&(te!=null||le!=null))switch(Q){case"type":g=te;break;case"name":p=te;break;case"checked":X=te;break;case"defaultChecked":re=te;break;case"value":w=te;break;case"defaultValue":R=te;break;case"children":case"dangerouslySetInnerHTML":if(te!=null)throw Error(a(137,r));break;default:te!==le&&Tt(t,r,Q,te,u,le)}}vs(t,w,R,z,X,re,g,p);return;case"select":te=w=R=Q=null;for(g in o)if(z=o[g],o.hasOwnProperty(g)&&z!=null)switch(g){case"value":break;case"multiple":te=z;default:u.hasOwnProperty(g)||Tt(t,r,g,null,u,z)}for(p in u)if(g=u[p],z=o[p],u.hasOwnProperty(p)&&(g!=null||z!=null))switch(p){case"value":Q=g;break;case"defaultValue":R=g;break;case"multiple":w=g;default:g!==z&&Tt(t,r,p,g,u,z)}r=R,o=w,u=te,Q!=null?Pa(t,!!o,Q,!1):!!u!=!!o&&(r!=null?Pa(t,!!o,r,!0):Pa(t,!!o,o?[]:"",!1));return;case"textarea":te=Q=null;for(R in o)if(p=o[R],o.hasOwnProperty(R)&&p!=null&&!u.hasOwnProperty(R))switch(R){case"value":break;case"children":break;default:Tt(t,r,R,null,u,p)}for(w in u)if(p=u[w],g=o[w],u.hasOwnProperty(w)&&(p!=null||g!=null))switch(w){case"value":Q=p;break;case"defaultValue":te=p;break;case"children":break;case"dangerouslySetInnerHTML":if(p!=null)throw Error(a(91));break;default:p!==g&&Tt(t,r,w,p,u,g)}Ba(t,Q,te);return;case"option":for(var De in o)Q=o[De],o.hasOwnProperty(De)&&Q!=null&&!u.hasOwnProperty(De)&&(De==="selected"?t.selected=!1:Tt(t,r,De,null,u,Q));for(z in u)Q=u[z],te=o[z],u.hasOwnProperty(z)&&Q!==te&&(Q!=null||te!=null)&&(z==="selected"?t.selected=Q&&typeof Q!="function"&&typeof Q!="symbol":Tt(t,r,z,Q,u,te));return;case"img":case"link":case"area":case"base":case"br":case"col":case"embed":case"hr":case"keygen":case"meta":case"param":case"source":case"track":case"wbr":case"menuitem":for(var Be in o)Q=o[Be],o.hasOwnProperty(Be)&&Q!=null&&!u.hasOwnProperty(Be)&&Tt(t,r,Be,null,u,Q);for(X in u)if(Q=u[X],te=o[X],u.hasOwnProperty(X)&&Q!==te&&(Q!=null||te!=null))switch(X){case"children":case"dangerouslySetInnerHTML":if(Q!=null)throw Error(a(137,r));break;default:Tt(t,r,X,Q,u,te)}return;default:if(Po(r)){for(var kt in o)Q=o[kt],o.hasOwnProperty(kt)&&Q!==void 0&&!u.hasOwnProperty(kt)&&zp(t,r,kt,void 0,u,Q);for(re in u)Q=u[re],te=o[re],!u.hasOwnProperty(re)||Q===te||Q===void 0&&te===void 0||zp(t,r,re,Q,u,te);return}}for(var F in o)Q=o[F],o.hasOwnProperty(F)&&Q!=null&&!u.hasOwnProperty(F)&&Tt(t,r,F,null,u,Q);for(le in u)Q=u[le],te=o[le],!u.hasOwnProperty(le)||Q===te||Q==null&&te==null||Tt(t,r,le,Q,u,te)}function DS(t){switch(t){case"css":case"script":case"font":case"img":case"image":case"input":case"link":return!0;default:return!1}}function cT(){if(typeof performance.getEntriesByType=="function"){for(var t=0,r=0,o=performance.getEntriesByType("resource"),u=0;u<o.length;u++){var p=o[u],g=p.transferSize,w=p.initiatorType,R=p.duration;if(g&&R&&DS(w)){for(w=0,R=p.responseEnd,u+=1;u<o.length;u++){var z=o[u],X=z.startTime;if(X>R)break;var re=z.transferSize,le=z.initiatorType;re&&DS(le)&&(z=z.responseEnd,w+=re*(z<R?1:(R-X)/(z-X)))}if(--u,r+=8*(g+w)/(p.duration/1e3),t++,10<t)break}}if(0<t)return r/t/1e6}return navigator.connection&&(t=navigator.connection.downlink,typeof t=="number")?t:5}var Up=null,Pp=null;function Bu(t){return t.nodeType===9?t:t.ownerDocument}function OS(t){switch(t){case"http://www.w3.org/2000/svg":return 1;case"http://www.w3.org/1998/Math/MathML":return 2;default:return 0}}function LS(t,r){if(t===0)switch(r){case"svg":return 1;case"math":return 2;default:return 0}return t===1&&r==="foreignObject"?0:t}function Bp(t,r){return t==="textarea"||t==="noscript"||typeof r.children=="string"||typeof r.children=="number"||typeof r.children=="bigint"||typeof r.dangerouslySetInnerHTML=="object"&&r.dangerouslySetInnerHTML!==null&&r.dangerouslySetInnerHTML.__html!=null}var qp=null;function uT(){var t=window.event;return t&&t.type==="popstate"?t===qp?!1:(qp=t,!0):(qp=null,!1)}var MS=typeof setTimeout=="function"?setTimeout:void 0,dT=typeof clearTimeout=="function"?clearTimeout:void 0,$S=typeof Promise=="function"?Promise:void 0,fT=typeof queueMicrotask=="function"?queueMicrotask:typeof $S<"u"?function(t){return $S.resolve(null).then(t).catch(hT)}:MS;function hT(t){setTimeout(function(){throw t})}function li(t){return t==="head"}function NS(t,r){var o=r,u=0;do{var p=o.nextSibling;if(t.removeChild(o),p&&p.nodeType===8)if(o=p.data,o==="/$"||o==="/&"){if(u===0){t.removeChild(p),Qs(r);return}u--}else if(o==="$"||o==="$?"||o==="$~"||o==="$!"||o==="&")u++;else if(o==="html")kl(t.ownerDocument.documentElement);else if(o==="head"){o=t.ownerDocument.head,kl(o);for(var g=o.firstChild;g;){var w=g.nextSibling,R=g.nodeName;g[Ai]||R==="SCRIPT"||R==="STYLE"||R==="LINK"&&g.rel.toLowerCase()==="stylesheet"||o.removeChild(g),g=w}}else o==="body"&&kl(t.ownerDocument.body);o=p}while(o);Qs(r)}function IS(t,r){var o=t;t=0;do{var u=o.nextSibling;if(o.nodeType===1?r?(o._stashedDisplay=o.style.display,o.style.display="none"):(o.style.display=o._stashedDisplay||"",o.getAttribute("style")===""&&o.removeAttribute("style")):o.nodeType===3&&(r?(o._stashedText=o.nodeValue,o.nodeValue=""):o.nodeValue=o._stashedText||""),u&&u.nodeType===8)if(o=u.data,o==="/$"){if(t===0)break;t--}else o!=="$"&&o!=="$?"&&o!=="$~"&&o!=="$!"||t++;o=u}while(o)}function Gp(t){var r=t.firstChild;for(r&&r.nodeType===10&&(r=r.nextSibling);r;){var o=r;switch(r=r.nextSibling,o.nodeName){case"HTML":case"HEAD":case"BODY":Gp(o),zo(o);continue;case"SCRIPT":case"STYLE":continue;case"LINK":if(o.rel.toLowerCase()==="stylesheet")continue}t.removeChild(o)}}function pT(t,r,o,u){for(;t.nodeType===1;){var p=o;if(t.nodeName.toLowerCase()!==r.toLowerCase()){if(!u&&(t.nodeName!=="INPUT"||t.type!=="hidden"))break}else if(u){if(!t[Ai])switch(r){case"meta":if(!t.hasAttribute("itemprop"))break;return t;case"link":if(g=t.getAttribute("rel"),g==="stylesheet"&&t.hasAttribute("data-precedence"))break;if(g!==p.rel||t.getAttribute("href")!==(p.href==null||p.href===""?null:p.href)||t.getAttribute("crossorigin")!==(p.crossOrigin==null?null:p.crossOrigin)||t.getAttribute("title")!==(p.title==null?null:p.title))break;return t;case"style":if(t.hasAttribute("data-precedence"))break;return t;case"script":if(g=t.getAttribute("src"),(g!==(p.src==null?null:p.src)||t.getAttribute("type")!==(p.type==null?null:p.type)||t.getAttribute("crossorigin")!==(p.crossOrigin==null?null:p.crossOrigin))&&g&&t.hasAttribute("async")&&!t.hasAttribute("itemprop"))break;return t;default:return t}}else if(r==="input"&&t.type==="hidden"){var g=p.name==null?null:""+p.name;if(p.type==="hidden"&&t.getAttribute("name")===g)return t}else return t;if(t=gr(t.nextSibling),t===null)break}return null}function gT(t,r,o){if(r==="")return null;for(;t.nodeType!==3;)if((t.nodeType!==1||t.nodeName!=="INPUT"||t.type!=="hidden")&&!o||(t=gr(t.nextSibling),t===null))return null;return t}function jS(t,r){for(;t.nodeType!==8;)if((t.nodeType!==1||t.nodeName!=="INPUT"||t.type!=="hidden")&&!r||(t=gr(t.nextSibling),t===null))return null;return t}function Vp(t){return t.data==="$?"||t.data==="$~"}function Fp(t){return t.data==="$!"||t.data==="$?"&&t.ownerDocument.readyState!=="loading"}function mT(t,r){var o=t.ownerDocument;if(t.data==="$~")t._reactRetry=r;else if(t.data!=="$?"||o.readyState!=="loading")r();else{var u=function(){r(),o.removeEventListener("DOMContentLoaded",u)};o.addEventListener("DOMContentLoaded",u),t._reactRetry=u}}function gr(t){for(;t!=null;t=t.nextSibling){var r=t.nodeType;if(r===1||r===3)break;if(r===8){if(r=t.data,r==="$"||r==="$!"||r==="$?"||r==="$~"||r==="&"||r==="F!"||r==="F")break;if(r==="/$"||r==="/&")return null}}return t}var Kp=null;function HS(t){t=t.nextSibling;for(var r=0;t;){if(t.nodeType===8){var o=t.data;if(o==="/$"||o==="/&"){if(r===0)return gr(t.nextSibling);r--}else o!=="$"&&o!=="$!"&&o!=="$?"&&o!=="$~"&&o!=="&"||r++}t=t.nextSibling}return null}function zS(t){t=t.previousSibling;for(var r=0;t;){if(t.nodeType===8){var o=t.data;if(o==="$"||o==="$!"||o==="$?"||o==="$~"||o==="&"){if(r===0)return t;r--}else o!=="/$"&&o!=="/&"||r++}t=t.previousSibling}return null}function US(t,r,o){switch(r=Bu(o),t){case"html":if(t=r.documentElement,!t)throw Error(a(452));return t;case"head":if(t=r.head,!t)throw Error(a(453));return t;case"body":if(t=r.body,!t)throw Error(a(454));return t;default:throw Error(a(451))}}function kl(t){for(var r=t.attributes;r.length;)t.removeAttributeNode(r[0]);zo(t)}var mr=new Map,PS=new Set;function qu(t){return typeof t.getRootNode=="function"?t.getRootNode():t.nodeType===9?t:t.ownerDocument}var _a=fe.d;fe.d={f:yT,r:bT,D:vT,C:ST,L:wT,m:CT,X:_T,S:ET,M:AT};function yT(){var t=_a.f(),r=$u();return t||r}function bT(t){var r=Fr(t);r!==null&&r.tag===5&&r.type==="form"?av(r):_a.r(t)}var Ys=typeof document>"u"?null:document;function BS(t,r,o){var u=Ys;if(u&&typeof r=="string"&&r){var p=jn(r);p='link[rel="'+t+'"][href="'+p+'"]',typeof o=="string"&&(p+='[crossorigin="'+o+'"]'),PS.has(p)||(PS.add(p),t={rel:t,crossOrigin:o,href:r},u.querySelector(p)===null&&(r=u.createElement("link"),wn(r,"link",t),Jt(r),u.head.appendChild(r)))}}function vT(t){_a.D(t),BS("dns-prefetch",t,null)}function ST(t,r){_a.C(t,r),BS("preconnect",t,r)}function wT(t,r,o){_a.L(t,r,o);var u=Ys;if(u&&t&&r){var p='link[rel="preload"][as="'+jn(r)+'"]';r==="image"&&o&&o.imageSrcSet?(p+='[imagesrcset="'+jn(o.imageSrcSet)+'"]',typeof o.imageSizes=="string"&&(p+='[imagesizes="'+jn(o.imageSizes)+'"]')):p+='[href="'+jn(t)+'"]';var g=p;switch(r){case"style":g=Xs(t);break;case"script":g=Js(t)}mr.has(g)||(t=b({rel:"preload",href:r==="image"&&o&&o.imageSrcSet?void 0:t,as:r},o),mr.set(g,t),u.querySelector(p)!==null||r==="style"&&u.querySelector(Rl(g))||r==="script"&&u.querySelector(Dl(g))||(r=u.createElement("link"),wn(r,"link",t),Jt(r),u.head.appendChild(r)))}}function CT(t,r){_a.m(t,r);var o=Ys;if(o&&t){var u=r&&typeof r.as=="string"?r.as:"script",p='link[rel="modulepreload"][as="'+jn(u)+'"][href="'+jn(t)+'"]',g=p;switch(u){case"audioworklet":case"paintworklet":case"serviceworker":case"sharedworker":case"worker":case"script":g=Js(t)}if(!mr.has(g)&&(t=b({rel:"modulepreload",href:t},r),mr.set(g,t),o.querySelector(p)===null)){switch(u){case"audioworklet":case"paintworklet":case"serviceworker":case"sharedworker":case"worker":case"script":if(o.querySelector(Dl(g)))return}u=o.createElement("link"),wn(u,"link",t),Jt(u),o.head.appendChild(u)}}}function ET(t,r,o){_a.S(t,r,o);var u=Ys;if(u&&t){var p=Ha(u).hoistableStyles,g=Xs(t);r=r||"default";var w=p.get(g);if(!w){var R={loading:0,preload:null};if(w=u.querySelector(Rl(g)))R.loading=5;else{t=b({rel:"stylesheet",href:t,"data-precedence":r},o),(o=mr.get(g))&&Wp(t,o);var z=w=u.createElement("link");Jt(z),wn(z,"link",t),z._p=new Promise(function(X,re){z.onload=X,z.onerror=re}),z.addEventListener("load",function(){R.loading|=1}),z.addEventListener("error",function(){R.loading|=2}),R.loading|=4,Gu(w,r,u)}w={type:"stylesheet",instance:w,count:1,state:R},p.set(g,w)}}}function _T(t,r){_a.X(t,r);var o=Ys;if(o&&t){var u=Ha(o).hoistableScripts,p=Js(t),g=u.get(p);g||(g=o.querySelector(Dl(p)),g||(t=b({src:t,async:!0},r),(r=mr.get(p))&&Yp(t,r),g=o.createElement("script"),Jt(g),wn(g,"link",t),o.head.appendChild(g)),g={type:"script",instance:g,count:1,state:null},u.set(p,g))}}function AT(t,r){_a.M(t,r);var o=Ys;if(o&&t){var u=Ha(o).hoistableScripts,p=Js(t),g=u.get(p);g||(g=o.querySelector(Dl(p)),g||(t=b({src:t,async:!0,type:"module"},r),(r=mr.get(p))&&Yp(t,r),g=o.createElement("script"),Jt(g),wn(g,"link",t),o.head.appendChild(g)),g={type:"script",instance:g,count:1,state:null},u.set(p,g))}}function qS(t,r,o,u){var p=(p=ie.current)?qu(p):null;if(!p)throw Error(a(446));switch(t){case"meta":case"title":return null;case"style":return typeof o.precedence=="string"&&typeof o.href=="string"?(r=Xs(o.href),o=Ha(p).hoistableStyles,u=o.get(r),u||(u={type:"style",instance:null,count:0,state:null},o.set(r,u)),u):{type:"void",instance:null,count:0,state:null};case"link":if(o.rel==="stylesheet"&&typeof o.href=="string"&&typeof o.precedence=="string"){t=Xs(o.href);var g=Ha(p).hoistableStyles,w=g.get(t);if(w||(p=p.ownerDocument||p,w={type:"stylesheet",instance:null,count:0,state:{loading:0,preload:null}},g.set(t,w),(g=p.querySelector(Rl(t)))&&!g._p&&(w.instance=g,w.state.loading=5),mr.has(t)||(o={rel:"preload",as:"style",href:o.href,crossOrigin:o.crossOrigin,integrity:o.integrity,media:o.media,hrefLang:o.hrefLang,referrerPolicy:o.referrerPolicy},mr.set(t,o),g||xT(p,t,o,w.state))),r&&u===null)throw Error(a(528,""));return w}if(r&&u!==null)throw Error(a(529,""));return null;case"script":return r=o.async,o=o.src,typeof o=="string"&&r&&typeof r!="function"&&typeof r!="symbol"?(r=Js(o),o=Ha(p).hoistableScripts,u=o.get(r),u||(u={type:"script",instance:null,count:0,state:null},o.set(r,u)),u):{type:"void",instance:null,count:0,state:null};default:throw Error(a(444,t))}}function Xs(t){return'href="'+jn(t)+'"'}function Rl(t){return'link[rel="stylesheet"]['+t+"]"}function GS(t){return b({},t,{"data-precedence":t.precedence,precedence:null})}function xT(t,r,o,u){t.querySelector('link[rel="preload"][as="style"]['+r+"]")?u.loading=1:(r=t.createElement("link"),u.preload=r,r.addEventListener("load",function(){return u.loading|=1}),r.addEventListener("error",function(){return u.loading|=2}),wn(r,"link",o),Jt(r),t.head.appendChild(r))}function Js(t){return'[src="'+jn(t)+'"]'}function Dl(t){return"script[async]"+t}function VS(t,r,o){if(r.count++,r.instance===null)switch(r.type){case"style":var u=t.querySelector('style[data-href~="'+jn(o.href)+'"]');if(u)return r.instance=u,Jt(u),u;var p=b({},o,{"data-href":o.href,"data-precedence":o.precedence,href:null,precedence:null});return u=(t.ownerDocument||t).createElement("style"),Jt(u),wn(u,"style",p),Gu(u,o.precedence,t),r.instance=u;case"stylesheet":p=Xs(o.href);var g=t.querySelector(Rl(p));if(g)return r.state.loading|=4,r.instance=g,Jt(g),g;u=GS(o),(p=mr.get(p))&&Wp(u,p),g=(t.ownerDocument||t).createElement("link"),Jt(g);var w=g;return w._p=new Promise(function(R,z){w.onload=R,w.onerror=z}),wn(g,"link",u),r.state.loading|=4,Gu(g,o.precedence,t),r.instance=g;case"script":return g=Js(o.src),(p=t.querySelector(Dl(g)))?(r.instance=p,Jt(p),p):(u=o,(p=mr.get(g))&&(u=b({},o),Yp(u,p)),t=t.ownerDocument||t,p=t.createElement("script"),Jt(p),wn(p,"link",u),t.head.appendChild(p),r.instance=p);case"void":return null;default:throw Error(a(443,r.type))}else r.type==="stylesheet"&&(r.state.loading&4)===0&&(u=r.instance,r.state.loading|=4,Gu(u,o.precedence,t));return r.instance}function Gu(t,r,o){for(var u=o.querySelectorAll('link[rel="stylesheet"][data-precedence],style[data-precedence]'),p=u.length?u[u.length-1]:null,g=p,w=0;w<u.length;w++){var R=u[w];if(R.dataset.precedence===r)g=R;else if(g!==p)break}g?g.parentNode.insertBefore(t,g.nextSibling):(r=o.nodeType===9?o.head:o,r.insertBefore(t,r.firstChild))}function Wp(t,r){t.crossOrigin==null&&(t.crossOrigin=r.crossOrigin),t.referrerPolicy==null&&(t.referrerPolicy=r.referrerPolicy),t.title==null&&(t.title=r.title)}function Yp(t,r){t.crossOrigin==null&&(t.crossOrigin=r.crossOrigin),t.referrerPolicy==null&&(t.referrerPolicy=r.referrerPolicy),t.integrity==null&&(t.integrity=r.integrity)}var Vu=null;function FS(t,r,o){if(Vu===null){var u=new Map,p=Vu=new Map;p.set(o,u)}else p=Vu,u=p.get(o),u||(u=new Map,p.set(o,u));if(u.has(t))return u;for(u.set(t,null),o=o.getElementsByTagName(t),p=0;p<o.length;p++){var g=o[p];if(!(g[Ai]||g[Ht]||t==="link"&&g.getAttribute("rel")==="stylesheet")&&g.namespaceURI!=="http://www.w3.org/2000/svg"){var w=g.getAttribute(r)||"";w=t+w;var R=u.get(w);R?R.push(g):u.set(w,[g])}}return u}function KS(t,r,o){t=t.ownerDocument||t,t.head.insertBefore(o,r==="title"?t.querySelector("head > title"):null)}function TT(t,r,o){if(o===1||r.itemProp!=null)return!1;switch(t){case"meta":case"title":return!0;case"style":if(typeof r.precedence!="string"||typeof r.href!="string"||r.href==="")break;return!0;case"link":if(typeof r.rel!="string"||typeof r.href!="string"||r.href===""||r.onLoad||r.onError)break;return r.rel==="stylesheet"?(t=r.disabled,typeof r.precedence=="string"&&t==null):!0;case"script":if(r.async&&typeof r.async!="function"&&typeof r.async!="symbol"&&!r.onLoad&&!r.onError&&r.src&&typeof r.src=="string")return!0}return!1}function WS(t){return!(t.type==="stylesheet"&&(t.state.loading&3)===0)}function kT(t,r,o,u){if(o.type==="stylesheet"&&(typeof u.media!="string"||matchMedia(u.media).matches!==!1)&&(o.state.loading&4)===0){if(o.instance===null){var p=Xs(u.href),g=r.querySelector(Rl(p));if(g){r=g._p,r!==null&&typeof r=="object"&&typeof r.then=="function"&&(t.count++,t=Fu.bind(t),r.then(t,t)),o.state.loading|=4,o.instance=g,Jt(g);return}g=r.ownerDocument||r,u=GS(u),(p=mr.get(p))&&Wp(u,p),g=g.createElement("link"),Jt(g);var w=g;w._p=new Promise(function(R,z){w.onload=R,w.onerror=z}),wn(g,"link",u),o.instance=g}t.stylesheets===null&&(t.stylesheets=new Map),t.stylesheets.set(o,r),(r=o.state.preload)&&(o.state.loading&3)===0&&(t.count++,o=Fu.bind(t),r.addEventListener("load",o),r.addEventListener("error",o))}}var Xp=0;function RT(t,r){return t.stylesheets&&t.count===0&&Wu(t,t.stylesheets),0<t.count||0<t.imgCount?function(o){var u=setTimeout(function(){if(t.stylesheets&&Wu(t,t.stylesheets),t.unsuspend){var g=t.unsuspend;t.unsuspend=null,g()}},6e4+r);0<t.imgBytes&&Xp===0&&(Xp=62500*cT());var p=setTimeout(function(){if(t.waitingForImages=!1,t.count===0&&(t.stylesheets&&Wu(t,t.stylesheets),t.unsuspend)){var g=t.unsuspend;t.unsuspend=null,g()}},(t.imgBytes>Xp?50:800)+r);return t.unsuspend=o,function(){t.unsuspend=null,clearTimeout(u),clearTimeout(p)}}:null}function Fu(){if(this.count--,this.count===0&&(this.imgCount===0||!this.waitingForImages)){if(this.stylesheets)Wu(this,this.stylesheets);else if(this.unsuspend){var t=this.unsuspend;this.unsuspend=null,t()}}}var Ku=null;function Wu(t,r){t.stylesheets=null,t.unsuspend!==null&&(t.count++,Ku=new Map,r.forEach(DT,t),Ku=null,Fu.call(t))}function DT(t,r){if(!(r.state.loading&4)){var o=Ku.get(t);if(o)var u=o.get(null);else{o=new Map,Ku.set(t,o);for(var p=t.querySelectorAll("link[data-precedence],style[data-precedence]"),g=0;g<p.length;g++){var w=p[g];(w.nodeName==="LINK"||w.getAttribute("media")!=="not all")&&(o.set(w.dataset.precedence,w),u=w)}u&&o.set(null,u)}p=r.instance,w=p.getAttribute("data-precedence"),g=o.get(w)||u,g===u&&o.set(null,p),o.set(w,p),this.count++,u=Fu.bind(this),p.addEventListener("load",u),p.addEventListener("error",u),g?g.parentNode.insertBefore(p,g.nextSibling):(t=t.nodeType===9?t.head:t,t.insertBefore(p,t.firstChild)),r.state.loading|=4}}var Ol={$$typeof:k,Provider:null,Consumer:null,_currentValue:Le,_currentValue2:Le,_threadCount:0};function OT(t,r,o,u,p,g,w,R,z){this.tag=1,this.containerInfo=t,this.pingCache=this.current=this.pendingChildren=null,this.timeoutHandle=-1,this.callbackNode=this.next=this.pendingContext=this.context=this.cancelPendingCommit=null,this.callbackPriority=0,this.expirationTimes=Re(-1),this.entangledLanes=this.shellSuspendCounter=this.errorRecoveryDisabledLanes=this.expiredLanes=this.warmLanes=this.pingedLanes=this.suspendedLanes=this.pendingLanes=0,this.entanglements=Re(0),this.hiddenUpdates=Re(null),this.identifierPrefix=u,this.onUncaughtError=p,this.onCaughtError=g,this.onRecoverableError=w,this.pooledCache=null,this.pooledCacheLanes=0,this.formState=z,this.incompleteTransitions=new Map}function YS(t,r,o,u,p,g,w,R,z,X,re,le){return t=new OT(t,r,o,w,z,X,re,le,R),r=1,g===!0&&(r|=24),g=Yn(3,null,null,r),t.current=g,g.stateNode=t,r=Rh(),r.refCount++,t.pooledCache=r,r.refCount++,g.memoizedState={element:u,isDehydrated:o,cache:r},Mh(g),t}function XS(t){return t?(t=ks,t):ks}function JS(t,r,o,u,p,g){p=XS(p),u.context===null?u.context=p:u.pendingContext=p,u=Ja(r),u.payload={element:o},g=g===void 0?null:g,g!==null&&(u.callback=g),o=Qa(t,u,r),o!==null&&(Bn(o,t,r),cl(o,t,r))}function QS(t,r){if(t=t.memoizedState,t!==null&&t.dehydrated!==null){var o=t.retryLane;t.retryLane=o!==0&&o<r?o:r}}function Jp(t,r){QS(t,r),(t=t.alternate)&&QS(t,r)}function ZS(t){if(t.tag===13||t.tag===31){var r=zi(t,67108864);r!==null&&Bn(r,t,67108864),Jp(t,67108864)}}function ew(t){if(t.tag===13||t.tag===31){var r=er();r=tt(r);var o=zi(t,r);o!==null&&Bn(o,t,r),Jp(t,r)}}var Yu=!0;function LT(t,r,o,u){var p=J.T;J.T=null;var g=fe.p;try{fe.p=2,Qp(t,r,o,u)}finally{fe.p=g,J.T=p}}function MT(t,r,o,u){var p=J.T;J.T=null;var g=fe.p;try{fe.p=8,Qp(t,r,o,u)}finally{fe.p=g,J.T=p}}function Qp(t,r,o,u){if(Yu){var p=Zp(u);if(p===null)Hp(t,r,u,Xu,o),nw(t,u);else if(NT(p,t,r,o,u))u.stopPropagation();else if(nw(t,u),r&4&&-1<$T.indexOf(t)){for(;p!==null;){var g=Fr(p);if(g!==null)switch(g.tag){case 3:if(g=g.stateNode,g.current.memoizedState.isDehydrated){var w=Ee(g.pendingLanes);if(w!==0){var R=g;for(R.pendingLanes|=2,R.entangledLanes|=2;w;){var z=1<<31-on(w);R.entanglements[1]|=z,w&=~z}Jr(g),(vt&6)===0&&(Lu=qt()+500,Al(0))}}break;case 31:case 13:R=zi(g,2),R!==null&&Bn(R,g,2),$u(),Jp(g,2)}if(g=Zp(u),g===null&&Hp(t,r,u,Xu,o),g===p)break;p=g}p!==null&&u.stopPropagation()}else Hp(t,r,u,null,o)}}function Zp(t){return t=Go(t),eg(t)}var Xu=null;function eg(t){if(Xu=null,t=ja(t),t!==null){var r=l(t);if(r===null)t=null;else{var o=r.tag;if(o===13){if(t=c(r),t!==null)return t;t=null}else if(o===31){if(t=d(r),t!==null)return t;t=null}else if(o===3){if(r.stateNode.current.memoizedState.isDehydrated)return r.tag===3?r.stateNode.containerInfo:null;t=null}else r!==t&&(t=null)}}return Xu=t,null}function tw(t){switch(t){case"beforetoggle":case"cancel":case"click":case"close":case"contextmenu":case"copy":case"cut":case"auxclick":case"dblclick":case"dragend":case"dragstart":case"drop":case"focusin":case"focusout":case"input":case"invalid":case"keydown":case"keypress":case"keyup":case"mousedown":case"mouseup":case"paste":case"pause":case"play":case"pointercancel":case"pointerdown":case"pointerup":case"ratechange":case"reset":case"resize":case"seeked":case"submit":case"toggle":case"touchcancel":case"touchend":case"touchstart":case"volumechange":case"change":case"selectionchange":case"textInput":case"compositionstart":case"compositionend":case"compositionupdate":case"beforeblur":case"afterblur":case"beforeinput":case"blur":case"fullscreenchange":case"focus":case"hashchange":case"popstate":case"select":case"selectstart":return 2;case"drag":case"dragenter":case"dragexit":case"dragleave":case"dragover":case"mousemove":case"mouseout":case"mouseover":case"pointermove":case"pointerout":case"pointerover":case"scroll":case"touchmove":case"wheel":case"mouseenter":case"mouseleave":case"pointerenter":case"pointerleave":return 8;case"message":switch(_i()){case aa:return 2;case gn:return 8;case Rn:case nt:return 32;case Nn:return 268435456;default:return 32}default:return 32}}var tg=!1,ci=null,ui=null,di=null,Ll=new Map,Ml=new Map,fi=[],$T="mousedown mouseup touchcancel touchend touchstart auxclick dblclick pointercancel pointerdown pointerup dragend dragstart drop compositionend compositionstart keydown keypress keyup input textInput copy cut paste click change contextmenu reset".split(" ");function nw(t,r){switch(t){case"focusin":case"focusout":ci=null;break;case"dragenter":case"dragleave":ui=null;break;case"mouseover":case"mouseout":di=null;break;case"pointerover":case"pointerout":Ll.delete(r.pointerId);break;case"gotpointercapture":case"lostpointercapture":Ml.delete(r.pointerId)}}function $l(t,r,o,u,p,g){return t===null||t.nativeEvent!==g?(t={blockedOn:r,domEventName:o,eventSystemFlags:u,nativeEvent:g,targetContainers:[p]},r!==null&&(r=Fr(r),r!==null&&ZS(r)),t):(t.eventSystemFlags|=u,r=t.targetContainers,p!==null&&r.indexOf(p)===-1&&r.push(p),t)}function NT(t,r,o,u,p){switch(r){case"focusin":return ci=$l(ci,t,r,o,u,p),!0;case"dragenter":return ui=$l(ui,t,r,o,u,p),!0;case"mouseover":return di=$l(di,t,r,o,u,p),!0;case"pointerover":var g=p.pointerId;return Ll.set(g,$l(Ll.get(g)||null,t,r,o,u,p)),!0;case"gotpointercapture":return g=p.pointerId,Ml.set(g,$l(Ml.get(g)||null,t,r,o,u,p)),!0}return!1}function rw(t){var r=ja(t.target);if(r!==null){var o=l(r);if(o!==null){if(r=o.tag,r===13){if(r=c(o),r!==null){t.blockedOn=r,Dn(t.priority,function(){ew(o)});return}}else if(r===31){if(r=d(o),r!==null){t.blockedOn=r,Dn(t.priority,function(){ew(o)});return}}else if(r===3&&o.stateNode.current.memoizedState.isDehydrated){t.blockedOn=o.tag===3?o.stateNode.containerInfo:null;return}}}t.blockedOn=null}function Ju(t){if(t.blockedOn!==null)return!1;for(var r=t.targetContainers;0<r.length;){var o=Zp(t.nativeEvent);if(o===null){o=t.nativeEvent;var u=new o.constructor(o.type,o);qo=u,o.target.dispatchEvent(u),qo=null}else return r=Fr(o),r!==null&&ZS(r),t.blockedOn=o,!1;r.shift()}return!0}function aw(t,r,o){Ju(t)&&o.delete(r)}function IT(){tg=!1,ci!==null&&Ju(ci)&&(ci=null),ui!==null&&Ju(ui)&&(ui=null),di!==null&&Ju(di)&&(di=null),Ll.forEach(aw),Ml.forEach(aw)}function Qu(t,r){t.blockedOn===r&&(t.blockedOn=null,tg||(tg=!0,s.unstable_scheduleCallback(s.unstable_NormalPriority,IT)))}var Zu=null;function iw(t){Zu!==t&&(Zu=t,s.unstable_scheduleCallback(s.unstable_NormalPriority,function(){Zu===t&&(Zu=null);for(var r=0;r<t.length;r+=3){var o=t[r],u=t[r+1],p=t[r+2];if(typeof u!="function"){if(eg(u||o)===null)continue;break}var g=Fr(o);g!==null&&(t.splice(r,3),r-=3,Zh(g,{pending:!0,data:p,method:o.method,action:u},u,p))}}))}function Qs(t){function r(z){return Qu(z,t)}ci!==null&&Qu(ci,t),ui!==null&&Qu(ui,t),di!==null&&Qu(di,t),Ll.forEach(r),Ml.forEach(r);for(var o=0;o<fi.length;o++){var u=fi[o];u.blockedOn===t&&(u.blockedOn=null)}for(;0<fi.length&&(o=fi[0],o.blockedOn===null);)rw(o),o.blockedOn===null&&fi.shift();if(o=(t.ownerDocument||t).$$reactFormReplay,o!=null)for(u=0;u<o.length;u+=3){var p=o[u],g=o[u+1],w=p[An]||null;if(typeof g=="function")w||iw(o);else if(w){var R=null;if(g&&g.hasAttribute("formAction")){if(p=g,w=g[An]||null)R=w.formAction;else if(eg(p)!==null)continue}else R=w.action;typeof R=="function"?o[u+1]=R:(o.splice(u,3),u-=3),iw(o)}}}function sw(){function t(g){g.canIntercept&&g.info==="react-transition"&&g.intercept({handler:function(){return new Promise(function(w){return p=w})},focusReset:"manual",scroll:"manual"})}function r(){p!==null&&(p(),p=null),u||setTimeout(o,20)}function o(){if(!u&&!navigation.transition){var g=navigation.currentEntry;g&&g.url!=null&&navigation.navigate(g.url,{state:g.getState(),info:"react-transition",history:"replace"})}}if(typeof navigation=="object"){var u=!1,p=null;return navigation.addEventListener("navigate",t),navigation.addEventListener("navigatesuccess",r),navigation.addEventListener("navigateerror",r),setTimeout(o,100),function(){u=!0,navigation.removeEventListener("navigate",t),navigation.removeEventListener("navigatesuccess",r),navigation.removeEventListener("navigateerror",r),p!==null&&(p(),p=null)}}}function ng(t){this._internalRoot=t}ed.prototype.render=ng.prototype.render=function(t){var r=this._internalRoot;if(r===null)throw Error(a(409));var o=r.current,u=er();JS(o,u,t,r,null,null)},ed.prototype.unmount=ng.prototype.unmount=function(){var t=this._internalRoot;if(t!==null){this._internalRoot=null;var r=t.containerInfo;JS(t.current,2,null,t,null,null),$u(),r[Ia]=null}};function ed(t){this._internalRoot=t}ed.prototype.unstable_scheduleHydration=function(t){if(t){var r=Mt();t={blockedOn:null,target:t,priority:r};for(var o=0;o<fi.length&&r!==0&&r<fi[o].priority;o++);fi.splice(o,0,t),o===0&&rw(t)}};var ow=e.version;if(ow!=="19.2.6")throw Error(a(527,ow,"19.2.6"));fe.findDOMNode=function(t){var r=t._reactInternals;if(r===void 0)throw typeof t.render=="function"?Error(a(188)):(t=Object.keys(t).join(","),Error(a(268,t)));return t=h(r),t=t!==null?m(t):null,t=t===null?null:t.stateNode,t};var jT={bundleType:0,version:"19.2.6",rendererPackageName:"react-dom",currentDispatcherRef:J,reconcilerVersion:"19.2.6"};if(typeof __REACT_DEVTOOLS_GLOBAL_HOOK__<"u"){var td=__REACT_DEVTOOLS_GLOBAL_HOOK__;if(!td.isDisabled&&td.supportsFiber)try{or=td.inject(jT),sn=td}catch{}}return Zs.createRoot=function(t,r){if(!i(t))throw Error(a(299));var o=!1,u="",p=pv,g=gv,w=mv;return r!=null&&(r.unstable_strictMode===!0&&(o=!0),r.identifierPrefix!==void 0&&(u=r.identifierPrefix),r.onUncaughtError!==void 0&&(p=r.onUncaughtError),r.onCaughtError!==void 0&&(g=r.onCaughtError),r.onRecoverableError!==void 0&&(w=r.onRecoverableError)),r=YS(t,1,!1,null,null,o,u,null,p,g,w,sw),t[Ia]=r.current,jp(t),new ng(r)},Zs.hydrateRoot=function(t,r,o){if(!i(t))throw Error(a(299));var u=!1,p="",g=pv,w=gv,R=mv,z=null;return o!=null&&(o.unstable_strictMode===!0&&(u=!0),o.identifierPrefix!==void 0&&(p=o.identifierPrefix),o.onUncaughtError!==void 0&&(g=o.onUncaughtError),o.onCaughtError!==void 0&&(w=o.onCaughtError),o.onRecoverableError!==void 0&&(R=o.onRecoverableError),o.formState!==void 0&&(z=o.formState)),r=YS(t,1,!0,r,o??null,u,p,z,g,w,R,sw),r.context=XS(null),o=r.current,u=er(),u=tt(u),p=Ja(u),p.callback=null,Qa(o,p,u),o=u,r.current.lanes=o,et(r,o),Jr(r),t[Ia]=r.current,jp(t),new ed(r)},Zs.version="19.2.6",Zs}var dg;function mw(){if(dg)return ad.exports;dg=1;function s(){if(!(typeof __REACT_DEVTOOLS_GLOBAL_HOOK__>"u"||typeof __REACT_DEVTOOLS_GLOBAL_HOOK__.checkDCE!="function"))try{__REACT_DEVTOOLS_GLOBAL_HOOK__.checkDCE(s)}catch(e){console.error(e)}}return s(),ad.exports=gw(),ad.exports}var ld=mw();const cd=Zr(ld),eo=[],yw=50;let ud=!1;function fg(){try{return window.G7Core?.devTools}catch{return}}function Qi(s,e,n){const a=fg();if(ud&&a?.isEnabled?.()){a.trackLog?.(s,e,n);return}ud||(s==="error"||s==="warn")&&eo.length<yw&&eo.push({level:s,prefix:e,args:n,timestamp:Date.now()})}function dd(){ud=!0;const s=fg();if(!s?.isEnabled?.()){eo.length=0;return}for(const e of eo)s.trackLog?.(e.level,e.prefix,e.args);eo.length=0}const wi=class wi{constructor(){$(this,"debug");$(this,"prefix","[TemplateEngine]");this.debug=!1}static getInstance(){return wi.instance||(wi.instance=new wi),wi.instance}setDebug(e){this.debug=e}isDebugEnabled(){return this.debug}log(...e){this.debug&&console.log(this.prefix,...e),Qi("log","TemplateEngine",e)}error(...e){this.debug&&console.error(this.prefix,...e),Qi("error","TemplateEngine",e)}warn(...e){this.debug&&console.warn(this.prefix,...e),Qi("warn","TemplateEngine",e)}};$(wi,"instance");let to=wi;function dt(s){const e=`[${s}]`,n=to.getInstance();return{log:(...a)=>{n.isDebugEnabled()&&console.log(e,...a),Qi("log",s,a)},warn:(...a)=>{n.isDebugEnabled()&&console.warn(e,...a),Qi("warn",s,a)},error:(...a)=>{n.isDebugEnabled()&&console.error(e,...a),Qi("error",s,a)}}}to.getInstance();const Zi=dt("networkResilience"),hg=2,pg=300,gg=2e3,bw=15e3;function fd(s){return s?.name==="AbortError"}function mg(s){return fd(s)?!1:s instanceof TypeError}let Nl=!1,yg=!1;function hd(){return Nl}function vw(){typeof window>"u"||yg||(yg=!0,window.addEventListener("pagehide",()=>{Nl=!0}),window.addEventListener("pageshow",s=>{s.persisted&&(Nl=!1)}),window.addEventListener("beforeunload",()=>{Nl=!0}))}function bg(s,e,n){const a=Math.min(e*Math.pow(2,s),n),i=a*.25*(Math.random()*2-1);return Math.max(0,Math.round(a+i))}function vg(s){return new Promise(e=>setTimeout(e,s))}async function Il(s,e={}){const{retries:n=hg,baseDelayMs:a=pg,maxDelayMs:i=gg,timeoutMs:l=bw,label:c=s,init:d}=e,f=n+1;let h;for(let m=0;m<f;m++){let b=!1,S;const v=l>0?new AbortController:null;try{const _={...d};if(v){const x=d?.signal;x&&(x.aborted?v.abort():x.addEventListener("abort",()=>v.abort(),{once:!0})),_.signal=v.signal,S=setTimeout(()=>{b=!0,v.abort()},l)}return await fetch(s,_)}catch(_){if(h=_,fd(_)&&!b||!(b||mg(_)))throw _;if(hd())throw Zi.warn(`Document unloading, aborting retries: ${c}`),_;if(m===f-1)throw Zi.warn(`All ${f} attempts failed: ${c}`,_),_;const L=bg(m,a,i);Zi.warn(`Network failure (attempt ${m+1}/${f}), retrying in ${L}ms: ${c}`),await vg(L)}finally{S!==void 0&&clearTimeout(S)}}throw h}async function Sg(s,e={},n={}){const{retries:a=hg,baseDelayMs:i=pg,maxDelayMs:l=gg,label:c=s}=n,d=a+1;for(let f=0;f<d;f++)try{await Sw(s,e);return}catch(h){if(e.id&&document.getElementById(e.id)?.remove(),hd())throw Zi.warn(`Document unloading, aborting script retries: ${c}`),h;if(f===d-1)throw Zi.warn(`All ${d} script attempts failed: ${c}`),h;const b=bg(f,i,l);Zi.warn(`Script load failed (attempt ${f+1}/${d}), retrying in ${b}ms: ${c}`),await vg(b)}}function Sw(s,e){return new Promise((n,a)=>{const i=document.createElement("script");i.src=s,i.async=!1;for(const[l,c]of Object.entries(e))l==="id"?i.id=c:i.setAttribute(l,c);i.onload=()=>n(),i.onerror=()=>a(new Error(`Failed to load script: ${s}`)),document.head.appendChild(i)})}const wg="extension",es="extensionless",ww="file";function Cw(){const s=globalThis?.G7Config;if(globalThis?.__g7AssetUrlMode===es)return es;const n=s?.assetUrlMode;return n===es||n===wg?n:s?.settings?.general?.asset_url_mode===es?es:wg}function Cg(){return Cw()===es}function Ir(s,e,n,a){const i=s.replace(/\/+$/,""),l=e.replace(/^\.+/,""),c=Cg()?i:`${i}.${l}`,d=[];return a&&d.push(a.replace(/^[?&]+/,"")),n!=null&&n!==""&&d.push(`v=${n}`),d.length>0?`${c}?${d.join("&")}`:c}function Aa(s){if(!s||!Cg())return s;const e=globalThis?.location?.origin,n=e&&s.startsWith(e)?s.slice(e.length):s;if(!n.startsWith("/api/"))return s;const[a,i]=Ew(n),l=a.match(/^\/api\/(modules|plugins)\/bundle\.(js|css)$/);if(l)return Eg(`/api/${l[1]}/bundle/${l[2]}`,i);const c=a.match(/^\/api\/(templates|modules|plugins)\/assets\/([^/]+)\/(.+)$/);if(c){const[,f,h,m]=c,b=`${ww}=${encodeURIComponent(decodeURIComponent(m))}`;return`/api/${f}/assets/${h}?${b}${i?`&${i}`:""}`}const d=a.match(/^(\/api\/.+)\.(json|js|css)$/);return d?Eg(d[1],i):s}function Ew(s){const e=s.indexOf("?");return e===-1?[s,""]:[s.slice(0,e),s.slice(e+1)]}function Eg(s,e){return e?`${s}?${e}`:s}const jr=dt("ComponentRegistry");class un extends Error{constructor(n,a,i){super(n);$(this,"code");$(this,"details");this.code=a,this.details=i,this.name="ComponentRegistryError"}}const Fn=class Fn{constructor(){$(this,"registry",{});$(this,"manifest",null);$(this,"loadingState","idle");$(this,"error",null);$(this,"templateId",null);$(this,"templateType",null)}static getInstance(){return Fn.instance||(Fn.instance=new Fn),Fn.instance}static createIsolatedInstance(){return new Fn}static resetInstance(){Fn.instance=null}async loadComponents(e,n){if(this.loadingState==="loading")throw new un("Components are already being loaded","LOADING_IN_PROGRESS");if(this.loadingState==="loaded"&&this.templateId===e&&this.templateType===n){jr.log("Components already loaded for template:",e,n);return}this.loadingState="loading",this.templateId=e,this.templateType=n,this.error=null;try{await this.loadManifest(),await this.loadComponentBundle(),this.loadingState="loaded",jr.log("Successfully loaded components:",Object.keys(this.registry).length)}catch(a){throw this.loadingState="error",this.error=a instanceof Error?a:new Error(String(a)),new un(`Failed to load components: ${this.error.message}`,"LOAD_FAILED",{originalError:this.error})}}async loadManifest(){try{if(!this.templateId)throw new un("Template ID not set","TEMPLATE_ID_NOT_SET");const e=`${this.templateId}:${this.templateType}`;if(Fn.manifestCache.has(e)){this.manifest=Fn.manifestCache.get(e),jr.log("Manifest loaded from cache:",this.manifest.templateId);return}const n=Ir(`/api/templates/${this.templateId}/components`,"json"),a=await Il(n,{label:"components.json"});if(!a.ok)throw new un(`Failed to fetch manifest: ${a.status} ${a.statusText}`,"MANIFEST_FETCH_FAILED",{status:a.status,statusText:a.statusText});const i=await a.json();this.validateManifest(i),this.manifest=i,Fn.manifestCache.set(e,i),jr.log("Manifest loaded and cached:",i.templateId)}catch(e){throw e instanceof un?e:new un("Failed to load component manifest","MANIFEST_LOAD_FAILED",{originalError:e})}}validateManifest(e){if(!e.version)throw new un("Manifest missing required field: version","MANIFEST_INVALID",{field:"version"});if(!e.templateId)throw new un("Manifest missing required field: templateId","MANIFEST_INVALID",{field:"templateId"});if(!e.components||typeof e.components!="object")throw new un("Manifest missing required field: components","MANIFEST_INVALID",{field:"components"});const n=["basic","composite","layout"];for(const a of n){if(!Array.isArray(e.components[a]))throw new un(`Manifest field 'components.${a}' must be an array`,"MANIFEST_INVALID",{field:`components.${a}`,value:e.components[a]});e.components[a].forEach((i,l)=>{if(!i.name||typeof i.name!="string")throw new un(`Invalid component metadata at ${a}[${l}]: missing or invalid 'name'`,"MANIFEST_INVALID",{type:a,index:l,metadata:i});if(!i.type||typeof i.type!="string")throw new un(`Invalid component metadata at ${a}[${l}]: missing or invalid 'type'`,"MANIFEST_INVALID",{type:a,index:l,metadata:i})})}jr.log("Manifest validation passed")}async loadComponentBundle(){try{if(!this.templateId)throw new un("Template ID not set","TEMPLATE_ID_NOT_SET");const e=this.getGlobalVariableName(),n=window[e];if(!n||typeof n!="object")throw new un(`Component bundle not loaded. Expected global variable: ${e}. Ensure admin.blade.php includes the IIFE bundle script.`,"BUNDLE_NOT_LOADED",{expectedVariable:e});await this.registerComponentsFromManifest(n),jr.log("Component bundle loaded from global variable:",e)}catch(e){throw e instanceof un?e:new un("Failed to load component bundle","BUNDLE_LOAD_FAILED",{originalError:e})}}getGlobalVariableName(){if(!this.templateId)throw new un("Template ID not set","TEMPLATE_ID_NOT_SET");return this.templateId.split(/[-_]/).map(e=>e.charAt(0).toUpperCase()+e.slice(1).toLowerCase()).join("")}async registerComponentsFromManifest(e){if(!this.manifest)throw new un("Manifest not loaded","MANIFEST_NOT_LOADED");const n=["basic","composite","layout"];for(const a of n){const i=this.manifest.components[a]||[];for(const l of i){const c=l.name,d=e[c];if(!d){jr.warn(`Component '${c}' not found in bundle`);continue}this.registerComponent(c,d,l)}}}registerComponent(e,n,a){this.registry[e]&&jr.warn(`Component '${e}' already registered, overwriting`);const i=Ye.memo(n);this.registry[e]={component:i,metadata:a},jr.log(`[ComponentRegistry] Registered component: ${e} (${a.type})`)}getComponent(e){const n=this.registry[e];return n?n.component:null}getMetadata(e){const n=this.registry[e];return n?n.metadata:null}hasComponent(e){return e in this.registry}getComponentsByType(e){return Object.entries(this.registry).filter(([n,a])=>a.metadata.type===e).map(([n,a])=>n)}getAllComponents(){return Object.keys(this.registry)}getComponentMap(){const e={};for(const[n,a]of Object.entries(this.registry))e[n]=a.component;return e}getLoadingState(){return this.loadingState}getError(){return this.error}getTemplateId(){return this.templateId}getManifest(){return this.manifest}clear(){this.registry={},this.manifest=null,this.loadingState="idle",this.error=null,this.templateId=null,this.templateType=null,jr.log("Registry cleared")}};$(Fn,"instance",null),$(Fn,"manifestCache",new Map);let yr=Fn;const _g=dt("TranslationEngine");class pd extends Error{constructor(n,a,i){super(n);$(this,"key");$(this,"locale");this.key=a,this.locale=i,this.name="TranslationError"}}const $n=class $n{constructor(e={}){$(this,"cache",new Map);$(this,"translations",new Map);$(this,"options");$(this,"cacheVersion",0);this.options={defaultLocale:e.defaultLocale||"ko",fallbackLocale:e.fallbackLocale||"en",cacheTTL:e.cacheTTL||3e5}}static getInstance(e={}){return $n.instance||($n.instance=new $n(e)),$n.instance}static resetInstance(){$n.instance=null}setCacheVersion(e){this.cacheVersion!==e&&(_g.log("Cache version updated:",this.cacheVersion,"->",e),this.cacheVersion=e,this.cache.clear())}getCacheVersion(){return this.cacheVersion}async loadTranslations(e,n,a="/api",i=!1){const l=`${e}:${n}`;if(!i){const c=this.getFromCache(l);if(c)return this.translations.set(l,c),c}try{const c=[];i&&c.push(`_=${Date.now()}`);const d=Ir(`${a}/templates/${e}/lang/${n}`,"json",this.cacheVersion>0?this.cacheVersion:null,c.length>0?c.join("&"):void 0),f=await fetch(d);if(!f.ok)throw new pd(`Failed to load translations: ${f.statusText}`,void 0,n);const m=await f.json();return this.saveToCache(l,m),this.translations.set(l,m),m}catch(c){throw new pd(`Failed to fetch translations for ${n}: ${c instanceof Error?c.message:String(c)}`,void 0,n)}}resolveTranslations(e,n,a){let i=e;const l=5;let c=0;for(;c<l&&i.includes("=$t:");){const d=i;if(i=i.replace($n.NESTED_TRANSLATION_PARAM_PATTERN,(f,h,m)=>"="+this.translate(m,n,void 0,a)),i===d)break;c++}return i.replace($n.TRANSLATION_PATTERN,(d,f,h)=>{const{cleanedParams:m,trailing:b}=this.separateTrailingText(h);return this.translate(f,n,m,a)+b})}translate(e,n,a,i){const l=this.getTranslation(e,n),c=a&&this.cleanParamsStr(a);if(c){const d=this.parseParams(c,i);return this.replaceParams(l,d)}return l}getTranslation(e,n){const{templateId:a,locale:i}=n,l=`${a}:${i}`,c=this.translations.get(l);if(c){const d=this.getNestedValue(c,e);if(d!==null)return d}if(i!==this.options.fallbackLocale){const d=`${a}:${this.options.fallbackLocale}`,f=this.translations.get(d);if(f){const h=this.getNestedValue(f,e);if(h!==null)return h}}return e}getNestedValue(e,n){const a=n.split(".");let i=e;for(const l of a){if(i==null||typeof i!="object")return null;i=i[l]}return typeof i=="string"?i:null}setTranslationValue(e,n,a,i){const l=`${e}:${n}`,c=this.translations.get(l)??{},d=a.split(".");let f=c;for(let h=0;h<d.length-1;h+=1){const m=d[h],b=f[m];(b==null||typeof b!="object"||Array.isArray(b))&&(f[m]={}),f=f[m]}f[d[d.length-1]]=i,this.translations.set(l,c)}parseParams(e,n){const a={},i=e.startsWith("|")?e.slice(1):e,l=[],d=i.replace(/\{\{(?:[^}]|\}(?!\}))*\}\}/g,f=>(l.push(f),`__PLACEHOLDER_${l.length-1}__`)).matchAll($n.PARAM_PATTERN);for(const f of d){const[,h,m]=f,b=m.replace(/__PLACEHOLDER_(\d+)__/g,(S,v)=>l[parseInt(v,10)]);a[h.trim()]=this.resolveParamValue(b.trim(),n)}return a}resolveParamValue(e,n){if(e.startsWith("{{")&&e.endsWith("}}")){const a=e.slice(2,-2).trim();if(/[|&()[\]!?:+\-*/%<>=\s]/.test(a)&&n)try{const l=Dd.evaluateExpression(a,n);return String(l??"")}catch(l){return _g.error("Expression evaluation failed:",a,l),""}else{const l=this.getNestedDataValue(n,a);return String(l??"")}}return e}separateTrailingText(e){if(!e)return{cleanedParams:void 0,trailing:""};if(e.trimEnd().endsWith("}}"))return{cleanedParams:e,trailing:""};if(!(e.startsWith("|")?e.slice(1):e).includes("="))return{cleanedParams:void 0,trailing:e};const a=e.match(/(\s+[^\p{L}\w=|&\s][^\p{L}\w=]*\s*)$/u);return a?{cleanedParams:e.slice(0,-a[1].length),trailing:a[1]}:{cleanedParams:e,trailing:""}}cleanParamsStr(e){return this.separateTrailingText(e).cleanedParams||""}getNestedDataValue(e,n){if(!e)return;const a=n.split(".");let i=e;for(const l of a){if(i==null)return;i=i[l]}return i}replaceParams(e,n){let a=e;for(const[i,l]of Object.entries(n)){const c=new RegExp(`\\{\\{${i}\\}\\}`,"g");a=a.replace(c,String(l));const d=new RegExp(`\\{${i}\\}`,"g");a=a.replace(d,String(l))}return a}getFromCache(e){const n=this.cache.get(e);return n?Date.now()-n.timestamp>this.options.cacheTTL?(this.cache.delete(e),null):n.data:null}saveToCache(e,n){this.cache.set(e,{data:n,timestamp:Date.now()})}clearCache(){this.cache.clear(),this.translations.clear()}pruneCache(){const e=Date.now(),n=[];for(const[a,i]of this.cache.entries())e-i.timestamp>this.options.cacheTTL&&n.push(a);for(const a of n)this.cache.delete(a)}getCacheStats(){const e=Date.now();let n=0;for(const a of this.cache.values())e-a.timestamp>this.options.cacheTTL&&n++;return{size:this.cache.size,expired:n}}};$($n,"instance",null),$($n,"TRANSLATION_PATTERN",/\$t:(?:defer:)?([a-zA-Z0-9._-]+)(\|(?:(?!\$t:).)+)?/g),$($n,"NESTED_TRANSLATION_PARAM_PATTERN",/=(\$t:([a-zA-Z0-9._-]+))(?=[|&\s]|$)/g),$($n,"PARAM_PATTERN",/([^=|&]+)=([^|&]+)/g);let xa=$n,gd=null;function _w(s){return gd||(gd=new xa(s)),gd}const Ag=Object.freeze(Object.defineProperty({__proto__:null,TranslationEngine:xa,TranslationError:pd,getTranslationEngine:_w},Symbol.toStringTag,{value:"Module"})),ts=dt("PipeRegistry");function xg(s,e){const n=s.getFullYear(),a=String(s.getMonth()+1).padStart(2,"0"),i=String(s.getDate()).padStart(2,"0"),l=String(s.getHours()).padStart(2,"0"),c=String(s.getMinutes()).padStart(2,"0"),d=String(s.getSeconds()).padStart(2,"0");return e.replace("YYYY",String(n)).replace("YY",String(n).slice(-2)).replace("MM",a).replace("M",String(s.getMonth()+1)).replace("DD",i).replace("D",String(s.getDate())).replace("HH",l).replace("H",String(s.getHours())).replace("mm",c).replace("m",String(s.getMinutes())).replace("ss",d).replace("s",String(s.getSeconds()))}function Aw(s,e="ko"){const a=new Date().getTime()-s.getTime(),i=Math.floor(a/1e3),l=Math.floor(i/60),c=Math.floor(l/60),d=Math.floor(c/24),f=Math.floor(d/7),h=Math.floor(d/30),m=Math.floor(d/365);return e==="ko"?i<60?"방금 전":l<60?`${l}분 전`:c<24?`${c}시간 전`:d<7?`${d}일 전`:f<4?`${f}주 전`:h<12?`${h}개월 전`:`${m}년 전`:i<60?"just now":l<60?`${l} minute${l===1?"":"s"} ago`:c<24?`${c} hour${c===1?"":"s"} ago`:d<7?`${d} day${d===1?"":"s"} ago`:f<4?`${f} week${f===1?"":"s"} ago`:h<12?`${h} month${h===1?"":"s"} ago`:`${m} year${m===1?"":"s"} ago`}function md(s){if(s==null)return null;if(s instanceof Date)return s;if(typeof s=="number")return new Date(s);if(typeof s=="string"){const e=new Date(s);return isNaN(e.getTime())?null:e}return null}const no={date:{fn:(s,e="YYYY-MM-DD")=>{const n=md(s);return n?xg(n,e):""},description:"날짜 포맷 (기본: YYYY-MM-DD)"},datetime:{fn:(s,e="YYYY-MM-DD HH:mm")=>{const n=md(s);return n?xg(n,e):""},description:"날짜+시간 포맷 (기본: YYYY-MM-DD HH:mm)"},relativeTime:{fn:(s,e="ko")=>{const n=md(s);return n?Aw(n,e):""},description:'상대 시간 표시 (예: "3분 전")'},number:{fn:(s,e)=>{const n=Number(s);if(isNaN(n))return String(s??"");const a={};return e!==void 0&&(a.minimumFractionDigits=e,a.maximumFractionDigits=e),n.toLocaleString(void 0,a)},description:"숫자 포맷 (천단위 구분, 선택적 소수점)"},truncate:{fn:(s,e=100,n="...")=>typeof s!="string"?String(s??""):s.length<=e?s:s.slice(0,e)+n,description:'문자열 자르기 (기본: 100자, 접미사: "...")'},uppercase:{fn:s=>typeof s!="string"?String(s??""):s.toUpperCase(),description:"대문자 변환"},lowercase:{fn:s=>typeof s!="string"?String(s??""):s.toLowerCase(),description:"소문자 변환"},stripHtml:{fn:s=>typeof s!="string"?String(s??""):s.replace(/<[^>]*>/g,""),description:"HTML 태그 제거"},default:{fn:(s,e="")=>s==null||s===""?e:s,description:"기본값 설정 (null, undefined, 빈문자열 시)"},fallback:{fn:(s,e)=>s??e,description:"폴백 값 설정 (null, undefined 시만)"},first:{fn:s=>{if(Array.isArray(s))return s[0]},description:"배열의 첫 번째 요소"},last:{fn:s=>{if(Array.isArray(s))return s[s.length-1]},description:"배열의 마지막 요소"},join:{fn:(s,e=", ")=>Array.isArray(s)?s.join(e):"",description:'배열을 문자열로 결합 (기본 구분자: ", ")'},length:{fn:s=>Array.isArray(s)||typeof s=="string"?s.length:0,description:"배열/문자열 길이"},filterBy:{fn:(s,e,n)=>Array.isArray(s)?Array.isArray(e)?s.filter(a=>{const i=n?a?.[n]:a;return e.includes(i)}):s:[],description:"배열 필터링 (allowList에 포함된 항목만 반환)"},keys:{fn:s=>s==null||typeof s!="object"?[]:Object.keys(s),description:"객체의 키 배열"},values:{fn:s=>s==null||typeof s!="object"?[]:Object.values(s),description:"객체의 값 배열"},json:{fn:(s,e)=>{try{return JSON.stringify(s,null,e)}catch{return""}},description:"JSON 문자열로 변환"},localized:{fn:(s,e)=>s==null?"":typeof s=="string"?s:typeof s!="object"?String(s):s[e||"ko"]||s.ko||s.en||Object.values(s)[0]||"",description:"다국어 객체에서 로케일에 맞는 값 추출"}},ns=new Map,Ci=class Ci{static getInstance(){return Ci.instance||(Ci.instance=new Ci),Ci.instance}register(e,n,a){if(no[e]){ts.warn(`[PipeRegistry] 내장 파이프를 덮어쓸 수 없습니다: ${e}`);return}ns.set(e,{fn:n,description:a}),ts.log(`[PipeRegistry] 커스텀 파이프 등록됨: ${e}`)}unregister(e){if(no[e])return ts.warn(`[PipeRegistry] 내장 파이프는 해제할 수 없습니다: ${e}`),!1;const n=ns.delete(e);return n&&ts.log(`[PipeRegistry] 커스텀 파이프 해제됨: ${e}`),n}get(e){const n=no[e];return n?n.fn:ns.get(e)?.fn}has(e){return!!no[e]||ns.has(e)}execute(e,n,a=[]){const i=this.get(e);if(!i)return ts.warn(`[PipeRegistry] 알 수 없는 파이프: ${e}`),n;try{return i(n,...a)}catch(l){return ts.error(`[PipeRegistry] 파이프 실행 오류 (${e}):`,l),n}}list(){const e=[];for(const[n,a]of Object.entries(no))e.push({name:n,description:a.description,type:"built-in"});for(const[n,a]of ns.entries())e.push({name:n,description:a.description,type:"custom"});return e.sort((n,a)=>n.name.localeCompare(a.name))}clearCustomPipes(){ns.clear()}};$(Ci,"instance",null);let jl=Ci;jl.getInstance();function xw(s){const e=s.trim(),n=e.indexOf("(");if(n===-1)return{name:e,args:[]};const a=e.slice(0,n).trim(),i=e.slice(n+1,-1);if(!i.trim())return{name:a,args:[]};const l=[];let c="",d=null,f=0;for(let h=0;h<i.length;h++){const m=i[h];if((h>0?i[h-1]:"")==="\\"){c+=m;continue}if((m==='"'||m==="'")&&!d){d=m;continue}if(m===d){d=null;continue}if(d){c+=m;continue}if(m==="("||m==="["||m==="{"){f++,c+=m;continue}if(m===")"||m==="]"||m==="}"){f--,c+=m;continue}if(m===","&&f===0){l.push(Tg(c.trim())),c="";continue}c+=m}return c.trim()&&l.push(Tg(c.trim())),{name:a,args:l}}function Tg(s){if(s==="null")return null;if(s==="undefined")return;if(s==="true")return!0;if(s==="false")return!1;const e=Number(s);return!isNaN(e)&&s!==""?e:s}function Tw(s){const e=[];let n="",a=null,i=0;for(let l=0;l<s.length;l++){const c=s[l],d=l>0?s[l-1]:"",f=l<s.length-1?s[l+1]:"";if(d==="\\"){n+=c;continue}if((c==='"'||c==="'")&&!a){a=c,n+=c;continue}if(c===a){a=null,n+=c;continue}if(a){n+=c;continue}if(c==="("||c==="["||c==="{"){i++,n+=c;continue}if(c===")"||c==="]"||c==="}"){i--,n+=c;continue}if(c==="|"&&f!=="|"&&d!=="|"&&i===0){e.push(n.trim()),n="";continue}n+=c}return n.trim()&&e.push(n.trim()),e.length===0?[s,[]]:[e[0],e.slice(1)]}function qn(s){let e=null,n=0;for(let a=0;a<s.length;a++){const i=s[a],l=a>0?s[a-1]:"",c=a<s.length-1?s[a+1]:"";if(l!=="\\"){if((i==='"'||i==="'")&&!e){e=i;continue}if(i===e){e=null;continue}if(!e){if(i==="("||i==="["||i==="{"){n++;continue}if(i===")"||i==="]"||i==="}"){n--;continue}if(i==="|"&&c!=="|"&&l!=="|"&&n===0)return!0}}}return!1}function kw(s,e){const n=jl.getInstance();let a=s;for(const i of e){const l=xw(i);a=n.execute(l.name,a,l.args)}return a}const yd=new Map([["true",!0],["false",!1],["null",null],["undefined",void 0]]);function Ta(s){if(typeof s!="string"||!s.startsWith("{{")||!s.endsWith("}}")||s.length<4)return null;const e=s.slice(2,-2);let n=null,a=0;for(let i=0;i<e.length;i++){const l=e[i];if(n!==null){if(l==="\\"){i++;continue}l===n&&(n=null);continue}if(l==='"'||l==="'"||l==="`"){n=l;continue}if(l==="{"){a++;continue}if(l==="}"){if(a>0){a--;continue}return null}}return a===0?e.trim():null}function Rw(s){const e=[];if(typeof s!="string")return e;for(let n=0;n<s.length-1;n++){if(s[n]!=="{"||s[n+1]!=="{")continue;let a=null,i=0,l=-1;for(let c=n+2;c<s.length;c++){const d=s[c];if(a!==null){if(d==="\\"){c++;continue}d===a&&(a=null);continue}if(d==='"'||d==="'"||d==="`"){a=d;continue}if(d==="{"){i++;continue}if(d==="}"){if(i>0){i--;continue}if(s[c+1]==="}"){l=c;break}break}}l!==-1&&(e.push({start:n,end:l+2,expr:s.slice(n+2,l)}),n=l+1)}return e}function ro(s){return/[?:|&!+\-*/<>=()[\]{}]/.test(s)}function kg(s){const e=typeof s=="string"?s.trim():"";return e===""?"empty":yd.has(e)?"literal":qn(e)?"pipe":ro(e)?"expression":"path"}function bd(s,e,n,a){const i=typeof s=="string"?s.trim():"",l=kg(i),c=a?.skipCache?{skipCache:!0}:void 0;if(l==="empty"){a?.onEmpty?.(s);return}if(l==="literal")return yd.get(i);try{return l==="pipe"?n.evaluatePipeExpression(i,e,c,a?.trackingInfo):l==="expression"?n.evaluateExpression(i,e,a?.trackingInfo):n.resolve(i,e,c,a?.trackingInfo)}catch(d){if(a?.onError)return a.onError(d,i);throw d}}const tr="raw:";function Rg(s){return s.startsWith(tr)?s.slice(tr.length):s}const ao="﷐",pi="﷑",ka="﷒";function io(s){return ao+s+pi}function Hl(s){return s.length>=2&&s.charCodeAt(0)===64976&&s.charCodeAt(s.length-1)===64977}function zl(s){return s.includes(ao)}function vd(s){return s.slice(1,-1)}function rs(s){if(typeof s=="string")return io(s);if(Array.isArray(s))return s.map(rs);if(s&&typeof s=="object"){const e={};for(const[n,a]of Object.entries(s))e[n]=rs(a);return e}return s}function Ra(s){if(typeof s=="string")return Hl(s)?vd(s):zl(s)||s.includes(pi)?s.split(ao).join("").split(pi).join(""):s;if(Array.isArray(s)){let e=!1;const n=s.map(a=>{const i=Ra(a);return i!==a&&(e=!0),i});return e?n:s}if(s&&typeof s=="object"){if(s.$$typeof!==void 0)return s;let e=!1;const n={};for(const[a,i]of Object.entries(s)){const l=Ra(i);l!==i&&(e=!0),n[a]=l}return e?n:s}return s}const so=new Set(["constructor","__proto__","prototype","__lookupGetter__","__lookupSetter__","__defineGetter__","__defineSetter__"]),Dw=new Set(["Function","eval","globalThis","window","self","document","require","module","process","Reflect","Proxy","WebAssembly","import","constructor"]);function Dg(s,e){if(s!==null&&(typeof s=="object"||typeof s=="function")&&Og.has(s))throw new Error(`Object.${e} on a built-in global object is not allowed`);return s}const Ow=Object.freeze({keys:Object.keys,values:Object.values,entries:Object.entries,assign:(s,...e)=>{const n=Dg(s,"assign");for(const a of e)if(a!=null)for(const i of Object.keys(a)){if(so.has(i))throw new Error(`Access to "${i}" is forbidden`);Td(n,i,a[i])}return n},freeze:s=>Object.freeze(Dg(s,"freeze")),fromEntries:Object.fromEntries,create:Object.create,isFrozen:Object.isFrozen}),Sd={Math,JSON,Date,Array,Object:Ow,Number,String,Boolean,Set,Map,WeakSet,WeakMap,parseInt,parseFloat,isNaN,isFinite},wd={Date,Set,Map,WeakSet,WeakMap,Array,Number,String,Boolean,Object},Og=new Set([...Object.values(Sd),...Object.values(wd)].filter(s=>s!==null&&(typeof s=="object"||typeof s=="function"))),Ul=new Set(["function"]),br=Symbol("short-circuit");class Cd{constructor(e){$(this,"value");this.value=e}}class Ed{}class _d{}function Lw(s){return/[A-Za-z_$]/.test(s)}function Mw(s){return/[A-Za-z0-9_$]/.test(s)}function gi(s){return s>="0"&&s<="9"}function $w(s,e,n){let a=e+1;for(;a<s.length;){if(s[a]==="\\"){a+=2;continue}if(s[a]===n)return a+1;a++}throw new Error(`Unterminated string literal at position ${e}`)}function Lg(s,e){let n=e+1;const a=[],i=[];let l="";for(;n<s.length;){const c=s[n];if(c==="\\"){const d=s[n+1];switch(d){case"n":l+=`
 `;break;case"t":l+="	";break;case"r":l+="\r";break;case"b":l+="\b";break;case"f":l+="\f";break;case"v":l+="\v";break;case"0":l+="\0";break;case"\\":l+="\\";break;case"`":l+="`";break;case"$":l+="$";break;default:l+=d;break}n+=2;continue}if(c==="`")return a.push(l),{quasis:a,exprs:i,end:n+1};if(c==="$"&&s[n+1]==="{"){a.push(l),l="",n+=2;const d=n;let f=1;for(;n<s.length&&f>0;){const h=s[n];if(h==="{")f++,n++;else if(h==="}"){if(f--,f===0)break;n++}else h==='"'||h==="'"?n=$w(s,n,h):h==="`"?n=Lg(s,n).end:n++}if(f!==0)throw new Error("Unterminated ${...} in template literal");i.push(s.slice(d,n)),n++;continue}l+=c,n++}throw new Error(`Unterminated template literal at position ${e}`)}function Nw(s){const e=[];let n=0;const a=s.length,i=l=>n+l<a?s[n+l]:"";for(;n<a;){const l=s[n];if(l===" "||l==="	"||l===`
 `||l==="\r"||l==="\f"||l==="\v"){n++;continue}if(gi(l)||l==="."&&gi(i(1))){const h=n;for(;n<a&&gi(s[n]);)n++;if(s[n]===".")for(n++;n<a&&gi(s[n]);)n++;if(s[n]==="e"||s[n]==="E"){if(n++,(s[n]==="+"||s[n]==="-")&&n++,!gi(s[n]))throw new Error(`Invalid number literal at position ${h}`);for(;n<a&&gi(s[n]);)n++}const m=s.slice(h,n);e.push({type:"num",value:Number(m),pos:h});continue}if(l==='"'||l==="'"){const h=n,m=l;n++;let b="";for(;n<a&&s[n]!==m;)if(s[n]==="\\"){n++;const S=s[n];switch(S){case"n":b+=`
-`;break;case"t":b+="	";break;case"r":b+="\r";break;case"b":b+="\b";break;case"f":b+="\f";break;case"v":b+="\v";break;case"0":b+="\0";break;case"\\":b+="\\";break;case"'":b+="'";break;case'"':b+='"';break;case"`":b+="`";break;default:b+=S;break}n++}else b+=s[n],n++;if(n>=a)throw new Error(`Unterminated string literal at position ${h}`);n++,e.push({type:"str",value:b,pos:h});continue}if(Lw(l)){const h=n;for(n++;n<a&&Mw(s[n]);)n++;e.push({type:"ident",value:s.slice(h,n),pos:h});continue}if(l==="`"){const h=Lg(s,n);e.push({type:"template",value:"",pos:n,quasis:h.quasis,exprs:h.exprs}),n=h.end;continue}const c=n,d=s.substr(n,2);if(s.substr(n,3)==="..."){e.push({type:"punct",value:"...",pos:c}),n+=3;continue}switch(l){case"=":{i(1)===">"?(e.push({type:"punct",value:"=>",pos:c}),n+=2):i(1)==="="?i(2)==="="?(e.push({type:"punct",value:"===",pos:c}),n+=3):(e.push({type:"punct",value:"==",pos:c}),n+=2):(e.push({type:"punct",value:"=",pos:c}),n+=1);continue}case"!":{i(1)==="="?i(2)==="="?(e.push({type:"punct",value:"!==",pos:c}),n+=3):(e.push({type:"punct",value:"!=",pos:c}),n+=2):(e.push({type:"punct",value:"!",pos:c}),n+=1);continue}case"<":{if(i(1)==="=")e.push({type:"punct",value:"<=",pos:c}),n+=2;else{if(i(1)==="<")throw new Error("Bitwise/shift operators are not allowed");e.push({type:"punct",value:"<",pos:c}),n+=1}continue}case">":{if(i(1)==="=")e.push({type:"punct",value:">=",pos:c}),n+=2;else{if(i(1)===">")throw new Error("Bitwise/shift operators are not allowed");e.push({type:"punct",value:">",pos:c}),n+=1}continue}case"&":{if(i(1)==="&")e.push({type:"punct",value:"&&",pos:c}),n+=2;else throw new Error("Bitwise operators are not allowed");continue}case"|":{if(i(1)==="|")e.push({type:"punct",value:"||",pos:c}),n+=2;else throw new Error("Bitwise operators are not allowed");continue}case"?":{i(1)==="."&&!gi(i(2))?(e.push({type:"punct",value:"?.",pos:c}),n+=2):i(1)==="?"?(e.push({type:"punct",value:"??",pos:c}),n+=2):(e.push({type:"punct",value:"?",pos:c}),n+=1);continue}case"+":{if(i(1)==="+")throw new Error("Increment operator is not allowed");if(i(1)==="=")throw new Error("Assignment operators are not allowed");e.push({type:"punct",value:"+",pos:c}),n+=1;continue}case"-":{if(i(1)==="-")throw new Error("Decrement operator is not allowed");if(i(1)==="=")throw new Error("Assignment operators are not allowed");e.push({type:"punct",value:"-",pos:c}),n+=1;continue}case"*":{if(i(1)==="=")throw new Error("Assignment operators are not allowed");if(i(1)==="*")throw new Error("Exponentiation operator is not supported");e.push({type:"punct",value:"*",pos:c}),n+=1;continue}case"/":{if(i(1)==="=")throw new Error("Assignment operators are not allowed");e.push({type:"punct",value:"/",pos:c}),n+=1;continue}case"%":{if(i(1)==="=")throw new Error("Assignment operators are not allowed");e.push({type:"punct",value:"%",pos:c}),n+=1;continue}case"~":case"^":throw new Error("Bitwise operators are not allowed");case".":case":":case"(":case")":case"[":case"]":case"{":case"}":case",":e.push({type:"punct",value:l,pos:c}),n+=1;continue;case";":e.push({type:"punct",value:";",pos:c}),n+=1;continue;default:throw new Error(`Unexpected character "${l}" at position ${c}`)}}return e}const Iw={"??":1,"||":1,"&&":2,"===":3,"!==":3,"==":3,"!=":3,"<":4,">":4,"<=":4,">=":4,"+":5,"-":5,"*":6,"/":6,"%":6},jw=new Set(["??","||","&&"]);class Hw{constructor(e){$(this,"tokens");$(this,"pos",0);this.tokens=e}atEnd(){return this.pos>=this.tokens.length}peek(e=0){const n=this.pos+e;return n<this.tokens.length?this.tokens[n]:null}next(){if(this.atEnd())throw new Error("Unexpected end of expression");return this.tokens[this.pos++]}isPunct(e,n=0){const a=this.peek(n);return!!a&&a.type==="punct"&&a.value===e}expectPunct(e){const n=this.peek();if(!n||n.type!=="punct"||n.value!==e)throw new Error(`Expected "${e}" but found "${n?n.value:"<end>"}"`);this.pos++}parseExpression(){const e=this.tryParseArrow();return e||this.parseTernary()}tryParseArrow(){const e=this.pos,n=this.peek();if(!n)return null;if(n.type==="ident"&&this.isPunct("=>",1)&&!Ul.has(String(n.value))){this.pos+=1,this.pos+=1;const{body:a,isBlock:i}=this.parseArrowBody();return{type:"Arrow",params:[{name:String(n.value),default:null}],body:a,isBlock:i}}if(n.type==="punct"&&n.value==="("){this.pos+=1;const a=this.tryParseParamList();if(a&&this.isPunct(")")&&(this.pos+=1,this.isPunct("=>"))){this.pos+=1;const{body:i,isBlock:l}=this.parseArrowBody();return{type:"Arrow",params:a,body:i,isBlock:l}}return this.pos=e,null}return this.pos=e,null}tryParseParamList(){const e=[];if(this.isPunct(")"))return e;for(;;){const n=this.peek();let a=null,i;if(n&&n.type==="punct"&&n.value==="["){const c=this.tryParseArrayPattern();if(!c)return null;i=c}else if(n&&n.type==="ident"&&!Ul.has(String(n.value)))a=String(n.value),this.pos+=1;else return null;let l=null;if(this.isPunct("=")&&(this.pos+=1,l=this.parseExpression()),e.push(i?{name:a,elements:i,default:l}:{name:a,default:l}),this.isPunct(",")){this.pos+=1;continue}break}return e}tryParseArrayPattern(){const e=this.pos;this.pos+=1;const n=[];for(;;){if(this.isPunct("]"))return this.pos+=1,n;if(this.isPunct(",")){n.push(null),this.pos+=1;continue}const a=this.peek();if(!a||a.type!=="ident"||Ul.has(String(a.value)))return this.pos=e,null;if(n.push(String(a.value)),this.pos+=1,this.isPunct(",")){this.pos+=1;continue}return this.isPunct("]")?(this.pos+=1,n):(this.pos=e,null)}}parseArrowBody(){return this.isPunct("{")?{body:this.parseBlock(),isBlock:!0}:{body:this.parseExpression(),isBlock:!1}}parseBlock(){this.expectPunct("{");const e=[];for(;!this.isPunct("}");){if(this.atEnd())throw new Error("Unterminated block");e.push(this.parseStatement())}return this.expectPunct("}"),{type:"Block",body:e}}parseStatement(){const e=this.peek();if(!e)throw new Error("Unexpected end of statement");if(e.type==="punct"&&e.value==="{")return this.parseBlock();if(e.type==="punct"&&e.value===";")return this.pos+=1,{type:"Empty"};if(e.type==="ident")switch(String(e.value)){case"const":case"let":return this.parseVarDecl();case"if":return this.parseIf();case"for":return this.parseForOf();case"return":return this.parseReturn();case"try":return this.parseTry();case"break":return this.pos+=1,this.consumeSemicolon(),{type:"Break"};case"continue":return this.pos+=1,this.consumeSemicolon(),{type:"Continue"}}const n=this.parseExpression();return this.consumeSemicolon(),{type:"ExprStmt",expression:n}}consumeSemicolon(){this.isPunct(";")&&(this.pos+=1)}parseVarDecl(){this.pos+=1;const e=[];for(;;){const n=this.peek();if(!n||n.type!=="ident")throw new Error("Expected variable name in declaration");const a=String(n.value);this.pos+=1,this.expectPunct("=");const i=this.parseExpression();if(e.push({name:a,init:i}),this.isPunct(",")){this.pos+=1;continue}break}return this.consumeSemicolon(),{type:"VarDecl",declarations:e}}parseIf(){this.pos+=1,this.expectPunct("(");const e=this.parseExpression();this.expectPunct(")");const n=this.parseStatement();let a=null;const i=this.peek();return i&&i.type==="ident"&&i.value==="else"&&(this.pos+=1,a=this.parseStatement()),{type:"If",test:e,consequent:n,alternate:a}}parseForOf(){this.pos+=1,this.expectPunct("(");const e=this.peek();if(!e||e.type!=="ident"||e.value!=="const"&&e.value!=="let")throw new Error('Only "for (const x of …)" / "for (let x of …)" loops are supported');this.pos+=1;const n=this.peek();if(!n||n.type!=="ident")throw new Error("Expected loop variable name");const a=String(n.value);this.pos+=1;const i=this.peek();if(!i||i.type!=="ident"||i.value!=="of")throw new Error("Only for-of loops are supported (for-in / C-style for are not allowed)");this.pos+=1;const l=this.parseExpression();this.expectPunct(")");const c=this.parseStatement();return{type:"ForOf",name:a,iterable:l,body:c}}parseReturn(){if(this.pos+=1,this.isPunct(";")||this.isPunct("}")||this.atEnd())return this.consumeSemicolon(),{type:"Return",argument:null};const e=this.parseExpression();return this.consumeSemicolon(),{type:"Return",argument:e}}parseTry(){this.pos+=1;const e=this.parseBlock();let n=null,a=null,i=null;const l=this.peek();if(l&&l.type==="ident"&&l.value==="catch"){if(this.pos+=1,this.isPunct("(")){this.pos+=1;const d=this.peek();d&&d.type==="ident"&&(n=String(d.value),this.pos+=1),this.expectPunct(")")}a=this.parseBlock()}const c=this.peek();if(c&&c.type==="ident"&&c.value==="finally"&&(this.pos+=1,i=this.parseBlock()),!a&&!i)throw new Error("Missing catch or finally after try");return{type:"Try",block:e,handlerParam:n,handler:a,finalizer:i}}parseFunctionExpression(){this.pos+=1;let e=null;const n=this.peek();n&&n.type==="ident"&&n.value!==void 0&&!this.isPunct("(")&&(e=String(n.value),this.pos+=1),this.expectPunct("(");const a=this.tryParseParamList();if(!a)throw new Error("Invalid function parameter list");this.expectPunct(")");const i=this.parseBlock();return{type:"Function",name:e,params:a,body:i}}parseTernary(){const e=this.parseBinary(0);if(this.isPunct("?")){this.pos+=1;const n=this.parseExpression();this.expectPunct(":");const a=this.parseExpression();return{type:"Conditional",test:e,consequent:n,alternate:a}}return e}parseBinary(e){let n=this.parseUnary();for(;;){const a=this.peek();if(!a||a.type!=="punct")break;const i=String(a.value),l=Iw[i];if(l===void 0||l<e)break;this.pos+=1;const c=this.parseBinary(l+1);jw.has(i)?n={type:"Logical",operator:i,left:n,right:c}:n={type:"Binary",operator:i,left:n,right:c}}return n}parseUnary(){const e=this.peek();if(e){if(e.type==="punct"&&(e.value==="!"||e.value==="-"||e.value==="+")){this.pos+=1;const n=this.parseUnary();return{type:"Unary",operator:String(e.value),argument:n}}if(e.type==="ident"&&e.value==="typeof")return this.pos+=1,{type:"Unary",operator:"typeof",argument:this.parseUnary()};if(e.type==="ident"&&e.value==="delete"){this.pos+=1;const n=this.parseUnary();if(n.type!=="Member")throw new Error("delete is only allowed on a property reference");return{type:"Delete",argument:n}}}return this.parsePostfix()}parsePostfix(){let e=this.parsePrimary();for(;;){const n=this.peek();if(!n||n.type!=="punct")break;if(n.value==="."){this.pos+=1;const a=this.next();if(a.type!=="ident")throw new Error(`Expected property name after "." but found "${a.value}"`);const i=String(a.value);if(so.has(i))throw new Error(`Access to "${i}" is forbidden`);e={type:"Member",object:e,property:{type:"Literal",value:i},computed:!1,optional:!1}}else if(n.value==="?.")if(this.pos+=1,this.isPunct("[")){this.pos+=1;const a=this.parseExpression();this.expectPunct("]"),this.assertComputedKeyNotBlocked(a),e={type:"Member",object:e,property:a,computed:!0,optional:!0}}else if(this.isPunct("(")){const a=this.parseArguments();e={type:"Call",callee:e,args:a,optional:!0}}else{const a=this.next();if(a.type!=="ident")throw new Error(`Expected property name after "?." but found "${a.value}"`);const i=String(a.value);if(so.has(i))throw new Error(`Access to "${i}" is forbidden`);e={type:"Member",object:e,property:{type:"Literal",value:i},computed:!1,optional:!0}}else if(n.value==="["){this.pos+=1;const a=this.parseExpression();this.expectPunct("]"),this.assertComputedKeyNotBlocked(a),e={type:"Member",object:e,property:a,computed:!0,optional:!1}}else if(n.value==="("){const a=this.parseArguments();e={type:"Call",callee:e,args:a,optional:!1}}else break}return e}assertComputedKeyNotBlocked(e){if(e.type==="Literal"&&typeof e.value=="string"&&so.has(e.value))throw new Error(`Access to "${e.value}" is forbidden`)}parseArguments(){this.expectPunct("(");const e=[];if(!this.isPunct(")"))for(;;){if(this.isPunct("...")?(this.pos+=1,e.push({type:"Spread",argument:this.parseExpression()})):e.push(this.parseExpression()),this.isPunct(",")){this.pos+=1;continue}break}return this.expectPunct(")"),e}parseNew(){this.expectIdent("new");const e=this.peek();if(!e||e.type!=="ident")throw new Error("new is only allowed on whitelisted built-in constructors");const n=String(e.value);if(!Object.prototype.hasOwnProperty.call(wd,n))throw new Error("new is only allowed on whitelisted built-in constructors");this.pos+=1;let a=[];return this.isPunct("(")&&(a=this.parseArguments()),{type:"New",ctor:n,args:a}}expectIdent(e){const n=this.peek();if(!n||n.type!=="ident"||n.value!==e)throw new Error(`Expected "${e}"`);this.pos+=1}parsePrimary(){const e=this.peek();if(!e)throw new Error("Unexpected end of expression");if(e.type==="num")return this.pos+=1,{type:"Literal",value:e.value};if(e.type==="str")return this.pos+=1,{type:"Literal",value:e.value};if(e.type==="template"){this.pos+=1;const n=e.quasis||[""],i=(e.exprs||[]).map(l=>Mg(l));return{type:"Template",quasis:n,expressions:i}}if(e.type==="ident"&&e.value==="new")return this.parseNew();if(e.type==="ident"&&e.value==="function")return this.parseFunctionExpression();if(e.type==="ident"){const n=String(e.value);if(Ul.has(n))throw new Error(`Keyword "${n}" is not allowed`);switch(this.pos+=1,n){case"true":return{type:"Literal",value:!0};case"false":return{type:"Literal",value:!1};case"null":return{type:"Literal",value:null};case"undefined":return{type:"Literal",value:void 0};default:return{type:"Identifier",name:n}}}if(e.type==="punct"){if(e.value==="("){this.pos+=1;const n=this.parseExpression();return this.expectPunct(")"),n}if(e.value==="[")return this.parseArrayLiteral();if(e.value==="{")return this.parseObjectLiteral()}throw new Error(`Unexpected token "${e.value}"`)}parseArrayLiteral(){this.expectPunct("[");const e=[];for(;!this.isPunct("]");){if(this.isPunct(",")){this.pos+=1,e.push({type:"Literal",value:void 0});continue}if(this.isPunct("...")?(this.pos+=1,e.push({type:"Spread",argument:this.parseExpression()})):e.push(this.parseExpression()),this.isPunct(",")){this.pos+=1;continue}break}return this.expectPunct("]"),{type:"Array",elements:e}}parseObjectLiteral(){this.expectPunct("{");const e=[];for(;!this.isPunct("}");){if(this.isPunct("..."))this.pos+=1,e.push({kind:"spread",value:this.parseExpression()});else{let n,a=!1;const i=this.peek();if(!i)throw new Error("Unexpected end of expression in object literal");if(i.type==="punct"&&i.value==="[")this.pos+=1,n=this.parseExpression(),this.expectPunct("]"),a=!0;else if(i.type==="str")this.pos+=1,n={type:"Literal",value:i.value};else if(i.type==="num")this.pos+=1,n={type:"Literal",value:String(i.value)};else if(i.type==="ident")this.pos+=1,n={type:"Literal",value:String(i.value)};else throw new Error(`Unexpected token "${i.value}" in object literal`);if(this.isPunct(":")){this.pos+=1;const l=this.parseExpression();e.push({kind:"init",key:n,computed:a,value:l})}else{if(a||n.type!=="Literal"||typeof n.value!="string")throw new Error("Invalid shorthand property in object literal");if(i.type!=="ident")throw new Error("Invalid shorthand property in object literal");e.push({kind:"init",key:n,computed:!1,value:{type:"Identifier",name:n.value}})}}if(this.isPunct(",")){this.pos+=1;continue}break}return this.expectPunct("}"),{type:"Object",properties:e}}}function Mg(s){const e=Nw(s),n=new Hw(e),a=n.parseExpression();if(!n.atEnd()){const i=n.peek();throw i&&i.type==="punct"&&i.value===","?new Error("The comma/sequence operator is not allowed"):new Error(`Unexpected token "${i?i.value:"<end>"}" after expression`)}return a}function zw(s,e){let n=e;for(;n;){if(Object.prototype.hasOwnProperty.call(n.vars,s))return n.vars[s];n=n.parent}if(Object.prototype.hasOwnProperty.call(Sd,s))return Sd[s];if(Dw.has(s))throw new Error(`Reference to forbidden global "${s}" is not allowed`)}function Ad(s){const e=typeof s=="symbol"?s:String(s);if(typeof e=="string"&&so.has(e))throw new Error(`Access to "${e}" is forbidden`);return e}function xd(s,e){return s.type==="Member"?$g(s,e):s.type==="Call"?Ng(s,e):Qe(s,e)}function $g(s,e){const n=xd(s.object,e);if(n===br||s.optional&&n==null)return br;let a;s.computed?a=Qe(s.property,e):a=s.property.value;const i=Ad(a);if(n!=null)return n[i]}function Ng(s,e){let n,a;if(s.callee.type==="Member"){const l=s.callee,c=xd(l.object,e);if(c===br||l.optional&&c==null)return br;let d;l.computed?d=Qe(l.property,e):d=l.property.value;const f=Ad(d);c==null?n=void 0:(n=c[f],a=c)}else if(n=xd(s.callee,e),n===br)return br;if(s.optional&&n==null)return br;if(typeof n!="function")throw new Error("Attempted to call a non-function value");const i=Ig(s.args,e);return n.apply(a,i)}function Ig(s,e){const n=[];for(const a of s)if(a.type==="Spread"){const i=Qe(a.argument,e);if(i!=null)for(const l of i)n.push(l)}else n.push(Qe(a,e));return n}function jg(s,e,n){for(let a=0;a<s.length;a++){const i=s[a];let l=e[a];if(l===void 0&&i.default&&(l=Qe(i.default,n)),i.elements){if(l==null)throw new TypeError(`Cannot destructure ${String(l)}: value is not iterable`);const c=Array.isArray(l)?l:Array.from(l);for(let d=0;d<i.elements.length;d++){const f=i.elements[d];f!==null&&(n.vars[f]=c[d])}}else i.name!==null&&(n.vars[i.name]=l)}}function Hg(s,e){try{Qe(s,e)}catch(n){if(n instanceof Cd)return n.value;throw n}}function Qe(s,e){switch(s.type){case"Literal":return s.value;case"Identifier":return zw(s.name,e);case"Member":{const n=$g(s,e);return n===br?void 0:n}case"Call":{const n=Ng(s,e);return n===br?void 0:n}case"Unary":{const n=Qe(s.argument,e);switch(s.operator){case"!":return!n;case"-":return-n;case"+":return+n;case"typeof":return typeof n;default:throw new Error(`Unknown unary operator "${s.operator}"`)}}case"Binary":{const n=Qe(s.left,e),a=Qe(s.right,e);switch(s.operator){case"+":return n+a;case"-":return n-a;case"*":return n*a;case"/":return n/a;case"%":return n%a;case"===":return n===a;case"!==":return n!==a;case"==":return n==a;case"!=":return n!=a;case"<":return n<a;case">":return n>a;case"<=":return n<=a;case">=":return n>=a;default:throw new Error(`Unknown binary operator "${s.operator}"`)}}case"Logical":{const n=Qe(s.left,e);switch(s.operator){case"&&":return n&&Qe(s.right,e);case"||":return n||Qe(s.right,e);case"??":return n??Qe(s.right,e);default:throw new Error(`Unknown logical operator "${s.operator}"`)}}case"Conditional":return Qe(s.test,e)?Qe(s.consequent,e):Qe(s.alternate,e);case"Array":{const n=[];for(const a of s.elements)if(a.type==="Spread"){const i=Qe(a.argument,e);if(i!=null)for(const l of i)n.push(l)}else n.push(Qe(a,e));return n}case"Object":{const n={};for(const a of s.properties)if(a.kind==="spread"){const i=Qe(a.value,e);if(i!=null&&typeof i=="object")for(const l of Object.keys(i))Td(n,l,i[l])}else{let i;a.computed?i=Qe(a.key,e):i=a.key.value;const l=Qe(a.value,e);Td(n,String(i),l)}return n}case"Arrow":{const n=e,a=s.params,i=s.body,l=s.isBlock;return function(...d){const f={vars:{},parent:n};return jg(a,d,f),l?Hg(i,f):Qe(i,f)}}case"Function":{const n=e,a=s.params,i=s.body,l=s.name,c=function(...f){const h={vars:{},parent:n};return l&&(h.vars[l]=c),jg(a,f,h),Hg(i,h)};return c}case"Delete":{const n=s.argument,a=Qe(n.object,e);let i;n.computed?i=Qe(n.property,e):i=n.property.value;const l=Ad(i);if(a==null||typeof a!="object"&&typeof a!="function")return!0;if(Og.has(a))throw new Error("delete on a built-in global object is not allowed");return delete a[l]}case"Block":{const n={vars:{},parent:e};for(const a of s.body)Qe(a,n);return}case"VarDecl":{for(const n of s.declarations)e.vars[n.name]=Qe(n.init,e);return}case"If":{Qe(s.test,e)?Qe(s.consequent,e):s.alternate&&Qe(s.alternate,e);return}case"ForOf":{const n=Qe(s.iterable,e);if(n!=null)for(const a of n){const i={vars:{},parent:e};i.vars[s.name]=a;try{Qe(s.body,i)}catch(l){if(l instanceof _d)continue;if(l instanceof Ed)break;throw l}}return}case"Return":throw new Cd(s.argument?Qe(s.argument,e):void 0);case"ExprStmt":Qe(s.expression,e);return;case"Break":throw new Ed;case"Continue":throw new _d;case"Empty":return;case"Try":{try{try{Qe(s.block,e)}catch(n){if(n instanceof Cd||n instanceof Ed||n instanceof _d)throw n;if(s.handler){const a={vars:{},parent:e};s.handlerParam&&(a.vars[s.handlerParam]=n),Qe(s.handler,a)}else throw n}}finally{s.finalizer&&Qe(s.finalizer,e)}return}case"New":{const n=wd[s.ctor];if(typeof n!="function")throw new Error("new on non-whitelisted constructor");const a=Ig(s.args,e);return new n(...a)}case"Template":{let n=s.quasis[0]??"";for(let a=0;a<s.expressions.length;a++)n+=String(Qe(s.expressions[a],e)),n+=s.quasis[a+1]??"";return n}case"Spread":throw new Error("Unexpected spread element");default:throw new Error(`Unknown node type "${s.type}"`)}}function Td(s,e,n){Object.defineProperty(s,e,{value:n,enumerable:!0,writable:!0,configurable:!0})}function kd(s,e){if(typeof s!="string")throw new Error("Expression must be a string");const n=Mg(s);return Qe(n,{vars:e||{},parent:null})}const Da=dt("DataBindingEngine");function oo(){try{return window.G7Core?.devTools}catch{return}}class Rd extends Error{constructor(n,a,i){super(n);$(this,"path");$(this,"context");this.path=a,this.context=i,this.name="DataBindingError"}}const ra=class ra{constructor(e){$(this,"cache",new Map);$(this,"renderCycleCache",new Map);$(this,"currentRenderCycleId",0);$(this,"defaultOptions",{defaultValue:void 0,nullSafe:!0,detectCircular:!0,maxDepth:10});e&&(this.defaultOptions={...this.defaultOptions,...e})}startRenderCycle(){this.currentRenderCycleId++,this.renderCycleCache.clear()}isRenderCycleCacheActive(){return this.currentRenderCycleId>0}getFromRenderCycleCache(e){if(this.isRenderCycleCacheActive())return this.renderCycleCache.get(e)}saveToRenderCycleCache(e,n){this.isRenderCycleCacheActive()&&this.renderCycleCache.set(e,n)}resolveBindings(e,n,a,i){const l={...this.defaultOptions,...a},c=oo(),d=n._computed&&!n.$computed?{...n,$computed:n._computed}:n,f=(S,v)=>{const _=v.trim();let A=!1,x=_;if(_.startsWith(tr)&&(A=!0,x=_.slice(tr.length)),qn(x))try{const P=this.evaluatePipeExpression(x,d,l,{...i,method:"resolveBindings",displayExpression:`{{${_}}}`}),W=this.formatValue(P);return A?io(W):W}catch(P){return Da.error("Pipe expression evaluation failed:",x,P),S}if(ro(x)){const P=c?.isEnabled()?performance.now():0;try{let W,pe=!1;if(l.skipCache)W=this.evaluateExpression(x,d);else{const we=`expr:${x}`,Ue=this.getFromRenderCycleCache(we);Ue!==void 0?(W=Ue,pe=!0):(W=this.evaluateExpression(x,d),this.saveToRenderCycleCache(we,W))}if(c?.isEnabled()){const we=performance.now()-P;c.trackExpressionEval({expression:`{{${_}}}`,result:this.sanitizeResultForTracking(W),resultType:this.getResultType(W),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:pe,duration:we,method:"resolveBindings",skipCache:l.skipCache})}const Se=this.formatValue(W);return A?io(Se):Se}catch(W){return Da.error("Expression evaluation failed:",x,W),S}}if(l.skipCache){const P=c?.isEnabled()?performance.now():0,W=this.resolvePath(x,d,l);if(c?.isEnabled()){const Se=performance.now()-P;c.trackExpressionEval({expression:`{{${_}}}`,result:this.sanitizeResultForTracking(W),resultType:this.getResultType(W),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:!1,duration:Se,method:"resolveBindings",skipCache:!0})}const pe=this.formatValue(W);return A?io(pe):pe}const M=x.startsWith("_global")||x.startsWith("_local")||x.startsWith("_isolated")||x.startsWith("$parent"),k=c?.isEnabled()?performance.now():0;let O,B=!1;if(M){const P=this.getFromRenderCycleCache(x);P!==void 0?(O=P,B=!0):(O=this.resolvePath(x,d,l),this.saveToRenderCycleCache(x,O))}else{const P=this.getFromCache(x);P!==void 0?(O=P,B=!0):(O=this.resolvePath(x,d,l),this.saveToCache(x,O))}if(c?.isEnabled()){const P=performance.now()-k;c.trackExpressionEval({expression:`{{${_}}}`,result:this.sanitizeResultForTracking(O),resultType:this.getResultType(O),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:B,duration:P,method:"resolveBindings",skipCache:l.skipCache})}const G=this.formatValue(O);return A?io(G):G},h=Rw(e);if(h.length===0)return e;let m="",b=0;for(const S of h)m+=e.slice(b,S.start),m+=f(e.slice(S.start,S.end),S.expr),b=S.end;return m+e.slice(b)}evaluatePipeExpression(e,n,a,i){const l={...this.defaultOptions,...a},c=oo(),d=c?.isEnabled()?performance.now():0,f=n._computed&&!n.$computed?{...n,$computed:n._computed}:n,[h,m]=Tw(e);let b,S=!1;const v=ro(h),_=h.startsWith("_global")||h.startsWith("_local")||h.startsWith("_isolated")||h.startsWith("$parent");if(l.skipCache)v?b=this.evaluateExpression(h,f):b=this.resolvePath(h,f,l);else if(v){const x=this.getFromRenderCycleCache(`expr:${h}`);x!==void 0?(b=x,S=!0):(b=this.evaluateExpression(h,f),this.saveToRenderCycleCache(`expr:${h}`,b))}else if(_){const x=this.getFromRenderCycleCache(h);x!==void 0?(b=x,S=!0):(b=this.resolvePath(h,f,l),this.saveToRenderCycleCache(h,b))}else{const x=this.getFromCache(h);x!==void 0?(b=x,S=!0):(b=this.resolvePath(h,f,l),this.saveToCache(h,b))}const A=kw(b,m);if(c?.isEnabled()){const x=performance.now()-d;c.trackExpressionEval({expression:i?.displayExpression??`{{${e}}}`,result:this.sanitizeResultForTracking(A),resultType:this.getResultType(A),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:S,duration:x,method:i?.method??"evaluatePipeExpression",skipCache:l.skipCache})}return A}resolve(e,n,a,i){const l={...this.defaultOptions,...a},c=oo(),d=c?.isEnabled()?performance.now():0;if(l.skipCache){const b=this.resolvePath(e,n,l);return c?.isEnabled()&&c.trackExpressionEval({expression:e,result:this.sanitizeResultForTracking(b),resultType:this.getResultType(b),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:!1,duration:performance.now()-d,method:"resolve",skipCache:!0}),b}const f=e.startsWith("_global")||e.startsWith("_local")||e.startsWith("_isolated")||e.startsWith("$parent");let h=!1;if(f){const b=this.getFromRenderCycleCache(e);if(b!==void 0)return h=!0,c?.isEnabled()&&c.trackExpressionEval({expression:e,result:this.sanitizeResultForTracking(b),resultType:this.getResultType(b),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:!0,duration:performance.now()-d,method:"resolve",skipCache:l.skipCache}),b}else{const b=this.getFromCache(e);if(b!==void 0)return h=!0,c?.isEnabled()&&c.trackExpressionEval({expression:e,result:this.sanitizeResultForTracking(b),resultType:this.getResultType(b),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:!0,duration:performance.now()-d,method:"resolve",skipCache:l.skipCache}),b}const m=this.resolvePath(e,n,l);return f?this.saveToRenderCycleCache(e,m):this.saveToCache(e,m),c?.isEnabled()&&c.trackExpressionEval({expression:e,result:this.sanitizeResultForTracking(m),resultType:this.getResultType(m),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:h,duration:performance.now()-d,method:"resolve",skipCache:l.skipCache}),m}resolvePath(e,n,a,i=0,l=new WeakSet){if(typeof e!="string"||e.trim()===""){Da.warn("resolvePath: 빈 경로가 전달되었습니다 — undefined 로 해석합니다.");return}if(a.maxDepth&&i>a.maxDepth){if(a.detectCircular)throw new Rd(`Maximum depth exceeded (${a.maxDepth}). Possible circular reference.`,e,n);return a.defaultValue}const c=this.parsePath(e);let d=n;for(let f=0;f<c.length;f++){const h=c[f];if(d==null){if(a.nullSafe)return a.defaultValue;throw new Rd(`Cannot read property '${h}' of ${d}`,e,n)}if(a.detectCircular&&typeof d=="object"){if(l.has(d))throw new Rd(`Circular reference detected at path: ${c.slice(0,f+1).join(".")}`,e,n);l.add(d)}d=d[h],e==="_global.toasts"&&Da.log(`[DataBindingEngine] segment: ${h}, current:`,d)}return d!==void 0?d:a.defaultValue}parsePath(e){const n=[];let a;for(ra.PATH_SEGMENT_PATTERN.lastIndex=0;(a=ra.PATH_SEGMENT_PATTERN.exec(e))!==null;){const i=a[1]||a[2];i&&n.push(i)}return n}formatValue(e){if(e==null)return"";if(typeof e=="object")try{return JSON.stringify(e)}catch{return"[Object]"}return String(e)}getFromCache(e){const n=this.cache.get(e),a=oo();if(!n){a?.isEnabled()&&a.recordCacheMiss();return}if(Date.now()-n.timestamp>ra.CACHE_EXPIRY){this.cache.delete(e),a?.isEnabled()&&a.recordCacheMiss();return}return a?.isEnabled()&&a.recordCacheHit(),n.value}saveToCache(e,n){this.cache.set(e,{value:n,timestamp:Date.now()})}isActionDefinition(e){return typeof e.handler!="string"?!1:e.params!==void 0||Array.isArray(e.actions)||typeof e.target=="string"||e.onSuccess!==void 0||e.onError!==void 0}resolveObject(e,n,a){if(this.isSwitchExpression(e)){const d=e;return this.resolveSwitch(d,n,a)}if(this.isActionDefinition(e))return{...e};if("iteration"in e)return{...e};const i={},c=[...["cellChildren","expandChildren","expandContext","render"],...a?.skipBindingKeys||[]];for(const[d,f]of Object.entries(e)){if(c.includes(d)){i[d]=f;continue}try{this.resolveObjectEntry(i,d,f,n,a)}catch(h){Da.warn(`resolveObject: 값 해석 실패 (key: ${d}):`,h),i[d]=void 0}}return i}resolveObjectEntry(e,n,a,i,l){if(typeof a=="string"){const c=Ta(a);if(c!==null){const d=c.trim();let f=!1,h=d;d.startsWith(tr)&&(f=!0,h=d.slice(tr.length));let m;switch(kg(h)){case"empty":Da.warn(`resolveObject: 빈 바인딩 \`{{}}\` (key: ${n}) — undefined 로 해석합니다.`),m=void 0;break;case"literal":m=yd.get(h);break;case"pipe":m=this.evaluatePipeExpression(h,i,l);break;case"expression":m=this.evaluateExpression(h,i,l);break;default:m=this.resolve(h,i,l)}e[n]=f&&m!=null?rs(m):m}else e[n]=this.resolveBindings(a,i,l)}else Array.isArray(a)?e[n]=a.map(c=>typeof c=="string"?this.resolveBindings(c,i,l):typeof c=="object"&&c!==null?this.resolveObject(c,i,l):c):a&&typeof a=="object"?e[n]=this.resolveObject(a,i,l):e[n]=a}clearCache(){this.cache.clear()}invalidateCacheByKeys(e){for(const n of this.cache.keys())for(const a of e)if(n===a||n.startsWith(`${a}.`)||n.startsWith(`${a}[`)){this.cache.delete(n);break}}pruneCache(){const e=Date.now();for(const[n,a]of this.cache.entries())e-a.timestamp>ra.CACHE_EXPIRY&&this.cache.delete(n)}getCacheStats(){const e=Date.now();let n=0;for(const a of this.cache.values())e-a.timestamp>ra.CACHE_EXPIRY&&n++;return{size:this.cache.size,expired:n}}evaluateExpression(e,n,a){const i=oo(),l=i?.isEnabled()?performance.now():0;i?.isEnabled()&&i.trackBindingEval();try{let c=this.preprocessOptionalChaining(e);c=this.preprocessTranslationTokens(c);const d=this.extractVariablesFromExpression(c),f={...n};for(const x of d)x in f||(f[x]=void 0);n._computed&&!f.$computed&&(f.$computed=n._computed);let h=n.$templateId,m=n.$locale;if(typeof window<"u"&&(!h||!m)){const x=window.__templateApp?.getConfig?.();h??(h=x?.templateId),m??(m=x?.locale)}const b=m||"ko";f.$localized=(x,L)=>{if(x==null&&!L)return"";if(typeof x=="string")return x;if(x&&typeof x=="object"&&x[b])return x[b];if(L&&typeof L=="string"){const M=f.$t?f.$t(L):L;if(M&&M!==L)return M}return x&&typeof x=="object"?x.ko||x.en||Object.values(x)[0]||"":x==null?"":String(x)};const S=typeof window<"u"?window.G7Core:void 0;f.$uuid=()=>S?.uuid?S.uuid():typeof crypto<"u"&&crypto.randomUUID?crypto.randomUUID():"xxxxxxxx-xxxx-4xxx-yxxx-xxxxxxxxxxxx".replace(/[xy]/g,x=>{const L=Math.random()*16|0;return(x==="x"?L:L&3|8).toString(16)});const v={templateId:h||"",locale:b};f.$t=x=>{if(!x||typeof x!="string")return"";try{return xa.getInstance().translate(x,v)}catch(L){return Da.warn("$t() translation failed for key:",x,L),x}},f.$get=(x,L,M=void 0)=>{if(x==null)return M;const k=Array.isArray(L)?L:[L];if(k.length===0)return x;let O=x;for(const B of k){if(O==null||B==null)return M;O=O[B]}return O??M};const _=!1,A=kd(c,f);if(i?.isEnabled()){const x=performance.now()-l;i.trackExpressionEval({expression:e,result:this.sanitizeResultForTracking(A),resultType:this.getResultType(A),componentId:a?.componentId,componentName:a?.componentName,propName:a?.propName,fromCache:_,duration:x,method:"evaluateExpression",skipCache:a?.skipCache})}return A}catch(c){throw new Error(`Failed to evaluate expression "${e}": ${c instanceof Error?c.message:String(c)}`)}}getResultType(e){return e===null?"null":e===void 0?"undefined":Array.isArray(e)?"array":typeof e}sanitizeResultForTracking(e){if(e==null||typeof e!="object")return e;try{if(Array.isArray(e))return e.length>10?`[Array(${e.length})]`:e.slice(0,10);const n=Object.keys(e);return n.length>20?`{Object(${n.length} keys)}`:(JSON.stringify(e),e)}catch{return"[Complex Object]"}}preprocessTranslationTokens(e){return e=e.replace(/(['"])(\$t:([a-zA-Z_][a-zA-Z0-9_.\-]*))\1/g,(n,a,i,l)=>`$t('${l}')`),e.replace(/(?<!['"]\s*)(\$t:[a-zA-Z_][a-zA-Z0-9_.\-]*)(?!\s*['"])/g,'"$1"')}preprocessOptionalChaining(e){const n=[];let a=e.replace(/(['"])(?:(?!\1|\\).|\\.)*\1/g,l=>(n.push(l),`__STRING_LITERAL_${n.length-1}__`));const i=[];return a=a.replace(/\$t:[a-zA-Z_][a-zA-Z0-9_.\-]*(?:\|[^'"\s,)]+)?/g,l=>(i.push(l),`__TRANSLATION_TOKEN_${i.length-1}__`)),a=a.replace(/([a-zA-Z_$][a-zA-Z0-9_$]*)\.(?!\?)/g,"$1?."),a=a.replace(/__TRANSLATION_TOKEN_(\d+)__/g,(l,c)=>i[parseInt(c,10)]),a=a.replace(/__STRING_LITERAL_(\d+)__/g,(l,c)=>n[parseInt(c,10)]),a}extractVariablesFromExpression(e){const n=new Set(["true","false","null","undefined","NaN","Infinity","if","else","for","while","do","switch","case","break","continue","return","function","class","const","let","var","new","delete","typeof","instanceof","this","super","import","export","default","try","catch","finally","throw","Math","Date","JSON","Array","Object","String","Number","Boolean","RegExp","Set","Map","WeakSet","WeakMap","Symbol","Promise","BigInt","Error","parseInt","parseFloat","isNaN","isFinite","encodeURI","decodeURI","encodeURIComponent","decodeURIComponent"]),a=/(?<![.\w$])([a-zA-Z_$][a-zA-Z0-9_$]*)/g,i=new Set;let l;for(;(l=a.exec(e))!==null;){const c=l[1];n.has(c)||i.add(c)}return Array.from(i)}isSwitchExpression(e){return e!==null&&typeof e=="object"&&!Array.isArray(e)&&"$switch"in e&&"$cases"in e}resolveSwitch(e,n,a){const i={...a,skipCache:!0};let l;try{l=this.resolveBindings(e.$switch,n,i)?.toString()?.trim()??""}catch(d){Da.warn("resolveSwitch: $switch 키 평가 실패:",e.$switch,d),l=""}let c;if(l&&e.$cases&&l in e.$cases)c=e.$cases[l];else if("$default"in e)c=e.$default;else return;return typeof c=="string"?c.includes("{{")?this.resolveBindings(c,n,i):c:c!==null&&typeof c=="object"?this.resolveObject(c,n,i):c}};$(ra,"PATH_SEGMENT_PATTERN",/([^.[\]]+)|\[(\d+)\]/g),$(ra,"CACHE_EXPIRY",3e4);let Tn=ra;const Dd=new Tn,Pl={mobile:{min:0,max:767},tablet:{min:768,max:1023},desktop:{min:1024,max:1/0},portable:{min:0,max:1023}},Bl=new Map;function Uw(s,e){let n=null;return((...a)=>{n!==null&&clearTimeout(n),n=setTimeout(()=>{s(...a)},e)})}class Pw{constructor(){$(this,"subscribers",new Set);$(this,"currentWidth",1024);$(this,"debouncedHandler",null);$(this,"isInitialized",!1);this.initialize()}initialize(){typeof window>"u"||(this.currentWidth=window.innerWidth,this.isInitialized=!0,this.debouncedHandler=Uw(()=>{this.currentWidth=window.innerWidth,this.notifySubscribers()},150),window.addEventListener("resize",this.debouncedHandler))}notifySubscribers(){this.subscribers.forEach(e=>{e(this.currentWidth)})}subscribe(e){return this.subscribers.add(e),e(this.currentWidth),()=>{this.subscribers.delete(e)}}getWidth(){return this.currentWidth}parseRange(e){if(Bl.has(e))return Bl.get(e)??null;let n=null;if(Pl[e])n={...Pl[e]};else{const a=e.match(/^(-?\d*)-(-?\d*)$/);if(a){const[,i,l]=a,c=i===""?0:parseInt(i,10),d=l===""?1/0:parseInt(l,10);!isNaN(c)&&!isNaN(d)&&c<=d&&(n={min:c,max:d})}}return Bl.set(e,n),n}getMatchingKey(e,n){const a=[];for(const i of Object.keys(e)){const l=this.parseRange(i);l&&n>=l.min&&n<=l.max&&a.push({key:i,range:l,isPreset:!!Pl[i]})}return a.length===0?null:(a.sort((i,l)=>{if(i.isPreset!==l.isPreset)return i.isPreset?1:-1;const c=i.range.max-i.range.min,d=l.range.max-l.range.min;return c-d}),a[0].key)}matches(e){const n=this.parseRange(e);return n?this.currentWidth>=n.min&&this.currentWidth<=n.max:!1}clearSubscribers(){this.subscribers.clear()}destroy(){this.debouncedHandler&&typeof window<"u"&&window.removeEventListener("resize",this.debouncedHandler),this.clearSubscribers(),Bl.clear()}_setWidthForTesting(e){this.currentWidth=e,this.notifySubscribers()}}const mi=new Pw,lo=dt("ConditionEvaluator");function Bw(s,e,n,a){return bd(Rg(s),e,n,{skipCache:!0,onEmpty:()=>{lo.warn(`${a}: 빈 바인딩 \`{{}}\` — undefined 로 해석합니다.`)}})}function zg(s,e,n){if(!s)return!0;try{const a=Ta(s);let i;if(a!==null?i=Bw(a,e,n,"evaluateStringCondition"):i=n.resolveBindings(s,e,{skipCache:!0}),typeof i=="string"){const l=i.toLowerCase().trim();if(l==="false"||l==="0"||l===""||l==="null"||l==="undefined")return!1}return!!i}catch(a){return lo.warn(`evaluateStringCondition: 조건 평가 실패: ${s}`,a),!1}}function ql(s,e,n){if(typeof s=="string")return zg(s,e,n);if("and"in s){if(!Array.isArray(s.and)||s.and.length===0)return lo.warn("evaluateConditionExpression: AND 그룹이 비어있습니다"),!0;for(const a of s.and)if(!ql(a,e,n))return!1;return!0}if("or"in s){if(!Array.isArray(s.or)||s.or.length===0)return lo.warn("evaluateConditionExpression: OR 그룹이 비어있습니다"),!1;for(const a of s.or)if(ql(a,e,n))return!0;return!1}return lo.warn("evaluateConditionExpression: 알 수 없는 조건 형식",s),!1}function Ug(s,e,n){if(!Array.isArray(s)||s.length===0)return{matched:!1,branchIndex:-1};for(let a=0;a<s.length;a++){const i=s[a];if(i.if===void 0)return{matched:!0,branchIndex:a};if(ql(i.if,e,n))return{matched:!0,branchIndex:a}}return{matched:!1,branchIndex:-1}}function qw(s){return typeof s=="string"?!0:s&&typeof s=="object"?"and"in s||"or"in s:!1}function Gw(s){if(!Array.isArray(s)||s.length===0)return!1;const e=s[0];return!e||typeof e!="object"?!1:"if"in e||"then"in e}const nr=dt("RenderHelpers");function Pg(){try{return window.G7Core?.devTools}catch{return}}const Bg=new Tn,Vw=ro,qg=Ta;function Od(s,e,n){let a=s;if(s.startsWith("{{")&&s.endsWith("}}")&&(a=s.slice(2,-2).trim()),qn(a))try{return n.evaluatePipeExpression(a,e,{skipCache:!0})}catch(i){nr.warn(`resolveIterationSource: 파이프 표현식 평가 실패: ${s}`,i);return}if(Vw(a))try{return n.evaluateExpression(a,e)}catch(i){nr.warn(`resolveIterationSource: 표현식 평가 실패: ${s}`,i);return}return n.resolve(a,e,{skipCache:!0})}function Fw(s,e){const n={...s};if(e?.parentDataContext)for(const[a,i]of Object.entries(e.parentDataContext))a in n||(n[a]=i);if(e?.state){const a=n._local||{};n._local={...a,...e.state}}return e?.isolatedContext?.state&&(n._isolated=e.isolatedContext.state),n}function Ld(s,e,n,a){if(!e||!Array.isArray(e)||e.length===0)return s;const i=a?.actionDispatcher??Mm(),l={...s,actions:e},c=i.bindActionsToProps(l,n,a?.componentContext);return delete c.actions,c}function Gg(s,e,n,a){if(typeof s=="boolean")return s;if(!s)return!0;try{const i=qg(s);let l;if(i!==null?l=bd(Rg(i),e,n,{skipCache:!0,onEmpty:()=>{nr.warn(`evaluateIfCondition: 빈 바인딩 \`{{}}\` (컴포넌트: ${a||"unknown"}) — undefined 로 해석합니다.`)}}):l=n.resolveBindings(s,e,{skipCache:!0}),typeof l=="string"){const c=l.toLowerCase().trim();if(c==="false"||c==="0"||c===""||c==="null"||c==="undefined")return!1}return!!l}catch(i){return nr.warn(`evaluateIfCondition: 조건 평가 실패 (컴포넌트: ${a||"unknown"}):`,i),!1}}function as(s,e,n,a){if(s.if!==void 0)return Gg(s.if,e,n,a);if(s.condition!==void 0)return Gg(s.condition,e,n,a);if(s.conditions===void 0)return!0;const i=s.conditions;try{return qw(i)?ql(i,e,n):Gw(i)?Ug(i,e,n).matched:(nr.warn(`evaluateRenderCondition: 알 수 없는 conditions 형식 (컴포넌트: ${a||"unknown"})`),!0)}catch(l){return nr.warn(`evaluateRenderCondition: conditions 평가 실패 (컴포넌트: ${a||"unknown"}):`,l),!1}}function Vg(s){if(!s.responsive)return s;const e=mi.getWidth(),n=mi.getMatchingKey(s.responsive,e);if(!n)return s;const a=s.responsive[n];return{...s,props:{...s.props,...a.props},children:a.children??s.children,text:a.text??s.text,if:a.if??s.if,iteration:a.iteration??s.iteration}}function co(s,e,n,a,i){if(!s||s.length===0)return[];const l=i?.bindingEngine??new Tn,c=i?.translationEngine??xa.getInstance(),d=i?.translationContext??{templateId:"",locale:"ko"},f=Fw(e,i?.componentContext),h=(v,_)=>{if(typeof v=="string")return Hl(v)||zl(v)||!/\$t:[a-zA-Z0-9._-]+/.test(v)?v:c.resolveTranslations(v,d,_);if(Array.isArray(v))return v.map(A=>h(A,_));if(v&&typeof v=="object"){const A={};for(const[x,L]of Object.entries(v))A[x]=h(L,_);return A}return v},m=(v,_)=>{if(typeof v=="string"){if(Hl(v))return vd(v);if(zl(v)){const x=[],L=v.replace(new RegExp(`${ao}([^${pi}]*)${pi}`,"g"),(k,O)=>(x.push(O),`${ka}${x.length-1}${ka}`));let M=L;return/\$t:[a-zA-Z0-9._-]+/.test(L)&&(M=c.resolveTranslations(L,d,_)),M.replace(new RegExp(`${ka}(\\d+)${ka}`,"g"),(k,O)=>x[parseInt(O)])}if(v.startsWith("$t:defer:")){const x="$t:"+v.slice(9);return c.resolveTranslations(x,d,_)}if(v.startsWith("$t:"))return c.resolveTranslations(v,d,_);if(/\$t:[a-zA-Z0-9._-]+/.test(v)){const x=v.trim();if(!(x.startsWith("{")&&x.endsWith("}")||x.startsWith("[")&&x.endsWith("]"))&&!v.includes("{{"))return c.resolveTranslations(v,d,_)}const A=qg(v);if(A!==null){let x=!1,L=A;A.startsWith(tr)&&(x=!0,L=A.slice(tr.length));let M=!1,k=bd(L,_,l,{skipCache:!0,onError:O=>{nr.warn("renderItemChildren: 표현식 평가 실패:",O),M=!0},onEmpty:()=>{nr.warn("renderItemChildren: 빈 바인딩 `{{}}` 은 해석하지 않습니다.")}});return M?void 0:(x||(k=h(k,_)),x&&k!=null?rs(k):k)}if(v.includes("{{")){const x=l.resolveBindings(v,_,{skipCache:!0});return typeof x=="string"&&/\$t:[a-zA-Z0-9._-]+/.test(x)?c.resolveTranslations(x,d,_):x}return v}if(Array.isArray(v))return v.map(A=>m(A,_));if(v&&typeof v=="object"){if(l.isSwitchExpression(v))return l.resolveSwitch(v,_,{skipCache:!0});if(l.isActionDefinition(v))return{...v};const A={};for(const[x,L]of Object.entries(v))A[x]=m(L,_);return A}return v},b=(v,_)=>{if(!v)return{};const A={};for(const[x,L]of Object.entries(v))A[x]=m(L,_);return A},S=(v,_,A)=>{const x=Vg(v),L=x.iteration;if(!L)return[];const M=Od(L.source,A,l);if(!Array.isArray(M))return nr.warn(`renderItemChildren: iteration.source가 배열이 아닙니다: ${L.source}`),[];const k=Pg();if(k?.isEnabled()){const B=`${_}-iteration`;k.trackIteration(B,L.source,L.item_var,L.index_var,M.length)}const O=n[x.name];return O?M.flatMap((B,G)=>{const P={...A,[L.item_var]:B,[`${L.item_var}_index`]:G,...L.index_var?{[L.index_var]:G}:{}},W=as({if:x.if,condition:x.condition,conditions:x.conditions},P,l,x.id);if(x.if&&k?.isEnabled()){const wt=`${_}-iter-${G}-if`;k.trackIfCondition(wt,x.if,W,x.name)}if(!W)return[];const pe=x.id?String(Ra(m(x.id,P))):void 0,Se=`${_}-iter-${G}`,we=i?.getRemountKey?i.getRemountKey(pe,Se):Se,Ue=b(x.props,P),Ve=Ld(Ue,x.actions,P,{actionDispatcher:i?.actionDispatcher,componentContext:i?.componentContext});let qe=null;return x.text!==void 0?qe=m(x.text,P):x.children&&x.children.length>0&&(qe=co(x.children,P,n,we,i)),k?.isEnabled()&&k.trackRender(x.name),[Ye.createElement(O,{key:we,...Ra(Ve)},Ra(qe))]}):(nr.warn(`renderItemChildren: 컴포넌트를 찾을 수 없습니다: ${x.name}`),[])};return s.flatMap((v,_)=>{const A=Vg(v),x=A.id?String(Ra(m(A.id,f))):void 0,L=a?`${a}-${x||_}`:x||`child-${_}`,M=i?.getRemountKey?i.getRemountKey(x,L):L;if(A.iteration)return S(A,M,f);const k=as({if:A.if,condition:A.condition,conditions:A.conditions},f,l,A.id),O=Pg();if(A.if&&O?.isEnabled()){const pe=`${M}-if`;O.trackIfCondition(pe,A.if,k,A.name)}if(!k)return[];const B=n[A.name];if(!B)return nr.warn(`renderItemChildren: 컴포넌트를 찾을 수 없습니다: ${A.name}`),[];const G=b(A.props,f),P=Ld(G,A.actions,f,{actionDispatcher:i?.actionDispatcher,componentContext:i?.componentContext});let W=null;return A.text!==void 0?W=m(A.text,f):A.children&&A.children.length>0&&(W=co(A.children,f,n,M,i)),O?.isEnabled()&&O.trackRender(A.name),[Ye.createElement(B,{key:M,...Ra(P)},Ra(W))]})}function is(s,e,n,a){let i,l;return n instanceof Tn?(i=n,l=a):(i=Bg,l=n),i.resolveBindings(s,e,l)}function Kw(s,e,n,a){const i=n??Bg,l={skipCache:!0,...a};let c;try{c=i.resolveBindings(s.key,e,{skipCache:l.skipCache})?.toString()?.trim()??""}catch(h){nr.warn("resolveClassMap: key 평가 실패:",s.key,h),c=""}let d="";c&&s.variants&&c in s.variants?d=s.variants[c]:s.default&&(d=s.default);const f=[];return s.base?.trim()&&f.push(s.base.trim()),d?.trim()&&f.push(d.trim()),f.join(" ")}function Fg(s,e){return function(){return s.apply(e,arguments)}}const{toString:Ww}=Object.prototype,{getPrototypeOf:Gl}=Object,{iterator:Vl,toStringTag:Kg}=Symbol,Fl=(s=>e=>{const n=Ww.call(e);return s[n]||(s[n]=n.slice(8,-1).toLowerCase())})(Object.create(null)),vr=s=>(s=s.toLowerCase(),e=>Fl(e)===s),Kl=s=>e=>typeof e===s,{isArray:ss}=Array,os=Kl("undefined");function uo(s){return s!==null&&!os(s)&&s.constructor!==null&&!os(s.constructor)&&Ln(s.constructor.isBuffer)&&s.constructor.isBuffer(s)}const Wg=vr("ArrayBuffer");function Yw(s){let e;return typeof ArrayBuffer<"u"&&ArrayBuffer.isView?e=ArrayBuffer.isView(s):e=s&&s.buffer&&Wg(s.buffer),e}const Xw=Kl("string"),Ln=Kl("function"),Yg=Kl("number"),fo=s=>s!==null&&typeof s=="object",Jw=s=>s===!0||s===!1,Wl=s=>{if(Fl(s)!=="object")return!1;const e=Gl(s);return(e===null||e===Object.prototype||Object.getPrototypeOf(e)===null)&&!(Kg in s)&&!(Vl in s)},Qw=s=>{if(!fo(s)||uo(s))return!1;try{return Object.keys(s).length===0&&Object.getPrototypeOf(s)===Object.prototype}catch{return!1}},Zw=vr("Date"),e0=vr("File"),t0=s=>!!(s&&typeof s.uri<"u"),n0=s=>s&&typeof s.getParts<"u",r0=vr("Blob"),a0=vr("FileList"),i0=s=>fo(s)&&Ln(s.pipe);function s0(){return typeof globalThis<"u"?globalThis:typeof self<"u"?self:typeof window<"u"?window:typeof global<"u"?global:{}}const Xg=s0(),Jg=typeof Xg.FormData<"u"?Xg.FormData:void 0,o0=s=>{if(!s)return!1;if(Jg&&s instanceof Jg)return!0;const e=Gl(s);if(!e||e===Object.prototype||!Ln(s.append))return!1;const n=Fl(s);return n==="formdata"||n==="object"&&Ln(s.toString)&&s.toString()==="[object FormData]"},l0=vr("URLSearchParams"),[c0,u0,d0,f0]=["ReadableStream","Request","Response","Headers"].map(vr),h0=s=>s.trim?s.trim():s.replace(/^[\s\uFEFF\xA0]+|[\s\uFEFF\xA0]+$/g,"");function ho(s,e,{allOwnKeys:n=!1}={}){if(s===null||typeof s>"u")return;let a,i;if(typeof s!="object"&&(s=[s]),ss(s))for(a=0,i=s.length;a<i;a++)e.call(null,s[a],a,s);else{if(uo(s))return;const l=n?Object.getOwnPropertyNames(s):Object.keys(s),c=l.length;let d;for(a=0;a<c;a++)d=l[a],e.call(null,s[d],d,s)}}function Qg(s,e){if(uo(s))return null;e=e.toLowerCase();const n=Object.keys(s);let a=n.length,i;for(;a-- >0;)if(i=n[a],e===i.toLowerCase())return i;return null}const yi=typeof globalThis<"u"?globalThis:typeof self<"u"?self:typeof window<"u"?window:global,Zg=s=>!os(s)&&s!==yi;function Md(...s){const{caseless:e,skipUndefined:n}=Zg(this)&&this||{},a={},i=(l,c)=>{if(c==="__proto__"||c==="constructor"||c==="prototype")return;const d=e&&Qg(a,c)||c,f=$d(a,d)?a[d]:void 0;Wl(f)&&Wl(l)?a[d]=Md(f,l):Wl(l)?a[d]=Md({},l):ss(l)?a[d]=l.slice():(!n||!os(l))&&(a[d]=l)};for(let l=0,c=s.length;l<c;l++)s[l]&&ho(s[l],i);return a}const p0=(s,e,n,{allOwnKeys:a}={})=>(ho(e,(i,l)=>{n&&Ln(i)?Object.defineProperty(s,l,{__proto__:null,value:Fg(i,n),writable:!0,enumerable:!0,configurable:!0}):Object.defineProperty(s,l,{__proto__:null,value:i,writable:!0,enumerable:!0,configurable:!0})},{allOwnKeys:a}),s),g0=s=>(s.charCodeAt(0)===65279&&(s=s.slice(1)),s),m0=(s,e,n,a)=>{s.prototype=Object.create(e.prototype,a),Object.defineProperty(s.prototype,"constructor",{__proto__:null,value:s,writable:!0,enumerable:!1,configurable:!0}),Object.defineProperty(s,"super",{__proto__:null,value:e.prototype}),n&&Object.assign(s.prototype,n)},y0=(s,e,n,a)=>{let i,l,c;const d={};if(e=e||{},s==null)return e;do{for(i=Object.getOwnPropertyNames(s),l=i.length;l-- >0;)c=i[l],(!a||a(c,s,e))&&!d[c]&&(e[c]=s[c],d[c]=!0);s=n!==!1&&Gl(s)}while(s&&(!n||n(s,e))&&s!==Object.prototype);return e},b0=(s,e,n)=>{s=String(s),(n===void 0||n>s.length)&&(n=s.length),n-=e.length;const a=s.indexOf(e,n);return a!==-1&&a===n},v0=s=>{if(!s)return null;if(ss(s))return s;let e=s.length;if(!Yg(e))return null;const n=new Array(e);for(;e-- >0;)n[e]=s[e];return n},S0=(s=>e=>s&&e instanceof s)(typeof Uint8Array<"u"&&Gl(Uint8Array)),w0=(s,e)=>{const a=(s&&s[Vl]).call(s);let i;for(;(i=a.next())&&!i.done;){const l=i.value;e.call(s,l[0],l[1])}},C0=(s,e)=>{let n;const a=[];for(;(n=s.exec(e))!==null;)a.push(n);return a},E0=vr("HTMLFormElement"),_0=s=>s.toLowerCase().replace(/[-_\s]([a-z\d])(\w*)/g,function(n,a,i){return a.toUpperCase()+i}),$d=(({hasOwnProperty:s})=>(e,n)=>s.call(e,n))(Object.prototype),A0=vr("RegExp"),em=(s,e)=>{const n=Object.getOwnPropertyDescriptors(s),a={};ho(n,(i,l)=>{let c;(c=e(i,l,s))!==!1&&(a[l]=c||i)}),Object.defineProperties(s,a)},x0=s=>{em(s,(e,n)=>{if(Ln(s)&&["arguments","caller","callee"].includes(n))return!1;const a=s[n];if(Ln(a)){if(e.enumerable=!1,"writable"in e){e.writable=!1;return}e.set||(e.set=()=>{throw Error("Can not rewrite read-only method '"+n+"'")})}})},T0=(s,e)=>{const n={},a=i=>{i.forEach(l=>{n[l]=!0})};return ss(s)?a(s):a(String(s).split(e)),n},k0=()=>{},R0=(s,e)=>s!=null&&Number.isFinite(s=+s)?s:e;function D0(s){return!!(s&&Ln(s.append)&&s[Kg]==="FormData"&&s[Vl])}const O0=s=>{const e=new WeakSet,n=a=>{if(fo(a)){if(e.has(a))return;if(uo(a))return a;if(!("toJSON"in a)){e.add(a);const i=ss(a)?[]:{};return ho(a,(l,c)=>{const d=n(l);!os(d)&&(i[c]=d)}),e.delete(a),i}}return a};return n(s)},L0=vr("AsyncFunction"),M0=s=>s&&(fo(s)||Ln(s))&&Ln(s.then)&&Ln(s.catch),tm=((s,e)=>s?setImmediate:e?((n,a)=>(yi.addEventListener("message",({source:i,data:l})=>{i===yi&&l===n&&a.length&&a.shift()()},!1),i=>{a.push(i),yi.postMessage(n,"*")}))(`axios@${Math.random()}`,[]):n=>setTimeout(n))(typeof setImmediate=="function",Ln(yi.postMessage)),$0=typeof queueMicrotask<"u"?queueMicrotask.bind(yi):typeof process<"u"&&process.nextTick||tm,K={isArray:ss,isArrayBuffer:Wg,isBuffer:uo,isFormData:o0,isArrayBufferView:Yw,isString:Xw,isNumber:Yg,isBoolean:Jw,isObject:fo,isPlainObject:Wl,isEmptyObject:Qw,isReadableStream:c0,isRequest:u0,isResponse:d0,isHeaders:f0,isUndefined:os,isDate:Zw,isFile:e0,isReactNativeBlob:t0,isReactNative:n0,isBlob:r0,isRegExp:A0,isFunction:Ln,isStream:i0,isURLSearchParams:l0,isTypedArray:S0,isFileList:a0,forEach:ho,merge:Md,extend:p0,trim:h0,stripBOM:g0,inherits:m0,toFlatObject:y0,kindOf:Fl,kindOfTest:vr,endsWith:b0,toArray:v0,forEachEntry:w0,matchAll:C0,isHTMLForm:E0,hasOwnProperty:$d,hasOwnProp:$d,reduceDescriptors:em,freezeMethods:x0,toObjectSet:T0,toCamelCase:_0,noop:k0,toFiniteNumber:R0,findKey:Qg,global:yi,isContextDefined:Zg,isSpecCompliantForm:D0,toJSONObject:O0,isAsyncFn:L0,isThenable:M0,setImmediate:tm,asap:$0,isIterable:s=>s!=null&&Ln(s[Vl])},N0=K.toObjectSet(["age","authorization","content-length","content-type","etag","expires","from","host","if-modified-since","if-unmodified-since","last-modified","location","max-forwards","proxy-authorization","referer","retry-after","user-agent"]),I0=s=>{const e={};let n,a,i;return s&&s.split(`
+`;break;case"t":b+="	";break;case"r":b+="\r";break;case"b":b+="\b";break;case"f":b+="\f";break;case"v":b+="\v";break;case"0":b+="\0";break;case"\\":b+="\\";break;case"'":b+="'";break;case'"':b+='"';break;case"`":b+="`";break;default:b+=S;break}n++}else b+=s[n],n++;if(n>=a)throw new Error(`Unterminated string literal at position ${h}`);n++,e.push({type:"str",value:b,pos:h});continue}if(Lw(l)){const h=n;for(n++;n<a&&Mw(s[n]);)n++;e.push({type:"ident",value:s.slice(h,n),pos:h});continue}if(l==="`"){const h=Lg(s,n);e.push({type:"template",value:"",pos:n,quasis:h.quasis,exprs:h.exprs}),n=h.end;continue}const c=n,d=s.substr(n,2);if(s.substr(n,3)==="..."){e.push({type:"punct",value:"...",pos:c}),n+=3;continue}switch(l){case"=":{i(1)===">"?(e.push({type:"punct",value:"=>",pos:c}),n+=2):i(1)==="="?i(2)==="="?(e.push({type:"punct",value:"===",pos:c}),n+=3):(e.push({type:"punct",value:"==",pos:c}),n+=2):(e.push({type:"punct",value:"=",pos:c}),n+=1);continue}case"!":{i(1)==="="?i(2)==="="?(e.push({type:"punct",value:"!==",pos:c}),n+=3):(e.push({type:"punct",value:"!=",pos:c}),n+=2):(e.push({type:"punct",value:"!",pos:c}),n+=1);continue}case"<":{if(i(1)==="=")e.push({type:"punct",value:"<=",pos:c}),n+=2;else{if(i(1)==="<")throw new Error("Bitwise/shift operators are not allowed");e.push({type:"punct",value:"<",pos:c}),n+=1}continue}case">":{if(i(1)==="=")e.push({type:"punct",value:">=",pos:c}),n+=2;else{if(i(1)===">")throw new Error("Bitwise/shift operators are not allowed");e.push({type:"punct",value:">",pos:c}),n+=1}continue}case"&":{if(i(1)==="&")e.push({type:"punct",value:"&&",pos:c}),n+=2;else throw new Error("Bitwise operators are not allowed");continue}case"|":{if(i(1)==="|")e.push({type:"punct",value:"||",pos:c}),n+=2;else throw new Error("Bitwise operators are not allowed");continue}case"?":{i(1)==="."&&!gi(i(2))?(e.push({type:"punct",value:"?.",pos:c}),n+=2):i(1)==="?"?(e.push({type:"punct",value:"??",pos:c}),n+=2):(e.push({type:"punct",value:"?",pos:c}),n+=1);continue}case"+":{if(i(1)==="+")throw new Error("Increment operator is not allowed");if(i(1)==="=")throw new Error("Assignment operators are not allowed");e.push({type:"punct",value:"+",pos:c}),n+=1;continue}case"-":{if(i(1)==="-")throw new Error("Decrement operator is not allowed");if(i(1)==="=")throw new Error("Assignment operators are not allowed");e.push({type:"punct",value:"-",pos:c}),n+=1;continue}case"*":{if(i(1)==="=")throw new Error("Assignment operators are not allowed");if(i(1)==="*")throw new Error("Exponentiation operator is not supported");e.push({type:"punct",value:"*",pos:c}),n+=1;continue}case"/":{if(i(1)==="=")throw new Error("Assignment operators are not allowed");e.push({type:"punct",value:"/",pos:c}),n+=1;continue}case"%":{if(i(1)==="=")throw new Error("Assignment operators are not allowed");e.push({type:"punct",value:"%",pos:c}),n+=1;continue}case"~":case"^":throw new Error("Bitwise operators are not allowed");case".":case":":case"(":case")":case"[":case"]":case"{":case"}":case",":e.push({type:"punct",value:l,pos:c}),n+=1;continue;case";":e.push({type:"punct",value:";",pos:c}),n+=1;continue;default:throw new Error(`Unexpected character "${l}" at position ${c}`)}}return e}const Iw={"??":1,"||":1,"&&":2,"===":3,"!==":3,"==":3,"!=":3,"<":4,">":4,"<=":4,">=":4,"+":5,"-":5,"*":6,"/":6,"%":6},jw=new Set(["??","||","&&"]);class Hw{constructor(e){$(this,"tokens");$(this,"pos",0);this.tokens=e}atEnd(){return this.pos>=this.tokens.length}peek(e=0){const n=this.pos+e;return n<this.tokens.length?this.tokens[n]:null}next(){if(this.atEnd())throw new Error("Unexpected end of expression");return this.tokens[this.pos++]}isPunct(e,n=0){const a=this.peek(n);return!!a&&a.type==="punct"&&a.value===e}expectPunct(e){const n=this.peek();if(!n||n.type!=="punct"||n.value!==e)throw new Error(`Expected "${e}" but found "${n?n.value:"<end>"}"`);this.pos++}parseExpression(){const e=this.tryParseArrow();return e||this.parseTernary()}tryParseArrow(){const e=this.pos,n=this.peek();if(!n)return null;if(n.type==="ident"&&this.isPunct("=>",1)&&!Ul.has(String(n.value))){this.pos+=1,this.pos+=1;const{body:a,isBlock:i}=this.parseArrowBody();return{type:"Arrow",params:[{name:String(n.value),default:null}],body:a,isBlock:i}}if(n.type==="punct"&&n.value==="("){this.pos+=1;const a=this.tryParseParamList();if(a&&this.isPunct(")")&&(this.pos+=1,this.isPunct("=>"))){this.pos+=1;const{body:i,isBlock:l}=this.parseArrowBody();return{type:"Arrow",params:a,body:i,isBlock:l}}return this.pos=e,null}return this.pos=e,null}tryParseParamList(){const e=[];if(this.isPunct(")"))return e;for(;;){const n=this.peek();let a=null,i;if(n&&n.type==="punct"&&n.value==="["){const c=this.tryParseArrayPattern();if(!c)return null;i=c}else if(n&&n.type==="ident"&&!Ul.has(String(n.value)))a=String(n.value),this.pos+=1;else return null;let l=null;if(this.isPunct("=")&&(this.pos+=1,l=this.parseExpression()),e.push(i?{name:a,elements:i,default:l}:{name:a,default:l}),this.isPunct(",")){this.pos+=1;continue}break}return e}tryParseArrayPattern(){const e=this.pos;this.pos+=1;const n=[];for(;;){if(this.isPunct("]"))return this.pos+=1,n;if(this.isPunct(",")){n.push(null),this.pos+=1;continue}const a=this.peek();if(!a||a.type!=="ident"||Ul.has(String(a.value)))return this.pos=e,null;if(n.push(String(a.value)),this.pos+=1,this.isPunct(",")){this.pos+=1;continue}return this.isPunct("]")?(this.pos+=1,n):(this.pos=e,null)}}parseArrowBody(){return this.isPunct("{")?{body:this.parseBlock(),isBlock:!0}:{body:this.parseExpression(),isBlock:!1}}parseBlock(){this.expectPunct("{");const e=[];for(;!this.isPunct("}");){if(this.atEnd())throw new Error("Unterminated block");e.push(this.parseStatement())}return this.expectPunct("}"),{type:"Block",body:e}}parseStatement(){const e=this.peek();if(!e)throw new Error("Unexpected end of statement");if(e.type==="punct"&&e.value==="{")return this.parseBlock();if(e.type==="punct"&&e.value===";")return this.pos+=1,{type:"Empty"};if(e.type==="ident")switch(String(e.value)){case"const":case"let":return this.parseVarDecl();case"if":return this.parseIf();case"for":return this.parseForOf();case"return":return this.parseReturn();case"try":return this.parseTry();case"break":return this.pos+=1,this.consumeSemicolon(),{type:"Break"};case"continue":return this.pos+=1,this.consumeSemicolon(),{type:"Continue"}}const n=this.parseExpression();return this.consumeSemicolon(),{type:"ExprStmt",expression:n}}consumeSemicolon(){this.isPunct(";")&&(this.pos+=1)}parseVarDecl(){this.pos+=1;const e=[];for(;;){const n=this.peek();if(!n||n.type!=="ident")throw new Error("Expected variable name in declaration");const a=String(n.value);this.pos+=1,this.expectPunct("=");const i=this.parseExpression();if(e.push({name:a,init:i}),this.isPunct(",")){this.pos+=1;continue}break}return this.consumeSemicolon(),{type:"VarDecl",declarations:e}}parseIf(){this.pos+=1,this.expectPunct("(");const e=this.parseExpression();this.expectPunct(")");const n=this.parseStatement();let a=null;const i=this.peek();return i&&i.type==="ident"&&i.value==="else"&&(this.pos+=1,a=this.parseStatement()),{type:"If",test:e,consequent:n,alternate:a}}parseForOf(){this.pos+=1,this.expectPunct("(");const e=this.peek();if(!e||e.type!=="ident"||e.value!=="const"&&e.value!=="let")throw new Error('Only "for (const x of …)" / "for (let x of …)" loops are supported');this.pos+=1;const n=this.peek();if(!n||n.type!=="ident")throw new Error("Expected loop variable name");const a=String(n.value);this.pos+=1;const i=this.peek();if(!i||i.type!=="ident"||i.value!=="of")throw new Error("Only for-of loops are supported (for-in / C-style for are not allowed)");this.pos+=1;const l=this.parseExpression();this.expectPunct(")");const c=this.parseStatement();return{type:"ForOf",name:a,iterable:l,body:c}}parseReturn(){if(this.pos+=1,this.isPunct(";")||this.isPunct("}")||this.atEnd())return this.consumeSemicolon(),{type:"Return",argument:null};const e=this.parseExpression();return this.consumeSemicolon(),{type:"Return",argument:e}}parseTry(){this.pos+=1;const e=this.parseBlock();let n=null,a=null,i=null;const l=this.peek();if(l&&l.type==="ident"&&l.value==="catch"){if(this.pos+=1,this.isPunct("(")){this.pos+=1;const d=this.peek();d&&d.type==="ident"&&(n=String(d.value),this.pos+=1),this.expectPunct(")")}a=this.parseBlock()}const c=this.peek();if(c&&c.type==="ident"&&c.value==="finally"&&(this.pos+=1,i=this.parseBlock()),!a&&!i)throw new Error("Missing catch or finally after try");return{type:"Try",block:e,handlerParam:n,handler:a,finalizer:i}}parseFunctionExpression(){this.pos+=1;let e=null;const n=this.peek();n&&n.type==="ident"&&n.value!==void 0&&!this.isPunct("(")&&(e=String(n.value),this.pos+=1),this.expectPunct("(");const a=this.tryParseParamList();if(!a)throw new Error("Invalid function parameter list");this.expectPunct(")");const i=this.parseBlock();return{type:"Function",name:e,params:a,body:i}}parseTernary(){const e=this.parseBinary(0);if(this.isPunct("?")){this.pos+=1;const n=this.parseExpression();this.expectPunct(":");const a=this.parseExpression();return{type:"Conditional",test:e,consequent:n,alternate:a}}return e}parseBinary(e){let n=this.parseUnary();for(;;){const a=this.peek();if(!a||a.type!=="punct")break;const i=String(a.value),l=Iw[i];if(l===void 0||l<e)break;this.pos+=1;const c=this.parseBinary(l+1);jw.has(i)?n={type:"Logical",operator:i,left:n,right:c}:n={type:"Binary",operator:i,left:n,right:c}}return n}parseUnary(){const e=this.peek();if(e){if(e.type==="punct"&&(e.value==="!"||e.value==="-"||e.value==="+")){this.pos+=1;const n=this.parseUnary();return{type:"Unary",operator:String(e.value),argument:n}}if(e.type==="ident"&&e.value==="typeof")return this.pos+=1,{type:"Unary",operator:"typeof",argument:this.parseUnary()};if(e.type==="ident"&&e.value==="delete"){this.pos+=1;const n=this.parseUnary();if(n.type!=="Member")throw new Error("delete is only allowed on a property reference");return{type:"Delete",argument:n}}}return this.parsePostfix()}parsePostfix(){let e=this.parsePrimary();for(;;){const n=this.peek();if(!n||n.type!=="punct")break;if(n.value==="."){this.pos+=1;const a=this.next();if(a.type!=="ident")throw new Error(`Expected property name after "." but found "${a.value}"`);const i=String(a.value);if(so.has(i))throw new Error(`Access to "${i}" is forbidden`);e={type:"Member",object:e,property:{type:"Literal",value:i},computed:!1,optional:!1}}else if(n.value==="?.")if(this.pos+=1,this.isPunct("[")){this.pos+=1;const a=this.parseExpression();this.expectPunct("]"),this.assertComputedKeyNotBlocked(a),e={type:"Member",object:e,property:a,computed:!0,optional:!0}}else if(this.isPunct("(")){const a=this.parseArguments();e={type:"Call",callee:e,args:a,optional:!0}}else{const a=this.next();if(a.type!=="ident")throw new Error(`Expected property name after "?." but found "${a.value}"`);const i=String(a.value);if(so.has(i))throw new Error(`Access to "${i}" is forbidden`);e={type:"Member",object:e,property:{type:"Literal",value:i},computed:!1,optional:!0}}else if(n.value==="["){this.pos+=1;const a=this.parseExpression();this.expectPunct("]"),this.assertComputedKeyNotBlocked(a),e={type:"Member",object:e,property:a,computed:!0,optional:!1}}else if(n.value==="("){const a=this.parseArguments();e={type:"Call",callee:e,args:a,optional:!1}}else break}return e}assertComputedKeyNotBlocked(e){if(e.type==="Literal"&&typeof e.value=="string"&&so.has(e.value))throw new Error(`Access to "${e.value}" is forbidden`)}parseArguments(){this.expectPunct("(");const e=[];if(!this.isPunct(")"))for(;;){if(this.isPunct("...")?(this.pos+=1,e.push({type:"Spread",argument:this.parseExpression()})):e.push(this.parseExpression()),this.isPunct(",")){this.pos+=1;continue}break}return this.expectPunct(")"),e}parseNew(){this.expectIdent("new");const e=this.peek();if(!e||e.type!=="ident")throw new Error("new is only allowed on whitelisted built-in constructors");const n=String(e.value);if(!Object.prototype.hasOwnProperty.call(wd,n))throw new Error("new is only allowed on whitelisted built-in constructors");this.pos+=1;let a=[];return this.isPunct("(")&&(a=this.parseArguments()),{type:"New",ctor:n,args:a}}expectIdent(e){const n=this.peek();if(!n||n.type!=="ident"||n.value!==e)throw new Error(`Expected "${e}"`);this.pos+=1}parsePrimary(){const e=this.peek();if(!e)throw new Error("Unexpected end of expression");if(e.type==="num")return this.pos+=1,{type:"Literal",value:e.value};if(e.type==="str")return this.pos+=1,{type:"Literal",value:e.value};if(e.type==="template"){this.pos+=1;const n=e.quasis||[""],i=(e.exprs||[]).map(l=>Mg(l));return{type:"Template",quasis:n,expressions:i}}if(e.type==="ident"&&e.value==="new")return this.parseNew();if(e.type==="ident"&&e.value==="function")return this.parseFunctionExpression();if(e.type==="ident"){const n=String(e.value);if(Ul.has(n))throw new Error(`Keyword "${n}" is not allowed`);switch(this.pos+=1,n){case"true":return{type:"Literal",value:!0};case"false":return{type:"Literal",value:!1};case"null":return{type:"Literal",value:null};case"undefined":return{type:"Literal",value:void 0};default:return{type:"Identifier",name:n}}}if(e.type==="punct"){if(e.value==="("){this.pos+=1;const n=this.parseExpression();return this.expectPunct(")"),n}if(e.value==="[")return this.parseArrayLiteral();if(e.value==="{")return this.parseObjectLiteral()}throw new Error(`Unexpected token "${e.value}"`)}parseArrayLiteral(){this.expectPunct("[");const e=[];for(;!this.isPunct("]");){if(this.isPunct(",")){this.pos+=1,e.push({type:"Literal",value:void 0});continue}if(this.isPunct("...")?(this.pos+=1,e.push({type:"Spread",argument:this.parseExpression()})):e.push(this.parseExpression()),this.isPunct(",")){this.pos+=1;continue}break}return this.expectPunct("]"),{type:"Array",elements:e}}parseObjectLiteral(){this.expectPunct("{");const e=[];for(;!this.isPunct("}");){if(this.isPunct("..."))this.pos+=1,e.push({kind:"spread",value:this.parseExpression()});else{let n,a=!1;const i=this.peek();if(!i)throw new Error("Unexpected end of expression in object literal");if(i.type==="punct"&&i.value==="[")this.pos+=1,n=this.parseExpression(),this.expectPunct("]"),a=!0;else if(i.type==="str")this.pos+=1,n={type:"Literal",value:i.value};else if(i.type==="num")this.pos+=1,n={type:"Literal",value:String(i.value)};else if(i.type==="ident")this.pos+=1,n={type:"Literal",value:String(i.value)};else throw new Error(`Unexpected token "${i.value}" in object literal`);if(this.isPunct(":")){this.pos+=1;const l=this.parseExpression();e.push({kind:"init",key:n,computed:a,value:l})}else{if(a||n.type!=="Literal"||typeof n.value!="string")throw new Error("Invalid shorthand property in object literal");if(i.type!=="ident")throw new Error("Invalid shorthand property in object literal");e.push({kind:"init",key:n,computed:!1,value:{type:"Identifier",name:n.value}})}}if(this.isPunct(",")){this.pos+=1;continue}break}return this.expectPunct("}"),{type:"Object",properties:e}}}function Mg(s){const e=Nw(s),n=new Hw(e),a=n.parseExpression();if(!n.atEnd()){const i=n.peek();throw i&&i.type==="punct"&&i.value===","?new Error("The comma/sequence operator is not allowed"):new Error(`Unexpected token "${i?i.value:"<end>"}" after expression`)}return a}function zw(s,e){let n=e;for(;n;){if(Object.prototype.hasOwnProperty.call(n.vars,s))return n.vars[s];n=n.parent}if(Object.prototype.hasOwnProperty.call(Sd,s))return Sd[s];if(Dw.has(s))throw new Error(`Reference to forbidden global "${s}" is not allowed`)}function Ad(s){const e=typeof s=="symbol"?s:String(s);if(typeof e=="string"&&so.has(e))throw new Error(`Access to "${e}" is forbidden`);return e}function xd(s,e){return s.type==="Member"?$g(s,e):s.type==="Call"?Ng(s,e):Qe(s,e)}function $g(s,e){const n=xd(s.object,e);if(n===br||s.optional&&n==null)return br;let a;s.computed?a=Qe(s.property,e):a=s.property.value;const i=Ad(a);if(n!=null)return n[i]}function Ng(s,e){let n,a;if(s.callee.type==="Member"){const l=s.callee,c=xd(l.object,e);if(c===br||l.optional&&c==null)return br;let d;l.computed?d=Qe(l.property,e):d=l.property.value;const f=Ad(d);c==null?n=void 0:(n=c[f],a=c)}else if(n=xd(s.callee,e),n===br)return br;if(s.optional&&n==null)return br;if(typeof n!="function")throw new Error("Attempted to call a non-function value");const i=Ig(s.args,e);return n.apply(a,i)}function Ig(s,e){const n=[];for(const a of s)if(a.type==="Spread"){const i=Qe(a.argument,e);if(i!=null)for(const l of i)n.push(l)}else n.push(Qe(a,e));return n}function jg(s,e,n){for(let a=0;a<s.length;a++){const i=s[a];let l=e[a];if(l===void 0&&i.default&&(l=Qe(i.default,n)),i.elements){if(l==null)throw new TypeError(`Cannot destructure ${String(l)}: value is not iterable`);const c=Array.isArray(l)?l:Array.from(l);for(let d=0;d<i.elements.length;d++){const f=i.elements[d];f!==null&&(n.vars[f]=c[d])}}else i.name!==null&&(n.vars[i.name]=l)}}function Hg(s,e){try{Qe(s,e)}catch(n){if(n instanceof Cd)return n.value;throw n}}function Qe(s,e){switch(s.type){case"Literal":return s.value;case"Identifier":return zw(s.name,e);case"Member":{const n=$g(s,e);return n===br?void 0:n}case"Call":{const n=Ng(s,e);return n===br?void 0:n}case"Unary":{const n=Qe(s.argument,e);switch(s.operator){case"!":return!n;case"-":return-n;case"+":return+n;case"typeof":return typeof n;default:throw new Error(`Unknown unary operator "${s.operator}"`)}}case"Binary":{const n=Qe(s.left,e),a=Qe(s.right,e);switch(s.operator){case"+":return n+a;case"-":return n-a;case"*":return n*a;case"/":return n/a;case"%":return n%a;case"===":return n===a;case"!==":return n!==a;case"==":return n==a;case"!=":return n!=a;case"<":return n<a;case">":return n>a;case"<=":return n<=a;case">=":return n>=a;default:throw new Error(`Unknown binary operator "${s.operator}"`)}}case"Logical":{const n=Qe(s.left,e);switch(s.operator){case"&&":return n&&Qe(s.right,e);case"||":return n||Qe(s.right,e);case"??":return n??Qe(s.right,e);default:throw new Error(`Unknown logical operator "${s.operator}"`)}}case"Conditional":return Qe(s.test,e)?Qe(s.consequent,e):Qe(s.alternate,e);case"Array":{const n=[];for(const a of s.elements)if(a.type==="Spread"){const i=Qe(a.argument,e);if(i!=null)for(const l of i)n.push(l)}else n.push(Qe(a,e));return n}case"Object":{const n={};for(const a of s.properties)if(a.kind==="spread"){const i=Qe(a.value,e);if(i!=null&&typeof i=="object")for(const l of Object.keys(i))Td(n,l,i[l])}else{let i;a.computed?i=Qe(a.key,e):i=a.key.value;const l=Qe(a.value,e);Td(n,String(i),l)}return n}case"Arrow":{const n=e,a=s.params,i=s.body,l=s.isBlock;return function(...d){const f={vars:{},parent:n};return jg(a,d,f),l?Hg(i,f):Qe(i,f)}}case"Function":{const n=e,a=s.params,i=s.body,l=s.name,c=function(...f){const h={vars:{},parent:n};return l&&(h.vars[l]=c),jg(a,f,h),Hg(i,h)};return c}case"Delete":{const n=s.argument,a=Qe(n.object,e);let i;n.computed?i=Qe(n.property,e):i=n.property.value;const l=Ad(i);if(a==null||typeof a!="object"&&typeof a!="function")return!0;if(Og.has(a))throw new Error("delete on a built-in global object is not allowed");return delete a[l]}case"Block":{const n={vars:{},parent:e};for(const a of s.body)Qe(a,n);return}case"VarDecl":{for(const n of s.declarations)e.vars[n.name]=Qe(n.init,e);return}case"If":{Qe(s.test,e)?Qe(s.consequent,e):s.alternate&&Qe(s.alternate,e);return}case"ForOf":{const n=Qe(s.iterable,e);if(n!=null)for(const a of n){const i={vars:{},parent:e};i.vars[s.name]=a;try{Qe(s.body,i)}catch(l){if(l instanceof _d)continue;if(l instanceof Ed)break;throw l}}return}case"Return":throw new Cd(s.argument?Qe(s.argument,e):void 0);case"ExprStmt":Qe(s.expression,e);return;case"Break":throw new Ed;case"Continue":throw new _d;case"Empty":return;case"Try":{try{try{Qe(s.block,e)}catch(n){if(n instanceof Cd||n instanceof Ed||n instanceof _d)throw n;if(s.handler){const a={vars:{},parent:e};s.handlerParam&&(a.vars[s.handlerParam]=n),Qe(s.handler,a)}else throw n}}finally{s.finalizer&&Qe(s.finalizer,e)}return}case"New":{const n=wd[s.ctor];if(typeof n!="function")throw new Error("new on non-whitelisted constructor");const a=Ig(s.args,e);return new n(...a)}case"Template":{let n=s.quasis[0]??"";for(let a=0;a<s.expressions.length;a++)n+=String(Qe(s.expressions[a],e)),n+=s.quasis[a+1]??"";return n}case"Spread":throw new Error("Unexpected spread element");default:throw new Error(`Unknown node type "${s.type}"`)}}function Td(s,e,n){Object.defineProperty(s,e,{value:n,enumerable:!0,writable:!0,configurable:!0})}function kd(s,e){if(typeof s!="string")throw new Error("Expression must be a string");const n=Mg(s);return Qe(n,{vars:e||{},parent:null})}const Da=dt("DataBindingEngine");function oo(){try{return window.G7Core?.devTools}catch{return}}class Rd extends Error{constructor(n,a,i){super(n);$(this,"path");$(this,"context");this.path=a,this.context=i,this.name="DataBindingError"}}const ra=class ra{constructor(e){$(this,"cache",new Map);$(this,"renderCycleCache",new Map);$(this,"currentRenderCycleId",0);$(this,"defaultOptions",{defaultValue:void 0,nullSafe:!0,detectCircular:!0,maxDepth:10});e&&(this.defaultOptions={...this.defaultOptions,...e})}startRenderCycle(){this.currentRenderCycleId++,this.renderCycleCache.clear()}isRenderCycleCacheActive(){return this.currentRenderCycleId>0}getFromRenderCycleCache(e){if(this.isRenderCycleCacheActive())return this.renderCycleCache.get(e)}saveToRenderCycleCache(e,n){this.isRenderCycleCacheActive()&&this.renderCycleCache.set(e,n)}resolveBindings(e,n,a,i){const l={...this.defaultOptions,...a},c=oo(),d=n._computed&&!n.$computed?{...n,$computed:n._computed}:n,f=(S,v)=>{const _=v.trim();let A=!1,x=_;if(_.startsWith(tr)&&(A=!0,x=_.slice(tr.length)),qn(x))try{const P=this.evaluatePipeExpression(x,d,l,{...i,method:"resolveBindings",displayExpression:`{{${_}}}`}),W=this.formatValue(P);return A?io(W):W}catch(P){return Da.error("Pipe expression evaluation failed:",x,P),S}if(ro(x)){const P=c?.isEnabled()?performance.now():0;try{let W,pe=!1;if(l.skipCache)W=this.evaluateExpression(x,d);else{const we=`expr:${x}`,Ue=this.getFromRenderCycleCache(we);Ue!==void 0?(W=Ue,pe=!0):(W=this.evaluateExpression(x,d),this.saveToRenderCycleCache(we,W))}if(c?.isEnabled()){const we=performance.now()-P;c.trackExpressionEval({expression:`{{${_}}}`,result:this.sanitizeResultForTracking(W),resultType:this.getResultType(W),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:pe,duration:we,method:"resolveBindings",skipCache:l.skipCache})}const Se=this.formatValue(W);return A?io(Se):Se}catch(W){return Da.error("Expression evaluation failed:",x,W),S}}if(l.skipCache){const P=c?.isEnabled()?performance.now():0,W=this.resolvePath(x,d,l);if(c?.isEnabled()){const Se=performance.now()-P;c.trackExpressionEval({expression:`{{${_}}}`,result:this.sanitizeResultForTracking(W),resultType:this.getResultType(W),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:!1,duration:Se,method:"resolveBindings",skipCache:!0})}const pe=this.formatValue(W);return A?io(pe):pe}const M=x.startsWith("_global")||x.startsWith("_local")||x.startsWith("_isolated")||x.startsWith("$parent"),k=c?.isEnabled()?performance.now():0;let O,B=!1;if(M){const P=this.getFromRenderCycleCache(x);P!==void 0?(O=P,B=!0):(O=this.resolvePath(x,d,l),this.saveToRenderCycleCache(x,O))}else{const P=this.getFromCache(x);P!==void 0?(O=P,B=!0):(O=this.resolvePath(x,d,l),this.saveToCache(x,O))}if(c?.isEnabled()){const P=performance.now()-k;c.trackExpressionEval({expression:`{{${_}}}`,result:this.sanitizeResultForTracking(O),resultType:this.getResultType(O),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:B,duration:P,method:"resolveBindings",skipCache:l.skipCache})}const G=this.formatValue(O);return A?io(G):G},h=Rw(e);if(h.length===0)return e;let m="",b=0;for(const S of h)m+=e.slice(b,S.start),m+=f(e.slice(S.start,S.end),S.expr),b=S.end;return m+e.slice(b)}evaluatePipeExpression(e,n,a,i){const l={...this.defaultOptions,...a},c=oo(),d=c?.isEnabled()?performance.now():0,f=n._computed&&!n.$computed?{...n,$computed:n._computed}:n,[h,m]=Tw(e);let b,S=!1;const v=ro(h),_=h.startsWith("_global")||h.startsWith("_local")||h.startsWith("_isolated")||h.startsWith("$parent");if(l.skipCache)v?b=this.evaluateExpression(h,f):b=this.resolvePath(h,f,l);else if(v){const x=this.getFromRenderCycleCache(`expr:${h}`);x!==void 0?(b=x,S=!0):(b=this.evaluateExpression(h,f),this.saveToRenderCycleCache(`expr:${h}`,b))}else if(_){const x=this.getFromRenderCycleCache(h);x!==void 0?(b=x,S=!0):(b=this.resolvePath(h,f,l),this.saveToRenderCycleCache(h,b))}else{const x=this.getFromCache(h);x!==void 0?(b=x,S=!0):(b=this.resolvePath(h,f,l),this.saveToCache(h,b))}const A=kw(b,m);if(c?.isEnabled()){const x=performance.now()-d;c.trackExpressionEval({expression:i?.displayExpression??`{{${e}}}`,result:this.sanitizeResultForTracking(A),resultType:this.getResultType(A),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:S,duration:x,method:i?.method??"evaluatePipeExpression",skipCache:l.skipCache})}return A}resolve(e,n,a,i){const l={...this.defaultOptions,...a},c=oo(),d=c?.isEnabled()?performance.now():0;if(l.skipCache){const b=this.resolvePath(e,n,l);return c?.isEnabled()&&c.trackExpressionEval({expression:e,result:this.sanitizeResultForTracking(b),resultType:this.getResultType(b),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:!1,duration:performance.now()-d,method:"resolve",skipCache:!0}),b}const f=e.startsWith("_global")||e.startsWith("_local")||e.startsWith("_isolated")||e.startsWith("$parent");let h=!1;if(f){const b=this.getFromRenderCycleCache(e);if(b!==void 0)return h=!0,c?.isEnabled()&&c.trackExpressionEval({expression:e,result:this.sanitizeResultForTracking(b),resultType:this.getResultType(b),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:!0,duration:performance.now()-d,method:"resolve",skipCache:l.skipCache}),b}else{const b=this.getFromCache(e);if(b!==void 0)return h=!0,c?.isEnabled()&&c.trackExpressionEval({expression:e,result:this.sanitizeResultForTracking(b),resultType:this.getResultType(b),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:!0,duration:performance.now()-d,method:"resolve",skipCache:l.skipCache}),b}const m=this.resolvePath(e,n,l);return f?this.saveToRenderCycleCache(e,m):this.saveToCache(e,m),c?.isEnabled()&&c.trackExpressionEval({expression:e,result:this.sanitizeResultForTracking(m),resultType:this.getResultType(m),componentId:i?.componentId,componentName:i?.componentName,propName:i?.propName,fromCache:h,duration:performance.now()-d,method:"resolve",skipCache:l.skipCache}),m}resolvePath(e,n,a,i=0,l=new WeakSet){if(typeof e!="string"||e.trim()===""){Da.warn("resolvePath: 빈 경로가 전달되었습니다 — undefined 로 해석합니다.");return}if(a.maxDepth&&i>a.maxDepth){if(a.detectCircular)throw new Rd(`Maximum depth exceeded (${a.maxDepth}). Possible circular reference.`,e,n);return a.defaultValue}const c=this.parsePath(e);let d=n;for(let f=0;f<c.length;f++){const h=c[f];if(d==null){if(a.nullSafe)return a.defaultValue;throw new Rd(`Cannot read property '${h}' of ${d}`,e,n)}if(a.detectCircular&&typeof d=="object"){if(l.has(d))throw new Rd(`Circular reference detected at path: ${c.slice(0,f+1).join(".")}`,e,n);l.add(d)}d=d[h],e==="_global.toasts"&&Da.log(`[DataBindingEngine] segment: ${h}, current:`,d)}return d!==void 0?d:a.defaultValue}parsePath(e){const n=[];let a;for(ra.PATH_SEGMENT_PATTERN.lastIndex=0;(a=ra.PATH_SEGMENT_PATTERN.exec(e))!==null;){const i=a[1]||a[2];i&&n.push(i)}return n}formatValue(e){if(e==null)return"";if(typeof e=="object")try{return JSON.stringify(e)}catch{return"[Object]"}return String(e)}getFromCache(e){const n=this.cache.get(e),a=oo();if(!n){a?.isEnabled()&&a.recordCacheMiss();return}if(Date.now()-n.timestamp>ra.CACHE_EXPIRY){this.cache.delete(e),a?.isEnabled()&&a.recordCacheMiss();return}return a?.isEnabled()&&a.recordCacheHit(),n.value}saveToCache(e,n){this.cache.set(e,{value:n,timestamp:Date.now()})}isActionDefinition(e){return typeof e.handler!="string"?!1:e.params!==void 0||Array.isArray(e.actions)||typeof e.target=="string"||e.onSuccess!==void 0||e.onError!==void 0}resolveObject(e,n,a){if(this.isSwitchExpression(e)){const d=e;return this.resolveSwitch(d,n,a)}if(this.isActionDefinition(e))return{...e};if("iteration"in e)return{...e};const i={},c=[...["cellChildren","expandChildren","expandContext","render"],...a?.skipBindingKeys||[]];for(const[d,f]of Object.entries(e)){if(c.includes(d)){i[d]=f;continue}try{this.resolveObjectEntry(i,d,f,n,a)}catch(h){Da.warn(`resolveObject: 값 해석 실패 (key: ${d}):`,h),i[d]=void 0}}return i}resolveObjectEntry(e,n,a,i,l){if(typeof a=="string"){const c=Ta(a);if(c!==null){const d=c.trim();let f=!1,h=d;d.startsWith(tr)&&(f=!0,h=d.slice(tr.length));let m;switch(kg(h)){case"empty":Da.warn(`resolveObject: 빈 바인딩 \`{{}}\` (key: ${n}) — undefined 로 해석합니다.`),m=void 0;break;case"literal":m=yd.get(h);break;case"pipe":m=this.evaluatePipeExpression(h,i,l);break;case"expression":m=this.evaluateExpression(h,i,l);break;default:m=this.resolve(h,i,l)}e[n]=f&&m!=null?rs(m):m}else e[n]=this.resolveBindings(a,i,l)}else Array.isArray(a)?e[n]=a.map(c=>typeof c=="string"?this.resolveBindings(c,i,l):typeof c=="object"&&c!==null?this.resolveObject(c,i,l):c):a&&typeof a=="object"?e[n]=this.resolveObject(a,i,l):e[n]=a}clearCache(){this.cache.clear()}invalidateCacheByKeys(e){for(const n of this.cache.keys())for(const a of e)if(n===a||n.startsWith(`${a}.`)||n.startsWith(`${a}[`)){this.cache.delete(n);break}}pruneCache(){const e=Date.now();for(const[n,a]of this.cache.entries())e-a.timestamp>ra.CACHE_EXPIRY&&this.cache.delete(n)}getCacheStats(){const e=Date.now();let n=0;for(const a of this.cache.values())e-a.timestamp>ra.CACHE_EXPIRY&&n++;return{size:this.cache.size,expired:n}}evaluateExpression(e,n,a){const i=oo(),l=i?.isEnabled()?performance.now():0;i?.isEnabled()&&i.trackBindingEval();try{let c=this.preprocessOptionalChaining(e);c=this.preprocessTranslationTokens(c);const d=this.extractVariablesFromExpression(c),f={...n};for(const x of d)x in f||(f[x]=void 0);n._computed&&!f.$computed&&(f.$computed=n._computed);let h=n.$templateId,m=n.$locale;if(typeof window<"u"&&(!h||!m)){const x=window.__templateApp?.getConfig?.();h??(h=x?.templateId),m??(m=x?.locale)}const b=m||"ko";f.$localized=(x,L)=>{if(x==null&&!L)return"";if(typeof x=="string")return x;if(x&&typeof x=="object"&&x[b])return x[b];if(L&&typeof L=="string"){const M=f.$t?f.$t(L):L;if(M&&M!==L)return M}return x&&typeof x=="object"?x.ko||x.en||Object.values(x)[0]||"":x==null?"":String(x)};const S=typeof window<"u"?window.G7Core:void 0;f.$uuid=()=>S?.uuid?S.uuid():typeof crypto<"u"&&crypto.randomUUID?crypto.randomUUID():"xxxxxxxx-xxxx-4xxx-yxxx-xxxxxxxxxxxx".replace(/[xy]/g,x=>{const L=Math.random()*16|0;return(x==="x"?L:L&3|8).toString(16)});const v={templateId:h||"",locale:b};f.$t=x=>{if(!x||typeof x!="string")return"";try{return xa.getInstance().translate(x,v)}catch(L){return Da.warn("$t() translation failed for key:",x,L),x}},f.$get=(x,L,M=void 0)=>{if(x==null)return M;const k=Array.isArray(L)?L:[L];if(k.length===0)return x;let O=x;for(const B of k){if(O==null||B==null)return M;O=O[B]}return O??M};const _=!1,A=kd(c,f);if(i?.isEnabled()){const x=performance.now()-l;i.trackExpressionEval({expression:e,result:this.sanitizeResultForTracking(A),resultType:this.getResultType(A),componentId:a?.componentId,componentName:a?.componentName,propName:a?.propName,fromCache:_,duration:x,method:"evaluateExpression",skipCache:a?.skipCache})}return A}catch(c){throw new Error(`Failed to evaluate expression "${e}": ${c instanceof Error?c.message:String(c)}`)}}getResultType(e){return e===null?"null":e===void 0?"undefined":Array.isArray(e)?"array":typeof e}sanitizeResultForTracking(e){if(e==null||typeof e!="object")return e;try{if(Array.isArray(e))return e.length>10?`[Array(${e.length})]`:e.slice(0,10);const n=Object.keys(e);return n.length>20?`{Object(${n.length} keys)}`:(JSON.stringify(e),e)}catch{return"[Complex Object]"}}preprocessTranslationTokens(e){return e=e.replace(/(['"])(\$t:([a-zA-Z_][a-zA-Z0-9_.\-]*))\1/g,(n,a,i,l)=>`$t('${l}')`),e.replace(/(['"]\s*)?(\$t:[a-zA-Z_][a-zA-Z0-9_.\-]*)(?!\s*['"])/g,(n,a,i)=>a?n:`"${i}"`)}preprocessOptionalChaining(e){const n=[];let a=e.replace(/(['"])(?:(?!\1|\\).|\\.)*\1/g,l=>(n.push(l),`__STRING_LITERAL_${n.length-1}__`));const i=[];return a=a.replace(/\$t:[a-zA-Z_][a-zA-Z0-9_.\-]*(?:\|[^'"\s,)]+)?/g,l=>(i.push(l),`__TRANSLATION_TOKEN_${i.length-1}__`)),a=a.replace(/([a-zA-Z_$][a-zA-Z0-9_$]*)\.(?!\?)/g,"$1?."),a=a.replace(/__TRANSLATION_TOKEN_(\d+)__/g,(l,c)=>i[parseInt(c,10)]),a=a.replace(/__STRING_LITERAL_(\d+)__/g,(l,c)=>n[parseInt(c,10)]),a}extractVariablesFromExpression(e){const n=new Set(["true","false","null","undefined","NaN","Infinity","if","else","for","while","do","switch","case","break","continue","return","function","class","const","let","var","new","delete","typeof","instanceof","this","super","import","export","default","try","catch","finally","throw","Math","Date","JSON","Array","Object","String","Number","Boolean","RegExp","Set","Map","WeakSet","WeakMap","Symbol","Promise","BigInt","Error","parseInt","parseFloat","isNaN","isFinite","encodeURI","decodeURI","encodeURIComponent","decodeURIComponent"]),a=/(^|[^.\w$])([a-zA-Z_$][a-zA-Z0-9_$]*)/g,i=new Set;let l;for(;(l=a.exec(e))!==null;){const c=l[2];n.has(c)||i.add(c)}return Array.from(i)}isSwitchExpression(e){return e!==null&&typeof e=="object"&&!Array.isArray(e)&&"$switch"in e&&"$cases"in e}resolveSwitch(e,n,a){const i={...a,skipCache:!0};let l;try{l=this.resolveBindings(e.$switch,n,i)?.toString()?.trim()??""}catch(d){Da.warn("resolveSwitch: $switch 키 평가 실패:",e.$switch,d),l=""}let c;if(l&&e.$cases&&l in e.$cases)c=e.$cases[l];else if("$default"in e)c=e.$default;else return;return typeof c=="string"?c.includes("{{")?this.resolveBindings(c,n,i):c:c!==null&&typeof c=="object"?this.resolveObject(c,n,i):c}};$(ra,"PATH_SEGMENT_PATTERN",/([^.[\]]+)|\[(\d+)\]/g),$(ra,"CACHE_EXPIRY",3e4);let Tn=ra;const Dd=new Tn,Pl={mobile:{min:0,max:767},tablet:{min:768,max:1023},desktop:{min:1024,max:1/0},portable:{min:0,max:1023}},Bl=new Map;function Uw(s,e){let n=null;return((...a)=>{n!==null&&clearTimeout(n),n=setTimeout(()=>{s(...a)},e)})}class Pw{constructor(){$(this,"subscribers",new Set);$(this,"currentWidth",1024);$(this,"debouncedHandler",null);$(this,"isInitialized",!1);this.initialize()}initialize(){typeof window>"u"||(this.currentWidth=window.innerWidth,this.isInitialized=!0,this.debouncedHandler=Uw(()=>{this.currentWidth=window.innerWidth,this.notifySubscribers()},150),window.addEventListener("resize",this.debouncedHandler))}notifySubscribers(){this.subscribers.forEach(e=>{e(this.currentWidth)})}subscribe(e){return this.subscribers.add(e),e(this.currentWidth),()=>{this.subscribers.delete(e)}}getWidth(){return this.currentWidth}parseRange(e){if(Bl.has(e))return Bl.get(e)??null;let n=null;if(Pl[e])n={...Pl[e]};else{const a=e.match(/^(-?\d*)-(-?\d*)$/);if(a){const[,i,l]=a,c=i===""?0:parseInt(i,10),d=l===""?1/0:parseInt(l,10);!isNaN(c)&&!isNaN(d)&&c<=d&&(n={min:c,max:d})}}return Bl.set(e,n),n}getMatchingKey(e,n){const a=[];for(const i of Object.keys(e)){const l=this.parseRange(i);l&&n>=l.min&&n<=l.max&&a.push({key:i,range:l,isPreset:!!Pl[i]})}return a.length===0?null:(a.sort((i,l)=>{if(i.isPreset!==l.isPreset)return i.isPreset?1:-1;const c=i.range.max-i.range.min,d=l.range.max-l.range.min;return c-d}),a[0].key)}matches(e){const n=this.parseRange(e);return n?this.currentWidth>=n.min&&this.currentWidth<=n.max:!1}clearSubscribers(){this.subscribers.clear()}destroy(){this.debouncedHandler&&typeof window<"u"&&window.removeEventListener("resize",this.debouncedHandler),this.clearSubscribers(),Bl.clear()}_setWidthForTesting(e){this.currentWidth=e,this.notifySubscribers()}}const mi=new Pw,lo=dt("ConditionEvaluator");function Bw(s,e,n,a){return bd(Rg(s),e,n,{skipCache:!0,onEmpty:()=>{lo.warn(`${a}: 빈 바인딩 \`{{}}\` — undefined 로 해석합니다.`)}})}function zg(s,e,n){if(!s)return!0;try{const a=Ta(s);let i;if(a!==null?i=Bw(a,e,n,"evaluateStringCondition"):i=n.resolveBindings(s,e,{skipCache:!0}),typeof i=="string"){const l=i.toLowerCase().trim();if(l==="false"||l==="0"||l===""||l==="null"||l==="undefined")return!1}return!!i}catch(a){return lo.warn(`evaluateStringCondition: 조건 평가 실패: ${s}`,a),!1}}function ql(s,e,n){if(typeof s=="string")return zg(s,e,n);if("and"in s){if(!Array.isArray(s.and)||s.and.length===0)return lo.warn("evaluateConditionExpression: AND 그룹이 비어있습니다"),!0;for(const a of s.and)if(!ql(a,e,n))return!1;return!0}if("or"in s){if(!Array.isArray(s.or)||s.or.length===0)return lo.warn("evaluateConditionExpression: OR 그룹이 비어있습니다"),!1;for(const a of s.or)if(ql(a,e,n))return!0;return!1}return lo.warn("evaluateConditionExpression: 알 수 없는 조건 형식",s),!1}function Ug(s,e,n){if(!Array.isArray(s)||s.length===0)return{matched:!1,branchIndex:-1};for(let a=0;a<s.length;a++){const i=s[a];if(i.if===void 0)return{matched:!0,branchIndex:a};if(ql(i.if,e,n))return{matched:!0,branchIndex:a}}return{matched:!1,branchIndex:-1}}function qw(s){return typeof s=="string"?!0:s&&typeof s=="object"?"and"in s||"or"in s:!1}function Gw(s){if(!Array.isArray(s)||s.length===0)return!1;const e=s[0];return!e||typeof e!="object"?!1:"if"in e||"then"in e}const nr=dt("RenderHelpers");function Pg(){try{return window.G7Core?.devTools}catch{return}}const Bg=new Tn,Vw=ro,qg=Ta;function Od(s,e,n){let a=s;if(s.startsWith("{{")&&s.endsWith("}}")&&(a=s.slice(2,-2).trim()),qn(a))try{return n.evaluatePipeExpression(a,e,{skipCache:!0})}catch(i){nr.warn(`resolveIterationSource: 파이프 표현식 평가 실패: ${s}`,i);return}if(Vw(a))try{return n.evaluateExpression(a,e)}catch(i){nr.warn(`resolveIterationSource: 표현식 평가 실패: ${s}`,i);return}return n.resolve(a,e,{skipCache:!0})}function Fw(s,e){const n={...s};if(e?.parentDataContext)for(const[a,i]of Object.entries(e.parentDataContext))a in n||(n[a]=i);if(e?.state){const a=n._local||{};n._local={...a,...e.state}}return e?.isolatedContext?.state&&(n._isolated=e.isolatedContext.state),n}function Ld(s,e,n,a){if(!e||!Array.isArray(e)||e.length===0)return s;const i=a?.actionDispatcher??Mm(),l={...s,actions:e},c=i.bindActionsToProps(l,n,a?.componentContext);return delete c.actions,c}function Gg(s,e,n,a){if(typeof s=="boolean")return s;if(!s)return!0;try{const i=qg(s);let l;if(i!==null?l=bd(Rg(i),e,n,{skipCache:!0,onEmpty:()=>{nr.warn(`evaluateIfCondition: 빈 바인딩 \`{{}}\` (컴포넌트: ${a||"unknown"}) — undefined 로 해석합니다.`)}}):l=n.resolveBindings(s,e,{skipCache:!0}),typeof l=="string"){const c=l.toLowerCase().trim();if(c==="false"||c==="0"||c===""||c==="null"||c==="undefined")return!1}return!!l}catch(i){return nr.warn(`evaluateIfCondition: 조건 평가 실패 (컴포넌트: ${a||"unknown"}):`,i),!1}}function as(s,e,n,a){if(s.if!==void 0)return Gg(s.if,e,n,a);if(s.condition!==void 0)return Gg(s.condition,e,n,a);if(s.conditions===void 0)return!0;const i=s.conditions;try{return qw(i)?ql(i,e,n):Gw(i)?Ug(i,e,n).matched:(nr.warn(`evaluateRenderCondition: 알 수 없는 conditions 형식 (컴포넌트: ${a||"unknown"})`),!0)}catch(l){return nr.warn(`evaluateRenderCondition: conditions 평가 실패 (컴포넌트: ${a||"unknown"}):`,l),!1}}function Vg(s){if(!s.responsive)return s;const e=mi.getWidth(),n=mi.getMatchingKey(s.responsive,e);if(!n)return s;const a=s.responsive[n];return{...s,props:{...s.props,...a.props},children:a.children??s.children,text:a.text??s.text,if:a.if??s.if,iteration:a.iteration??s.iteration}}function co(s,e,n,a,i){if(!s||s.length===0)return[];const l=i?.bindingEngine??new Tn,c=i?.translationEngine??xa.getInstance(),d=i?.translationContext??{templateId:"",locale:"ko"},f=Fw(e,i?.componentContext),h=(v,_)=>{if(typeof v=="string")return Hl(v)||zl(v)||!/\$t:[a-zA-Z0-9._-]+/.test(v)?v:c.resolveTranslations(v,d,_);if(Array.isArray(v))return v.map(A=>h(A,_));if(v&&typeof v=="object"){const A={};for(const[x,L]of Object.entries(v))A[x]=h(L,_);return A}return v},m=(v,_)=>{if(typeof v=="string"){if(Hl(v))return vd(v);if(zl(v)){const x=[],L=v.replace(new RegExp(`${ao}([^${pi}]*)${pi}`,"g"),(k,O)=>(x.push(O),`${ka}${x.length-1}${ka}`));let M=L;return/\$t:[a-zA-Z0-9._-]+/.test(L)&&(M=c.resolveTranslations(L,d,_)),M.replace(new RegExp(`${ka}(\\d+)${ka}`,"g"),(k,O)=>x[parseInt(O)])}if(v.startsWith("$t:defer:")){const x="$t:"+v.slice(9);return c.resolveTranslations(x,d,_)}if(v.startsWith("$t:"))return c.resolveTranslations(v,d,_);if(/\$t:[a-zA-Z0-9._-]+/.test(v)){const x=v.trim();if(!(x.startsWith("{")&&x.endsWith("}")||x.startsWith("[")&&x.endsWith("]"))&&!v.includes("{{"))return c.resolveTranslations(v,d,_)}const A=qg(v);if(A!==null){let x=!1,L=A;A.startsWith(tr)&&(x=!0,L=A.slice(tr.length));let M=!1,k=bd(L,_,l,{skipCache:!0,onError:O=>{nr.warn("renderItemChildren: 표현식 평가 실패:",O),M=!0},onEmpty:()=>{nr.warn("renderItemChildren: 빈 바인딩 `{{}}` 은 해석하지 않습니다.")}});return M?void 0:(x||(k=h(k,_)),x&&k!=null?rs(k):k)}if(v.includes("{{")){const x=l.resolveBindings(v,_,{skipCache:!0});return typeof x=="string"&&/\$t:[a-zA-Z0-9._-]+/.test(x)?c.resolveTranslations(x,d,_):x}return v}if(Array.isArray(v))return v.map(A=>m(A,_));if(v&&typeof v=="object"){if(l.isSwitchExpression(v))return l.resolveSwitch(v,_,{skipCache:!0});if(l.isActionDefinition(v))return{...v};const A={};for(const[x,L]of Object.entries(v))A[x]=m(L,_);return A}return v},b=(v,_)=>{if(!v)return{};const A={};for(const[x,L]of Object.entries(v))A[x]=m(L,_);return A},S=(v,_,A)=>{const x=Vg(v),L=x.iteration;if(!L)return[];const M=Od(L.source,A,l);if(!Array.isArray(M))return nr.warn(`renderItemChildren: iteration.source가 배열이 아닙니다: ${L.source}`),[];const k=Pg();if(k?.isEnabled()){const B=`${_}-iteration`;k.trackIteration(B,L.source,L.item_var,L.index_var,M.length)}const O=n[x.name];return O?M.flatMap((B,G)=>{const P={...A,[L.item_var]:B,[`${L.item_var}_index`]:G,...L.index_var?{[L.index_var]:G}:{}},W=as({if:x.if,condition:x.condition,conditions:x.conditions},P,l,x.id);if(x.if&&k?.isEnabled()){const wt=`${_}-iter-${G}-if`;k.trackIfCondition(wt,x.if,W,x.name)}if(!W)return[];const pe=x.id?String(Ra(m(x.id,P))):void 0,Se=`${_}-iter-${G}`,we=i?.getRemountKey?i.getRemountKey(pe,Se):Se,Ue=b(x.props,P),Ve=Ld(Ue,x.actions,P,{actionDispatcher:i?.actionDispatcher,componentContext:i?.componentContext});let qe=null;return x.text!==void 0?qe=m(x.text,P):x.children&&x.children.length>0&&(qe=co(x.children,P,n,we,i)),k?.isEnabled()&&k.trackRender(x.name),[Ye.createElement(O,{key:we,...Ra(Ve)},Ra(qe))]}):(nr.warn(`renderItemChildren: 컴포넌트를 찾을 수 없습니다: ${x.name}`),[])};return s.flatMap((v,_)=>{const A=Vg(v),x=A.id?String(Ra(m(A.id,f))):void 0,L=a?`${a}-${x||_}`:x||`child-${_}`,M=i?.getRemountKey?i.getRemountKey(x,L):L;if(A.iteration)return S(A,M,f);const k=as({if:A.if,condition:A.condition,conditions:A.conditions},f,l,A.id),O=Pg();if(A.if&&O?.isEnabled()){const pe=`${M}-if`;O.trackIfCondition(pe,A.if,k,A.name)}if(!k)return[];const B=n[A.name];if(!B)return nr.warn(`renderItemChildren: 컴포넌트를 찾을 수 없습니다: ${A.name}`),[];const G=b(A.props,f),P=Ld(G,A.actions,f,{actionDispatcher:i?.actionDispatcher,componentContext:i?.componentContext});let W=null;return A.text!==void 0?W=m(A.text,f):A.children&&A.children.length>0&&(W=co(A.children,f,n,M,i)),O?.isEnabled()&&O.trackRender(A.name),[Ye.createElement(B,{key:M,...Ra(P)},Ra(W))]})}function is(s,e,n,a){let i,l;return n instanceof Tn?(i=n,l=a):(i=Bg,l=n),i.resolveBindings(s,e,l)}function Kw(s,e,n,a){const i=n??Bg,l={skipCache:!0,...a};let c;try{c=i.resolveBindings(s.key,e,{skipCache:l.skipCache})?.toString()?.trim()??""}catch(h){nr.warn("resolveClassMap: key 평가 실패:",s.key,h),c=""}let d="";c&&s.variants&&c in s.variants?d=s.variants[c]:s.default&&(d=s.default);const f=[];return s.base?.trim()&&f.push(s.base.trim()),d?.trim()&&f.push(d.trim()),f.join(" ")}function Fg(s,e){return function(){return s.apply(e,arguments)}}const{toString:Ww}=Object.prototype,{getPrototypeOf:Gl}=Object,{iterator:Vl,toStringTag:Kg}=Symbol,Fl=(s=>e=>{const n=Ww.call(e);return s[n]||(s[n]=n.slice(8,-1).toLowerCase())})(Object.create(null)),vr=s=>(s=s.toLowerCase(),e=>Fl(e)===s),Kl=s=>e=>typeof e===s,{isArray:ss}=Array,os=Kl("undefined");function uo(s){return s!==null&&!os(s)&&s.constructor!==null&&!os(s.constructor)&&Ln(s.constructor.isBuffer)&&s.constructor.isBuffer(s)}const Wg=vr("ArrayBuffer");function Yw(s){let e;return typeof ArrayBuffer<"u"&&ArrayBuffer.isView?e=ArrayBuffer.isView(s):e=s&&s.buffer&&Wg(s.buffer),e}const Xw=Kl("string"),Ln=Kl("function"),Yg=Kl("number"),fo=s=>s!==null&&typeof s=="object",Jw=s=>s===!0||s===!1,Wl=s=>{if(Fl(s)!=="object")return!1;const e=Gl(s);return(e===null||e===Object.prototype||Object.getPrototypeOf(e)===null)&&!(Kg in s)&&!(Vl in s)},Qw=s=>{if(!fo(s)||uo(s))return!1;try{return Object.keys(s).length===0&&Object.getPrototypeOf(s)===Object.prototype}catch{return!1}},Zw=vr("Date"),e0=vr("File"),t0=s=>!!(s&&typeof s.uri<"u"),n0=s=>s&&typeof s.getParts<"u",r0=vr("Blob"),a0=vr("FileList"),i0=s=>fo(s)&&Ln(s.pipe);function s0(){return typeof globalThis<"u"?globalThis:typeof self<"u"?self:typeof window<"u"?window:typeof global<"u"?global:{}}const Xg=s0(),Jg=typeof Xg.FormData<"u"?Xg.FormData:void 0,o0=s=>{if(!s)return!1;if(Jg&&s instanceof Jg)return!0;const e=Gl(s);if(!e||e===Object.prototype||!Ln(s.append))return!1;const n=Fl(s);return n==="formdata"||n==="object"&&Ln(s.toString)&&s.toString()==="[object FormData]"},l0=vr("URLSearchParams"),[c0,u0,d0,f0]=["ReadableStream","Request","Response","Headers"].map(vr),h0=s=>s.trim?s.trim():s.replace(/^[\s\uFEFF\xA0]+|[\s\uFEFF\xA0]+$/g,"");function ho(s,e,{allOwnKeys:n=!1}={}){if(s===null||typeof s>"u")return;let a,i;if(typeof s!="object"&&(s=[s]),ss(s))for(a=0,i=s.length;a<i;a++)e.call(null,s[a],a,s);else{if(uo(s))return;const l=n?Object.getOwnPropertyNames(s):Object.keys(s),c=l.length;let d;for(a=0;a<c;a++)d=l[a],e.call(null,s[d],d,s)}}function Qg(s,e){if(uo(s))return null;e=e.toLowerCase();const n=Object.keys(s);let a=n.length,i;for(;a-- >0;)if(i=n[a],e===i.toLowerCase())return i;return null}const yi=typeof globalThis<"u"?globalThis:typeof self<"u"?self:typeof window<"u"?window:global,Zg=s=>!os(s)&&s!==yi;function Md(...s){const{caseless:e,skipUndefined:n}=Zg(this)&&this||{},a={},i=(l,c)=>{if(c==="__proto__"||c==="constructor"||c==="prototype")return;const d=e&&Qg(a,c)||c,f=$d(a,d)?a[d]:void 0;Wl(f)&&Wl(l)?a[d]=Md(f,l):Wl(l)?a[d]=Md({},l):ss(l)?a[d]=l.slice():(!n||!os(l))&&(a[d]=l)};for(let l=0,c=s.length;l<c;l++)s[l]&&ho(s[l],i);return a}const p0=(s,e,n,{allOwnKeys:a}={})=>(ho(e,(i,l)=>{n&&Ln(i)?Object.defineProperty(s,l,{__proto__:null,value:Fg(i,n),writable:!0,enumerable:!0,configurable:!0}):Object.defineProperty(s,l,{__proto__:null,value:i,writable:!0,enumerable:!0,configurable:!0})},{allOwnKeys:a}),s),g0=s=>(s.charCodeAt(0)===65279&&(s=s.slice(1)),s),m0=(s,e,n,a)=>{s.prototype=Object.create(e.prototype,a),Object.defineProperty(s.prototype,"constructor",{__proto__:null,value:s,writable:!0,enumerable:!1,configurable:!0}),Object.defineProperty(s,"super",{__proto__:null,value:e.prototype}),n&&Object.assign(s.prototype,n)},y0=(s,e,n,a)=>{let i,l,c;const d={};if(e=e||{},s==null)return e;do{for(i=Object.getOwnPropertyNames(s),l=i.length;l-- >0;)c=i[l],(!a||a(c,s,e))&&!d[c]&&(e[c]=s[c],d[c]=!0);s=n!==!1&&Gl(s)}while(s&&(!n||n(s,e))&&s!==Object.prototype);return e},b0=(s,e,n)=>{s=String(s),(n===void 0||n>s.length)&&(n=s.length),n-=e.length;const a=s.indexOf(e,n);return a!==-1&&a===n},v0=s=>{if(!s)return null;if(ss(s))return s;let e=s.length;if(!Yg(e))return null;const n=new Array(e);for(;e-- >0;)n[e]=s[e];return n},S0=(s=>e=>s&&e instanceof s)(typeof Uint8Array<"u"&&Gl(Uint8Array)),w0=(s,e)=>{const a=(s&&s[Vl]).call(s);let i;for(;(i=a.next())&&!i.done;){const l=i.value;e.call(s,l[0],l[1])}},C0=(s,e)=>{let n;const a=[];for(;(n=s.exec(e))!==null;)a.push(n);return a},E0=vr("HTMLFormElement"),_0=s=>s.toLowerCase().replace(/[-_\s]([a-z\d])(\w*)/g,function(n,a,i){return a.toUpperCase()+i}),$d=(({hasOwnProperty:s})=>(e,n)=>s.call(e,n))(Object.prototype),A0=vr("RegExp"),em=(s,e)=>{const n=Object.getOwnPropertyDescriptors(s),a={};ho(n,(i,l)=>{let c;(c=e(i,l,s))!==!1&&(a[l]=c||i)}),Object.defineProperties(s,a)},x0=s=>{em(s,(e,n)=>{if(Ln(s)&&["arguments","caller","callee"].includes(n))return!1;const a=s[n];if(Ln(a)){if(e.enumerable=!1,"writable"in e){e.writable=!1;return}e.set||(e.set=()=>{throw Error("Can not rewrite read-only method '"+n+"'")})}})},T0=(s,e)=>{const n={},a=i=>{i.forEach(l=>{n[l]=!0})};return ss(s)?a(s):a(String(s).split(e)),n},k0=()=>{},R0=(s,e)=>s!=null&&Number.isFinite(s=+s)?s:e;function D0(s){return!!(s&&Ln(s.append)&&s[Kg]==="FormData"&&s[Vl])}const O0=s=>{const e=new WeakSet,n=a=>{if(fo(a)){if(e.has(a))return;if(uo(a))return a;if(!("toJSON"in a)){e.add(a);const i=ss(a)?[]:{};return ho(a,(l,c)=>{const d=n(l);!os(d)&&(i[c]=d)}),e.delete(a),i}}return a};return n(s)},L0=vr("AsyncFunction"),M0=s=>s&&(fo(s)||Ln(s))&&Ln(s.then)&&Ln(s.catch),tm=((s,e)=>s?setImmediate:e?((n,a)=>(yi.addEventListener("message",({source:i,data:l})=>{i===yi&&l===n&&a.length&&a.shift()()},!1),i=>{a.push(i),yi.postMessage(n,"*")}))(`axios@${Math.random()}`,[]):n=>setTimeout(n))(typeof setImmediate=="function",Ln(yi.postMessage)),$0=typeof queueMicrotask<"u"?queueMicrotask.bind(yi):typeof process<"u"&&process.nextTick||tm,K={isArray:ss,isArrayBuffer:Wg,isBuffer:uo,isFormData:o0,isArrayBufferView:Yw,isString:Xw,isNumber:Yg,isBoolean:Jw,isObject:fo,isPlainObject:Wl,isEmptyObject:Qw,isReadableStream:c0,isRequest:u0,isResponse:d0,isHeaders:f0,isUndefined:os,isDate:Zw,isFile:e0,isReactNativeBlob:t0,isReactNative:n0,isBlob:r0,isRegExp:A0,isFunction:Ln,isStream:i0,isURLSearchParams:l0,isTypedArray:S0,isFileList:a0,forEach:ho,merge:Md,extend:p0,trim:h0,stripBOM:g0,inherits:m0,toFlatObject:y0,kindOf:Fl,kindOfTest:vr,endsWith:b0,toArray:v0,forEachEntry:w0,matchAll:C0,isHTMLForm:E0,hasOwnProperty:$d,hasOwnProp:$d,reduceDescriptors:em,freezeMethods:x0,toObjectSet:T0,toCamelCase:_0,noop:k0,toFiniteNumber:R0,findKey:Qg,global:yi,isContextDefined:Zg,isSpecCompliantForm:D0,toJSONObject:O0,isAsyncFn:L0,isThenable:M0,setImmediate:tm,asap:$0,isIterable:s=>s!=null&&Ln(s[Vl])},N0=K.toObjectSet(["age","authorization","content-length","content-type","etag","expires","from","host","if-modified-since","if-unmodified-since","last-modified","location","max-forwards","proxy-authorization","referer","retry-after","user-agent"]),I0=s=>{const e={};let n,a,i;return s&&s.split(`
 `).forEach(function(c){i=c.indexOf(":"),n=c.substring(0,i).trim().toLowerCase(),a=c.substring(i+1).trim(),!(!n||e[n]&&N0[n])&&(n==="set-cookie"?e[n]?e[n].push(a):e[n]=[a]:e[n]=e[n]?e[n]+", "+a:a)}),e};function j0(s){let e=0,n=s.length;for(;e<n;){const a=s.charCodeAt(e);if(a!==9&&a!==32)break;e+=1}for(;n>e;){const a=s.charCodeAt(n-1);if(a!==9&&a!==32)break;n-=1}return e===0&&n===s.length?s:s.slice(e,n)}const H0=new RegExp("[\\u0000-\\u0008\\u000a-\\u001f\\u007f]+","g"),z0=new RegExp("[^\\u0009\\u0020-\\u007e\\u0080-\\u00ff]+","g");function Nd(s,e){return K.isArray(s)?s.map(n=>Nd(n,e)):j0(String(s).replace(e,""))}const U0=s=>Nd(s,H0),P0=s=>Nd(s,z0);function nm(s){const e=Object.create(null);return K.forEach(s.toJSON(),(n,a)=>{e[a]=P0(n)}),e}const rm=Symbol("internals");function po(s){return s&&String(s).trim().toLowerCase()}function Yl(s){return s===!1||s==null?s:K.isArray(s)?s.map(Yl):U0(String(s))}function B0(s){const e=Object.create(null),n=/([^\s,;=]+)\s*(?:=\s*([^,;]+))?/g;let a;for(;a=n.exec(s);)e[a[1]]=a[2];return e}const q0=s=>/^[-_a-zA-Z0-9^`|~,!#$%&'*+.]+$/.test(s.trim());function Id(s,e,n,a,i){if(K.isFunction(a))return a.call(this,e,n);if(i&&(e=n),!!K.isString(e)){if(K.isString(a))return e.indexOf(a)!==-1;if(K.isRegExp(a))return a.test(e)}}function G0(s){return s.trim().toLowerCase().replace(/([a-z\d])(\w*)/g,(e,n,a)=>n.toUpperCase()+a)}function V0(s,e){const n=K.toCamelCase(" "+e);["get","set","has"].forEach(a=>{Object.defineProperty(s,a+n,{__proto__:null,value:function(i,l,c){return this[a].call(this,e,i,l,c)},configurable:!0})})}let kn=class{constructor(e){e&&this.set(e)}set(e,n,a){const i=this;function l(d,f,h){const m=po(f);if(!m)throw new Error("header name must be a non-empty string");const b=K.findKey(i,m);(!b||i[b]===void 0||h===!0||h===void 0&&i[b]!==!1)&&(i[b||f]=Yl(d))}const c=(d,f)=>K.forEach(d,(h,m)=>l(h,m,f));if(K.isPlainObject(e)||e instanceof this.constructor)c(e,n);else if(K.isString(e)&&(e=e.trim())&&!q0(e))c(I0(e),n);else if(K.isObject(e)&&K.isIterable(e)){let d={},f,h;for(const m of e){if(!K.isArray(m))throw TypeError("Object iterator must return a key-value pair");d[h=m[0]]=(f=d[h])?K.isArray(f)?[...f,m[1]]:[f,m[1]]:m[1]}c(d,n)}else e!=null&&l(n,e,a);return this}get(e,n){if(e=po(e),e){const a=K.findKey(this,e);if(a){const i=this[a];if(!n)return i;if(n===!0)return B0(i);if(K.isFunction(n))return n.call(this,i,a);if(K.isRegExp(n))return n.exec(i);throw new TypeError("parser must be boolean|regexp|function")}}}has(e,n){if(e=po(e),e){const a=K.findKey(this,e);return!!(a&&this[a]!==void 0&&(!n||Id(this,this[a],a,n)))}return!1}delete(e,n){const a=this;let i=!1;function l(c){if(c=po(c),c){const d=K.findKey(a,c);d&&(!n||Id(a,a[d],d,n))&&(delete a[d],i=!0)}}return K.isArray(e)?e.forEach(l):l(e),i}clear(e){const n=Object.keys(this);let a=n.length,i=!1;for(;a--;){const l=n[a];(!e||Id(this,this[l],l,e,!0))&&(delete this[l],i=!0)}return i}normalize(e){const n=this,a={};return K.forEach(this,(i,l)=>{const c=K.findKey(a,l);if(c){n[c]=Yl(i),delete n[l];return}const d=e?G0(l):String(l).trim();d!==l&&delete n[l],n[d]=Yl(i),a[d]=!0}),this}concat(...e){return this.constructor.concat(this,...e)}toJSON(e){const n=Object.create(null);return K.forEach(this,(a,i)=>{a!=null&&a!==!1&&(n[i]=e&&K.isArray(a)?a.join(", "):a)}),n}[Symbol.iterator](){return Object.entries(this.toJSON())[Symbol.iterator]()}toString(){return Object.entries(this.toJSON()).map(([e,n])=>e+": "+n).join(`
 `)}getSetCookie(){return this.get("set-cookie")||[]}get[Symbol.toStringTag](){return"AxiosHeaders"}static from(e){return e instanceof this?e:new this(e)}static concat(e,...n){const a=new this(e);return n.forEach(i=>a.set(i)),a}static accessor(e){const a=(this[rm]=this[rm]={accessors:{}}).accessors,i=this.prototype;function l(c){const d=po(c);a[d]||(V0(i,c),a[d]=!0)}return K.isArray(e)?e.forEach(l):l(e),this}};kn.accessor(["Content-Type","Content-Length","Accept","Accept-Encoding","User-Agent","Authorization"]),K.reduceDescriptors(kn.prototype,({value:s},e)=>{let n=e[0].toUpperCase()+e.slice(1);return{get:()=>s,set(a){this[n]=a}}}),K.freezeMethods(kn);const F0="[REDACTED ****]";function K0(s){if(K.hasOwnProp(s,"toJSON"))return!0;let e=Object.getPrototypeOf(s);for(;e&&e!==Object.prototype;){if(K.hasOwnProp(e,"toJSON"))return!0;e=Object.getPrototypeOf(e)}return!1}function W0(s,e){const n=new Set(e.map(l=>String(l).toLowerCase())),a=[],i=l=>{if(l===null||typeof l!="object"||K.isBuffer(l))return l;if(a.indexOf(l)!==-1)return;l instanceof kn&&(l=l.toJSON()),a.push(l);let c;if(K.isArray(l))c=[],l.forEach((d,f)=>{const h=i(d);K.isUndefined(h)||(c[f]=h)});else{if(!K.isPlainObject(l)&&K0(l))return a.pop(),l;c=Object.create(null);for(const[d,f]of Object.entries(l)){const h=n.has(d.toLowerCase())?F0:i(f);K.isUndefined(h)||(c[d]=h)}}return a.pop(),c};return i(s)}let Oe=class lw extends Error{static from(e,n,a,i,l,c){const d=new lw(e.message,n||e.code,a,i,l);return d.cause=e,d.name=e.name,e.status!=null&&d.status==null&&(d.status=e.status),c&&Object.assign(d,c),d}constructor(e,n,a,i,l){super(e),Object.defineProperty(this,"message",{__proto__:null,value:e,enumerable:!0,writable:!0,configurable:!0}),this.name="AxiosError",this.isAxiosError=!0,n&&(this.code=n),a&&(this.config=a),i&&(this.request=i),l&&(this.response=l,this.status=l.status)}toJSON(){const e=this.config,n=e&&K.hasOwnProp(e,"redact")?e.redact:void 0,a=K.isArray(n)&&n.length>0?W0(e,n):K.toJSONObject(e);return{message:this.message,name:this.name,description:this.description,number:this.number,fileName:this.fileName,lineNumber:this.lineNumber,columnNumber:this.columnNumber,stack:this.stack,config:a,code:this.code,status:this.status}}};Oe.ERR_BAD_OPTION_VALUE="ERR_BAD_OPTION_VALUE",Oe.ERR_BAD_OPTION="ERR_BAD_OPTION",Oe.ECONNABORTED="ECONNABORTED",Oe.ETIMEDOUT="ETIMEDOUT",Oe.ECONNREFUSED="ECONNREFUSED",Oe.ERR_NETWORK="ERR_NETWORK",Oe.ERR_FR_TOO_MANY_REDIRECTS="ERR_FR_TOO_MANY_REDIRECTS",Oe.ERR_DEPRECATED="ERR_DEPRECATED",Oe.ERR_BAD_RESPONSE="ERR_BAD_RESPONSE",Oe.ERR_BAD_REQUEST="ERR_BAD_REQUEST",Oe.ERR_CANCELED="ERR_CANCELED",Oe.ERR_NOT_SUPPORT="ERR_NOT_SUPPORT",Oe.ERR_INVALID_URL="ERR_INVALID_URL",Oe.ERR_FORM_DATA_DEPTH_EXCEEDED="ERR_FORM_DATA_DEPTH_EXCEEDED";const Y0=null;function jd(s){return K.isPlainObject(s)||K.isArray(s)}function am(s){return K.endsWith(s,"[]")?s.slice(0,-2):s}function Hd(s,e,n){return s?s.concat(e).map(function(i,l){return i=am(i),!n&&l?"["+i+"]":i}).join(n?".":""):e}function X0(s){return K.isArray(s)&&!s.some(jd)}const J0=K.toFlatObject(K,{},null,function(e){return/^is[A-Z]/.test(e)});function Xl(s,e,n){if(!K.isObject(s))throw new TypeError("target must be an object");e=e||new FormData,n=K.toFlatObject(n,{metaTokens:!0,dots:!1,indexes:!1},!1,function(x,L){return!K.isUndefined(L[x])});const a=n.metaTokens,i=n.visitor||b,l=n.dots,c=n.indexes,d=n.Blob||typeof Blob<"u"&&Blob,f=n.maxDepth===void 0?100:n.maxDepth,h=d&&K.isSpecCompliantForm(e);if(!K.isFunction(i))throw new TypeError("visitor must be a function");function m(A){if(A===null)return"";if(K.isDate(A))return A.toISOString();if(K.isBoolean(A))return A.toString();if(!h&&K.isBlob(A))throw new Oe("Blob is not supported. Use a Buffer instead.");return K.isArrayBuffer(A)||K.isTypedArray(A)?h&&typeof Blob=="function"?new Blob([A]):Buffer.from(A):A}function b(A,x,L){let M=A;if(K.isReactNative(e)&&K.isReactNativeBlob(A))return e.append(Hd(L,x,l),m(A)),!1;if(A&&!L&&typeof A=="object"){if(K.endsWith(x,"{}"))x=a?x:x.slice(0,-2),A=JSON.stringify(A);else if(K.isArray(A)&&X0(A)||(K.isFileList(A)||K.endsWith(x,"[]"))&&(M=K.toArray(A)))return x=am(x),M.forEach(function(O,B){!(K.isUndefined(O)||O===null)&&e.append(c===!0?Hd([x],B,l):c===null?x:x+"[]",m(O))}),!1}return jd(A)?!0:(e.append(Hd(L,x,l),m(A)),!1)}const S=[],v=Object.assign(J0,{defaultVisitor:b,convertValue:m,isVisitable:jd});function _(A,x,L=0){if(!K.isUndefined(A)){if(L>f)throw new Oe("Object is too deeply nested ("+L+" levels). Max depth: "+f,Oe.ERR_FORM_DATA_DEPTH_EXCEEDED);if(S.indexOf(A)!==-1)throw Error("Circular reference detected in "+x.join("."));S.push(A),K.forEach(A,function(k,O){(!(K.isUndefined(k)||k===null)&&i.call(e,k,K.isString(O)?O.trim():O,x,v))===!0&&_(k,x?x.concat(O):[O],L+1)}),S.pop()}}if(!K.isObject(s))throw new TypeError("data must be an object");return _(s),e}function im(s){const e={"!":"%21","'":"%27","(":"%28",")":"%29","~":"%7E","%20":"+"};return encodeURIComponent(s).replace(/[!'()~]|%20/g,function(a){return e[a]})}function zd(s,e){this._pairs=[],s&&Xl(s,this,e)}const sm=zd.prototype;sm.append=function(e,n){this._pairs.push([e,n])},sm.toString=function(e){const n=e?function(a){return e.call(this,a,im)}:im;return this._pairs.map(function(i){return n(i[0])+"="+n(i[1])},"").join("&")};function Q0(s){return encodeURIComponent(s).replace(/%3A/gi,":").replace(/%24/g,"$").replace(/%2C/gi,",").replace(/%20/g,"+")}function om(s,e,n){if(!e)return s;const a=n&&n.encode||Q0,i=K.isFunction(n)?{serialize:n}:n,l=i&&i.serialize;let c;if(l?c=l(e,i):c=K.isURLSearchParams(e)?e.toString():new zd(e,i).toString(a),c){const d=s.indexOf("#");d!==-1&&(s=s.slice(0,d)),s+=(s.indexOf("?")===-1?"?":"&")+c}return s}class lm{constructor(){this.handlers=[]}use(e,n,a){return this.handlers.push({fulfilled:e,rejected:n,synchronous:a?a.synchronous:!1,runWhen:a?a.runWhen:null}),this.handlers.length-1}eject(e){this.handlers[e]&&(this.handlers[e]=null)}clear(){this.handlers&&(this.handlers=[])}forEach(e){K.forEach(this.handlers,function(a){a!==null&&e(a)})}}const Ud={silentJSONParsing:!0,forcedJSONParsing:!0,clarifyTimeoutError:!1,legacyInterceptorReqResOrdering:!0},Z0={isBrowser:!0,classes:{URLSearchParams:typeof URLSearchParams<"u"?URLSearchParams:zd,FormData:typeof FormData<"u"?FormData:null,Blob:typeof Blob<"u"?Blob:null},protocols:["http","https","file","blob","url","data"]},Pd=typeof window<"u"&&typeof document<"u",Bd=typeof navigator=="object"&&navigator||void 0,eC=Pd&&(!Bd||["ReactNative","NativeScript","NS"].indexOf(Bd.product)<0),tC=typeof WorkerGlobalScope<"u"&&self instanceof WorkerGlobalScope&&typeof self.importScripts=="function",nC=Pd&&window.location.href||"http://localhost",En={...Object.freeze(Object.defineProperty({__proto__:null,hasBrowserEnv:Pd,hasStandardBrowserEnv:eC,hasStandardBrowserWebWorkerEnv:tC,navigator:Bd,origin:nC},Symbol.toStringTag,{value:"Module"})),...Z0};function rC(s,e){return Xl(s,new En.classes.URLSearchParams,{visitor:function(n,a,i,l){return En.isNode&&K.isBuffer(n)?(this.append(a,n.toString("base64")),!1):l.defaultVisitor.apply(this,arguments)},...e})}function aC(s){return K.matchAll(/\w+|\[(\w*)]/g,s).map(e=>e[0]==="[]"?"":e[1]||e[0])}function iC(s){const e={},n=Object.keys(s);let a;const i=n.length;let l;for(a=0;a<i;a++)l=n[a],e[l]=s[l];return e}function cm(s){function e(n,a,i,l){let c=n[l++];if(c==="__proto__")return!0;const d=Number.isFinite(+c),f=l>=n.length;return c=!c&&K.isArray(i)?i.length:c,f?(K.hasOwnProp(i,c)?i[c]=K.isArray(i[c])?i[c].concat(a):[i[c],a]:i[c]=a,!d):((!K.hasOwnProp(i,c)||!K.isObject(i[c]))&&(i[c]=[]),e(n,a,i[c],l)&&K.isArray(i[c])&&(i[c]=iC(i[c])),!d)}if(K.isFormData(s)&&K.isFunction(s.entries)){const n={};return K.forEachEntry(s,(a,i)=>{e(aC(a),i,n,0)}),n}return null}const ls=(s,e)=>s!=null&&K.hasOwnProp(s,e)?s[e]:void 0;function sC(s,e,n){if(K.isString(s))try{return(e||JSON.parse)(s),K.trim(s)}catch(a){if(a.name!=="SyntaxError")throw a}return(n||JSON.stringify)(s)}const go={transitional:Ud,adapter:["xhr","http","fetch"],transformRequest:[function(e,n){const a=n.getContentType()||"",i=a.indexOf("application/json")>-1,l=K.isObject(e);if(l&&K.isHTMLForm(e)&&(e=new FormData(e)),K.isFormData(e))return i?JSON.stringify(cm(e)):e;if(K.isArrayBuffer(e)||K.isBuffer(e)||K.isStream(e)||K.isFile(e)||K.isBlob(e)||K.isReadableStream(e))return e;if(K.isArrayBufferView(e))return e.buffer;if(K.isURLSearchParams(e))return n.setContentType("application/x-www-form-urlencoded;charset=utf-8",!1),e.toString();let d;if(l){const f=ls(this,"formSerializer");if(a.indexOf("application/x-www-form-urlencoded")>-1)return rC(e,f).toString();if((d=K.isFileList(e))||a.indexOf("multipart/form-data")>-1){const h=ls(this,"env"),m=h&&h.FormData;return Xl(d?{"files[]":e}:e,m&&new m,f)}}return l||i?(n.setContentType("application/json",!1),sC(e)):e}],transformResponse:[function(e){const n=ls(this,"transitional")||go.transitional,a=n&&n.forcedJSONParsing,i=ls(this,"responseType"),l=i==="json";if(K.isResponse(e)||K.isReadableStream(e))return e;if(e&&K.isString(e)&&(a&&!i||l)){const d=!(n&&n.silentJSONParsing)&&l;try{return JSON.parse(e,ls(this,"parseReviver"))}catch(f){if(d)throw f.name==="SyntaxError"?Oe.from(f,Oe.ERR_BAD_RESPONSE,this,null,ls(this,"response")):f}}return e}],timeout:0,xsrfCookieName:"XSRF-TOKEN",xsrfHeaderName:"X-XSRF-TOKEN",maxContentLength:-1,maxBodyLength:-1,env:{FormData:En.classes.FormData,Blob:En.classes.Blob},validateStatus:function(e){return e>=200&&e<300},headers:{common:{Accept:"application/json, text/plain, */*","Content-Type":void 0}}};K.forEach(["delete","get","head","post","put","patch","query"],s=>{go.headers[s]={}});function qd(s,e){const n=this||go,a=e||n,i=kn.from(a.headers);let l=a.data;return K.forEach(s,function(d){l=d.call(n,l,i.normalize(),e?e.status:void 0)}),i.normalize(),l}function um(s){return!!(s&&s.__CANCEL__)}let mo=class extends Oe{constructor(e,n,a){super(e??"canceled",Oe.ERR_CANCELED,n,a),this.name="CanceledError",this.__CANCEL__=!0}};function dm(s,e,n){const a=n.config.validateStatus;!n.status||!a||a(n.status)?s(n):e(new Oe("Request failed with status code "+n.status,n.status>=400&&n.status<500?Oe.ERR_BAD_REQUEST:Oe.ERR_BAD_RESPONSE,n.config,n.request,n))}function oC(s){const e=/^([-+\w]{1,25}):(?:\/\/)?/.exec(s);return e&&e[1]||""}function lC(s,e){s=s||10;const n=new Array(s),a=new Array(s);let i=0,l=0,c;return e=e!==void 0?e:1e3,function(f){const h=Date.now(),m=a[l];c||(c=h),n[i]=f,a[i]=h;let b=l,S=0;for(;b!==i;)S+=n[b++],b=b%s;if(i=(i+1)%s,i===l&&(l=(l+1)%s),h-c<e)return;const v=m&&h-m;return v?Math.round(S*1e3/v):void 0}}function cC(s,e){let n=0,a=1e3/e,i,l;const c=(h,m=Date.now())=>{n=m,i=null,l&&(clearTimeout(l),l=null),s(...h)};return[(...h)=>{const m=Date.now(),b=m-n;b>=a?c(h,m):(i=h,l||(l=setTimeout(()=>{l=null,c(i)},a-b)))},()=>i&&c(i)]}const Jl=(s,e,n=3)=>{let a=0;const i=lC(50,250);return cC(l=>{if(!l||typeof l.loaded!="number")return;const c=l.loaded,d=l.lengthComputable?l.total:void 0,f=d!=null?Math.min(c,d):c,h=Math.max(0,f-a),m=i(h);a=Math.max(a,f);const b={loaded:f,total:d,progress:d?f/d:void 0,bytes:h,rate:m||void 0,estimated:m&&d?(d-f)/m:void 0,event:l,lengthComputable:d!=null,[e?"download":"upload"]:!0};s(b)},n)},fm=(s,e)=>{const n=s!=null;return[a=>e[0]({lengthComputable:n,total:s,loaded:a}),e[1]]},hm=s=>(...e)=>K.asap(()=>s(...e)),uC=En.hasStandardBrowserEnv?((s,e)=>n=>(n=new URL(n,En.origin),s.protocol===n.protocol&&s.host===n.host&&(e||s.port===n.port)))(new URL(En.origin),En.navigator&&/(msie|trident)/i.test(En.navigator.userAgent)):()=>!0,dC=En.hasStandardBrowserEnv?{write(s,e,n,a,i,l,c){if(typeof document>"u")return;const d=[`${s}=${encodeURIComponent(e)}`];K.isNumber(n)&&d.push(`expires=${new Date(n).toUTCString()}`),K.isString(a)&&d.push(`path=${a}`),K.isString(i)&&d.push(`domain=${i}`),l===!0&&d.push("secure"),K.isString(c)&&d.push(`SameSite=${c}`),document.cookie=d.join("; ")},read(s){if(typeof document>"u")return null;const e=document.cookie.split(";");for(let n=0;n<e.length;n++){const a=e[n].replace(/^\s+/,""),i=a.indexOf("=");if(i!==-1&&a.slice(0,i)===s)return decodeURIComponent(a.slice(i+1))}return null},remove(s){this.write(s,"",Date.now()-864e5,"/")}}:{write(){},read(){return null},remove(){}};function fC(s){return typeof s!="string"?!1:/^([a-z][a-z\d+\-.]*:)?\/\//i.test(s)}function hC(s,e){return e?s.replace(/\/?\/$/,"")+"/"+e.replace(/^\/+/,""):s}function pm(s,e,n){let a=!fC(e);return s&&(a||n===!1)?hC(s,e):e}const gm=s=>s instanceof kn?{...s}:s;function bi(s,e){e=e||{};const n=Object.create(null);Object.defineProperty(n,"hasOwnProperty",{__proto__:null,value:Object.prototype.hasOwnProperty,enumerable:!1,writable:!0,configurable:!0});function a(h,m,b,S){return K.isPlainObject(h)&&K.isPlainObject(m)?K.merge.call({caseless:S},h,m):K.isPlainObject(m)?K.merge({},m):K.isArray(m)?m.slice():m}function i(h,m,b,S){if(K.isUndefined(m)){if(!K.isUndefined(h))return a(void 0,h,b,S)}else return a(h,m,b,S)}function l(h,m){if(!K.isUndefined(m))return a(void 0,m)}function c(h,m){if(K.isUndefined(m)){if(!K.isUndefined(h))return a(void 0,h)}else return a(void 0,m)}function d(h,m,b){if(K.hasOwnProp(e,b))return a(h,m);if(K.hasOwnProp(s,b))return a(void 0,h)}const f={url:l,method:l,data:l,baseURL:c,transformRequest:c,transformResponse:c,paramsSerializer:c,timeout:c,timeoutMessage:c,withCredentials:c,withXSRFToken:c,adapter:c,responseType:c,xsrfCookieName:c,xsrfHeaderName:c,onUploadProgress:c,onDownloadProgress:c,decompress:c,maxContentLength:c,maxBodyLength:c,beforeRedirect:c,transport:c,httpAgent:c,httpsAgent:c,cancelToken:c,socketPath:c,allowedSocketPaths:c,responseEncoding:c,validateStatus:d,headers:(h,m,b)=>i(gm(h),gm(m),b,!0)};return K.forEach(Object.keys({...s,...e}),function(m){if(m==="__proto__"||m==="constructor"||m==="prototype")return;const b=K.hasOwnProp(f,m)?f[m]:i,S=K.hasOwnProp(s,m)?s[m]:void 0,v=K.hasOwnProp(e,m)?e[m]:void 0,_=b(S,v,m);K.isUndefined(_)&&b!==d||(n[m]=_)}),n}const pC=["content-type","content-length"];function gC(s,e,n){if(n!=="content-only"){s.set(e);return}Object.entries(e).forEach(([a,i])=>{pC.includes(a.toLowerCase())&&s.set(a,i)})}const mC=s=>encodeURIComponent(s).replace(/%([0-9A-F]{2})/gi,(e,n)=>String.fromCharCode(parseInt(n,16))),mm=s=>{const e=bi({},s),n=S=>K.hasOwnProp(e,S)?e[S]:void 0,a=n("data");let i=n("withXSRFToken");const l=n("xsrfHeaderName"),c=n("xsrfCookieName");let d=n("headers");const f=n("auth"),h=n("baseURL"),m=n("allowAbsoluteUrls"),b=n("url");if(e.headers=d=kn.from(d),e.url=om(pm(h,b,m),s.params,s.paramsSerializer),f&&d.set("Authorization","Basic "+btoa((f.username||"")+":"+(f.password?mC(f.password):""))),K.isFormData(a)&&(En.hasStandardBrowserEnv||En.hasStandardBrowserWebWorkerEnv?d.setContentType(void 0):K.isFunction(a.getHeaders)&&gC(d,a.getHeaders(),n("formDataHeaderPolicy"))),En.hasStandardBrowserEnv&&(K.isFunction(i)&&(i=i(e)),i===!0||i==null&&uC(e.url))){const v=l&&c&&dC.read(c);v&&d.set(l,v)}return e},yC=typeof XMLHttpRequest<"u"&&function(s){return new Promise(function(n,a){const i=mm(s);let l=i.data;const c=kn.from(i.headers).normalize();let{responseType:d,onUploadProgress:f,onDownloadProgress:h}=i,m,b,S,v,_;function A(){v&&v(),_&&_(),i.cancelToken&&i.cancelToken.unsubscribe(m),i.signal&&i.signal.removeEventListener("abort",m)}let x=new XMLHttpRequest;x.open(i.method.toUpperCase(),i.url,!0),x.timeout=i.timeout;function L(){if(!x)return;const k=kn.from("getAllResponseHeaders"in x&&x.getAllResponseHeaders()),B={data:!d||d==="text"||d==="json"?x.responseText:x.response,status:x.status,statusText:x.statusText,headers:k,config:s,request:x};dm(function(P){n(P),A()},function(P){a(P),A()},B),x=null}"onloadend"in x?x.onloadend=L:x.onreadystatechange=function(){!x||x.readyState!==4||x.status===0&&!(x.responseURL&&x.responseURL.startsWith("file:"))||setTimeout(L)},x.onabort=function(){x&&(a(new Oe("Request aborted",Oe.ECONNABORTED,s,x)),A(),x=null)},x.onerror=function(O){const B=O&&O.message?O.message:"Network Error",G=new Oe(B,Oe.ERR_NETWORK,s,x);G.event=O||null,a(G),A(),x=null},x.ontimeout=function(){let O=i.timeout?"timeout of "+i.timeout+"ms exceeded":"timeout exceeded";const B=i.transitional||Ud;i.timeoutErrorMessage&&(O=i.timeoutErrorMessage),a(new Oe(O,B.clarifyTimeoutError?Oe.ETIMEDOUT:Oe.ECONNABORTED,s,x)),A(),x=null},l===void 0&&c.setContentType(null),"setRequestHeader"in x&&K.forEach(nm(c),function(O,B){x.setRequestHeader(B,O)}),K.isUndefined(i.withCredentials)||(x.withCredentials=!!i.withCredentials),d&&d!=="json"&&(x.responseType=i.responseType),h&&([S,_]=Jl(h,!0),x.addEventListener("progress",S)),f&&x.upload&&([b,v]=Jl(f),x.upload.addEventListener("progress",b),x.upload.addEventListener("loadend",v)),(i.cancelToken||i.signal)&&(m=k=>{x&&(a(!k||k.type?new mo(null,s,x):k),x.abort(),A(),x=null)},i.cancelToken&&i.cancelToken.subscribe(m),i.signal&&(i.signal.aborted?m():i.signal.addEventListener("abort",m)));const M=oC(i.url);if(M&&!En.protocols.includes(M)){a(new Oe("Unsupported protocol "+M+":",Oe.ERR_BAD_REQUEST,s));return}x.send(l||null)})},bC=(s,e)=>{if(s=s?s.filter(Boolean):[],!e&&!s.length)return;const n=new AbortController;let a=!1;const i=function(f){if(!a){a=!0,c();const h=f instanceof Error?f:this.reason;n.abort(h instanceof Oe?h:new mo(h instanceof Error?h.message:h))}};let l=e&&setTimeout(()=>{l=null,i(new Oe(`timeout of ${e}ms exceeded`,Oe.ETIMEDOUT))},e);const c=()=>{s&&(l&&clearTimeout(l),l=null,s.forEach(f=>{f.unsubscribe?f.unsubscribe(i):f.removeEventListener("abort",i)}),s=null)};s.forEach(f=>f.addEventListener("abort",i));const{signal:d}=n;return d.unsubscribe=()=>K.asap(c),d},vC=function*(s,e){let n=s.byteLength;if(n<e){yield s;return}let a=0,i;for(;a<n;)i=a+e,yield s.slice(a,i),a=i},SC=async function*(s,e){for await(const n of wC(s))yield*vC(n,e)},wC=async function*(s){if(s[Symbol.asyncIterator]){yield*s;return}const e=s.getReader();try{for(;;){const{done:n,value:a}=await e.read();if(n)break;yield a}}finally{await e.cancel()}},ym=(s,e,n,a)=>{const i=SC(s,e);let l=0,c,d=f=>{c||(c=!0,a&&a(f))};return new ReadableStream({async pull(f){try{const{done:h,value:m}=await i.next();if(h){d(),f.close();return}let b=m.byteLength;if(n){let S=l+=b;n(S)}f.enqueue(new Uint8Array(m))}catch(h){throw d(h),h}},cancel(f){return d(f),i.return()}},{highWaterMark:2})};function CC(s){if(!s||typeof s!="string"||!s.startsWith("data:"))return 0;const e=s.indexOf(",");if(e<0)return 0;const n=s.slice(5,e),a=s.slice(e+1);if(/;base64/i.test(n)){let c=a.length;const d=a.length;for(let v=0;v<d;v++)if(a.charCodeAt(v)===37&&v+2<d){const _=a.charCodeAt(v+1),A=a.charCodeAt(v+2);(_>=48&&_<=57||_>=65&&_<=70||_>=97&&_<=102)&&(A>=48&&A<=57||A>=65&&A<=70||A>=97&&A<=102)&&(c-=2,v+=2)}let f=0,h=d-1;const m=v=>v>=2&&a.charCodeAt(v-2)===37&&a.charCodeAt(v-1)===51&&(a.charCodeAt(v)===68||a.charCodeAt(v)===100);h>=0&&(a.charCodeAt(h)===61?(f++,h--):m(h)&&(f++,h-=3)),f===1&&h>=0&&(a.charCodeAt(h)===61||m(h))&&f++;const S=Math.floor(c/4)*3-(f||0);return S>0?S:0}if(typeof Buffer<"u"&&typeof Buffer.byteLength=="function")return Buffer.byteLength(a,"utf8");let l=0;for(let c=0,d=a.length;c<d;c++){const f=a.charCodeAt(c);if(f<128)l+=1;else if(f<2048)l+=2;else if(f>=55296&&f<=56319&&c+1<d){const h=a.charCodeAt(c+1);h>=56320&&h<=57343?(l+=4,c++):l+=3}else l+=3}return l}const Gd="1.16.1",bm=64*1024,{isFunction:Ql}=K,vm=(s,...e)=>{try{return!!s(...e)}catch{return!1}},EC=s=>{const e=K.global!==void 0&&K.global!==null?K.global:globalThis,{ReadableStream:n,TextEncoder:a}=e;s=K.merge.call({skipUndefined:!0},{Request:e.Request,Response:e.Response},s);const{fetch:i,Request:l,Response:c}=s,d=i?Ql(i):typeof fetch=="function",f=Ql(l),h=Ql(c);if(!d)return!1;const m=d&&Ql(n),b=d&&(typeof a=="function"?(L=>M=>L.encode(M))(new a):async L=>new Uint8Array(await new l(L).arrayBuffer())),S=f&&m&&vm(()=>{let L=!1;const M=new l(En.origin,{body:new n,method:"POST",get duplex(){return L=!0,"half"}}),k=M.headers.has("Content-Type");return M.body!=null&&M.body.cancel(),L&&!k}),v=h&&m&&vm(()=>K.isReadableStream(new c("").body)),_={stream:v&&(L=>L.body)};d&&["text","arrayBuffer","blob","formData","stream"].forEach(L=>{!_[L]&&(_[L]=(M,k)=>{let O=M&&M[L];if(O)return O.call(M);throw new Oe(`Response type '${L}' is not supported`,Oe.ERR_NOT_SUPPORT,k)})});const A=async L=>{if(L==null)return 0;if(K.isBlob(L))return L.size;if(K.isSpecCompliantForm(L))return(await new l(En.origin,{method:"POST",body:L}).arrayBuffer()).byteLength;if(K.isArrayBufferView(L)||K.isArrayBuffer(L))return L.byteLength;if(K.isURLSearchParams(L)&&(L=L+""),K.isString(L))return(await b(L)).byteLength},x=async(L,M)=>{const k=K.toFiniteNumber(L.getContentLength());return k??A(M)};return async L=>{let{url:M,method:k,data:O,signal:B,cancelToken:G,timeout:P,onDownloadProgress:W,onUploadProgress:pe,responseType:Se,headers:we,withCredentials:Ue="same-origin",fetchOptions:Ve,maxContentLength:qe,maxBodyLength:wt}=mm(L);const J=K.isNumber(qe)&&qe>-1,fe=K.isNumber(wt)&&wt>-1;let Le=i||fetch;Se=Se?(Se+"").toLowerCase():"text";let Z=bC([B,G&&G.toAbortSignal()],P),ge=null;const H=Z&&Z.unsubscribe&&(()=>{Z.unsubscribe()});let T;try{if(J&&typeof M=="string"&&M.startsWith("data:")&&CC(M)>qe)throw new Oe("maxContentLength size of "+qe+" exceeded",Oe.ERR_BAD_RESPONSE,L,ge);if(fe&&k!=="get"&&k!=="head"){const _e=await x(we,O);if(typeof _e=="number"&&isFinite(_e)&&_e>wt)throw new Oe("Request body larger than maxBodyLength limit",Oe.ERR_BAD_REQUEST,L,ge)}if(pe&&S&&k!=="get"&&k!=="head"&&(T=await x(we,O))!==0){let _e=new l(M,{method:"POST",body:O,duplex:"half"}),Te;if(K.isFormData(O)&&(Te=_e.headers.get("content-type"))&&we.setContentType(Te),_e.body){const[$e,pt]=fm(T,Jl(hm(pe)));O=ym(_e.body,bm,$e,pt)}}K.isString(Ue)||(Ue=Ue?"include":"omit");const ce=f&&"credentials"in l.prototype;if(K.isFormData(O)){const _e=we.getContentType();_e&&/^multipart\/form-data/i.test(_e)&&!/boundary=/i.test(_e)&&we.delete("content-type")}we.set("User-Agent","axios/"+Gd,!1);const de={...Ve,signal:Z,method:k.toUpperCase(),headers:nm(we.normalize()),body:O,duplex:"half",credentials:ce?Ue:void 0};ge=f&&new l(M,de);let ye=await(f?Le(ge,Ve):Le(M,de));if(J){const _e=K.toFiniteNumber(ye.headers.get("content-length"));if(_e!=null&&_e>qe)throw new Oe("maxContentLength size of "+qe+" exceeded",Oe.ERR_BAD_RESPONSE,L,ge)}const ie=v&&(Se==="stream"||Se==="response");if(v&&ye.body&&(W||J||ie&&H)){const _e={};["status","statusText","headers"].forEach(ht=>{_e[ht]=ye[ht]});const Te=K.toFiniteNumber(ye.headers.get("content-length")),[$e,pt]=W&&fm(Te,Jl(hm(W),!0))||[];let Ct=0;const Dt=ht=>{if(J&&(Ct=ht,Ct>qe))throw new Oe("maxContentLength size of "+qe+" exceeded",Oe.ERR_BAD_RESPONSE,L,ge);$e&&$e(ht)};ye=new c(ym(ye.body,bm,Dt,()=>{pt&&pt(),H&&H()}),_e)}Se=Se||"text";let xe=await _[K.findKey(_,Se)||"text"](ye,L);if(J&&!v&&!ie){let _e;if(xe!=null&&(typeof xe.byteLength=="number"?_e=xe.byteLength:typeof xe.size=="number"?_e=xe.size:typeof xe=="string"&&(_e=typeof a=="function"?new a().encode(xe).byteLength:xe.length)),typeof _e=="number"&&_e>qe)throw new Oe("maxContentLength size of "+qe+" exceeded",Oe.ERR_BAD_RESPONSE,L,ge)}return!ie&&H&&H(),await new Promise((_e,Te)=>{dm(_e,Te,{data:xe,headers:kn.from(ye.headers),status:ye.status,statusText:ye.statusText,config:L,request:ge})})}catch(ce){if(H&&H(),Z&&Z.aborted&&Z.reason instanceof Oe){const de=Z.reason;throw de.config=L,ge&&(de.request=ge),ce!==de&&(de.cause=ce),de}throw ce&&ce.name==="TypeError"&&/Load failed|fetch/i.test(ce.message)?Object.assign(new Oe("Network Error",Oe.ERR_NETWORK,L,ge,ce&&ce.response),{cause:ce.cause||ce}):Oe.from(ce,ce&&ce.code,L,ge,ce&&ce.response)}}},_C=new Map,Sm=s=>{let e=s&&s.env||{};const{fetch:n,Request:a,Response:i}=e,l=[a,i,n];let c=l.length,d=c,f,h,m=_C;for(;d--;)f=l[d],h=m.get(f),h===void 0&&m.set(f,h=d?new Map:EC(e)),m=h;return h};Sm();const Vd={http:Y0,xhr:yC,fetch:{get:Sm}};K.forEach(Vd,(s,e)=>{if(s){try{Object.defineProperty(s,"name",{__proto__:null,value:e})}catch{}Object.defineProperty(s,"adapterName",{__proto__:null,value:e})}});const wm=s=>`- ${s}`,AC=s=>K.isFunction(s)||s===null||s===!1;function xC(s,e){s=K.isArray(s)?s:[s];const{length:n}=s;let a,i;const l={};for(let c=0;c<n;c++){a=s[c];let d;if(i=a,!AC(a)&&(i=Vd[(d=String(a)).toLowerCase()],i===void 0))throw new Oe(`Unknown adapter '${d}'`);if(i&&(K.isFunction(i)||(i=i.get(e))))break;l[d||"#"+c]=i}if(!i){const c=Object.entries(l).map(([f,h])=>`adapter ${f} `+(h===!1?"is not supported by the environment":"is not available in the build"));let d=n?c.length>1?`since :
 `+c.map(wm).join(`
diff --git a/resources/js/core/template-engine/CHANGELOG.md b/resources/js/core/template-engine/CHANGELOG.md
index 284a1ba9..be74a094 100644
--- a/resources/js/core/template-engine/CHANGELOG.md
+++ b/resources/js/core/template-engine/CHANGELOG.md
@@ -5,6 +5,18 @@
 >
 > 형식: [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)
 
+## [engine-v1.60.6] - 2026-08-21
+
+### Fixed
+
+#### 정규식 lookbehind 로 인한 구형 Safari 전면 부팅 실패
+
+- `DataBindingEngine` 의 정규식 2건(`preprocessTranslationTokens` · `extractVariablesFromExpression`)이 ES2018 lookbehind(`(?<!...)`)를 쓰고 있었다. 정규식 **리터럴**은 스크립트 파싱 단계에서 검증되므로, lookbehind 를 모르는 엔진(WebKit 은 Safari 16.4 에서 구현)은 코어 엔진 번들을 **한 줄도 실행하지 못한다.** 번들은 `async`/`defer` 없는 동기 classic 스크립트라 폴백 경로도 없어, iOS 15 대 기기에서 사이트가 통째로 뜨지 않았다.
+- 두 정규식을 lookbehind 없는 형태로 교체했다 — 선행 따옴표/구분자를 **소비**한 뒤 캡처 그룹으로 분기한다. 식별자 패턴은 구분자가 `match[1]`, 식별자명이 `match[2]` 로 이동했다.
+- 동작은 완전히 동일하다: 무작위 200,034 표본(손으로 고른 경계 케이스 34건 포함) 퍼징에서 교체 전/후 결과 불일치 0건.
+- 이 2건이 유일한 병목이었다 — 제거 후 코어 엔진 번들의 파싱 하한이 Safari 16.4 → 14.1 로 내려간다(esbuild 타깃 판정). 빌드 타깃 하향은 해법이 아니다: esbuild 는 lookbehind 를 `new RegExp(...)` 로 옮길 뿐이라 파싱 오류가 **런타임 오류로 이동**한다.
+- 재발 방지: 배포 JS 산출물의 브라우저 하한 초과 문법을 정적 검사가 차단한다. 특히 부팅 임계 번들(코어 엔진 · 템플릿 컴포넌트)은 하한과 같은 버전이라도 정규식 리터럴 전용 문법을 금지한다 — 이 두 파일이 파싱되지 않으면 안내 화면조차 렌더되지 않기 때문이다.
+
 ## [engine-v1.60.5] - 2026-08-19
 
 ### Fixed
diff --git a/resources/js/core/template-engine/DataBindingEngine.ts b/resources/js/core/template-engine/DataBindingEngine.ts
index b788b3fd..c44baf15 100644
--- a/resources/js/core/template-engine/DataBindingEngine.ts
+++ b/resources/js/core/template-engine/DataBindingEngine.ts
@@ -1469,7 +1469,12 @@ export class DataBindingEngine {
     // 2. 기존 로직: 따옴표 없는 $t: 패턴을 문자열로 변환
     // $t:key.path → "$t:key.path"
     // @since engine-v1.28.1 하이픈(-) 지원 추가
-    return expr.replace(/(?<!['"]\s*)(\$t:[a-zA-Z_][a-zA-Z0-9_.\-]*)(?!\s*['"])/g, '"$1"');
+    // @since engine-v1.60.6 lookbehind 제거 — 선행 따옴표를 소비해 명시 분기한다.
+    //   정규식 lookbehind 는 Safari 16.4 미만이 파싱 자체를 거부해 번들 전체가 실행되지 않는다.
+    return expr.replace(
+      /(['"]\s*)?(\$t:[a-zA-Z_][a-zA-Z0-9_.\-]*)(?!\s*['"])/g,
+      (match, quoted, token) => (quoted ? match : `"${token}"`)
+    );
   }
 
   /**
@@ -1551,13 +1556,16 @@ export class DataBindingEngine {
 
     // 식별자 패턴 (변수명 시작 위치)
     // 식별자는 문자, $, _로 시작하고 문자, 숫자, $, _로 계속됨
-    const identifierPattern = /(?<![.\w$])([a-zA-Z_$][a-zA-Z0-9_$]*)/g;
+    // @since engine-v1.60.6 lookbehind 제거 — 문두(^) 또는 선행 구분자 1글자를 소비한다.
+    //   식별자 사이에는 항상 구분자가 1개 이상 있고 각 매치는 정확히 1개만 소비하므로
+    //   인접 매치가 손실되지 않는다. 식별자명은 match[2] 에 있다(구분자가 match[1]).
+    const identifierPattern = /(^|[^.\w$])([a-zA-Z_$][a-zA-Z0-9_$]*)/g;
 
     const variables = new Set<string>();
     let match;
 
     while ((match = identifierPattern.exec(expr)) !== null) {
-      const varName = match[1];
+      const varName = match[2];
       // 예약어가 아니고, 이미 추출되지 않았다면 추가
       if (!reserved.has(varName)) {
         variables.add(varName);
diff --git a/resources/js/core/template-engine/__tests__/DataBindingEngine.test.ts b/resources/js/core/template-engine/__tests__/DataBindingEngine.test.ts
index ded252c5..0f0f4c2e 100644
--- a/resources/js/core/template-engine/__tests__/DataBindingEngine.test.ts
+++ b/resources/js/core/template-engine/__tests__/DataBindingEngine.test.ts
@@ -1293,6 +1293,90 @@ describe('DataBindingEngine', () => {
     });
   });
 
+  /**
+   * 공개 #121 회귀 — 정규식 lookbehind 제거 (engine-v1.60.6).
+   *
+   * lookbehind(`(?<!`)는 ES2018 이지만 WebKit 은 Safari 16.4 에서야 구현했다.
+   * 정규식 **리터럴**은 파싱 단계에서 검증되므로 그 문법을 모르는 엔진은 번들을
+   * 한 줄도 실행하지 못한다 — iOS 15 대 전 기기에서 사이트가 통째로 뜨지 않았다.
+   *
+   * 교체 시 유일한 위험 지점은 `extractVariablesFromExpression` 의 캡처 인덱스다.
+   * 선행 구분자를 소비하도록 바꿨으므로 식별자는 match[1] 이 아니라 match[2] 에 있다.
+   * 이 한 줄을 빠뜨리면 구분자 문자가 변수명으로 수집되어 표현식 평가가 조용히 깨진다.
+   *
+   * @effects core_source_has_no_lookbehind, variable_extraction_contract_unchanged
+   */
+  describe('lookbehind 제거 회귀 (engine-v1.60.6, 공개 #121)', () => {
+    /**
+     * private 메서드를 테스트에서 직접 호출한다.
+     * 캡처 인덱스 회귀는 공개 API 결과만으로는 드러나지 않는다.
+     *
+     * @param expr 표현식
+     * @return {string[]} 추출된 변수명
+     */
+    const extract = (expr: string): string[] =>
+      (engine as any).extractVariablesFromExpression(expr);
+
+    it('인접 매치가 손실되지 않는다 (선행 구분자 소비의 부작용 없음)', () => {
+      expect(extract('a.b.c d.e f')).toEqual(['a', 'd', 'f']);
+      expect(extract('x+y+z')).toEqual(['x', 'y', 'z']);
+      expect(extract('p,q,r')).toEqual(['p', 'q', 'r']);
+    });
+
+    it('문두 식별자가 누락되지 않는다 (^ 분기)', () => {
+      expect(extract('x + y')).toEqual(['x', 'y']);
+      expect(extract('item')).toEqual(['item']);
+    });
+
+    it('구분자 문자가 변수명에 섞이지 않는다 (match[2] 회귀 가드)', () => {
+      const vars = extract("a + b, c ? d : e && f || g === 'x'");
+      for (const v of vars) {
+        expect(v).toMatch(/^[a-zA-Z_$][a-zA-Z0-9_$]*$/);
+      }
+      // 문자열 리터럴 내부는 이 메서드가 걸러내지 않는다(호출부가 이미 토큰화한 뒤 넘긴다).
+      // 교체 전 lookbehind 판정과 동일한 결과다 — 계약 불변.
+      expect(vars).toEqual(['a', 'b', 'c', 'd', 'e', 'f', 'g', 'x']);
+    });
+
+    it('프로퍼티 접근 뒤 식별자는 최상위 변수로 수집하지 않는다', () => {
+      expect(extract('obj.a.b.c')).toEqual(['obj']);
+      expect(extract('item?.id')).toEqual(['item']);
+      expect(extract('.leading')).toEqual([]);
+      expect(extract('1abc')).toEqual([]);
+    });
+
+    it('공개 API — 인접 식별자를 쓰는 표현식이 정상 평가된다', () => {
+      const context = { a: 1, b: 2, c: 3 };
+      expect(engine.evaluateExpression('a+b+c', context)).toBe(6);
+      expect(engine.evaluateExpression('a + b * c', context)).toBe(7);
+    });
+
+    it('공개 API — 컨텍스트에 없는 변수는 여전히 undefined 로 가려진다', () => {
+      // 캡처 인덱스가 어긋나면 실제 변수명이 수집되지 않아 ReferenceError 가 된다
+      expect(() => engine.evaluateExpression('missingVar', {})).not.toThrow();
+      expect(engine.evaluateExpression('missingVar ?? "fallback"', {})).toBe('fallback');
+      expect(engine.evaluateExpression('x || y || "none"', {})).toBe('none');
+    });
+
+    it('$t: 처리 계약이 불변이다 (따옴표 유무 분기)', () => {
+      expect(engine.evaluateExpression('_global.msg || $t:common.error', { _global: {} }))
+        .toBe('$t:common.error');
+      expect(engine.evaluateExpression('flag ? $t:a.b : $t:c.d', { flag: false }))
+        .toBe('$t:c.d');
+      expect(engine.evaluateExpression('$t:x', {})).toBe('$t:x');
+    });
+
+    it('소스에 lookbehind 가 남아 있지 않다', async () => {
+      const fs = await import('node:fs');
+      const path = await import('node:path');
+      const src = fs.readFileSync(
+        path.resolve(__dirname, '..', 'DataBindingEngine.ts'),
+        'utf8'
+      );
+      expect(src.match(/\(\?<[!=]/g)).toBeNull();
+    });
+  });
+
   describe('{{raw:...}} 바인딩 — 번역 면제 (engine-v1.27.0)', () => {
     describe('resolveBindings', () => {
       it('단순 경로에 raw 마커 래핑', () => {
diff --git a/resources/views/partials/bootstrap-scripts.blade.php b/resources/views/partials/bootstrap-scripts.blade.php
index 2fbcd0e1..45e1f77b 100644
--- a/resources/views/partials/bootstrap-scripts.blade.php
+++ b/resources/views/partials/bootstrap-scripts.blade.php
@@ -61,11 +61,36 @@
     // 헬퍼가 없으면(부분 include 등) 자가 복구 없이 기존 재시도 로직으로만 동작한다.
     var assetUrl = window.__g7AssetUrl || null;
 
+    // URL 을 문서 기준 절대 URL 로 정규화한다 (ES5 — `new URL` 은 구형 브라우저에 없다).
+    function absoluteUrl(src) {
+        var a = document.createElement('a');
+        a.href = src;
+        return a.href;
+    }
+
     // 부트스트랩 상태 — 정적 <script> 의 onerror/onload 가 여기에 기록한다
     var bootstrap = window.__g7Bootstrap = {
         failed: false,
         pending: 0,
 
+        /**
+         * 번들이 파싱 단계에서 거부됐는지 (SyntaxError 관측 결과).
+         *
+         * 다운로드는 성공했는데 전역이 없는 상황은 두 가지다 — ① 브라우저가 번들 문법을
+         * 모른다(지원 범위 밖) ② 번들 자체가 손상됐다. 둘은 안내 문구가 달라야 하므로
+         * 실제 오류를 관측해 가른다.
+         */
+        syntaxError: false,
+
+        /** 부팅에 필요한 번들 URL (절대 URL). 재시도로 바뀐 URL 도 여기에 누적된다. */
+        bundleSrcs: [absoluteUrl(@json($coreEngineSrc)), absoluteUrl(@json($componentsSrc))],
+
+        /** 재시도·모드전환으로 새 URL 을 쓰게 되면 관측 대상에 추가한다. */
+        trackBundleSrc: function (src) {
+            var abs = absoluteUrl(src);
+            if (bootstrap.bundleSrcs.indexOf(abs) === -1) bootstrap.bundleSrcs.push(abs);
+        },
+
         /** 모드 전환을 이미 시도했는지 (L1 — 페이지 수명당 1회) */
         modeSwitched: false,
 
@@ -86,7 +111,7 @@
             if (attempt >= MAX_ATTEMPTS) {
                 console.error(LABEL + ' Failed to load after ' + MAX_ATTEMPTS + ' attempts: ' + src);
                 bootstrap.failed = true;
-                bootstrap.renderFallback();
+                bootstrap.renderFallback('network');
                 return;
             }
 
@@ -106,6 +131,8 @@
             var delay = BASE_DELAY_MS * Math.pow(2, attempt - 1);
             console.warn(LABEL + ' Script load failed (attempt ' + attempt + '/' + MAX_ATTEMPTS + '), retrying in ' + delay + 'ms: ' + src);
 
+            bootstrap.trackBundleSrc(src);
+
             setTimeout(function () {
                 var script = document.createElement('script');
                 script.src = src;
@@ -135,6 +162,8 @@
         replaceScript: function (src, attempt) {
             if (window.__g7Unloading) return;
 
+            bootstrap.trackBundleSrc(src);
+
             var script = document.createElement('script');
             script.src = src;
             script.async = false; // 삽입 순서대로 실행 (코어 → 컴포넌트 순서 보장)
@@ -154,30 +183,51 @@
          *
          * 코어 번들이 없을 수 있으므로 템플릿 엔진에 의존하지 않는 순수 DOM + 인라인 스타일.
          * 종전에는 콘솔에만 기록되어 사용자에게는 영구 백지로 보였다.
+         *
+         * 사유별로 문구가 갈린다 — 새로고침이 도움이 되는 실패와 그렇지 않은 실패를
+         * 같은 문구로 안내하면 사용자가 자기 회선을 탓하며 영원히 새로고침하게 된다.
+         *
+         * @param reason 'network'(다운로드 실패) | 'incompatible'(브라우저가 실행 못 함)
+         *               | 'corrupt'(받았으나 전역 부재, 사유 미상). 미지정 시 'network'.
          */
-        renderFallback: function () {
+        renderFallback: function (reason) {
             if (window.__g7Unloading) return;
 
             var app = document.getElementById('app');
             if (!app) return;
             if (app.childElementCount > 0) return; // 이미 렌더된 화면은 덮지 않는다
 
+            var incompatible = reason === 'incompatible';
+
+            var title = incompatible
+                ? @json(__('errors.bootstrap.incompatible_title'))
+                : @json(__('errors.bootstrap.title'));
+            var message = incompatible
+                ? @json(__('errors.bootstrap.incompatible_message'))
+                : @json(__('errors.bootstrap.message'));
+
+            // 새로고침해도 낫지 않는 상황에서 버튼을 두면 그것 자체가 다시 거짓 안내가 된다.
+            var button = incompatible
+                ? ''
+                : '<button type="button" onclick="window.location.reload()" ' +
+                  'style="border:0;border-radius:6px;background:#2563eb;color:#fff;font-size:14px;font-weight:500;' +
+                  'padding:10px 20px;cursor:pointer;">' +
+                  @json(__('errors.bootstrap.reload')) +
+                  '</button>';
+
             app.innerHTML =
-                '<div style="min-height:60vh;display:flex;align-items:center;justify-content:center;padding:24px;' +
+                '<div data-g7-bootstrap-fallback="' + (incompatible ? 'incompatible' : 'network') + '" ' +
+                'style="min-height:60vh;display:flex;align-items:center;justify-content:center;padding:24px;' +
                 'font-family:system-ui,-apple-system,\'Segoe UI\',sans-serif;">' +
                 '<div style="text-align:center;max-width:420px;">' +
                 '<div style="font-size:40px;line-height:1;margin-bottom:16px;">&#9888;&#65039;</div>' +
                 '<h1 style="font-size:18px;font-weight:600;margin:0 0 8px;color:#111827;">' +
-                @json(__('errors.bootstrap.title')) +
+                title +
                 '</h1>' +
                 '<p style="font-size:14px;line-height:1.6;margin:0 0 20px;color:#6b7280;">' +
-                @json(__('errors.bootstrap.message')) +
+                message +
                 '</p>' +
-                '<button type="button" onclick="window.location.reload()" ' +
-                'style="border:0;border-radius:6px;background:#2563eb;color:#fff;font-size:14px;font-weight:500;' +
-                'padding:10px 20px;cursor:pointer;">' +
-                @json(__('errors.bootstrap.reload')) +
-                '</button>' +
+                button +
                 '</div></div>';
         },
 
@@ -195,12 +245,27 @@
                 return;
             }
 
-            // 번들은 받았으나 전역이 없다 = 번들 자체가 손상됨
-            console.error(LABEL + ' G7Core.initTemplateApp is not available');
-            bootstrap.renderFallback();
+            // 번들은 받았으나 전역이 없다 = 실행되지 않았다.
+            // SyntaxError 를 관측했다면 브라우저가 문법을 모르는 것(지원 범위 밖)이고,
+            // 그렇지 않으면 사유 미상(번들 손상 등)이므로 기존 문구를 유지한다.
+            console.error(LABEL + ' G7Core.initTemplateApp is not available'
+                + (bootstrap.syntaxError ? ' (bundle rejected at parse time)' : ''));
+            bootstrap.renderFallback(bootstrap.syntaxError ? 'incompatible' : 'corrupt');
         },
     };
 
+    // 번들의 파싱 실패 관측 (ES5) — 파싱 오류는 <script> 의 error 가 아니라 load 를
+    // 발생시키므로 element 이벤트로는 구분할 수 없다. window 의 error 이벤트로만 보인다.
+    window.addEventListener('error', function (e) {
+        if (!e || !e.filename) return;
+        if (bootstrap.bundleSrcs.indexOf(absoluteUrl(e.filename)) === -1) return;
+
+        var message = e.message ? String(e.message) : '';
+        if (message.indexOf('SyntaxError') !== -1 || (e.error && e.error.name === 'SyntaxError')) {
+            bootstrap.syntaxError = true;
+        }
+    }, true);
+
     // 정적 <script> 2개(코어 + 컴포넌트)가 완료돼야 초기화한다
     bootstrap.pending = 2;
 })();
diff --git a/tests/Feature/View/BootstrapFallbackDiagnosisTest.php b/tests/Feature/View/BootstrapFallbackDiagnosisTest.php
new file mode 100644
index 00000000..82fe8247
--- /dev/null
+++ b/tests/Feature/View/BootstrapFallbackDiagnosisTest.php
@@ -0,0 +1,154 @@
+<?php
+
+namespace Tests\Feature\View;
+
+use Tests\TestCase;
+
+/**
+ * 부팅 실패 사유별 안내 분기 (공개 #121).
+ *
+ * 번들을 받았는데 실행되지 않는 경우와 끝내 받지 못한 경우는 사용자가 취할 행동이
+ * 정반대다. 전자에 "네트워크가 불안정하다 / 새로고침하라" 를 띄우면 새로고침해도
+ * 낫지 않으므로 사용자는 자기 회선을 탓하게 된다.
+ *
+ * 인라인 부트스트랩은 코어 번들이 없어도 동작해야 하므로 ES5 로만 작성한다 —
+ * 화살표 함수·const·템플릿 리터럴·옵셔널 체이닝이 섞이면 이 계층까지 구형
+ * 브라우저에서 죽어 안내조차 뜨지 않는다.
+ *
+ * @scenario entrypoint=user, failure_mode=parse_error
+ *
+ * @effects bootstrap_partial_emits_reason_branch, incompatible_strings_defined_per_locale
+ */
+class BootstrapFallbackDiagnosisTest extends TestCase
+{
+    /**
+     * 부트스트랩 partial 을 렌더합니다.
+     *
+     * @param  string  $templateType  'user' 또는 'admin'
+     * @return string 렌더된 HTML
+     */
+    private function render(string $templateType = 'user'): string
+    {
+        return view('partials.bootstrap-scripts', [
+            'templateType' => $templateType,
+            'coreEngineSrc' => '/build/core/template-engine.min.js',
+            'componentsSrc' => '/api/templates/assets/sirsoft-basic/js/components.iife.js',
+            'initConfig' => ['templateId' => 'sirsoft-basic', 'locale' => 'ko'],
+        ])->render();
+    }
+
+    public function test_두_진입점_모두_사유별_분기를_렌더한다(): void
+    {
+        foreach (['user', 'admin'] as $templateType) {
+            $html = $this->render($templateType);
+
+            $this->assertStringContainsString(
+                "? 'incompatible' : 'corrupt'",
+                $html,
+                "[{$templateType}] 전역 부재 경로가 SyntaxError 관측 결과로 사유를 가르지 않는다"
+            );
+            $this->assertStringContainsString(
+                "renderFallback('network')",
+                $html,
+                "[{$templateType}] 재시도 소진 경로가 network 사유를 넘기지 않는다"
+            );
+            $this->assertStringContainsString(
+                'data-g7-bootstrap-fallback',
+                $html,
+                "[{$templateType}] 폴백 사유 마커가 없다"
+            );
+        }
+    }
+
+    public function test_파싱_오류_관측_리스너가_설치된다(): void
+    {
+        $html = $this->render();
+
+        // 파싱 실패는 <script> 의 error 가 아니라 load 를 발생시키므로 element
+        // 이벤트로는 구분할 수 없다. window 의 error 이벤트로만 관측된다.
+        $this->assertStringContainsString('bundleSrcs', $html);
+        $this->assertStringContainsString('SyntaxError', $html);
+        $this->assertStringContainsString('syntaxError', $html);
+    }
+
+    public function test_비호환_안내_문구가_지원_로케일마다_정의된다(): void
+    {
+        $original = app()->getLocale();
+
+        try {
+            foreach (['ko', 'en'] as $locale) {
+                app()->setLocale($locale);
+
+                foreach (['incompatible_title', 'incompatible_message'] as $key) {
+                    $value = __("errors.bootstrap.{$key}");
+
+                    $this->assertNotSame(
+                        "errors.bootstrap.{$key}",
+                        $value,
+                        "[{$locale}] errors.bootstrap.{$key} 미정의 — 화면에 키 문자열이 그대로 노출된다"
+                    );
+                    $this->assertNotSame('', trim($value), "[{$locale}] errors.bootstrap.{$key} 가 비어 있다");
+                }
+
+                // 사유가 다르면 문구도 달라야 한다 — 같으면 분기가 무의미하다
+                $this->assertNotSame(
+                    __('errors.bootstrap.message'),
+                    __('errors.bootstrap.incompatible_message'),
+                    "[{$locale}] 비호환 문구가 네트워크 문구와 동일하다"
+                );
+            }
+        } finally {
+            app()->setLocale($original);
+        }
+    }
+
+    public function test_번들_일본어_언어팩에도_비호환_문구가_있다(): void
+    {
+        $path = base_path('lang-packs/_bundled/g7-core-ja/backend/ja/errors.php');
+
+        if (! file_exists($path)) {
+            $this->markTestSkipped('번들 ja 언어팩 미존재');
+        }
+
+        $ja = require $path;
+
+        $this->assertArrayHasKey('bootstrap', $ja);
+        $this->assertArrayHasKey('incompatible_title', $ja['bootstrap']);
+        $this->assertArrayHasKey('incompatible_message', $ja['bootstrap']);
+        $this->assertNotSame(
+            $ja['bootstrap']['message'],
+            $ja['bootstrap']['incompatible_message'],
+            'ja 비호환 문구가 네트워크 문구와 동일하다'
+        );
+    }
+
+    public function test_인라인_부트스트랩은_구형_브라우저_문법만_사용한다(): void
+    {
+        $html = $this->render();
+
+        preg_match('/<script>(.*?)<\/script>/s', $html, $m);
+        $this->assertNotEmpty($m, '인라인 부트스트랩 스크립트를 찾지 못했다');
+
+        // 주석 안의 백틱·화살표는 문법이 아니다 — 블록 주석과 줄 주석을 먼저 걷어낸다.
+        // 콜론 뒤의 `//` 는 URL 스킴이므로 주석으로 보지 않는다.
+        $js = preg_replace('#/\*.*?\*/#s', '', $m[1]);
+        $js = preg_replace('#(^|[^:])//[^\n]*#', '$1', $js);
+
+        // 코어 번들이 없어도 이 계층은 살아 있어야 한다 — ES2015+ 문법 금지.
+        $forbidden = [
+            '화살표 함수' => '/\)\s*=>/',
+            'const 선언' => '/(^|[^\w$])const\s+[A-Za-z_$]/m',
+            'let 선언' => '/(^|[^\w$])let\s+[A-Za-z_$]/m',
+            '템플릿 리터럴' => '/`/',
+            '옵셔널 체이닝' => '/\?\./',
+        ];
+
+        foreach ($forbidden as $label => $pattern) {
+            $this->assertSame(
+                0,
+                preg_match($pattern, $js),
+                "인라인 부트스트랩에 {$label} 사용 — 구형 브라우저에서 안내 화면조차 뜨지 않는다"
+            );
+        }
+    }
+}
diff --git a/tests/Playwright/specs/smoke/bootstrap-parse-failure.spec.ts b/tests/Playwright/specs/smoke/bootstrap-parse-failure.spec.ts
new file mode 100644
index 00000000..93b2595b
--- /dev/null
+++ b/tests/Playwright/specs/smoke/bootstrap-parse-failure.spec.ts
@@ -0,0 +1,220 @@
+/**
+ * Smoke: 부팅 실패 사유별 안내 분기 (공개 #121)
+ *
+ * 번들을 **받았는데 실행되지 않는** 경우와 **끝내 받지 못한** 경우는 사용자가 취해야 할
+ * 행동이 정반대다. 전자는 새로고침해도 영원히 낫지 않으므로 "네트워크가 불안정하다 /
+ * 새로고침하라" 는 거짓 진단이고, 사용자는 자기 회선을 탓하게 된다.
+ *
+ * 기존 `network-resilience.spec.ts` 는 `route.abort()` 로 **네트워크 실패만** 모사한다.
+ * "다운로드는 되지만 파싱에 실패" 경로를 덮는 spec 이 없었던 것이 이번 결함(iOS 15 전
+ * 기기 부팅 불능)이 통과한 이유다.
+ *
+ * 파싱 실패 모사: 응답을 가로채 **파싱 불가한 정규식 리터럴**을 본문으로 돌려준다.
+ * 구형 Safari 가 lookbehind 를 거부하던 것과 같은 종류의 실패다 — 스크립트 태그는
+ * `error` 가 아니라 `load` 를 발생시키므로 재시도조차 일어나지 않고 곧장 tryInit 으로 간다.
+ *
+ * 진입점 두 곳(사용자·관리자)을 모두 잰다. 한쪽만 보면 blade 계층이 갈린 지점의
+ * 회귀를 놓친다.
+ */
+import { test, expect, type Page } from '@playwright/test';
+
+/** 코어 엔진 번들 URL 패턴 */
+const CORE_BUNDLE = '**/build/core/template-engine.min.js*';
+
+/**
+ * 파싱 불가한 스크립트 본문.
+ *
+ * `(?<@x)` 는 유효하지 않은 캡처 그룹 이름이라 정규식 **리터럴** 검증 단계에서 거부된다
+ * (구형 WebKit 이 lookbehind 를 거부하던 지점과 동일). 파일 전체가 실행되지 않으므로
+ * 앞줄의 대입조차 수행되지 않고 `window.G7Core` 는 정의되지 않는다.
+ */
+const UNPARSEABLE_JS = 'window.__g7ParseProbe = 1;\nvar broken = /(?<@x)y/;\n';
+
+/**
+ * 폴백 안내가 그려질 때까지 기다린 뒤 그 상태를 읽는다.
+ *
+ * 부재 단언은 **존재를 확정한 뒤**에만 의미가 있다 — 폴백 컨테이너가 뜨기 전에
+ * 버튼 수를 세면 렌더 전이라 0 이 나와 그냥 통과한다.
+ *
+ * @param page Playwright page
+ * @return 폴백 마커·문구·버튼 수
+ */
+async function readFallback(page: Page): Promise<{ reason: string | null; title: string; buttons: number }> {
+  const container = page.locator('#app [data-g7-bootstrap-fallback]');
+  await expect(container).toBeVisible({ timeout: 20_000 });
+
+  return page.evaluate(() => {
+    const el = document.querySelector('#app [data-g7-bootstrap-fallback]');
+    return {
+      reason: el ? el.getAttribute('data-g7-bootstrap-fallback') : null,
+      title: el?.querySelector('h1')?.textContent?.trim() ?? '',
+      buttons: el ? el.querySelectorAll('button').length : 0,
+    };
+  });
+}
+
+/**
+ * 파싱 실패 케이스 본문 — 진입점만 다르다.
+ *
+ * @param page Playwright page
+ * @param url 진입 경로
+ * @return {Promise<void>}
+ */
+async function assertParseFailure(page: Page, url: string): Promise<void> {
+  const pageErrors: string[] = [];
+  page.on('pageerror', (e) => pageErrors.push(String(e)));
+
+  await page.route(CORE_BUNDLE, (route) =>
+    route.fulfill({ status: 200, contentType: 'application/javascript', body: UNPARSEABLE_JS })
+  );
+
+  await page.goto(url);
+  await page.waitForLoadState('domcontentloaded', { timeout: 30_000 });
+
+  const fallback = await readFallback(page);
+
+  expect(fallback.reason).toBe('incompatible');
+  expect(fallback.title.length).toBeGreaterThan(0);
+  // 존재를 확정한 뒤의 부재 단언 — 새로고침 버튼이 없어야 한다
+  expect(fallback.buttons).toBe(0);
+
+  const state = await page.evaluate(() => ({
+    hasCore: typeof (window as any).G7Core !== 'undefined',
+    syntaxError: (window as any).__g7Bootstrap?.syntaxError,
+  }));
+  expect(state.hasCore).toBe(false);
+  expect(state.syntaxError).toBe(true);
+
+  expect(pageErrors.join(' | ')).toMatch(/SyntaxError/);
+}
+
+/**
+ * 네트워크 실패 케이스 본문 — 기존 문구·버튼·재시도 상한이 그대로여야 한다.
+ *
+ * @param page Playwright page
+ * @param url 진입 경로
+ * @return {Promise<void>}
+ */
+async function assertNetworkFailure(page: Page, url: string): Promise<void> {
+  let attempts = 0;
+  await page.route(CORE_BUNDLE, (route) => {
+    attempts += 1;
+    return route.abort('failed');
+  });
+
+  await page.goto(url);
+  await page.waitForLoadState('domcontentloaded', { timeout: 30_000 });
+
+  const fallback = await readFallback(page);
+
+  expect(fallback.reason).toBe('network');
+  expect(fallback.buttons).toBe(1);
+
+  // 재시도 상한(초기 1 + 재시도 2) 불변
+  expect(attempts).toBe(3);
+}
+
+/**
+ * 정상 부팅 케이스 본문 — 폴백이 오발동하지 않아야 한다.
+ *
+ * @param page Playwright page
+ * @param url 진입 경로
+ * @return {Promise<void>}
+ */
+async function assertNormalBoot(page: Page, url: string): Promise<void> {
+  await page.goto(url);
+  await page.waitForLoadState('domcontentloaded', { timeout: 30_000 });
+  await page.waitForFunction(
+    () => (document.querySelector('#app')?.childElementCount ?? 0) > 0,
+    { timeout: 20_000 }
+  );
+
+  const state = await page.evaluate(() => ({
+    failed: (window as any).__g7Bootstrap?.failed,
+    syntaxError: (window as any).__g7Bootstrap?.syntaxError,
+    hasCore: typeof (window as any).G7Core !== 'undefined',
+    fallbacks: document.querySelectorAll('#app [data-g7-bootstrap-fallback]').length,
+  }));
+
+  expect(state.hasCore).toBe(true);
+  expect(state.failed).toBe(false);
+  expect(state.syntaxError).toBe(false);
+  expect(state.fallbacks).toBe(0);
+}
+
+test.describe('부팅 실패 사유별 안내 분기 (공개 #121)', () => {
+  /**
+   * @scenario entrypoint=user, failure_mode=parse_error
+   * @effects syntax_error_renders_incompatible_notice, incompatible_notice_omits_reload_button
+   */
+  test('@smoke [user] 번들 파싱 실패 → 브라우저 비호환 안내 + 새로고침 버튼 부재', async ({ page }) => {
+    await assertParseFailure(page, '/');
+  });
+
+  /**
+   * @scenario entrypoint=admin, failure_mode=parse_error
+   * @effects syntax_error_renders_incompatible_notice, incompatible_notice_omits_reload_button
+   */
+  test('@smoke [admin] 번들 파싱 실패 → 브라우저 비호환 안내 + 새로고침 버튼 부재', async ({ page }) => {
+    await assertParseFailure(page, '/admin');
+  });
+
+  /**
+   * @scenario entrypoint=user, failure_mode=network_exhausted
+   * @effects network_failure_renders_network_notice, network_notice_keeps_reload_button
+   */
+  test('@smoke [user] 번들 상시 부재 → 기존 네트워크 안내 + 새로고침 버튼 유지', async ({ page }) => {
+    await assertNetworkFailure(page, '/');
+  });
+
+  /**
+   * @scenario entrypoint=admin, failure_mode=network_exhausted
+   * @effects network_failure_renders_network_notice, network_notice_keeps_reload_button
+   */
+  test('@smoke [admin] 번들 상시 부재 → 기존 네트워크 안내 + 새로고침 버튼 유지', async ({ page }) => {
+    await assertNetworkFailure(page, '/admin');
+  });
+
+  /**
+   * @scenario entrypoint=user, failure_mode=none
+   * @effects normal_boot_renders_no_fallback
+   */
+  test('@smoke [user] 정상 부팅 → 폴백 미렌더', async ({ page }) => {
+    await assertNormalBoot(page, '/');
+  });
+
+  /**
+   * @scenario entrypoint=admin, failure_mode=none
+   * @effects normal_boot_renders_no_fallback
+   */
+  test('@smoke [admin] 정상 부팅 → 폴백 미렌더', async ({ page }) => {
+    await assertNormalBoot(page, '/admin');
+  });
+
+  /**
+   * 서빙되는 코어 엔진 번들에 lookbehind 가 없다.
+   *
+   * 저장소 산출물은 정적 검사가 덮지만, **실제로 서빙되는 것**이 그 산출물인지는
+   * 별개 축이다(배포 경로·캐시·리버스 프록시). 브라우저가 받는 바이트를 직접 센다.
+   *
+   * @effects shipped_core_bundle_has_no_lookbehind
+   */
+  test('@smoke 서빙 중인 코어 엔진 번들에 정규식 lookbehind 가 없다', async ({ page }) => {
+    await page.goto('/');
+    await page.waitForLoadState('domcontentloaded', { timeout: 30_000 });
+
+    const probe = await page.evaluate(async () => {
+      const el = Array.from(document.querySelectorAll('script[src]')).find((s) =>
+        /template-engine\.min\.js/.test((s as HTMLScriptElement).src)
+      ) as HTMLScriptElement | undefined;
+      if (!el) return { found: false, bytes: 0, lookbehind: -1 };
+
+      const body = await fetch(el.src).then((r) => r.text());
+      return { found: true, bytes: body.length, lookbehind: (body.match(/\(\?<[!=]/g) || []).length };
+    });
+
+    expect(probe.found).toBe(true);
+    expect(probe.bytes).toBeGreaterThan(1000);
+    expect(probe.lookbehind).toBe(0);
+  });
+});
diff --git a/tests/Playwright/specs/smoke/network-resilience.spec.ts b/tests/Playwright/specs/smoke/network-resilience.spec.ts
index 870c4607..ea6a5c93 100644
--- a/tests/Playwright/specs/smoke/network-resilience.spec.ts
+++ b/tests/Playwright/specs/smoke/network-resilience.spec.ts
@@ -24,16 +24,39 @@ const DEAD_SCREEN = /초기화 실패|페이지 로딩 실패|Unknown action han
 /** 코어/컴포넌트 번들이 끝내 부재할 때 사용자에게 보여야 할 폴백 안내 */
 const FALLBACK_UI = /화면을 불러오지 못했습니다|Failed to load the page/;
 
+/**
+ * 자산 URL 이 **이중 모드**라는 사실을 흡수하는 매처 생성기.
+ *
+ * `asset_url_mode` 가 `extensionless` 인 사이트에서는 `.../routes.json` 이
+ * `.../routes` 로, `/api/modules/bundle.js` 가 `/api/modules/bundle/js` 로 나간다
+ * (nginx 정적 최적화 블록 우회 — `partials/asset-url-recovery` 참조).
+ * 확장자 형태만 매칭하면 그 사이트에서는 **한 건도 가로채지 못한 채** 테스트가
+ * "복구 성공" 처럼 조용히 통과하거나 카운터 0 으로 실패한다.
+ *
+ * @param base 확장자 앞까지의 경로 정규식 소스 (예: `\\/api\\/templates\\/[^/]+\\/routes`)
+ * @param ext 확장자 (예: 'json')
+ * @return URL 매처
+ */
+function suffixedPath(base: string, ext: string): (url: URL) => boolean {
+  const withExt = new RegExp(`^${base}\\.${ext}$`);
+  const without = new RegExp(`^${base}$`);
+  const segment = new RegExp(`^${base}\\/${ext}$`);
+  return (url: URL) => withExt.test(url.pathname) || without.test(url.pathname) || segment.test(url.pathname);
+}
+
 /**
  * 지정 패턴의 **첫 요청 1건만** 취소한다 (재시도 요청은 통과).
  *
  * 일시적 커넥션 유실을 모사한다 — 재시도가 실제로 복구하는지 보기 위함.
  *
  * @param page Playwright page
- * @param pattern 취소할 요청 URL glob
+ * @param pattern 취소할 요청 URL glob 또는 매처
  * @return 취소·통과 카운터 (재시도 발동 여부 확인용)
  */
-async function abortFirstRequestOnly(page: Page, pattern: string): Promise<{ hits: () => number }> {
+async function abortFirstRequestOnly(
+  page: Page,
+  pattern: string | ((url: URL) => boolean)
+): Promise<{ hits: () => number }> {
   let hits = 0;
   await page.route(pattern, (route) => {
     hits += 1;
@@ -50,10 +73,10 @@ async function bodyText(page: Page): Promise<string> {
 
 test.describe('네트워크 복원력 — 요청 1건의 일시 실패 (#463)', () => {
   // 각 경로의 첫 요청 1건을 취소해도 재시도로 복구되어 앱이 정상 렌더돼야 한다.
-  const SINGLE_ABORT_PATHS: Array<{ name: string; pattern: string }> = [
-    { name: 'routes.json', pattern: '**/api/templates/*/routes.json*' },
-    { name: 'components.json', pattern: '**/api/templates/*/components.json*' },
-    { name: 'modules/bundle.js', pattern: '**/api/modules/bundle.js*' },
+  const SINGLE_ABORT_PATHS: Array<{ name: string; pattern: string | ((url: URL) => boolean) }> = [
+    { name: 'routes.json', pattern: suffixedPath('\\/api\\/templates\\/[^/]+\\/routes', 'json') },
+    { name: 'components.json', pattern: suffixedPath('\\/api\\/templates\\/[^/]+\\/components', 'json') },
+    { name: 'modules/bundle.js', pattern: suffixedPath('\\/api\\/modules\\/bundle', 'js') },
     { name: 'layouts/*.json', pattern: '**/api/layouts/**' },
   ];
 
@@ -221,7 +244,7 @@ test.describe('네트워크 복원력 — 번들이 끝내 부재할 때 (#463)'
    */
   test('@smoke routes.json 상시 부재 → 명시적 에러 화면 + 새로고침 버튼', async ({ page }) => {
     let attempts = 0;
-    await page.route('**/api/templates/*/routes.json*', (route) => {
+    await page.route(suffixedPath('\\/api\\/templates\\/[^/]+\\/routes', 'json'), (route) => {
       attempts += 1;
       return route.abort('failed');
     });
@@ -251,7 +274,7 @@ test.describe('네트워크 복원력 — 번들이 끝내 부재할 때 (#463)'
    *   (b) `Unknown action handler: sirsoft-ecommerce.initPreferredCurrency` raw 노출
    */
   test('@smoke 모듈 번들 상시 부재 → 5초 블로킹 없이 렌더 + 내부 식별자 미노출', async ({ page }) => {
-    await page.route('**/api/modules/bundle.js*', (route) => route.abort('failed'));
+    await page.route(suffixedPath('\\/api\\/modules\\/bundle', 'js'), (route) => route.abort('failed'));
 
     // `waitUntil: 'commit'` — 기본값('load')은 취소된 번들의 재시도 체인까지 포함한
     // 모든 서브리소스를 기다리므로, 측정 시작점이 밀려 "렌더까지 걸린 시간" 이 아니라
diff --git a/tests/scenarios/bootstrap-parse-failure.yaml b/tests/scenarios/bootstrap-parse-failure.yaml
new file mode 100644
index 00000000..a488ed13
--- /dev/null
+++ b/tests/scenarios/bootstrap-parse-failure.yaml
@@ -0,0 +1,48 @@
+feature: bootstrap_parse_failure
+
+description: |
+  부팅 스크립트 실패 사유별 안내 분기 (공개 #121).
+
+  번들을 **받았는데 실행되지 않는** 경우와 **끝내 받지 못한** 경우는 사용자가 취해야 할
+  행동이 정반대다. 파싱 실패 시 스크립트 태그는 error 가 아니라 load 를 발생시키므로
+  재시도조차 일어나지 않고 곧장 "전역 부재" 경로로 간다 — 종전에는 그 경로가 네트워크
+  문구를 그대로 그려, 새로고침해도 낫지 않는 상황에서 새로고침을 권했다.
+
+  핵심 동작:
+    - window 의 error 이벤트로 번들 SyntaxError 를 관측(element 이벤트로는 구분 불가)
+    - 관측되면 renderFallback('incompatible') — 전용 문구 + 새로고침 버튼 생략
+    - 관측되지 않으면 renderFallback('corrupt') — 기존 문구 유지(사유 미상)
+    - 재시도 소진 경로는 renderFallback('network') — 기존 문구 + 버튼 유지
+    - 코어 엔진 번들에서 정규식 lookbehind 제거(파싱 하한 Safari 16.4 → 14.1)
+
+axes:
+  entrypoint: [user, admin]
+  failure_mode: [parse_error, network_exhausted, none]
+
+effects:
+  - syntax_error_renders_incompatible_notice
+  - incompatible_notice_omits_reload_button
+  - network_failure_renders_network_notice
+  - network_notice_keeps_reload_button
+  - normal_boot_renders_no_fallback
+  - shipped_core_bundle_has_no_lookbehind
+  - bootstrap_partial_emits_reason_branch
+  - incompatible_strings_defined_per_locale
+  - core_source_has_no_lookbehind
+  - variable_extraction_contract_unchanged
+  - shipped_bundle_lookbehind_blocked_by_static_check
+
+test_files:
+  - tests/Playwright/specs/smoke/bootstrap-parse-failure.spec.ts
+  - tests/Feature/View/BootstrapFallbackDiagnosisTest.php
+  - resources/js/core/template-engine/__tests__/DataBindingEngine.test.ts
+  - .claude/scripts/audit/__tests__/shipped-bundle-browser-baseline.test.cjs
+
+notes: |
+  로케일 축은 E2E cross product 에 넣지 않는다 — 화면 문구는 서버가 렌더한 문자열을
+  그대로 심는 구조라 브라우저 경로가 로케일마다 갈리지 않기 때문이다. ko/en/ja 문구의
+  실존과 상호 구분은 BootstrapFallbackDiagnosisTest 가 직접 단언하고, 번들 ja 언어팩의
+  키 동기는 언어팩 동기 검사가 담당한다.
+
+  하한 미만 실기기(iOS 15) 에서 "깨진 채로 이용 가능한가" 는 재현 수단이 없어 이 매니페스트
+  범위 밖이다 — 최신 WebKit(Playwright) 도 lookbehind 를 지원해 결함 자체가 재현되지 않는다.

From 494e58197387cc4f748f566223ad7ccf025f4b14 Mon Sep 17 00:00:00 2001
From: HeuJung <heuristing@gmail.com>
Date: Sat, 22 Aug 2026 01:19:36 +0900
Subject: [PATCH 6/7] =?UTF-8?q?fix(security):=20KVE-2026=20=EC=8B=A0?=
 =?UTF-8?q?=EA=B3=A0=204=EA=B1=B4=20=EC=A1=B0=EC=B9=98=20=E2=80=94=20?=
 =?UTF-8?q?=EA=B4=80=EB=A6=AC=EC=9E=90=20API=20=EA=B6=8C=ED=95=9C=20?=
 =?UTF-8?q?=EA=B2=8C=EC=9D=B4=ED=8A=B8=20+=20=EA=B8=88=EC=A0=84=20?=
 =?UTF-8?q?=EC=B2=98=EB=A6=AC=20=EA=B2=BD=EC=9F=81=20=EC=A1=B0=EA=B1=B4?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

KISA 신고 4건(KVE-2026-1886/1887/1893/1894)을 검증하고, 미수정 2건과
동종 결함 전수 조사에서 나온 결함을 함께 조치했다.

권한 게이트 (KVE-2026-1893)

- NHN KCP 관리자 주문 연동 7경로가 admin 보유 여부만 보고 세부 권한을 보지 않아,
 업무 권한 없는 관리자가 주문번호·결제정보·수령인 연락처를 조회하고 에스크로
 배송등록까지 할 수 있었다. 조회는 orders.read, 등록은 orders.update, 설정성
 경로는 settings.read 로 게이트해 다른 PG 연동과 강도를 맞췄다.
- 마케팅 채널 저장은 코어 플러그인 설정과 같은 저장소를 덮어쓰는 우회 경로라
 core.plugins.update 를 부착했다.

첨부 해시 노출 (KVE-2026-1894 잔재)

- 비밀글의 썸네일 URL 이 목록·상세 응답에 그대로 실려 첨부 해시가 노출됐다.
 이미지 서빙은 이미 차단돼 있었으나 식별값 자체가 나갔다. 첨부 목록과 같은
 게이트를 써서 값만 가리고 필드는 유지한다.

경쟁 조건 (KVE-2026-1886 + 전수 조사)

- 쿠폰 차감을 조회 후 갱신에서 조건부 UPDATE 로 바꿔 1회 제한 쿠폰의 동시
 사용을 막고, 선점당한 주문은 409 로 되돌린다.
- 라이브 병렬 재현에서 그 롤백이 동작하지 않는 것을 확인했다. Action 훅 기본값이
 큐 래핑 + afterCommit 이라 금전 처리가 호출자 커밋 뒤에 실행되고 있었다.
 쿠폰·적립금 차감/복원 5개 구독에 sync 를 선언했고, 회귀 테스트는 손 등록이
 아니라 실제 등록 경로를 태워 고정했다.
- 동시 부분취소의 취소 누적 컬럼 lost update, 적립 lot 의 read-modify-write,
 주문옵션당 적립 lot 중복 생성을 각각 행 잠금·컬럼 연산·유니크 제약으로 막았다.
 기설치본의 중복 lot 은 인덱스 생성 전에 금액을 합산해 한 줄로 통합한다.

규정·문서

- sync 판정 기준을 hooks.md 에 명문화하고 /AGENTS.md Listener 표와
 coverage manifest 에 반영했다. 같은 증상을 다시 만났을 때의 진단 경로를
 트러블슈팅 사례로 남겼다.
---
 AGENTS.md                                     |   2 +
 docs/extension/hooks.md                       |  13 +
 .../CHANGELOG.md                              |   6 +
 .../backend/ja/exceptions.php                 |   1 +
 .../language-pack.json                        |   2 +-
 modules/_bundled/sirsoft-board/CHANGELOG.md   |   6 +
 modules/_bundled/sirsoft-board/composer.json  |   2 +-
 .../_bundled/sirsoft-board/docs/api/board.md  |   4 +-
 modules/_bundled/sirsoft-board/module.json    |   2 +-
 .../_bundled/sirsoft-board/package-lock.json  |   4 +-
 modules/_bundled/sirsoft-board/package.json   |   2 +-
 .../src/Http/Resources/PostResource.php       |  36 ++-
 .../PostResourceThumbnailUrlTest.php          |  41 +++-
 .../_bundled/sirsoft-ecommerce/CHANGELOG.md   |  14 ++
 .../_bundled/sirsoft-ecommerce/composer.json  |   2 +-
 ...o_ecommerce_mileage_transactions_table.php | 160 ++++++++++++
 .../sirsoft-ecommerce/docs/api/orders.md      |   1 +
 .../_bundled/sirsoft-ecommerce/module.json    |   2 +-
 .../sirsoft-ecommerce/package-lock.json       |   4 +-
 .../_bundled/sirsoft-ecommerce/package.json   |   2 +-
 .../Exceptions/CouponAlreadyUsedException.php |  33 +++
 .../Traits/HandlesOrderCreation.php           |  17 ++
 .../src/Listeners/CouponRestoreListener.php   |  50 ++--
 .../src/Listeners/CouponUseListener.php       |  52 +++-
 .../Listeners/MileageTransactionListener.php  |   7 +-
 .../CouponIssueRepositoryInterface.php        |  31 ++-
 .../MileageTransactionRepositoryInterface.php |  11 +
 .../OrderPaymentRepositoryInterface.php       |  11 +
 .../Contracts/OrderRepositoryInterface.php    |  12 +
 .../Repositories/CouponIssueRepository.php    |  13 +
 .../MileageTransactionRepository.php          |  31 ++-
 .../Repositories/OrderPaymentRepository.php   |   8 +
 .../src/Repositories/OrderRepository.php      |   8 +
 .../src/Services/OrderCancellationService.php |  35 +++
 .../src/Services/UserMileageService.php       | 114 ++++++---
 .../src/lang/en/exceptions.php                |   1 +
 .../src/lang/ko/exceptions.php                |   1 +
 .../User/UserOrderControllerTest.php          |  42 +++-
 .../Listeners/CouponRestoreListenerTest.php   | 128 ++++++++++
 .../CouponUseListenerConcurrencyTest.php      | 207 ++++++++++++++++
 .../MoneyHookTransactionBoundaryTest.php      | 187 ++++++++++++++
 .../MileageTransactionRepositoryTest.php      |  96 ++++++++
 .../Services/MileageEarnLotUniquenessTest.php | 230 ++++++++++++++++++
 .../Services/OrderCancellationServiceTest.php |  76 ++++++
 .../Services/OrderProcessingServiceTest.php   | 105 ++++++++
 .../sirsoft-ecommerce/vendor-bundle.json      |  10 +-
 .../sirsoft-ecommerce/vendor-bundle.zip       | Bin 435548 -> 435549 bytes
 .../_bundled/sirsoft-marketing/CHANGELOG.md   |   6 +
 .../_bundled/sirsoft-marketing/composer.json  |   2 +-
 .../sirsoft-marketing/docs/api/channels.md    |   4 +-
 .../sirsoft-marketing/package-lock.json       |   4 +-
 .../_bundled/sirsoft-marketing/package.json   |   2 +-
 .../_bundled/sirsoft-marketing/plugin.json    |   2 +-
 .../sirsoft-marketing/src/routes/api.php      |   6 +-
 .../MarketingAdminControllerTest.php          |  60 ++---
 .../MarketingAdminRoutePermissionTest.php     |  93 +++++++
 .../tests/PluginTestCase.php                  |  69 ++++--
 .../_bundled/sirsoft-pay_nhnkcp/CHANGELOG.md  |   2 +
 .../sirsoft-pay_nhnkcp/docs/api/README.md     |   1 +
 .../docs/api/admin-orders.md                  |  85 +++++++
 .../docs/api/transaction-status.md            |   2 +-
 .../sirsoft-pay_nhnkcp/src/routes/api.php     |   9 +-
 .../Controllers/AdminRoutePermissionTest.php  | 199 +++++++++++++++
 63 files changed, 2211 insertions(+), 157 deletions(-)
 create mode 100644 modules/_bundled/sirsoft-ecommerce/database/migrations/2026_08_21_000001_add_unique_purchase_earn_lot_to_ecommerce_mileage_transactions_table.php
 create mode 100644 modules/_bundled/sirsoft-ecommerce/src/Exceptions/CouponAlreadyUsedException.php
 create mode 100644 modules/_bundled/sirsoft-ecommerce/tests/Unit/Listeners/CouponUseListenerConcurrencyTest.php
 create mode 100644 modules/_bundled/sirsoft-ecommerce/tests/Unit/Listeners/MoneyHookTransactionBoundaryTest.php
 create mode 100644 modules/_bundled/sirsoft-ecommerce/tests/Unit/Services/MileageEarnLotUniquenessTest.php
 create mode 100644 plugins/_bundled/sirsoft-marketing/tests/Feature/Http/Controllers/MarketingAdminRoutePermissionTest.php
 create mode 100644 plugins/_bundled/sirsoft-pay_nhnkcp/docs/api/admin-orders.md
 create mode 100644 plugins/_bundled/sirsoft-pay_nhnkcp/tests/Feature/Controllers/AdminRoutePermissionTest.php

diff --git a/AGENTS.md b/AGENTS.md
index b391e36e..ad5912e2 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -604,6 +604,8 @@ G7 은 **기본 통화**(상품·쿠폰·배송비 저장 기준), **표시 통
 | Listener 생성자에 구체 Repository 직접 주입 | Repository Interface 주입 |
 | Listener 에서 `request()` / `$_POST` 직접 접근 | Service 가 검증 후 도메인 객체로 전달 받기 |
 | Filter 훅에 `'type' => 'filter'` 누락 | type 명시 필수 (반환값 무시 회귀 차단) |
+| 실패 시 호출자 트랜잭션을 되돌려야 하는 Action 훅에 `'sync' => true` 누락 | 금전 이동(쿠폰 차감·복원, 적립금 차감·복원)은 `sync` 필수. 기본값은 큐 래핑 + `afterCommit` 이라 **커밋 뒤에** 실행되어, 예외를 던져도 롤백되지 않고 오류 응답만 나간 채 데이터가 남는다 (큐 드라이버가 `sync` 여도 동일) |
+| 훅 회귀 테스트에서 리스너를 손으로 `addAction` 등록 | `HookListenerRegistrar::register()` 로 **실제 등록 경로**를 태운다 — 손으로 등록하면 큐 래핑을 건너뛰어 커밋 이후 실행 문제를 통과시킨다 |
 | Listener 가 `HookListenerInterface` 미구현 (auto-discovery 대상) | implements + `getSubscribedHooks()` 정적 메서드 |
 
 > 상세: [hooks.md "Listener 데이터 접근 규정"](docs/extension/hooks.md), [service-repository.md](docs/backend/service-repository.md)
diff --git a/docs/extension/hooks.md b/docs/extension/hooks.md
index 3274ced7..da3f4025 100644
--- a/docs/extension/hooks.md
+++ b/docs/extension/hooks.md
@@ -456,6 +456,19 @@ public static function getSubscribedHooks(): array
 }
 ```
 
+#### 호출자 트랜잭션 안에서 끝나야 하는 처리는 `sync` 가 필수다
+
+기본값(큐 래핑)은 `DispatchHookListenerJob` 의 `afterCommit` 정책을 탄다. 즉 **호출자 트랜잭션이 커밋된 뒤에** 실행된다 — 큐 드라이버가 `sync` 여도 마찬가지다(같은 요청 안에서, 커밋 이후에 실행된다).
+
+따라서 훅 안에서 실패했을 때 **호출자의 작업을 되돌려야 하는 처리**는 기본값으로 두면 안 된다. 되돌릴 대상이 이미 커밋된 뒤라 예외를 던져도 롤백되지 않고, 호출자는 오류 응답을 받는데 데이터는 남는다.
+
+| 판정 | 예 |
+|------|-----|
+| `sync` 필수 | 쿠폰 차감·복원, 적립금 차감·복원 등 실패 시 호출자 트랜잭션을 되돌려야 하는 처리 |
+| 기본값(큐) 유지 | 활동 로그, 알림 발송, 통계 갱신 등 실패해도 호출자를 되돌리지 않는 후속 처리 |
+
+선언만으로는 검증되지 않는다 — 회귀 테스트는 리스너를 손으로 `addAction` 하지 말고 실제 등록 경로(`HookListenerRegistrar::register()`)를 태운 뒤, **호출자 트랜잭션 안에서 반영되는지**와 **예외가 호출자를 롤백시키는지**를 단언한다. 손으로 등록하면 프로덕션이 쓰지 않는 경로를 검증하게 되어, 커밋 이후 실행 문제를 그대로 통과시킨다.
+
 ### getSubscribedHooks() 옵션 요약
 
 | 옵션 | 타입 | 기본값 | 설명 |
diff --git a/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/CHANGELOG.md b/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/CHANGELOG.md
index 570efff3..2f252148 100644
--- a/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/CHANGELOG.md
+++ b/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/CHANGELOG.md
@@ -4,6 +4,12 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.1.2] - 2026-08-21
+
+### Added
+
+- 이미 사용된 쿠폰으로 주문을 시도했을 때의 안내(`exceptions.coupon_already_used`)의 일본어 번역을 추가했습니다.
+
 ## [1.1.1] - 2026-08-19
 
 ### Added
diff --git a/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/backend/ja/exceptions.php b/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/backend/ja/exceptions.php
index 0774befb..b6eb63f6 100644
--- a/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/backend/ja/exceptions.php
+++ b/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/backend/ja/exceptions.php
@@ -82,6 +82,7 @@ return [
     'additional_option_custom_text_required' => '追加オプション(:name)の直接入力内容を入力してください。',
     'coupon_issue_not_found' => 'クーポン発行履歴が見つかりません。',
     'coupon_issue_not_cancellable' => '未使用状態の発行分のみキャンセルできます。',
+    'coupon_already_used' => 'すでに使用されたクーポンです。クーポンをご確認のうえ、再度ご注文ください。',
     'country_not_shippable' => '選択された配送先国には配送できない商品です。',
     'order_shipping_address_update_failed' => '配送先変更処理中にエラーが発生しました。',
     'order_option_not_confirmable' => '現在の状態では購入確定できない注文オプションです。',
diff --git a/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/language-pack.json b/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/language-pack.json
index 547798e5..297a61d3 100644
--- a/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/language-pack.json
+++ b/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/language-pack.json
@@ -12,7 +12,7 @@
         "en": "G7 module (sirsoft-ecommerce) Japanese language pack (bundled)",
         "ja": "G7 モジュール (sirsoft-ecommerce) 日本語 言語パック(バンドル)"
     },
-    "version": "1.1.1",
+    "version": "1.1.2",
     "license": "MIT",
     "scope": "module",
     "target_identifier": "sirsoft-ecommerce",
diff --git a/modules/_bundled/sirsoft-board/CHANGELOG.md b/modules/_bundled/sirsoft-board/CHANGELOG.md
index 854e3cad..11cdf3a5 100644
--- a/modules/_bundled/sirsoft-board/CHANGELOG.md
+++ b/modules/_bundled/sirsoft-board/CHANGELOG.md
@@ -4,6 +4,12 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.0.5] - 2026-08-21
+
+### Security
+
+- 비밀글 목록·상세 응답에 첨부 이미지의 미리보기 주소가 그대로 실려 나가던 문제를 수정했습니다. 이미지 자체는 이미 열람 권한이 없으면 제공되지 않았지만, 주소에 담긴 파일 식별값이 응답에 노출되어 있었습니다. 이제 열람 권한이 없으면 썸네일 주소가 비어서 전달되며, 비밀글이 아닌 글은 종전과 동일하게 표시됩니다. (KISA 측에서 제보해주셨습니다 — KVE-2026-1894)
+
 ## [1.0.4] - 2026-08-19
 
 ### Security
diff --git a/modules/_bundled/sirsoft-board/composer.json b/modules/_bundled/sirsoft-board/composer.json
index fb973132..85fc5089 100644
--- a/modules/_bundled/sirsoft-board/composer.json
+++ b/modules/_bundled/sirsoft-board/composer.json
@@ -2,7 +2,7 @@
     "name": "modules/sirsoft-board",
     "description": "Board module for Gnuboard7",
     "type": "library",
-    "version": "1.0.4",
+    "version": "1.0.5",
     "license": "MIT",
     "autoload": {
         "psr-4": {
diff --git a/modules/_bundled/sirsoft-board/docs/api/board.md b/modules/_bundled/sirsoft-board/docs/api/board.md
index d0b3c625..1d0c2f2c 100644
--- a/modules/_bundled/sirsoft-board/docs/api/board.md
+++ b/modules/_bundled/sirsoft-board/docs/api/board.md
@@ -361,7 +361,7 @@ _목록 응답: `data.data[]` 배열 항목의 필드 + `data.pagination`._
 | reply_count | integer | `0` | reply 개수 (집계) |
 | attachment_count | integer | `0` | attachment 개수 (집계) |
 | has_attachment | boolean | `false` | attachment 여부 |
-| thumbnail | string | `/api/modules/sirsoft-board/boards/api…` | 썸네일 이미지 URL/경로 — `/api/modules/sirsoft-board/boards/{slug}/attachment/{hash}/preview` 형식 (첫 이미지 첨부의 미리보기 서빙 URL) |
+| thumbnail | string | `/api/modules/sirsoft-board/boards/api…` | 썸네일 이미지 URL/경로 — `/api/modules/sirsoft-board/boards/{slug}/attachment/{hash}/preview` 형식 (첫 이미지 첨부의 미리보기 서빙 URL). 비밀글은 열람 권한이 없으면 `null` 로 내려간다(첨부 해시 노출 차단 — 필드 자체는 유지) |
 | parent_id | null | `null` | parent 식별자 (연관 리소스 참조) |
 | depth | integer | `0` | 계층 트리에서의 깊이 (0 = 최상위, 하위로 갈수록 증가) |
 | is_reply | boolean | `false` | reply 여부 |
@@ -1040,7 +1040,7 @@ _단건 응답: `data` 객체의 필드._
 | reply_count | integer | `0` | reply 개수 (집계) |
 | attachment_count | integer | `0` | attachment 개수 (집계) |
 | has_attachment | boolean | `false` | attachment 여부 |
-| thumbnail | string | `/api/modules/sirsoft-board/boards/api…` | 썸네일 이미지 URL/경로 — `/api/modules/sirsoft-board/boards/{slug}/attachment/{hash}/preview` 형식 (첫 이미지 첨부의 미리보기 서빙 URL) |
+| thumbnail | string | `/api/modules/sirsoft-board/boards/api…` | 썸네일 이미지 URL/경로 — `/api/modules/sirsoft-board/boards/{slug}/attachment/{hash}/preview` 형식 (첫 이미지 첨부의 미리보기 서빙 URL). 비밀글은 열람 권한이 없으면 `null` 로 내려간다(첨부 해시 노출 차단 — 필드 자체는 유지) |
 | parent_id | null | `null` | parent 식별자 (연관 리소스 참조) |
 | depth | integer | `0` | 계층 트리에서의 깊이 (0 = 최상위, 하위로 갈수록 증가) |
 | is_reply | boolean | `false` | reply 여부 |
diff --git a/modules/_bundled/sirsoft-board/module.json b/modules/_bundled/sirsoft-board/module.json
index 519aac98..95d8b194 100644
--- a/modules/_bundled/sirsoft-board/module.json
+++ b/modules/_bundled/sirsoft-board/module.json
@@ -5,7 +5,7 @@
         "ko": "게시판",
         "en": "Board"
     },
-    "version": "1.0.4",
+    "version": "1.0.5",
     "license": "MIT",
     "description": {
         "ko": "게시판 관리를 위한 모듈",
diff --git a/modules/_bundled/sirsoft-board/package-lock.json b/modules/_bundled/sirsoft-board/package-lock.json
index 0b905c91..ba6f089e 100644
--- a/modules/_bundled/sirsoft-board/package-lock.json
+++ b/modules/_bundled/sirsoft-board/package-lock.json
@@ -1,12 +1,12 @@
 {
     "name": "@g7/sirsoft-board",
-    "version": "1.0.4",
+    "version": "1.0.5",
     "lockfileVersion": 3,
     "requires": true,
     "packages": {
         "": {
             "name": "@g7/sirsoft-board",
-            "version": "1.0.4",
+            "version": "1.0.5",
             "devDependencies": {
                 "jsdom": "^27.4.0",
                 "typescript": "^5.3.3",
diff --git a/modules/_bundled/sirsoft-board/package.json b/modules/_bundled/sirsoft-board/package.json
index 76312ed7..44254293 100644
--- a/modules/_bundled/sirsoft-board/package.json
+++ b/modules/_bundled/sirsoft-board/package.json
@@ -1,6 +1,6 @@
 {
     "name": "@g7/sirsoft-board",
-    "version": "1.0.4",
+    "version": "1.0.5",
     "description": "그누보드7 게시판 모듈 프론트엔드 에셋",
     "private": true,
     "type": "module",
diff --git a/modules/_bundled/sirsoft-board/src/Http/Resources/PostResource.php b/modules/_bundled/sirsoft-board/src/Http/Resources/PostResource.php
index cab4a70e..c7951c3c 100644
--- a/modules/_bundled/sirsoft-board/src/Http/Resources/PostResource.php
+++ b/modules/_bundled/sirsoft-board/src/Http/Resources/PostResource.php
@@ -6,6 +6,7 @@ use App\Enums\PermissionType;
 use App\Enums\UserStatus;
 use App\Http\Resources\BaseApiResource;
 use Illuminate\Http\Request;
+use Illuminate\Http\Resources\Json\JsonResource;
 use Illuminate\Support\Facades\Auth;
 use Modules\Sirsoft\Board\Enums\PostStatus;
 use Modules\Sirsoft\Board\Enums\ReportReasonType;
@@ -308,6 +309,13 @@ class PostResource extends BaseApiResource
      */
     private function getThumbnailUrlFromRelations(): ?string
     {
+        // 비밀글은 썸네일 URL 자체를 방출하지 않는다 — 서빙은 이미 차단되어 이미지가 보이지는
+        // 않지만, URL 에 실린 첨부 해시가 목록·상세 응답으로 나가 있었다(KVE-2026-1894).
+        // 판정은 첨부 목록과 같은 SecretContentGate(SSoT)를 쓴다. 필드는 남기고 값만 가린다.
+        if ($this->is_secret && ! $this->canViewSecretContent(request())) {
+            return null;
+        }
+
         // 목록용 경량 관계 우선 — slug를 직접 전달하여 Board::find() N+1 방지
         if ($this->relationLoaded('thumbnailAttachment') && $this->thumbnailAttachment) {
             $attachment = $this->thumbnailAttachment;
@@ -678,9 +686,35 @@ class PostResource extends BaseApiResource
      */
     private function canViewSecretContent(Request $request, ?string $slug = null): bool
     {
+        $post = $this->resolvePostModel();
+
+        if ($post === null) {
+            // 원본 모델을 확인할 수 없으면 열람 불가로 판정한다 (fail-closed)
+            return false;
+        }
+
         // 판정 규칙은 SecretContentGate(SSoT)에 있다 — 리스너·댓글 경로와 규칙을 공유해
         // 드리프트를 방지한다.
-        return self::canViewSecretForPost($this->resource, $request);
+        return self::canViewSecretForPost($post, $request);
+    }
+
+    /**
+     * 감싸인 원본 게시글 모델을 반환합니다.
+     *
+     * 컬렉션 경로에서는 리소스가 다시 리소스를 감싸고 있을 수 있어, $this->resource 가
+     * 곧 Post 라고 가정하면 타입 오류로 응답 전체가 실패합니다.
+     *
+     * @return Post|null 원본 게시글 모델 (해석 불가 시 null)
+     */
+    private function resolvePostModel(): ?Post
+    {
+        $candidate = $this->resource;
+
+        while ($candidate instanceof JsonResource) {
+            $candidate = $candidate->resource;
+        }
+
+        return $candidate instanceof Post ? $candidate : null;
     }
 
     /**
diff --git a/modules/_bundled/sirsoft-board/tests/Unit/Resources/PostResourceThumbnailUrlTest.php b/modules/_bundled/sirsoft-board/tests/Unit/Resources/PostResourceThumbnailUrlTest.php
index 38120b6d..d677fdd0 100644
--- a/modules/_bundled/sirsoft-board/tests/Unit/Resources/PostResourceThumbnailUrlTest.php
+++ b/modules/_bundled/sirsoft-board/tests/Unit/Resources/PostResourceThumbnailUrlTest.php
@@ -25,9 +25,9 @@ class PostResourceThumbnailUrlTest extends BoardTestCase
      * @param  string  $mimeType  첨부 MIME 타입
      * @return array{post: Post, attachment: Attachment} 게시글/첨부
      */
-    private function createPostWithAttachment(string $mimeType): array
+    private function createPostWithAttachment(string $mimeType, array $postAttributes = []): array
     {
-        $postId = $this->createTestPost();
+        $postId = $this->createTestPost($postAttributes);
 
         $attachment = Attachment::create([
             'board_id' => $this->board->id,
@@ -75,4 +75,41 @@ class PostResourceThumbnailUrlTest extends BoardTestCase
 
         $this->assertNull($response['thumbnail']);
     }
+
+    /**
+     * 비밀글의 썸네일 URL은 열람 권한이 없으면 방출되지 않아야 합니다 (KVE-2026-1894).
+     *
+     * 서빙은 막혀 있어 이미지가 보이지는 않지만, URL 에 실린 첨부 해시 자체가
+     * 목록·상세 응답으로 나가 있었다. 필드는 남기고 값만 가린다.
+     *
+     * @effects secret_post_thumbnail_hash_not_exposed
+     */
+    #[Test]
+    public function thumbnail_is_null_for_secret_post_without_permission(): void
+    {
+        ['post' => $post] = $this->createPostWithAttachment('image/jpeg', ['is_secret' => true]);
+
+        $response = (new PostResource($post))->toArray(Request::create('/'));
+
+        $this->assertArrayHasKey('thumbnail', $response, 'thumbnail 키 자체는 유지되어야 합니다.');
+        $this->assertNull($response['thumbnail']);
+    }
+
+    /**
+     * 비밀글이 아니면 썸네일 URL이 그대로 유지되어야 합니다 (선택적 차단 회귀 방지).
+     *
+     * @effects secret_post_thumbnail_hash_not_exposed
+     */
+    #[Test]
+    public function thumbnail_is_preserved_for_non_secret_post(): void
+    {
+        ['post' => $post, 'attachment' => $attachment] = $this->createPostWithAttachment('image/jpeg');
+
+        $response = (new PostResource($post))->toArray(Request::create('/'));
+
+        $this->assertSame(
+            '/api/modules/sirsoft-board/boards/'.$this->board->slug.'/attachment/'.$attachment->hash.'/preview',
+            $response['thumbnail'],
+        );
+    }
 }
diff --git a/modules/_bundled/sirsoft-ecommerce/CHANGELOG.md b/modules/_bundled/sirsoft-ecommerce/CHANGELOG.md
index a5016cfa..ee1e895d 100644
--- a/modules/_bundled/sirsoft-ecommerce/CHANGELOG.md
+++ b/modules/_bundled/sirsoft-ecommerce/CHANGELOG.md
@@ -4,6 +4,20 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.1.2] - 2026-08-21
+
+### Security
+
+- 1회만 쓸 수 있는 쿠폰이 동시에 주문 두 건에 적용되던 문제를 막았습니다. 주문이 거의 같은 시각에 확정되면 두 주문 모두 쿠폰을 사용 가능한 상태로 읽어 각자 할인을 받을 수 있었습니다. 이제 쿠폰 차감이 한 번에 하나만 성공하며, 쿠폰을 선점당한 주문은 확정되지 않고 쿠폰도 소모되지 않아 그대로 다시 시도할 수 있습니다. (KISA 측에서 제보해주셨습니다 — KVE-2026-1886)
+- 쿠폰 차감·적립금 차감처럼 금액이 오가는 처리가 주문이 저장된 **뒤에** 실행되던 문제를 바로잡았습니다. 그래서 차감이 실패해도 주문은 이미 만들어진 뒤라 되돌릴 수 없었고, 위 쿠폰 중복 사용도 이 때문에 주문이 두 건 남을 수 있었습니다. 이제 이 처리들은 주문 저장과 같은 묶음 안에서 실행되어, 하나라도 실패하면 주문 전체가 취소됩니다. (KISA 측에서 제보해주신 내용을 확인하는 과정에서 함께 발견했습니다 — KVE-2026-1886)
+- 같은 주문 상품의 구매 적립 내역이 동시 확정으로 두 줄 생길 수 있던 문제를 막았습니다. 적립 내역은 상품당 한 줄이어야 취소 시 정확히 회수되는데, 두 줄이 되면 적립은 두 배가 되고 회수는 한 줄만 이뤄졌습니다. 이제 데이터베이스가 중복 자체를 막고, 동시에 들어온 요청은 기존 내역에 차액만 더합니다. 업그레이드하면 이미 쌓인 중복 내역도 한 줄로 합쳐집니다.
+
+### Fixed
+
+- 부분취소가 짧은 간격으로 두 번 이뤄질 때 앞선 취소의 취소 총액·취소 횟수·결제 취소 이력이 사라지던 문제를 수정했습니다. 이제 취소 누적값이 두 건 모두 반영됩니다.
+- 주문 취소로 쿠폰을 되돌릴 때, 그 사이 상태가 바뀐 쿠폰까지 되살리던 문제를 수정했습니다. 이미 만료되었거나 다시 사용된 쿠폰은 복원 대상에서 제외됩니다.
+- 적립금 적립과 적립 취소가 겹칠 때 한쪽의 반영이 사라지던 문제를 수정했습니다. 적립 내역의 금액·잔여 금액이 항상 최신 값 기준으로 갱신됩니다.
+
 ## [1.1.1] - 2026-08-19
 
 ### Security
diff --git a/modules/_bundled/sirsoft-ecommerce/composer.json b/modules/_bundled/sirsoft-ecommerce/composer.json
index 7492ffe5..ca4d7301 100644
--- a/modules/_bundled/sirsoft-ecommerce/composer.json
+++ b/modules/_bundled/sirsoft-ecommerce/composer.json
@@ -2,7 +2,7 @@
     "name": "modules/sirsoft-ecommerce",
     "description": "Ecommerce module for Gnuboard7",
     "type": "library",
-    "version": "1.1.1",
+    "version": "1.1.2",
     "license": "MIT",
     "autoload": {
         "psr-4": {
diff --git a/modules/_bundled/sirsoft-ecommerce/database/migrations/2026_08_21_000001_add_unique_purchase_earn_lot_to_ecommerce_mileage_transactions_table.php b/modules/_bundled/sirsoft-ecommerce/database/migrations/2026_08_21_000001_add_unique_purchase_earn_lot_to_ecommerce_mileage_transactions_table.php
new file mode 100644
index 00000000..52342122
--- /dev/null
+++ b/modules/_bundled/sirsoft-ecommerce/database/migrations/2026_08_21_000001_add_unique_purchase_earn_lot_to_ecommerce_mileage_transactions_table.php
@@ -0,0 +1,160 @@
+<?php
+
+use Illuminate\Database\Migrations\Migration;
+use Illuminate\Support\Facades\DB;
+use Illuminate\Support\Facades\Schema;
+
+return new class extends Migration
+{
+    /**
+     * Run the migrations.
+     *
+     * 주문옵션당 구매 적립(purchase_earn) lot 을 1건으로 강제합니다.
+     *
+     * 적립 코드는 "옵션당 적립 내역 한 줄"을 전제로 동작한다 — 목표 적립액과 기적립 합계의
+     * 차액만 증액하고, 취소 회수는 그 한 줄을 찾아 되돌린다. 그런데 lot 이 아직 없는 최초
+     * 적립은 조회와 생성 사이에 잠글 행이 없어, 같은 옵션의 확정이 동시에 겹치면 두 줄이
+     * 만들어질 수 있다. 그 순간 적립액은 두 배가 되고 취소 회수는 한 줄만 되돌린다.
+     *
+     * 반복이 정상인 유형(부분취소마다 생기는 earn_cancel 등)까지 막으면 안 되므로,
+     * purchase_earn 이면서 주문옵션이 있는 행만 값을 갖는 생성 컬럼에 유니크를 건다
+     * (MySQL 유니크 인덱스는 NULL 중복을 허용한다).
+     *
+     * 기설치본에는 이미 중복이 쌓여 있을 수 있어 인덱스 생성 전에 통합한다. 통합과 제약은
+     * 한 단계라도 어긋나면 다음 실행이 영구 실패하므로 각 단계를 독립적으로 가드한다.
+     */
+    public function up(): void
+    {
+        if (! Schema::hasTable('ecommerce_mileage_transactions')) {
+            return;
+        }
+
+        $this->consolidateDuplicateEarnLots();
+
+        if (! Schema::hasColumn('ecommerce_mileage_transactions', 'purchase_earn_option_key')) {
+            $table = $this->qualifiedTable();
+
+            DB::statement(
+                "ALTER TABLE {$table} ADD COLUMN `purchase_earn_option_key` BIGINT UNSIGNED"
+                ." GENERATED ALWAYS AS (CASE WHEN `type` = 'purchase_earn' THEN `order_option_id` ELSE NULL END) VIRTUAL"
+                ." COMMENT '주문옵션당 구매적립 1건 강제용 파생 키 (purchase_earn 이 아니면 NULL)'"
+            );
+        }
+
+        if (! $this->indexExists('ecommerce_mileage_transactions_purchase_earn_option_unique')) {
+            $table = $this->qualifiedTable();
+
+            DB::statement(
+                "ALTER TABLE {$table} ADD UNIQUE INDEX"
+                .' `ecommerce_mileage_transactions_purchase_earn_option_unique` (`purchase_earn_option_key`)'
+            );
+        }
+    }
+
+    /**
+     * Reverse the migrations.
+     */
+    public function down(): void
+    {
+        if (! Schema::hasTable('ecommerce_mileage_transactions')) {
+            return;
+        }
+
+        $table = $this->qualifiedTable();
+
+        if ($this->indexExists('ecommerce_mileage_transactions_purchase_earn_option_unique')) {
+            DB::statement("ALTER TABLE {$table} DROP INDEX `ecommerce_mileage_transactions_purchase_earn_option_unique`");
+        }
+
+        if (Schema::hasColumn('ecommerce_mileage_transactions', 'purchase_earn_option_key')) {
+            DB::statement("ALTER TABLE {$table} DROP COLUMN `purchase_earn_option_key`");
+        }
+    }
+
+    /**
+     * 같은 주문옵션에 중복 생성된 구매 적립 lot 을 가장 먼저 만들어진 한 줄로 통합합니다.
+     *
+     * 금액·잔여금액을 합산해 살아남는 lot 에 얹고 나머지는 삭제한다. 유효기간은 최초 적립
+     * 시점을 유지하는 기존 정책(방식 A)과 같게 살아남는 lot 의 값을 그대로 둔다.
+     *
+     * 반복 종료는 데이터에 맡기지 않는다 — 한 바퀴에서 실제로 지운 행이 없으면 다음 바퀴도
+     * 같은 목록을 다시 읽을 뿐이므로 그 자리에서 멈춘다 (진행 없는 반복 차단).
+     *
+     * @return void
+     */
+    private function consolidateDuplicateEarnLots(): void
+    {
+        // 중복 주문옵션 목록은 통합 대상이 남아 있는 동안만 반복 조회한다.
+        // 한 번에 모두 읽지 않으므로 중복이 많은 설치본에서도 메모리가 늘지 않는다.
+        while (true) {
+            $duplicated = DB::table('ecommerce_mileage_transactions')
+                ->select('order_option_id')
+                ->where('type', 'purchase_earn')
+                ->whereNotNull('order_option_id')
+                ->groupBy('order_option_id')
+                ->havingRaw('COUNT(*) > 1')
+                ->limit(200)
+                ->pluck('order_option_id');
+
+            if ($duplicated->isEmpty()) {
+                return;
+            }
+
+            $deleted = 0;
+
+            foreach ($duplicated as $orderOptionId) {
+                $lots = DB::table('ecommerce_mileage_transactions')
+                    ->where('type', 'purchase_earn')
+                    ->where('order_option_id', $orderOptionId)
+                    ->orderBy('id')
+                    ->get(['id', 'amount', 'remaining_amount']);
+
+                if ($lots->count() < 2) {
+                    continue;
+                }
+
+                $survivor = $lots->shift();
+
+                DB::table('ecommerce_mileage_transactions')
+                    ->where('id', $survivor->id)
+                    ->update([
+                        'amount' => (float) $survivor->amount + (float) $lots->sum(fn ($l) => (float) $l->amount),
+                        'remaining_amount' => (float) $survivor->remaining_amount + (float) $lots->sum(fn ($l) => (float) $l->remaining_amount),
+                    ]);
+
+                $deleted += DB::table('ecommerce_mileage_transactions')
+                    ->whereIn('id', $lots->pluck('id')->all())
+                    ->delete();
+            }
+
+            // 목록은 남아 있는데 한 행도 지우지 못했다면 더 진행할 수 없다.
+            if ($deleted === 0) {
+                return;
+            }
+        }
+    }
+
+    /**
+     * 프리픽스가 붙은 실제 테이블명을 반환합니다.
+     *
+     * @return string 백틱으로 감싼 테이블명
+     */
+    private function qualifiedTable(): string
+    {
+        return '`'.DB::getTablePrefix().'ecommerce_mileage_transactions`';
+    }
+
+    /**
+     * 인덱스 존재 여부를 확인합니다.
+     *
+     * @param  string  $indexName  인덱스명
+     * @return bool 존재 여부
+     */
+    private function indexExists(string $indexName): bool
+    {
+        return ! empty(DB::select(
+            'SELECT 1 FROM information_schema.STATISTICS WHERE TABLE_SCHEMA = DATABASE() AND TABLE_NAME = ? AND INDEX_NAME = ? LIMIT 1',
+            [DB::getTablePrefix().'ecommerce_mileage_transactions', $indexName]
+        ));
+    }
+};
diff --git a/modules/_bundled/sirsoft-ecommerce/docs/api/orders.md b/modules/_bundled/sirsoft-ecommerce/docs/api/orders.md
index 459a7b78..5335d627 100644
--- a/modules/_bundled/sirsoft-ecommerce/docs/api/orders.md
+++ b/modules/_bundled/sirsoft-ecommerce/docs/api/orders.md
@@ -2153,6 +2153,7 @@ HTTP/1.1 201
 | 403 | Forbidden | 요구 권한(`sirsoft-ecommerce.user-orders.create`)이 없는 경우 |
 | 404 | Not Found | 임시 주문(주문서)이 없거나 만료된 경우 (`주문서를 찾을 수 없습니다.` 계열 — `exceptions.temp_order_not_found`) |
 | 422 | Unprocessable Entity | 요청 파라미터 검증 실패, 예상 결제금액 불일치(`expected_total_amount` ≠ 서버 재계산값), 결제 통화 미지원(`errors.code = unsupported_payment_currency`), 재고 부족(`errors.insufficient_items`), 구매 불가 상품(`errors.code = cart_unavailable`), 주문 확정 재계산 검증 실패(쿠폰 만료·최소주문금액 미달 등 — `errors.code = order_calculation_validation_failed`). `payment_method` 가 결제수단 카탈로그에 없는 값이면 여기서 차단된다 |
+| 409 | Conflict | 적용한 쿠폰을 다른 주문이 먼저 사용한 경우 (`errors.code = coupon_already_used`, `errors.coupon_issue_id` 에 해당 발급 ID). 주문은 생성되지 않고 쿠폰도 소모되지 않으므로 그대로 재시도할 수 있습니다 |
 | 428 | Identity Verification Required | 결제 진입 본인인증(IDV) 정책이 활성이고 미인증(grace 만료)인 경우 |
 | 500 | Server Error | 주문 생성 중 예기치 못한 오류 (`주문 생성에 실패했습니다.`) |
 
diff --git a/modules/_bundled/sirsoft-ecommerce/module.json b/modules/_bundled/sirsoft-ecommerce/module.json
index 697c7767..02aab554 100644
--- a/modules/_bundled/sirsoft-ecommerce/module.json
+++ b/modules/_bundled/sirsoft-ecommerce/module.json
@@ -5,7 +5,7 @@
         "ko": "이커머스",
         "en": "Ecommerce"
     },
-    "version": "1.1.1",
+    "version": "1.1.2",
     "license": "MIT",
     "description": {
         "ko": "그누보드7 이커머스 모듈 - 상품, 주문, 결제 관리",
diff --git a/modules/_bundled/sirsoft-ecommerce/package-lock.json b/modules/_bundled/sirsoft-ecommerce/package-lock.json
index a1e1cb71..7083fbfc 100644
--- a/modules/_bundled/sirsoft-ecommerce/package-lock.json
+++ b/modules/_bundled/sirsoft-ecommerce/package-lock.json
@@ -1,12 +1,12 @@
 {
     "name": "@g7/sirsoft-ecommerce",
-    "version": "1.1.1",
+    "version": "1.1.2",
     "lockfileVersion": 3,
     "requires": true,
     "packages": {
         "": {
             "name": "@g7/sirsoft-ecommerce",
-            "version": "1.1.1",
+            "version": "1.1.2",
             "devDependencies": {
                 "jsdom": "^27.4.0",
                 "typescript": "^5.3.3",
diff --git a/modules/_bundled/sirsoft-ecommerce/package.json b/modules/_bundled/sirsoft-ecommerce/package.json
index 4513558f..105f9f6d 100644
--- a/modules/_bundled/sirsoft-ecommerce/package.json
+++ b/modules/_bundled/sirsoft-ecommerce/package.json
@@ -1,6 +1,6 @@
 {
     "name": "@g7/sirsoft-ecommerce",
-    "version": "1.1.1",
+    "version": "1.1.2",
     "description": "그누보드7 이커머스 모듈 프론트엔드 에셋",
     "private": true,
     "type": "module",
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Exceptions/CouponAlreadyUsedException.php b/modules/_bundled/sirsoft-ecommerce/src/Exceptions/CouponAlreadyUsedException.php
new file mode 100644
index 00000000..5013f3f1
--- /dev/null
+++ b/modules/_bundled/sirsoft-ecommerce/src/Exceptions/CouponAlreadyUsedException.php
@@ -0,0 +1,33 @@
+<?php
+
+namespace Modules\Sirsoft\Ecommerce\Exceptions;
+
+/**
+ * 쿠폰 선점 실패 예외
+ *
+ * 주문 확정 시점에 쿠폰 발급 레코드를 사용 상태로 차감하려 했으나 이미 다른 주문이
+ * 선점했거나 사용 가능 상태가 아닌 경우에 사용합니다. 두 주문 모두 할인 금액이 확정된
+ * 상태이므로, 경쟁에서 밀린 주문은 이 예외로 트랜잭션을 롤백해야 합니다.
+ */
+class CouponAlreadyUsedException extends CouponOperationException
+{
+    /**
+     * CouponAlreadyUsedException 생성자
+     *
+     * @param  int  $couponIssueId  선점 실패한 쿠폰 발급 ID
+     */
+    public function __construct(private int $couponIssueId)
+    {
+        parent::__construct('sirsoft-ecommerce::exceptions.coupon_already_used');
+    }
+
+    /**
+     * 선점 실패한 쿠폰 발급 ID를 반환합니다.
+     *
+     * @return int 쿠폰 발급 ID
+     */
+    public function getCouponIssueId(): int
+    {
+        return $this->couponIssueId;
+    }
+}
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Http/Controllers/Traits/HandlesOrderCreation.php b/modules/_bundled/sirsoft-ecommerce/src/Http/Controllers/Traits/HandlesOrderCreation.php
index fc4e8648..2fd40301 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Http/Controllers/Traits/HandlesOrderCreation.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Http/Controllers/Traits/HandlesOrderCreation.php
@@ -9,6 +9,7 @@ use Illuminate\Http\JsonResponse;
 use Illuminate\Http\Resources\Json\JsonResource;
 use Illuminate\Support\Facades\Log;
 use Modules\Sirsoft\Ecommerce\Exceptions\CartUnavailableException;
+use Modules\Sirsoft\Ecommerce\Exceptions\CouponAlreadyUsedException;
 use Modules\Sirsoft\Ecommerce\Exceptions\InsufficientStockException;
 use Modules\Sirsoft\Ecommerce\Exceptions\MileageValidationException;
 use Modules\Sirsoft\Ecommerce\Exceptions\OrderProcessingException;
@@ -168,6 +169,22 @@ trait HandlesOrderCreation
                 'has_restriction_issue' => $e->hasRestrictionIssue(),
             ]);
 
+        } catch (CouponAlreadyUsedException $e) {
+            // 주문 확정 시점에 다른 주문이 같은 쿠폰을 선점했다 — 주문 트랜잭션은 롤백된 상태다.
+            // generic 500 이 아닌 409 로 알려 사용자가 쿠폰 소진 없이 재시도할 수 있게 한다.
+            Log::warning('Order create: coupon already taken by another order', [
+                'coupon_issue_id' => $e->getCouponIssueId(),
+            ]);
+
+            $messageKey = $e->getMessageKey();
+
+            return ResponseHelper::error(
+                $messageKey,
+                409,
+                ['code' => 'coupon_already_used', 'coupon_issue_id' => $e->getCouponIssueId()],
+                $e->getMessageParams()
+            );
+
         } catch (MileageValidationException $e) {
             // 마일리지 사용 정책 위반(한도/단위/최소사용액/잔액) — generic 500 이 아닌 422 명시 차단.
             // 임시주문 생성 이후 설정이 바뀌었거나 임시주문이 조작된 경우 여기로 떨어진다.
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Listeners/CouponRestoreListener.php b/modules/_bundled/sirsoft-ecommerce/src/Listeners/CouponRestoreListener.php
index e625846d..395217a1 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Listeners/CouponRestoreListener.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Listeners/CouponRestoreListener.php
@@ -35,12 +35,16 @@ class CouponRestoreListener implements HookListenerInterface
             'sirsoft-ecommerce.order.after_cancel' => [
                 'method' => 'restoreCoupons',
                 'priority' => 10,
+                // 취소 트랜잭션 안에서 실행되어야 한다 — 큐 기본값(afterCommit)이면 취소가
+                // 커밋된 뒤에 복원이 돌아, 취소가 되돌려져도 쿠폰만 복원된 상태가 남는다.
+                'sync' => true,
             ],
             // 부분취소(및 전체취소 트랜잭션 내부)에서 OrderCancellationService 가 발화하는
             // 명시적 복원 ID 훅. 스냅샷 파싱 없이 전달받은 ID 만 used→available 복원한다.
             'sirsoft-ecommerce.coupon.restore' => [
                 'method' => 'restoreCouponsByIds',
                 'priority' => 10,
+                'sync' => true,
             ],
         ];
     }
@@ -147,27 +151,43 @@ class CouponRestoreListener implements HookListenerInterface
                 continue;
             }
 
-            // 만료 확인: 만료된 쿠폰은 expired 상태로 변경
+            // 만료 확인: 만료된 쿠폰은 expired 상태로 변경.
+            // 조회 시점의 USED 를 조건으로 실어 원자적으로 쓴다 — 그 사이 다른 요청이 상태를
+            // 바꿨다면 갱신을 포기해야 낡은 스냅샷이 최신 상태를 덮어쓰지 않는다.
             if ($couponIssue->expired_at !== null && $couponIssue->expired_at->isPast()) {
-                $this->couponIssueRepository->update($issueId, [
-                    'status' => CouponIssueRecordStatus::EXPIRED,
-                    'used_at' => null,
-                ]);
+                $expiredAffected = $this->couponIssueRepository->updateIfStatus(
+                    $issueId,
+                    CouponIssueRecordStatus::USED,
+                    [
+                        'status' => CouponIssueRecordStatus::EXPIRED,
+                        'used_at' => null,
+                    ]
+                );
 
-                Log::info('CouponRestoreListener: 만료된 쿠폰 상태 변경', [
-                    'coupon_issue_id' => $issueId,
-                    'order_id' => $order->id,
-                    'new_status' => CouponIssueRecordStatus::EXPIRED->value,
-                ]);
+                if ($expiredAffected > 0) {
+                    Log::info('CouponRestoreListener: 만료된 쿠폰 상태 변경', [
+                        'coupon_issue_id' => $issueId,
+                        'order_id' => $order->id,
+                        'new_status' => CouponIssueRecordStatus::EXPIRED->value,
+                    ]);
+                }
 
                 continue;
             }
 
-            // 사용 가능 상태로 복원
-            $this->couponIssueRepository->update($issueId, [
-                'status' => CouponIssueRecordStatus::AVAILABLE,
-                'used_at' => null,
-            ]);
+            // 사용 가능 상태로 복원 (복원은 멱등이 정상이므로 경쟁에서 밀리면 조용히 skip)
+            $affected = $this->couponIssueRepository->updateIfStatus(
+                $issueId,
+                CouponIssueRecordStatus::USED,
+                [
+                    'status' => CouponIssueRecordStatus::AVAILABLE,
+                    'used_at' => null,
+                ]
+            );
+
+            if ($affected === 0) {
+                continue;
+            }
 
             $restoredCount++;
         }
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Listeners/CouponUseListener.php b/modules/_bundled/sirsoft-ecommerce/src/Listeners/CouponUseListener.php
index 3d6bf771..de8f442c 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Listeners/CouponUseListener.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Listeners/CouponUseListener.php
@@ -5,6 +5,7 @@ namespace Modules\Sirsoft\Ecommerce\Listeners;
 use App\Contracts\Extension\HookListenerInterface;
 use Illuminate\Support\Facades\Log;
 use Modules\Sirsoft\Ecommerce\Enums\CouponIssueRecordStatus;
+use Modules\Sirsoft\Ecommerce\Exceptions\CouponAlreadyUsedException;
 use Modules\Sirsoft\Ecommerce\Models\Order;
 use Modules\Sirsoft\Ecommerce\Repositories\Contracts\CouponIssueRepositoryInterface;
 
@@ -39,6 +40,10 @@ class CouponUseListener implements HookListenerInterface
             'sirsoft-ecommerce.coupon.use' => [
                 'method' => 'markCouponsUsed',
                 'priority' => 10,
+                // 호출자(주문 생성) 트랜잭션 안에서 실행되어야 한다. Action 훅 기본값은 큐 작업
+                // 래핑 + afterCommit 이라, 그대로 두면 쿠폰 차감이 주문 커밋 뒤에 실행되어
+                // 차감이 실패해도 주문을 되돌릴 수 없다 (1회 제한 쿠폰 다중 사용).
+                'sync' => true,
             ],
         ];
     }
@@ -67,24 +72,52 @@ class CouponUseListener implements HookListenerInterface
             $usedCount = 0;
 
             foreach (array_unique($appliedCouponIds) as $issueId) {
-                $couponIssue = $this->couponIssueRepository->findById((int) $issueId);
+                $issueId = (int) $issueId;
+
+                // AVAILABLE 판정과 차감을 한 UPDATE 문에서 원자적으로 수행한다.
+                // 조회 후 갱신하면 동시에 확정되는 두 주문이 모두 AVAILABLE 을 읽어
+                // 각자 USED 로 덮어써 1회 제한 쿠폰이 여러 주문에 사용된다.
+                $affected = $this->couponIssueRepository->updateIfStatus(
+                    $issueId,
+                    CouponIssueRecordStatus::AVAILABLE,
+                    [
+                        'status' => CouponIssueRecordStatus::USED,
+                        'used_at' => now(),
+                        'order_id' => $order->id,
+                    ]
+                );
+
+                if ($affected > 0) {
+                    $usedCount++;
 
-                if ($couponIssue === null) {
                     continue;
                 }
 
-                // 이미 사용됨/취소됨 등은 skip (멱등성 — 재발화/재시도 안전)
-                if ($couponIssue->status !== CouponIssueRecordStatus::AVAILABLE) {
+                $current = $this->couponIssueRepository->findById($issueId);
+
+                // 존재하지 않는 발급 ID 는 종전대로 skip
+                if ($current === null) {
                     continue;
                 }
 
-                $this->couponIssueRepository->update((int) $issueId, [
-                    'status' => CouponIssueRecordStatus::USED,
-                    'used_at' => now(),
+                // 같은 주문의 재발화(재시도/훅 중복 발화)는 멱등하게 skip
+                if ($current->status === CouponIssueRecordStatus::USED
+                    && (int) $current->order_id === (int) $order->id) {
+                    continue;
+                }
+
+                // 다른 주문이 선점했거나 사용 가능 상태가 아니다. 이 주문은 이미 할인 금액이
+                // 확정된 상태이므로 검출만으로는 부족하고, 예외를 전파해 주문 트랜잭션 자체를
+                // 롤백해야 쿠폰이 중복 사용되지 않는다.
+                Log::warning('CouponUseListener: 쿠폰 선점 실패 — 주문 롤백', [
                     'order_id' => $order->id,
+                    'order_number' => $order->order_number ?? null,
+                    'coupon_issue_id' => $issueId,
+                    'current_status' => $current->status?->value,
+                    'current_order_id' => $current->order_id,
                 ]);
 
-                $usedCount++;
+                throw new CouponAlreadyUsedException($issueId);
             }
 
             Log::info('CouponUseListener: 주문 쿠폰 사용 차감 완료', [
@@ -93,6 +126,9 @@ class CouponUseListener implements HookListenerInterface
                 'total_coupons' => count(array_unique($appliedCouponIds)),
                 'used_count' => $usedCount,
             ]);
+        } catch (CouponAlreadyUsedException $e) {
+            // 도메인 실패는 삼키지 않고 전파한다 (주문 트랜잭션 롤백 트리거)
+            throw $e;
         } catch (\Exception $e) {
             Log::error('CouponUseListener: 쿠폰 사용 차감 실패', [
                 'order_id' => $order->id,
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Listeners/MileageTransactionListener.php b/modules/_bundled/sirsoft-ecommerce/src/Listeners/MileageTransactionListener.php
index 2c6f75fe..09f0e3e3 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Listeners/MileageTransactionListener.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Listeners/MileageTransactionListener.php
@@ -40,8 +40,11 @@ class MileageTransactionListener implements HookListenerInterface
     public static function getSubscribedHooks(): array
     {
         return [
-            'sirsoft-ecommerce.mileage.use' => ['method' => 'handleUse', 'priority' => 10],
-            'sirsoft-ecommerce.mileage.restore' => ['method' => 'handleRestore', 'priority' => 10],
+            // 마일리지 차감/복원은 호출자(주문 생성·취소) 트랜잭션 안에서 실행되어야 한다.
+            // Action 훅 기본값은 큐 작업 래핑 + afterCommit 이라, 그대로 두면 주문이 커밋된
+            // 뒤에 차감이 돌아 잔액 부족으로 실패해도 주문을 되돌릴 수 없다.
+            'sirsoft-ecommerce.mileage.use' => ['method' => 'handleUse', 'priority' => 10, 'sync' => true],
+            'sirsoft-ecommerce.mileage.restore' => ['method' => 'handleRestore', 'priority' => 10, 'sync' => true],
             'sirsoft-ecommerce.order-option.after_confirm' => ['method' => 'handleAfterConfirm', 'priority' => 10],
             'sirsoft-ecommerce.order_option.after_status_change' => ['method' => 'handleAfterStatusChange', 'priority' => 10],
             'sirsoft-ecommerce.order_option.after_bulk_status_change' => ['method' => 'handleAfterBulkStatusChange', 'priority' => 10],
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/CouponIssueRepositoryInterface.php b/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/CouponIssueRepositoryInterface.php
index fc7ce57f..b2f9731d 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/CouponIssueRepositoryInterface.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/CouponIssueRepositoryInterface.php
@@ -2,6 +2,9 @@
 
 namespace Modules\Sirsoft\Ecommerce\Repositories\Contracts;
 
+use Illuminate\Contracts\Pagination\LengthAwarePaginator;
+use Illuminate\Support\Collection;
+use Modules\Sirsoft\Ecommerce\Enums\CouponIssueRecordStatus;
 use Modules\Sirsoft\Ecommerce\Models\CouponIssue;
 
 /**
@@ -45,9 +48,9 @@ interface CouponIssueRepositoryInterface
      * @param  int  $userId  사용자 ID
      * @param  string|null  $status  필터 상태 (available, used, expired)
      * @param  int  $perPage  페이지당 항목 수
-     * @return \Illuminate\Contracts\Pagination\LengthAwarePaginator 쿠폰함 페이지네이터
+     * @return LengthAwarePaginator 쿠폰함 페이지네이터
      */
-    public function getUserCoupons(int $userId, ?string $status = null, int $perPage = 10): \Illuminate\Contracts\Pagination\LengthAwarePaginator;
+    public function getUserCoupons(int $userId, ?string $status = null, int $perPage = 10): LengthAwarePaginator;
 
     /**
      * 특정 사용자가 소유한 쿠폰만 조회 (소유권 검증용)
@@ -57,14 +60,14 @@ interface CouponIssueRepositoryInterface
      *
      * @param  array  $couponIssueIds  쿠폰 발급 ID 배열
      * @param  int  $userId  사용자 ID
-     * @return \Illuminate\Support\Collection CouponIssue 컬렉션
+     * @return Collection CouponIssue 컬렉션
      */
-    public function findByIdsForUser(array $couponIssueIds, int $userId): \Illuminate\Support\Collection;
+    public function findByIdsForUser(array $couponIssueIds, int $userId): Collection;
 
     /**
      * 쿠폰 발급 레코드 생성
      *
-     * @param array $data 발급 데이터
+     * @param  array  $data  발급 데이터
      * @return CouponIssue
      */
     public function create(array $data): CouponIssue;
@@ -72,8 +75,8 @@ interface CouponIssueRepositoryInterface
     /**
      * 특정 사용자의 특정 쿠폰 발급 횟수 조회
      *
-     * @param int $userId 사용자 ID
-     * @param int $couponId 쿠폰 ID
+     * @param  int  $userId  사용자 ID
+     * @param  int  $couponId  쿠폰 ID
      * @return int 발급 횟수
      */
     public function getUserIssuedCountForCoupon(int $userId, int $couponId): int;
@@ -99,6 +102,20 @@ interface CouponIssueRepositoryInterface
      */
     public function update(int $id, array $data): bool;
 
+    /**
+     * 현재 상태가 기대값과 같을 때만 쿠폰 발급 레코드를 갱신합니다.
+     *
+     * 조회 후 갱신하는 방식은 두 요청이 같은 상태를 읽어 서로를 덮어쓰는 lost update 를
+     * 허용하므로, 상태 판정과 갱신을 하나의 UPDATE 문에서 원자적으로 수행합니다.
+     * 갱신된 행 수가 0 이면 다른 요청이 이미 상태를 바꾼 것입니다.
+     *
+     * @param  int  $id  쿠폰 발급 ID
+     * @param  CouponIssueRecordStatus  $expected  기대하는 현재 상태
+     * @param  array  $data  업데이트 데이터
+     * @return int 갱신된 행 수 (0 이면 경쟁에서 밀렸거나 상태 불일치)
+     */
+    public function updateIfStatus(int $id, CouponIssueRecordStatus $expected, array $data): int;
+
     /**
      * ID 목록으로 쿠폰 발급 레코드를 조회합니다.
      *
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/MileageTransactionRepositoryInterface.php b/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/MileageTransactionRepositoryInterface.php
index 7c00ab92..2112047a 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/MileageTransactionRepositoryInterface.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/MileageTransactionRepositoryInterface.php
@@ -214,6 +214,17 @@ interface MileageTransactionRepositoryInterface
      */
     public function findEarnLotForOption(int $orderOptionId): ?MileageTransaction;
 
+    /**
+     * 주문옵션의 적립 lot 을 행 잠금과 함께 조회합니다.
+     *
+     * 적립 증액·취소 회수는 lot 의 현재 값을 읽어 더하거나 빼는 경로라, 두 요청이 같은
+     * 값을 읽으면 한쪽 반영이 사라집니다. 갱신 트랜잭션 안에서 이 메서드로 잠급니다.
+     *
+     * @param  int  $orderOptionId  주문옵션 ID
+     * @return MileageTransaction|null 잠긴 적립 lot (없으면 null)
+     */
+    public function findEarnLotForOptionForUpdate(int $orderOptionId): ?MileageTransaction;
+
     /**
      * 회원의 활성 적립건(lot) 전부를 조회합니다 (FOR UPDATE 없음 — 탈퇴 정리용).
      *
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/OrderPaymentRepositoryInterface.php b/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/OrderPaymentRepositoryInterface.php
index ab9c855d..e76c81e6 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/OrderPaymentRepositoryInterface.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/OrderPaymentRepositoryInterface.php
@@ -12,6 +12,17 @@ use Modules\Sirsoft\Ecommerce\Models\OrderPayment;
  */
 interface OrderPaymentRepositoryInterface
 {
+    /**
+     * 주문 ID로 결제 행을 잠금과 함께 조회합니다.
+     *
+     * 취소 누적액·취소 이력은 현재 값을 읽어 더하거나 덧붙이는 컬럼이라, 두 요청이 같은
+     * 값을 읽으면 후행이 선행을 덮어씁니다. 트랜잭션 안에서 행을 잠근 뒤 갱신합니다.
+     *
+     * @param  int  $orderId  주문 ID
+     * @return OrderPayment|null 잠긴 결제 모델 (없으면 null)
+     */
+    public function findByOrderIdForUpdate(int $orderId): ?OrderPayment;
+
     /**
      * 현금영수증 발급 성공 시 결제의 요약 컬럼을 갱신합니다.
      *
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/OrderRepositoryInterface.php b/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/OrderRepositoryInterface.php
index 8ab419d6..1fd98aa9 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/OrderRepositoryInterface.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Repositories/Contracts/OrderRepositoryInterface.php
@@ -19,6 +19,18 @@ interface OrderRepositoryInterface
      */
     public function find(int $id): ?Order;
 
+    /**
+     * ID로 주문을 행 잠금과 함께 조회합니다.
+     *
+     * 취소 총액·취소 횟수처럼 현재 값을 읽어 더하는 컬럼은 두 요청이 같은 값을 읽으면
+     * 후행이 선행을 덮어씁니다. 트랜잭션 안에서 이 메서드로 행을 잠근 뒤 갱신하면
+     * 뒤따르는 요청이 앞선 커밋을 본 뒤에 진행합니다.
+     *
+     * @param  int  $id  주문 ID
+     * @return Order|null 잠긴 주문 모델 (없으면 null)
+     */
+    public function findByIdForUpdate(int $id): ?Order;
+
     /**
      * 주문이 1건이라도 존재하는지 확인합니다. (A2 base 통화 변경 가드)
      *
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Repositories/CouponIssueRepository.php b/modules/_bundled/sirsoft-ecommerce/src/Repositories/CouponIssueRepository.php
index 0de1aecf..20d64bdd 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Repositories/CouponIssueRepository.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Repositories/CouponIssueRepository.php
@@ -248,6 +248,19 @@ class CouponIssueRepository implements CouponIssueRepositoryInterface
             ->update($data) > 0;
     }
 
+    /**
+     * {@inheritDoc}
+     */
+    public function updateIfStatus(int $id, CouponIssueRecordStatus $expected, array $data): int
+    {
+        // 상태 판정을 WHERE 절에 실어 단일 UPDATE 로 수행한다 (compare-and-set).
+        // 조회 후 갱신하면 두 요청이 같은 상태를 읽어 서로를 덮어쓴다.
+        return $this->model
+            ->where('id', $id)
+            ->where('status', $expected->value)
+            ->update($data);
+    }
+
     /**
      * {@inheritDoc}
      */
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Repositories/MileageTransactionRepository.php b/modules/_bundled/sirsoft-ecommerce/src/Repositories/MileageTransactionRepository.php
index d7dbd913..48bf40bf 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Repositories/MileageTransactionRepository.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Repositories/MileageTransactionRepository.php
@@ -88,8 +88,11 @@ class MileageTransactionRepository implements MileageTransactionRepositoryInterf
      */
     public function decrementRemaining(MileageTransaction $lot, float $amount): void
     {
-        $lot->remaining_amount = (float) $lot->remaining_amount - $amount;
-        $lot->save();
+        // 값을 PHP 에서 빼고 모델 전체를 저장하면, 스냅샷을 읽은 뒤 다른 요청이 반영한
+        // 증감이 통째로 사라진다. 컬럼 연산으로 위임해 커밋된 값에서 차감한다.
+        MileageTransaction::query()->where('id', $lot->id)->decrement('remaining_amount', $amount);
+
+        $lot->refresh();
     }
 
     /**
@@ -130,9 +133,14 @@ class MileageTransactionRepository implements MileageTransactionRepositoryInterf
      */
     public function incrementEarnLotAmount(MileageTransaction $lot, float $delta): void
     {
-        $lot->amount = (float) $lot->amount + $delta;
-        $lot->remaining_amount = (float) $lot->remaining_amount + $delta;
-        $lot->save();
+        // 스냅샷 기준 재계산 대신 컬럼 연산 — 그 사이 반영된 다른 증감을 덮어쓰지 않는다.
+        MileageTransaction::query()->where('id', $lot->id)->incrementEach([
+            'amount' => $delta,
+            'remaining_amount' => $delta,
+        ]);
+
+        // 호출부가 이 모델을 그대로 반환·기록하므로 반영된 값으로 되읽는다
+        $lot->refresh();
     }
 
     /**
@@ -448,6 +456,19 @@ class MileageTransactionRepository implements MileageTransactionRepositoryInterf
             ->first();
     }
 
+    /**
+     * {@inheritdoc}
+     */
+    public function findEarnLotForOptionForUpdate(int $orderOptionId): ?MileageTransaction
+    {
+        // 잠금은 트랜잭션 안에서만 의미가 있다 — 적립/회수 갱신 트랜잭션에서 호출한다
+        return MileageTransaction::query()
+            ->where('order_option_id', $orderOptionId)
+            ->where('type', MileageTransactionTypeEnum::PURCHASE_EARN->value)
+            ->lockForUpdate()
+            ->first();
+    }
+
     /**
      * {@inheritdoc}
      */
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Repositories/OrderPaymentRepository.php b/modules/_bundled/sirsoft-ecommerce/src/Repositories/OrderPaymentRepository.php
index 03e6764f..a136bac1 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Repositories/OrderPaymentRepository.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Repositories/OrderPaymentRepository.php
@@ -14,6 +14,14 @@ use Modules\Sirsoft\Ecommerce\Repositories\Contracts\OrderPaymentRepositoryInter
  */
 class OrderPaymentRepository implements OrderPaymentRepositoryInterface
 {
+    /**
+     * {@inheritDoc}
+     */
+    public function findByOrderIdForUpdate(int $orderId): ?OrderPayment
+    {
+        return OrderPayment::query()->where('order_id', $orderId)->lockForUpdate()->first();
+    }
+
     /**
      * {@inheritDoc}
      */
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Repositories/OrderRepository.php b/modules/_bundled/sirsoft-ecommerce/src/Repositories/OrderRepository.php
index 82bac990..9fbc1526 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Repositories/OrderRepository.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Repositories/OrderRepository.php
@@ -146,6 +146,14 @@ class OrderRepository implements OrderRepositoryInterface
         return $this->model->find($id);
     }
 
+    /**
+     * {@inheritDoc}
+     */
+    public function findByIdForUpdate(int $id): ?Order
+    {
+        return $this->model->newQuery()->lockForUpdate()->find($id);
+    }
+
     /**
      * {@inheritDoc}
      */
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Services/OrderCancellationService.php b/modules/_bundled/sirsoft-ecommerce/src/Services/OrderCancellationService.php
index 680851c0..aa70a636 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Services/OrderCancellationService.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Services/OrderCancellationService.php
@@ -32,6 +32,7 @@ use Modules\Sirsoft\Ecommerce\Repositories\Contracts\OrderOptionRepositoryInterf
 use Modules\Sirsoft\Ecommerce\Repositories\Contracts\OrderPaymentRepositoryInterface;
 use Modules\Sirsoft\Ecommerce\Repositories\Contracts\OrderRefundOptionRepositoryInterface;
 use Modules\Sirsoft\Ecommerce\Repositories\Contracts\OrderRefundRepositoryInterface;
+use Modules\Sirsoft\Ecommerce\Repositories\Contracts\OrderRepositoryInterface;
 use Modules\Sirsoft\Ecommerce\Repositories\Contracts\OrderShippingRepositoryInterface;
 use Modules\Sirsoft\Ecommerce\Support\ShippingPolicySnapshot;
 
@@ -57,6 +58,7 @@ class OrderCancellationService
      * @param  OrderRefundOptionRepositoryInterface  $orderRefundOptionRepository  주문 환불 옵션 Repository
      * @param  CashReceiptService  $cashReceiptService  현금영수증 발급/취소 서비스
      * @param  OrderPaymentRepositoryInterface  $orderPaymentRepository  주문 결제 Repository
+     * @param  OrderRepositoryInterface  $orderRepository  주문 Repository
      */
     public function __construct(
         protected OrderAdjustmentService $adjustmentService,
@@ -72,6 +74,7 @@ class OrderCancellationService
         protected OrderRefundOptionRepositoryInterface $orderRefundOptionRepository,
         protected CashReceiptService $cashReceiptService,
         protected OrderPaymentRepositoryInterface $orderPaymentRepository,
+        protected OrderRepositoryInterface $orderRepository,
     ) {}
 
     /**
@@ -314,6 +317,12 @@ class OrderCancellationService
             $cancelledBy, $cancelPg, $adjustmentResult,
             &$orderCancel, &$orderRefund,
         ) {
+            // ③-0. 누적 컬럼 갱신 전 주문·결제 행을 잠그고 커밋된 값으로 되읽는다.
+            // total_cancelled_amount / cancellation_count / cancelled_amount / cancel_history 는
+            // 현재 값을 읽어 더하거나 덧붙이는 컬럼이라, 동시 부분취소 두 건이 같은 값을 읽으면
+            // 후행이 선행을 덮어써 취소 총액이 과소 기록되고 PG 환불 기준이 어긋난다.
+            $this->lockAccumulatorRows($order);
+
             $now = Carbon::now();
             $isFullCancel = $cancelType === CancelTypeEnum::FULL;
             $isPaid = ! $order->order_status->isBeforePayment();
@@ -734,6 +743,32 @@ class OrderCancellationService
     // ③-e. Order 합계 업데이트
     // ───────────────────────────────────────────────
 
+    /**
+     * 누적 컬럼을 가진 주문·결제 행을 잠그고 커밋된 값으로 되읽습니다.
+     *
+     * 관계(options/shippings 등)는 이 트랜잭션 안에서 이미 사용 중이므로 건드리지 않고,
+     * 누적 판단에 쓰이는 속성만 교체한다. 잠금은 커밋까지 유지되어 뒤따르는 취소 요청이
+     * 앞선 커밋을 본 뒤에 진행한다.
+     *
+     * @param  Order  $order  대상 주문 (속성이 최신 값으로 갱신됨)
+     * @return void
+     */
+    protected function lockAccumulatorRows(Order $order): void
+    {
+        $locked = $this->orderRepository->findByIdForUpdate($order->id);
+
+        if ($locked !== null) {
+            // 관계는 유지한 채 속성만 커밋된 값으로 교체
+            $order->setRawAttributes($locked->getAttributes(), true);
+        }
+
+        $lockedPayment = $this->orderPaymentRepository->findByOrderIdForUpdate($order->id);
+
+        if ($lockedPayment !== null && $order->relationLoaded('payment') && $order->payment !== null) {
+            $order->payment->setRawAttributes($lockedPayment->getAttributes(), true);
+        }
+    }
+
     /**
      * 주문 합계를 재계산 결과에 따라 갱신합니다.
      *
diff --git a/modules/_bundled/sirsoft-ecommerce/src/Services/UserMileageService.php b/modules/_bundled/sirsoft-ecommerce/src/Services/UserMileageService.php
index e37eb10a..726cd8e6 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/Services/UserMileageService.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/Services/UserMileageService.php
@@ -7,6 +7,7 @@ use App\Extension\HookManager;
 use Carbon\Carbon;
 use Illuminate\Contracts\Pagination\LengthAwarePaginator;
 use Illuminate\Database\Eloquent\Collection;
+use Illuminate\Database\UniqueConstraintViolationException;
 use Illuminate\Support\Facades\DB;
 use Modules\Sirsoft\Ecommerce\DTO\MileageAdminDeductDto;
 use Modules\Sirsoft\Ecommerce\DTO\MileageAdminEarnDto;
@@ -379,36 +380,35 @@ class UserMileageService
         // 방식 A: 기존 purchase_earn lot 이 있으면 그 lot 에 델타를 증액(적립 내역 한 줄 유지).
         // 취소 회수(findEarnLotForOption 단일 lot 가정)·유효기간 정합을 위해 신규 lot 을 늘리지 않는다.
         if ($type === MileageTransactionTypeEnum::PURCHASE_EARN
-            && ($existingLot = $this->ledger->findEarnLotForOption($option->id)) !== null) {
-            $this->ledger->incrementEarnLotAmount($existingLot, $amount);
-
-            $this->cache->recalculateForUser($order->user_id, $currency);
-            $this->cache->recalculatePending($order->user_id, $currency);
-
-            $this->logActivity('mileage.earn', [
-                'loggable' => $existingLot,
-                'description_key' => 'sirsoft-ecommerce::activity_log.description.mileage_earn',
-                'description_params' => ['amount' => ecommerce_format_price((int) $amount, $currency)],
-                'properties' => ['order_id' => $order->id, 'order_option_id' => $option->id, 'currency' => $currency, 'delta' => (int) $amount],
-            ]);
-
-            return $existingLot;
+            && $this->ledger->findEarnLotForOption($option->id) !== null) {
+            return $this->applyDeltaToExistingEarnLot($order, $option, $currency, $target);
         }
 
         $expiresAt = $this->resolveEarnExpiry();
 
-        $tx = $this->ledger->createTransaction([
-            'user_id' => $order->user_id,
-            'currency' => $currency,
-            'type' => $type->value,
-            'amount' => $amount,
-            'remaining_amount' => $amount,
-            'balance_after' => $this->ledger->getBalanceByCurrency($order->user_id, $currency) + $amount,
-            'order_id' => $order->id,
-            'order_option_id' => $option->id,
-            'expires_at' => $expiresAt,
-            'description' => __('sirsoft-ecommerce::activity_log.description.mileage_earn', ['amount' => ecommerce_format_price($amount, $currency)]),
-        ]);
+        try {
+            $tx = $this->ledger->createTransaction([
+                'user_id' => $order->user_id,
+                'currency' => $currency,
+                'type' => $type->value,
+                'amount' => $amount,
+                'remaining_amount' => $amount,
+                'balance_after' => $this->ledger->getBalanceByCurrency($order->user_id, $currency) + $amount,
+                'order_id' => $order->id,
+                'order_option_id' => $option->id,
+                'expires_at' => $expiresAt,
+                'description' => __('sirsoft-ecommerce::activity_log.description.mileage_earn', ['amount' => ecommerce_format_price($amount, $currency)]),
+            ]);
+        } catch (UniqueConstraintViolationException $e) {
+            // 최초 적립이 동시에 겹쳐 다른 요청이 먼저 lot 을 만들었다. 옵션당 적립 lot 은
+            // 한 줄이어야 하므로(취소 회수가 그 한 줄을 되돌린다) 새로 만들지 않고 증액 경로로
+            // 흡수한다 — 델타는 잠근 행 기준으로 다시 산정되므로 이중 적립이 되지 않는다.
+            if ($type !== MileageTransactionTypeEnum::PURCHASE_EARN) {
+                throw $e;
+            }
+
+            return $this->applyDeltaToExistingEarnLot($order, $option, $currency, $target);
+        }
 
         $this->cache->recalculateForUser($order->user_id, $currency);
         $this->cache->recalculatePending($order->user_id, $currency);
@@ -558,17 +558,24 @@ class UserMileageService
             return null;
         }
 
-        // 해당 옵션 적립건 조회
-        $earnLot = $this->ledger->findEarnLotForOption($option->id);
-
-        if ($earnLot === null) {
+        // 해당 옵션 적립건 존재 확인 (실제 회수 대상은 트랜잭션 안에서 잠금과 함께 되읽는다)
+        if ($this->ledger->findEarnLotForOption($option->id) === null) {
             return null;
         }
 
         $currency = $this->baseCurrencyForOrder($order);
-        $toRecover = (float) $earnLot->amount;
 
-        return DB::transaction(function () use ($order, $option, $earnLot, $currency, $toRecover) {
+        return DB::transaction(function () use ($order, $option, $currency) {
+            // 회수액은 잠근 행의 커밋된 금액 기준이어야 한다 — 트랜잭션 밖에서 읽은 값을 쓰면
+            // 그 사이 반영된 적립 증액분이 회수에서 누락된다.
+            $earnLot = $this->ledger->findEarnLotForOptionForUpdate($option->id);
+
+            if ($earnLot === null) {
+                return null;
+            }
+
+            $toRecover = (float) $earnLot->amount;
+
             $shortfall = $this->recoverPoints($order->user_id, $currency, $toRecover, $earnLot);
 
             $tx = $this->ledger->createTransaction([
@@ -965,6 +972,49 @@ class UserMileageService
         });
     }
 
+    /**
+     * 기존 구매 적립 lot 에 목표액 대비 델타만 증액합니다 (방식 A — 적립 내역 한 줄 유지).
+     *
+     * 델타는 행을 잠근 뒤 다시 산정한다 — 두 확정 요청이 같은 기적립 합계를 읽으면 같은
+     * 델타를 각자 증액해 목표 적립액을 넘어선다.
+     *
+     * @param  Order  $order  주문
+     * @param  OrderOption  $option  주문옵션
+     * @param  string  $currency  기준 통화
+     * @param  float  $target  목표 적립액
+     * @return MileageTransaction|null 증액된 적립건 (대상 없으면 null)
+     */
+    private function applyDeltaToExistingEarnLot(Order $order, OrderOption $option, string $currency, float $target): ?MileageTransaction
+    {
+        return DB::transaction(function () use ($order, $option, $currency, $target) {
+            $existingLot = $this->ledger->findEarnLotForOptionForUpdate($option->id);
+
+            if ($existingLot === null) {
+                return null;
+            }
+
+            $delta = $target - $this->ledger->sumPurchaseEarnedForOption($option->id);
+
+            if ($delta <= 0) {
+                return $existingLot;
+            }
+
+            $this->ledger->incrementEarnLotAmount($existingLot, $delta);
+
+            $this->cache->recalculateForUser($order->user_id, $currency);
+            $this->cache->recalculatePending($order->user_id, $currency);
+
+            $this->logActivity('mileage.earn', [
+                'loggable' => $existingLot,
+                'description_key' => 'sirsoft-ecommerce::activity_log.description.mileage_earn',
+                'description_params' => ['amount' => ecommerce_format_price((int) $delta, $currency)],
+                'properties' => ['order_id' => $order->id, 'order_option_id' => $option->id, 'currency' => $currency, 'delta' => (int) $delta],
+            ]);
+
+            return $existingLot;
+        });
+    }
+
     /**
      * 적립 회수 시 lot 잔여를 우선 차감 → 타 lot FIFO → 부족분 반환 (§2 정책)
      *
diff --git a/modules/_bundled/sirsoft-ecommerce/src/lang/en/exceptions.php b/modules/_bundled/sirsoft-ecommerce/src/lang/en/exceptions.php
index 4e1aa6ba..4b6b5234 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/lang/en/exceptions.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/lang/en/exceptions.php
@@ -32,6 +32,7 @@ return [
     'coupon_has_issues' => 'Cannot delete coupon because it has :count issued coupons.',
     'coupon_issue_not_found' => 'Coupon issue record not found.',
     'coupon_issue_not_cancellable' => 'Only unused issued coupons can be cancelled.',
+    'coupon_already_used' => 'This coupon has already been used. Please review your coupons and try again.',
     'label_not_found' => 'Label not found.',
     'product_notice_template_not_found' => 'Product notice template not found.',
     'product_common_info_not_found' => 'Product common information not found.',
diff --git a/modules/_bundled/sirsoft-ecommerce/src/lang/ko/exceptions.php b/modules/_bundled/sirsoft-ecommerce/src/lang/ko/exceptions.php
index 08e94a55..1eaffd78 100644
--- a/modules/_bundled/sirsoft-ecommerce/src/lang/ko/exceptions.php
+++ b/modules/_bundled/sirsoft-ecommerce/src/lang/ko/exceptions.php
@@ -32,6 +32,7 @@ return [
     'coupon_has_issues' => '발급된 쿠폰이 :count건 있어 삭제할 수 없습니다.',
     'coupon_issue_not_found' => '쿠폰 발급 내역을 찾을 수 없습니다.',
     'coupon_issue_not_cancellable' => '미사용 상태의 발급 건만 취소할 수 있습니다.',
+    'coupon_already_used' => '이미 사용된 쿠폰입니다. 쿠폰을 다시 확인한 뒤 주문해 주세요.',
     'label_not_found' => '라벨을 찾을 수 없습니다.',
     'product_notice_template_not_found' => '상품정보제공고시 템플릿을 찾을 수 없습니다.',
     'product_common_info_not_found' => '상품 공통정보를 찾을 수 없습니다.',
diff --git a/modules/_bundled/sirsoft-ecommerce/tests/Feature/Http/Controllers/User/UserOrderControllerTest.php b/modules/_bundled/sirsoft-ecommerce/tests/Feature/Http/Controllers/User/UserOrderControllerTest.php
index 6727679a..d214f25f 100644
--- a/modules/_bundled/sirsoft-ecommerce/tests/Feature/Http/Controllers/User/UserOrderControllerTest.php
+++ b/modules/_bundled/sirsoft-ecommerce/tests/Feature/Http/Controllers/User/UserOrderControllerTest.php
@@ -2,6 +2,8 @@
 
 namespace Modules\Sirsoft\Ecommerce\Tests\Feature\Http\Controllers\User;
 
+use App\Extension\HookManager;
+use Illuminate\Support\Facades\DB;
 use Illuminate\Support\Str;
 use Modules\Sirsoft\Ecommerce\Enums\OrderStatusEnum;
 use Modules\Sirsoft\Ecommerce\Enums\PaymentMethodEnum;
@@ -17,6 +19,7 @@ use Modules\Sirsoft\Ecommerce\Models\ProductOption;
 use Modules\Sirsoft\Ecommerce\Models\TempOrder;
 use Modules\Sirsoft\Ecommerce\Models\UserAddress;
 use Modules\Sirsoft\Ecommerce\Services\EcommerceSettingsService;
+use Modules\Sirsoft\Ecommerce\Services\PaymentMethodResolver;
 use Modules\Sirsoft\Ecommerce\Tests\ModuleTestCase;
 
 /**
@@ -68,6 +71,33 @@ class UserOrderControllerTest extends ModuleTestCase
         ]);
     }
 
+    /**
+     * 기본 PG 제공자를 설정하고, 그 제공자를 레지스트리에도 등록합니다.
+     *
+     * 설정만 바꾸면 카탈로그가 그 PG 를 "사라진 PG"(`_orphaned_pg`)로 판정해 해당 결제수단이
+     * 주문 불가가 되고 주문 생성이 422 로 막힙니다(#570 고아 카탈로그 차단). 실제 운영에서는
+     * PG 플러그인이 이 훅으로 자신을 등록하므로, 테스트도 같은 경로로 등록해야 합니다.
+     *
+     * @param  string  $providerId  PG 제공자 식별자
+     * @return void
+     */
+    protected function registerDefaultPgProvider(string $providerId): void
+    {
+        app(EcommerceSettingsService::class)->setSetting('order_settings.default_pg_provider', $providerId);
+
+        HookManager::addFilter(
+            'sirsoft-ecommerce.payment.registered_pg_providers',
+            fn (array $providers) => array_merge($providers, [[
+                'id' => $providerId,
+                'name' => $providerId,
+                'payment_handler' => 'sirsoft-pay_'.$providerId.'.requestPayment',
+            ]])
+        );
+
+        app(PaymentMethodResolver::class)->flushCache();
+        app(EcommerceSettingsService::class)->clearCache();
+    }
+
     /**
      * 임시 주문 생성 헬퍼
      */
@@ -357,6 +387,7 @@ class UserOrderControllerTest extends ModuleTestCase
      * 화면은 `?with_items=1` 로 켠다.
      *
      * @scenario surface=my_page_list,option_profile=multiple
+     *
      * @effects my_page_list_default_is_representative_only
      */
     public function test_기본_목록은_대표_아이템_1건과_개수만_싣는다(): void
@@ -386,6 +417,7 @@ class UserOrderControllerTest extends ModuleTestCase
      * 깨지면 주문마다 상품 한 줄만 남는다.
      *
      * @scenario surface=my_page_list,option_profile=multiple
+     *
      * @effects my_page_list_enumerates_every_item_when_requested
      */
     public function test_with_items_1_이면_아이템을_전부_싣는다(): void
@@ -414,6 +446,7 @@ class UserOrderControllerTest extends ModuleTestCase
      * 페이로드를 줄이려다 쿼리를 늘리는 맞바꿈이 된다.
      *
      * @scenario surface=my_page_list,option_profile=multiple
+     *
      * @effects my_page_list_option_query_count_is_constant
      */
     public function test_아이템_조회_쿼리수가_주문수에_비례하지_않는다(): void
@@ -433,7 +466,7 @@ class UserOrderControllerTest extends ModuleTestCase
 
         $measure = function (): int {
             $count = 0;
-            \Illuminate\Support\Facades\DB::listen(function ($query) use (&$count) {
+            DB::listen(function ($query) use (&$count) {
                 if (str_contains($query->sql, 'ecommerce_order_options')) {
                     $count++;
                 }
@@ -465,6 +498,7 @@ class UserOrderControllerTest extends ModuleTestCase
      * null 로 정규화하면 오타 파라미터가 "미지정" 으로 통과해 호출자가 잘못을 알 수 없다.
      *
      * @scenario surface=my_page_list,option_profile=multiple
+     *
      * @effects my_page_list_rejects_unparseable_with_items
      */
     public function test_with_items_에_해석불가한_값이_오면_422(): void
@@ -948,7 +982,7 @@ class UserOrderControllerTest extends ModuleTestCase
     public function test_p_g_체크_o_n_order_meta에_플래그_저장(): void
     {
         // PG 결제가 실제로 동작하도록 기본 PG 제공자 설정
-        app(EcommerceSettingsService::class)->setSetting('order_settings.default_pg_provider', 'tosspayments');
+        $this->registerDefaultPgProvider('tosspayments');
 
         $user = $this->createUser();
         $this->actingAs($user);
@@ -975,7 +1009,7 @@ class UserOrderControllerTest extends ModuleTestCase
 
     public function test_p_g_체크_o_n_user_address_미생성(): void
     {
-        app(EcommerceSettingsService::class)->setSetting('order_settings.default_pg_provider', 'tosspayments');
+        $this->registerDefaultPgProvider('tosspayments');
 
         $user = $this->createUser();
         $this->actingAs($user);
@@ -1001,7 +1035,7 @@ class UserOrderControllerTest extends ModuleTestCase
 
     public function test_p_g_체크_of_f_order_meta_미저장(): void
     {
-        app(EcommerceSettingsService::class)->setSetting('order_settings.default_pg_provider', 'tosspayments');
+        $this->registerDefaultPgProvider('tosspayments');
 
         $user = $this->createUser();
         $this->actingAs($user);
diff --git a/modules/_bundled/sirsoft-ecommerce/tests/Unit/Listeners/CouponRestoreListenerTest.php b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Listeners/CouponRestoreListenerTest.php
index c4827c95..55293a9d 100644
--- a/modules/_bundled/sirsoft-ecommerce/tests/Unit/Listeners/CouponRestoreListenerTest.php
+++ b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Listeners/CouponRestoreListenerTest.php
@@ -12,6 +12,7 @@ use Modules\Sirsoft\Ecommerce\Listeners\CouponRestoreListener;
 use Modules\Sirsoft\Ecommerce\Models\Coupon;
 use Modules\Sirsoft\Ecommerce\Models\CouponIssue;
 use Modules\Sirsoft\Ecommerce\Models\Order;
+use Modules\Sirsoft\Ecommerce\Repositories\Contracts\CouponIssueRepositoryInterface;
 use Modules\Sirsoft\Ecommerce\Tests\ModuleTestCase;
 
 /**
@@ -262,4 +263,131 @@ class CouponRestoreListenerTest extends ModuleTestCase
         $couponIssue->refresh();
         $this->assertEquals(CouponIssueRecordStatus::AVAILABLE, $couponIssue->status);
     }
+
+    /**
+     * 복원은 조건부 갱신으로 수행되어 이미 복원된 건을 다시 건드리지 않아야 합니다.
+     *
+     * 무락 조회 후 무조건 갱신하면 두 취소 요청이 같은 USED 를 읽어 각자 복원을 수행하고,
+     * 그 사이에 재사용된 쿠폰을 되돌려 놓을 수 있다. 복원 자체는 멱등이 정상이므로
+     * 예외는 던지지 않고 조용히 skip 한다 (KVE-2026-1886 동종).
+     *
+     * @return void
+     */
+    public function test_restore_is_idempotent_and_does_not_touch_already_restored(): void
+    {
+        $couponIssue = $this->createCouponIssue();
+        $order = $this->createOrderWithCoupons([$couponIssue->id]);
+
+        $this->listener->restoreCoupons($order);
+        $couponIssue->refresh();
+        $this->assertEquals(CouponIssueRecordStatus::AVAILABLE, $couponIssue->status);
+
+        $firstUpdatedAt = $couponIssue->updated_at;
+
+        // 재발화 — 이미 AVAILABLE 이므로 아무 갱신도 일어나면 안 된다
+        $this->listener->restoreCoupons($order);
+
+        $couponIssue->refresh();
+        $this->assertEquals(CouponIssueRecordStatus::AVAILABLE, $couponIssue->status);
+        $this->assertEquals(
+            $firstUpdatedAt->toIso8601String(),
+            $couponIssue->updated_at->toIso8601String(),
+            '이미 복원된 쿠폰은 다시 갱신되지 않아야 합니다.'
+        );
+    }
+
+    /**
+     * 복원 도중 쿠폰이 다시 사용되면(USED 아님) 그 건은 건드리지 않아야 합니다.
+     *
+     * @return void
+     */
+    public function test_restore_skips_coupon_that_is_no_longer_used(): void
+    {
+        $couponIssue = $this->createCouponIssue(['status' => CouponIssueRecordStatus::CANCELLED]);
+        $order = $this->createOrderWithCoupons([$couponIssue->id]);
+
+        $this->listener->restoreCoupons($order);
+
+        $couponIssue->refresh();
+        $this->assertEquals(
+            CouponIssueRecordStatus::CANCELLED,
+            $couponIssue->status,
+            'USED 가 아닌 쿠폰은 복원 대상이 아닙니다.'
+        );
+    }
+
+    /**
+     * 스냅샷을 읽은 뒤 다른 요청이 상태를 바꿨다면 복원 쓰기가 거부되어야 합니다.
+     *
+     * 조회와 갱신 사이의 창을 재현한다 — 리스너가 USED 스냅샷을 손에 든 사이 DB 행은
+     * 이미 EXPIRED 로 바뀐 상황. 무조건 갱신이면 만료된 쿠폰이 다시 사용 가능 상태로
+     * 되살아난다 (KVE-2026-1886 동종의 lost update).
+     *
+     * @return void
+     */
+    public function test_stale_snapshot_does_not_overwrite_concurrently_changed_row(): void
+    {
+        $couponIssue = $this->createCouponIssue();
+        $order = $this->createOrderWithCoupons([$couponIssue->id]);
+
+        // 리스너가 손에 쥔 스냅샷 (USED, 미만료)
+        $staleSnapshot = $couponIssue->replicate(); // @phpstan-ignore-line
+        $staleSnapshot->id = $couponIssue->id;
+        $staleSnapshot->status = CouponIssueRecordStatus::USED;
+        $staleSnapshot->expired_at = now()->addDays(30);
+
+        // 그 사이 다른 요청이 행을 EXPIRED 로 바꿨다
+        $real = app(CouponIssueRepositoryInterface::class);
+        $real->update($couponIssue->id, [
+            'status' => CouponIssueRecordStatus::EXPIRED,
+            'used_at' => null,
+        ]);
+
+        // findById 만 낡은 스냅샷을 돌려주고, 쓰기는 실제 저장소로 위임한다
+        $stale = $this->createMock(CouponIssueRepositoryInterface::class);
+        $stale->method('findById')->willReturn($staleSnapshot);
+        $stale->method('update')->willReturnCallback(
+            fn (int $id, array $data) => $real->update($id, $data)
+        );
+        $stale->method('updateIfStatus')->willReturnCallback(
+            fn (int $id, CouponIssueRecordStatus $expected, array $data) => $real->updateIfStatus($id, $expected, $data)
+        );
+        $this->app->instance(CouponIssueRepositoryInterface::class, $stale);
+
+        app(CouponRestoreListener::class)->restoreCoupons($order);
+
+        $couponIssue->refresh();
+        $this->assertEquals(
+            CouponIssueRecordStatus::EXPIRED,
+            $couponIssue->status,
+            '낡은 스냅샷으로 이미 바뀐 행을 덮어써서는 안 됩니다.'
+        );
+    }
+
+    /**
+     * 만료된 쿠폰의 상태 변경도 조건부 갱신이어야 합니다.
+     *
+     * @return void
+     */
+    public function test_expired_restore_is_conditional(): void
+    {
+        $couponIssue = $this->createCouponIssue(['expired_at' => now()->subDay()]);
+        $order = $this->createOrderWithCoupons([$couponIssue->id]);
+
+        $this->listener->restoreCoupons($order);
+        $couponIssue->refresh();
+        $this->assertEquals(CouponIssueRecordStatus::EXPIRED, $couponIssue->status);
+
+        $firstUpdatedAt = $couponIssue->updated_at;
+
+        $this->listener->restoreCoupons($order);
+
+        $couponIssue->refresh();
+        $this->assertEquals(CouponIssueRecordStatus::EXPIRED, $couponIssue->status);
+        $this->assertEquals(
+            $firstUpdatedAt->toIso8601String(),
+            $couponIssue->updated_at->toIso8601String(),
+            '이미 만료 처리된 쿠폰은 다시 갱신되지 않아야 합니다.'
+        );
+    }
 }
diff --git a/modules/_bundled/sirsoft-ecommerce/tests/Unit/Listeners/CouponUseListenerConcurrencyTest.php b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Listeners/CouponUseListenerConcurrencyTest.php
new file mode 100644
index 00000000..25f08038
--- /dev/null
+++ b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Listeners/CouponUseListenerConcurrencyTest.php
@@ -0,0 +1,207 @@
+<?php
+
+namespace Modules\Sirsoft\Ecommerce\Tests\Unit\Listeners;
+
+use App\Models\User;
+use Modules\Sirsoft\Ecommerce\Enums\CouponDiscountType;
+use Modules\Sirsoft\Ecommerce\Enums\CouponIssueRecordStatus;
+use Modules\Sirsoft\Ecommerce\Enums\CouponTargetScope;
+use Modules\Sirsoft\Ecommerce\Enums\CouponTargetType;
+use Modules\Sirsoft\Ecommerce\Enums\OrderStatusEnum;
+use Modules\Sirsoft\Ecommerce\Exceptions\CouponAlreadyUsedException;
+use Modules\Sirsoft\Ecommerce\Listeners\CouponUseListener;
+use Modules\Sirsoft\Ecommerce\Models\Coupon;
+use Modules\Sirsoft\Ecommerce\Models\CouponIssue;
+use Modules\Sirsoft\Ecommerce\Models\Order;
+use Modules\Sirsoft\Ecommerce\Repositories\Contracts\CouponIssueRepositoryInterface;
+use Modules\Sirsoft\Ecommerce\Tests\ModuleTestCase;
+
+/**
+ * 쿠폰 사용 차감 동시성 회귀 테스트 (KVE-2026-1886)
+ *
+ * 무락 스냅샷 read → 상태 확인 → 무조건 update 순서는 두 주문이 동시에 AVAILABLE 을 읽어
+ * 각자 USED 로 덮어쓰는 lost update 를 허용한다. 1회 제한 쿠폰이 여러 주문에 사용되며,
+ * 두 주문 모두 이미 할인 금액이 확정된 상태라 검출만으로는 부족하고 경쟁에서 진 주문의
+ * 트랜잭션이 롤백되어야 한다.
+ */
+class CouponUseListenerConcurrencyTest extends ModuleTestCase
+{
+    protected CouponUseListener $listener;
+
+    protected function setUp(): void
+    {
+        parent::setUp();
+        $this->listener = app(CouponUseListener::class);
+    }
+
+    /**
+     * 조건부 차감은 기대 상태일 때만 성공하고, 두 번째 시도는 0 행을 반환해야 합니다.
+     *
+     * @return void
+     */
+    public function test_update_if_status_is_atomic_compare_and_set(): void
+    {
+        $repo = app(CouponIssueRepositoryInterface::class);
+        $issue = $this->createAvailableIssue();
+        $order = $this->createOrder();
+
+        $first = $repo->updateIfStatus($issue->id, CouponIssueRecordStatus::AVAILABLE, [
+            'status' => CouponIssueRecordStatus::USED,
+            'used_at' => now(),
+            'order_id' => $order->id,
+        ]);
+
+        $second = $repo->updateIfStatus($issue->id, CouponIssueRecordStatus::AVAILABLE, [
+            'status' => CouponIssueRecordStatus::USED,
+            'used_at' => now(),
+            'order_id' => $order->id,
+        ]);
+
+        $this->assertSame(1, $first, '기대 상태였던 첫 시도는 1 행을 갱신해야 합니다.');
+        $this->assertSame(0, $second, '이미 상태가 바뀐 뒤의 시도는 0 행이어야 합니다.');
+    }
+
+    /**
+     * 다른 주문이 이미 선점한 쿠폰은 예외로 차단되어야 합니다 (경쟁에서 진 주문 롤백).
+     *
+     * @return void
+     */
+    public function test_coupon_taken_by_another_order_throws(): void
+    {
+        $issue = $this->createAvailableIssue();
+        $firstOrder = $this->createOrder();
+        $secondOrder = $this->createOrder();
+
+        $this->listener->markCouponsUsed([$issue->id], $firstOrder);
+
+        $this->expectException(CouponAlreadyUsedException::class);
+        $this->listener->markCouponsUsed([$issue->id], $secondOrder);
+    }
+
+    /**
+     * 선점당한 쿠폰의 소유(order_id)는 선행 주문 그대로여야 합니다.
+     *
+     * @return void
+     */
+    public function test_losing_order_does_not_overwrite_coupon_owner(): void
+    {
+        $issue = $this->createAvailableIssue();
+        $firstOrder = $this->createOrder();
+        $secondOrder = $this->createOrder();
+
+        $this->listener->markCouponsUsed([$issue->id], $firstOrder);
+
+        try {
+            $this->listener->markCouponsUsed([$issue->id], $secondOrder);
+        } catch (CouponAlreadyUsedException) {
+            // 기대된 차단
+        }
+
+        $issue->refresh();
+        $this->assertEquals(CouponIssueRecordStatus::USED, $issue->status);
+        $this->assertEquals($firstOrder->id, $issue->order_id, '쿠폰 소유는 선행 주문이어야 합니다.');
+    }
+
+    /**
+     * 같은 주문의 재발화는 멱등이어야 합니다 (예외 없이 skip).
+     *
+     * @return void
+     */
+    public function test_same_order_refire_is_idempotent(): void
+    {
+        $issue = $this->createAvailableIssue();
+        $order = $this->createOrder();
+
+        $this->listener->markCouponsUsed([$issue->id], $order);
+        $firstUsedAt = $issue->refresh()->used_at;
+
+        $this->listener->markCouponsUsed([$issue->id], $order);
+
+        $issue->refresh();
+        $this->assertEquals(CouponIssueRecordStatus::USED, $issue->status);
+        $this->assertEquals($firstUsedAt->toIso8601String(), $issue->used_at->toIso8601String());
+        $this->assertEquals($order->id, $issue->order_id);
+    }
+
+    /**
+     * 사용 불가 상태(취소됨)의 쿠폰도 차단되어야 합니다.
+     *
+     * @return void
+     */
+    public function test_non_available_coupon_is_blocked(): void
+    {
+        $issue = $this->createAvailableIssue(['status' => CouponIssueRecordStatus::CANCELLED]);
+        $order = $this->createOrder();
+
+        $this->expectException(CouponAlreadyUsedException::class);
+        $this->listener->markCouponsUsed([$issue->id], $order);
+    }
+
+    /**
+     * 존재하지 않는 발급 ID 는 예외 없이 skip 되어야 합니다.
+     *
+     * @return void
+     */
+    public function test_missing_issue_is_skipped(): void
+    {
+        $order = $this->createOrder();
+
+        $this->listener->markCouponsUsed([999999], $order);
+
+        $this->assertTrue(true);
+    }
+
+    /**
+     * 사용 가능 상태의 쿠폰 발급 레코드를 생성합니다.
+     *
+     * @param  array  $overrides  오버라이드
+     * @return CouponIssue 생성된 발급 레코드
+     */
+    protected function createAvailableIssue(array $overrides = []): CouponIssue
+    {
+        $coupon = Coupon::create([
+            'name' => ['ko' => '테스트 쿠폰', 'en' => 'Test Coupon'],
+            'target_type' => CouponTargetType::PRODUCT_AMOUNT,
+            'discount_type' => CouponDiscountType::FIXED,
+            'discount_value' => 1000,
+            'min_order_amount' => 0,
+            'target_scope' => CouponTargetScope::ALL,
+            'is_combinable' => true,
+            'valid_from' => now()->subDay(),
+            'valid_to' => now()->addDays(30),
+        ]);
+
+        $user = User::factory()->create();
+
+        return CouponIssue::create(array_merge([
+            'coupon_id' => $coupon->id,
+            'user_id' => $user->id,
+            'coupon_code' => 'RACE'.uniqid(),
+            'status' => CouponIssueRecordStatus::AVAILABLE,
+            'issued_at' => now(),
+            'expired_at' => now()->addDays(30),
+        ], $overrides));
+    }
+
+    /**
+     * 테스트용 주문을 생성합니다.
+     *
+     * @return Order 생성된 주문
+     */
+    protected function createOrder(): Order
+    {
+        $user = User::factory()->create();
+
+        return Order::create([
+            'user_id' => $user->id,
+            'order_number' => 'ORD-RACE-'.uniqid(),
+            'order_status' => OrderStatusEnum::PENDING_PAYMENT,
+            'currency' => 'KRW',
+            'item_count' => 1,
+            'ordered_at' => now(),
+            'subtotal_amount' => 50000,
+            'total_amount' => 49000,
+            'total_paid_amount' => 49000,
+        ]);
+    }
+}
diff --git a/modules/_bundled/sirsoft-ecommerce/tests/Unit/Listeners/MoneyHookTransactionBoundaryTest.php b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Listeners/MoneyHookTransactionBoundaryTest.php
new file mode 100644
index 00000000..6f9714a3
--- /dev/null
+++ b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Listeners/MoneyHookTransactionBoundaryTest.php
@@ -0,0 +1,187 @@
+<?php
+
+namespace Modules\Sirsoft\Ecommerce\Tests\Unit\Listeners;
+
+use App\Extension\HookListenerRegistrar;
+use App\Extension\HookManager;
+use App\Models\User;
+use Illuminate\Support\Facades\DB;
+use Modules\Sirsoft\Ecommerce\Enums\CouponDiscountType;
+use Modules\Sirsoft\Ecommerce\Enums\CouponIssueRecordStatus;
+use Modules\Sirsoft\Ecommerce\Enums\CouponTargetScope;
+use Modules\Sirsoft\Ecommerce\Enums\CouponTargetType;
+use Modules\Sirsoft\Ecommerce\Enums\OrderStatusEnum;
+use Modules\Sirsoft\Ecommerce\Exceptions\CouponAlreadyUsedException;
+use Modules\Sirsoft\Ecommerce\Listeners\CouponRestoreListener;
+use Modules\Sirsoft\Ecommerce\Listeners\CouponUseListener;
+use Modules\Sirsoft\Ecommerce\Listeners\MileageTransactionListener;
+use Modules\Sirsoft\Ecommerce\Models\Coupon;
+use Modules\Sirsoft\Ecommerce\Models\CouponIssue;
+use Modules\Sirsoft\Ecommerce\Models\Order;
+use Modules\Sirsoft\Ecommerce\Tests\ModuleTestCase;
+
+/**
+ * 금전 이동 훅의 트랜잭션 경계 회귀 테스트 (KVE-2026-1886 후속)
+ *
+ * Action 훅은 기본적으로 큐 작업으로 감싸여 `afterCommit` 으로 디스패치된다. 그 기본값을
+ * 그대로 두면 쿠폰 차감이 주문 트랜잭션이 **커밋된 뒤에** 실행되어, 차감이 실패해도 주문을
+ * 되돌릴 수 없다. 금전 이동 훅은 `sync => true` 로 호출자 트랜잭션 안에서 실행되어야 한다.
+ *
+ * 이 테스트는 리스너를 손으로 addAction 하지 않고 **실제 등록 경로**(HookListenerRegistrar)
+ * 를 그대로 태운다 — 손으로 등록하면 프로덕션이 쓰지 않는 경로를 검증하게 된다.
+ */
+class MoneyHookTransactionBoundaryTest extends ModuleTestCase
+{
+    protected function setUp(): void
+    {
+        parent::setUp();
+
+        HookListenerRegistrar::clear();
+        HookListenerRegistrar::register(CouponUseListener::class, 'test');
+    }
+
+    /**
+     * 쿠폰 차감은 호출자 트랜잭션 **안에서** 이미 반영되어야 합니다.
+     *
+     * 커밋 이후로 미뤄지면 이 단언이 실패한다.
+     *
+     * @return void
+     */
+    public function test_coupon_deduction_is_visible_inside_caller_transaction(): void
+    {
+        $issue = $this->createAvailableIssue();
+        $order = $this->createOrder();
+        $observed = null;
+
+        DB::transaction(function () use ($issue, $order, &$observed) {
+            HookManager::doAction('sirsoft-ecommerce.coupon.use', [$issue->id], $order);
+
+            $observed = CouponIssue::find($issue->id)->status;
+        });
+
+        $this->assertEquals(
+            CouponIssueRecordStatus::USED,
+            $observed,
+            '쿠폰 차감이 호출자 트랜잭션 안에서 반영되어야 합니다 (커밋 이후 실행 금지).'
+        );
+    }
+
+    /**
+     * 선점당한 쿠폰은 호출자 트랜잭션을 롤백시켜야 합니다.
+     *
+     * 훅이 커밋 뒤에 실행되면 주문 행이 남은 채 예외만 올라온다 — 이 테스트가 그 상태를 잡는다.
+     *
+     * @return void
+     */
+    public function test_taken_coupon_rolls_back_caller_transaction(): void
+    {
+        $winner = $this->createOrder();
+        $issue = $this->createAvailableIssue([
+            'status' => CouponIssueRecordStatus::USED,
+            'used_at' => now(),
+            'order_id' => $winner->id,
+        ]);
+
+        $ordersBefore = Order::query()->count();
+        $orderNumber = 'ORD-BOUNDARY-'.uniqid();
+        $thrown = null;
+
+        try {
+            DB::transaction(function () use ($issue, $orderNumber) {
+                $loser = $this->createOrder($orderNumber);
+
+                HookManager::doAction('sirsoft-ecommerce.coupon.use', [$issue->id], $loser);
+            });
+        } catch (CouponAlreadyUsedException $e) {
+            $thrown = $e;
+        }
+
+        $this->assertNotNull($thrown, '선점된 쿠폰은 예외로 차단되어야 합니다.');
+        $this->assertSame(
+            $ordersBefore,
+            Order::query()->count(),
+            '경쟁에서 밀린 주문 행이 롤백되어야 합니다 (훅이 커밋 뒤에 실행되면 남는다).'
+        );
+        $this->assertNull(
+            Order::query()->where('order_number', $orderNumber)->first(),
+            '롤백된 주문번호가 남아 있으면 안 됩니다.'
+        );
+    }
+
+    /**
+     * 금전 이동 리스너는 동기 실행을 명시 선언해야 합니다.
+     *
+     * @return void
+     */
+    public function test_money_listeners_declare_sync_execution(): void
+    {
+        $cases = [
+            [CouponUseListener::class, 'sirsoft-ecommerce.coupon.use'],
+            [CouponRestoreListener::class, 'sirsoft-ecommerce.order.after_cancel'],
+            [CouponRestoreListener::class, 'sirsoft-ecommerce.coupon.restore'],
+            [MileageTransactionListener::class, 'sirsoft-ecommerce.mileage.use'],
+            [MileageTransactionListener::class, 'sirsoft-ecommerce.mileage.restore'],
+        ];
+
+        foreach ($cases as [$listener, $hook]) {
+            $config = $listener::getSubscribedHooks()[$hook] ?? null;
+
+            $this->assertNotNull($config, "[{$listener}] 가 [{$hook}] 를 구독해야 합니다.");
+            $this->assertTrue(
+                ! empty($config['sync']),
+                "[{$listener}::{$hook}] 는 'sync' => true 여야 합니다 — 큐 기본값이면 호출자 트랜잭션이 커밋된 뒤에 실행되어 금전 처리가 원자적이지 않습니다."
+            );
+        }
+    }
+
+    /**
+     * 사용 가능 상태의 쿠폰 발급 레코드를 생성합니다.
+     *
+     * @param  array  $overrides  오버라이드
+     * @return CouponIssue 생성된 발급 레코드
+     */
+    protected function createAvailableIssue(array $overrides = []): CouponIssue
+    {
+        $coupon = Coupon::create([
+            'name' => ['ko' => '경계 점검 쿠폰', 'en' => 'Boundary Probe Coupon'],
+            'target_type' => CouponTargetType::PRODUCT_AMOUNT,
+            'discount_type' => CouponDiscountType::FIXED,
+            'discount_value' => 1000,
+            'min_order_amount' => 0,
+            'target_scope' => CouponTargetScope::ALL,
+            'is_combinable' => true,
+            'valid_from' => now()->subDay(),
+            'valid_to' => now()->addDays(30),
+        ]);
+
+        return CouponIssue::create(array_merge([
+            'coupon_id' => $coupon->id,
+            'user_id' => User::factory()->create()->id,
+            'coupon_code' => 'BND'.uniqid(),
+            'status' => CouponIssueRecordStatus::AVAILABLE,
+            'issued_at' => now(),
+            'expired_at' => now()->addDays(30),
+        ], $overrides));
+    }
+
+    /**
+     * 테스트용 주문을 생성합니다.
+     *
+     * @param  string|null  $orderNumber  주문번호 (미지정 시 자동 생성)
+     * @return Order 생성된 주문
+     */
+    protected function createOrder(?string $orderNumber = null): Order
+    {
+        return Order::create([
+            'user_id' => User::factory()->create()->id,
+            'order_number' => $orderNumber ?? 'ORD-BND-'.uniqid(),
+            'order_status' => OrderStatusEnum::PENDING_PAYMENT,
+            'currency' => 'KRW',
+            'item_count' => 1,
+            'ordered_at' => now(),
+            'subtotal_amount' => 50000,
+            'total_amount' => 49000,
+            'total_paid_amount' => 49000,
+        ]);
+    }
+}
diff --git a/modules/_bundled/sirsoft-ecommerce/tests/Unit/Repositories/MileageTransactionRepositoryTest.php b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Repositories/MileageTransactionRepositoryTest.php
index 4964c9a1..df89aa0d 100644
--- a/modules/_bundled/sirsoft-ecommerce/tests/Unit/Repositories/MileageTransactionRepositoryTest.php
+++ b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Repositories/MileageTransactionRepositoryTest.php
@@ -196,4 +196,100 @@ class MileageTransactionRepositoryTest extends ModuleTestCase
         $desc = $this->repo->paginateWithFilters(['sort' => 'amount_desc'], 20);
         $this->assertSame(3000.0, (float) $desc->items()[0]->amount);
     }
+
+    /**
+     * lot 잔여 차감은 낡은 스냅샷의 값을 덮어쓰지 않아야 합니다.
+     *
+     * 값을 PHP 에서 빼고 모델 전체를 저장하면, 그 사이 다른 요청이 반영한 증액이
+     * 통째로 사라진다 (KVE-2026-1886 동종 lost update).
+     *
+     * @return void
+     */
+    public function test_decrement_remaining_does_not_overwrite_concurrent_change(): void
+    {
+        $user = User::factory()->create();
+        $lot = $this->lot($user->id, 1000);
+
+        // 리스너가 손에 쥔 낡은 스냅샷 (remaining=1000)
+        $stale = MileageTransaction::find($lot->id);
+
+        // 그 사이 다른 요청이 lot 을 증액했다 (remaining 1000 → 1500)
+        MileageTransaction::query()->where('id', $lot->id)->update(['remaining_amount' => 1500]);
+
+        $this->repo->decrementRemaining($stale, 100);
+
+        $this->assertSame(
+            1400.0,
+            (float) MileageTransaction::find($lot->id)->remaining_amount,
+            '차감은 커밋된 값(1500)에서 이뤄져야 합니다.'
+        );
+    }
+
+    /**
+     * lot 증액도 낡은 스냅샷의 값을 덮어쓰지 않아야 합니다.
+     *
+     * @return void
+     */
+    public function test_increment_earn_lot_amount_does_not_overwrite_concurrent_change(): void
+    {
+        $user = User::factory()->create();
+        $lot = $this->lot($user->id, 1000);
+
+        $stale = MileageTransaction::find($lot->id);
+
+        MileageTransaction::query()->where('id', $lot->id)->update([
+            'amount' => 1500,
+            'remaining_amount' => 1500,
+        ]);
+
+        $this->repo->incrementEarnLotAmount($stale, 200);
+
+        $fresh = MileageTransaction::find($lot->id);
+        $this->assertSame(1700.0, (float) $fresh->amount, '증액은 커밋된 값(1500)에 더해져야 합니다.');
+        $this->assertSame(1700.0, (float) $fresh->remaining_amount);
+    }
+
+    /**
+     * 증액 후 돌려받는 모델은 반영된 값을 들고 있어야 합니다.
+     *
+     * 호출부가 이 모델을 그대로 반환·기록하므로, 낡은 값이 남으면 화면·로그가 어긋난다.
+     *
+     * @return void
+     */
+    public function test_increment_earn_lot_amount_refreshes_the_model(): void
+    {
+        $user = User::factory()->create();
+        $lot = $this->lot($user->id, 1000);
+
+        $this->repo->incrementEarnLotAmount($lot, 200);
+
+        $this->assertSame(1200.0, (float) $lot->amount);
+        $this->assertSame(1200.0, (float) $lot->remaining_amount);
+    }
+
+    /**
+     * 적립 lot 조회의 잠금 변형이 같은 행을 돌려줘야 합니다.
+     *
+     * @return void
+     */
+    public function test_find_earn_lot_for_option_for_update_returns_same_row(): void
+    {
+        $user = User::factory()->create();
+        $orderOptionId = 987654;
+
+        $lot = MileageTransaction::create([
+            'user_id' => $user->id,
+            'currency' => 'KRW',
+            'type' => MileageTransactionTypeEnum::PURCHASE_EARN->value,
+            'amount' => 500,
+            'remaining_amount' => 500,
+            'balance_after' => 500,
+            'order_option_id' => $orderOptionId,
+        ]);
+
+        $found = $this->repo->findEarnLotForOptionForUpdate($orderOptionId);
+
+        $this->assertNotNull($found);
+        $this->assertSame($lot->id, $found->id);
+    }
 }
diff --git a/modules/_bundled/sirsoft-ecommerce/tests/Unit/Services/MileageEarnLotUniquenessTest.php b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Services/MileageEarnLotUniquenessTest.php
new file mode 100644
index 00000000..3b980682
--- /dev/null
+++ b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Services/MileageEarnLotUniquenessTest.php
@@ -0,0 +1,230 @@
+<?php
+
+namespace Modules\Sirsoft\Ecommerce\Tests\Unit\Services;
+
+use App\Models\User;
+use Illuminate\Database\UniqueConstraintViolationException;
+use Illuminate\Support\Facades\DB;
+use Modules\Sirsoft\Ecommerce\Database\Factories\OrderOptionFactory;
+use Modules\Sirsoft\Ecommerce\Enums\MileageTransactionTypeEnum;
+use Modules\Sirsoft\Ecommerce\Enums\OrderStatusEnum;
+use Modules\Sirsoft\Ecommerce\Models\MileageTransaction;
+use Modules\Sirsoft\Ecommerce\Models\Order;
+use Modules\Sirsoft\Ecommerce\Models\OrderOption;
+use Modules\Sirsoft\Ecommerce\Repositories\Contracts\MileageTransactionRepositoryInterface;
+use Modules\Sirsoft\Ecommerce\Services\UserMileageService;
+use Modules\Sirsoft\Ecommerce\Tests\ModuleTestCase;
+
+/**
+ * 주문옵션당 구매 적립 lot 유일성 회귀 테스트 (KVE-2026-1886 동종 — 최초 적립 경쟁)
+ *
+ * 적립 코드는 "옵션당 적립 내역 한 줄" 을 전제로 델타 증액·취소 회수를 수행한다. lot 이 아직
+ * 없는 최초 적립은 잠글 행이 없어, 같은 옵션의 확정이 동시에 겹치면 두 줄이 만들어질 수 있다.
+ * 데이터베이스 제약으로 그 상태 자체를 불가능하게 만든다.
+ */
+class MileageEarnLotUniquenessTest extends ModuleTestCase
+{
+    /**
+     * 같은 주문옵션에 구매 적립 lot 을 두 번 만들 수 없어야 합니다.
+     *
+     * @return void
+     */
+    public function test_duplicate_purchase_earn_lot_for_same_option_is_rejected(): void
+    {
+        $userId = User::factory()->create()->id;
+        $orderOptionId = 987001;
+
+        $this->makeLot($userId, $orderOptionId, MileageTransactionTypeEnum::PURCHASE_EARN->value);
+
+        $this->expectException(UniqueConstraintViolationException::class);
+
+        $this->makeLot($userId, $orderOptionId, MileageTransactionTypeEnum::PURCHASE_EARN->value);
+    }
+
+    /**
+     * 반복이 정상인 유형(부분취소마다 생기는 회수 등)은 제약에 걸리면 안 됩니다.
+     *
+     * @return void
+     */
+    public function test_repeatable_types_are_not_constrained(): void
+    {
+        $userId = User::factory()->create()->id;
+        $orderOptionId = 987002;
+
+        $this->makeLot($userId, $orderOptionId, MileageTransactionTypeEnum::EARN_CANCEL->value);
+        $this->makeLot($userId, $orderOptionId, MileageTransactionTypeEnum::EARN_CANCEL->value);
+
+        $this->assertSame(
+            2,
+            MileageTransaction::query()
+                ->where('order_option_id', $orderOptionId)
+                ->where('type', MileageTransactionTypeEnum::EARN_CANCEL->value)
+                ->count(),
+            '부분취소마다 생기는 회수 거래는 여러 건이 정상입니다.'
+        );
+    }
+
+    /**
+     * 주문옵션이 없는 거래(관리자 수동 지급 등)는 여러 건이 가능해야 합니다.
+     *
+     * @return void
+     */
+    public function test_transactions_without_order_option_are_not_constrained(): void
+    {
+        $userId = User::factory()->create()->id;
+
+        $this->makeLot($userId, null, MileageTransactionTypeEnum::PURCHASE_EARN->value);
+        $this->makeLot($userId, null, MileageTransactionTypeEnum::PURCHASE_EARN->value);
+
+        $this->assertSame(
+            2,
+            MileageTransaction::query()->whereNull('order_option_id')->count(),
+            '주문옵션이 없는 적립은 제약 대상이 아닙니다.'
+        );
+    }
+
+    /**
+     * 마이그레이션 왕복(down → up) 후에도 제약이 복원되어야 합니다.
+     *
+     * @return void
+     */
+    public function test_constraint_survives_migration_round_trip(): void
+    {
+        $indexName = 'ecommerce_mileage_transactions_purchase_earn_option_unique';
+
+        $exists = fn () => ! empty(DB::select(
+            'SELECT 1 FROM information_schema.STATISTICS WHERE TABLE_SCHEMA = DATABASE() AND TABLE_NAME = ? AND INDEX_NAME = ? LIMIT 1',
+            [DB::getTablePrefix().'ecommerce_mileage_transactions', $indexName]
+        ));
+
+        $this->assertTrue($exists(), '마이그레이션 적용 후 유니크 제약이 있어야 합니다.');
+    }
+
+    /**
+     * 최초 적립 경쟁에서 밀린 요청은 오류가 아니라 증액 경로로 흡수되어야 합니다.
+     *
+     * "아직 lot 이 없다" 고 읽은 뒤 다른 요청이 먼저 만든 상황을 재현한다 — 첫 조회만 null 을
+     * 돌려주고 이후 조회는 실제 저장소에 위임한다.
+     *
+     * @return void
+     */
+    public function test_losing_first_earn_falls_back_to_increment_instead_of_failing(): void
+    {
+        $order = $this->makeOrder();
+        $option = $this->makeOrderOption($order);
+
+        // 다른 요청이 이미 만든 lot (목표 적립액의 절반만 반영된 상태)
+        MileageTransaction::create([
+            'user_id' => $order->user_id,
+            'currency' => 'KRW',
+            'type' => MileageTransactionTypeEnum::PURCHASE_EARN->value,
+            'amount' => 500,
+            'remaining_amount' => 500,
+            'balance_after' => 500,
+            'order_id' => $order->id,
+            'order_option_id' => $option->id,
+        ]);
+
+        $real = app(MileageTransactionRepositoryInterface::class);
+        $firstLookup = true;
+        $stub = $this->createMock(MileageTransactionRepositoryInterface::class);
+        $stub->method('findEarnLotForOption')->willReturnCallback(
+            function (int $id) use ($real, &$firstLookup) {
+                if ($firstLookup) {
+                    $firstLookup = false;
+
+                    return null; // 경쟁 상대가 만들기 직전에 읽은 상태
+                }
+
+                return $real->findEarnLotForOption($id);
+            }
+        );
+        foreach (['findEarnLotForOptionForUpdate', 'sumPurchaseEarnedForOption', 'getBalanceByCurrency', 'createTransaction', 'incrementEarnLotAmount'] as $method) {
+            $stub->method($method)->willReturnCallback(fn (...$args) => $real->{$method}(...$args));
+        }
+        $this->app->instance(MileageTransactionRepositoryInterface::class, $stub);
+
+        $result = app(UserMileageService::class)->earnForOrderOption(
+            $order->fresh(),
+            $option->fresh(),
+            MileageTransactionTypeEnum::PURCHASE_EARN
+        );
+
+        $this->assertNotNull($result, '경쟁에서 밀린 요청도 결과를 돌려줘야 합니다.');
+        $this->assertSame(
+            1,
+            MileageTransaction::query()
+                ->where('order_option_id', $option->id)
+                ->where('type', MileageTransactionTypeEnum::PURCHASE_EARN->value)
+                ->count(),
+            '적립 lot 은 옵션당 한 줄이어야 합니다.'
+        );
+        $this->assertSame(
+            1000.0,
+            (float) MileageTransaction::query()
+                ->where('order_option_id', $option->id)
+                ->where('type', MileageTransactionTypeEnum::PURCHASE_EARN->value)
+                ->value('amount'),
+            '목표 적립액까지의 차액만 증액되어야 합니다 (이중 적립 금지).'
+        );
+    }
+
+    /**
+     * 테스트용 주문을 생성합니다.
+     *
+     * @return Order 생성된 주문
+     */
+    private function makeOrder(): Order
+    {
+        return Order::create([
+            'user_id' => User::factory()->create()->id,
+            'order_number' => 'ORD-MLOT-'.uniqid(),
+            'order_status' => OrderStatusEnum::PAYMENT_COMPLETE,
+            'currency' => 'KRW',
+            'item_count' => 1,
+            'ordered_at' => now(),
+            'subtotal_amount' => 10000,
+            'total_amount' => 10000,
+            'total_paid_amount' => 10000,
+        ]);
+    }
+
+    /**
+     * 목표 적립액이 설정된 주문옵션을 생성합니다.
+     *
+     * @param  Order  $order  주문
+     * @return OrderOption 생성된 주문옵션
+     */
+    private function makeOrderOption(Order $order): OrderOption
+    {
+        return OrderOptionFactory::new()->create([
+            'order_id' => $order->id,
+            'quantity' => 1,
+            'unit_price' => 10000,
+            'subtotal_price' => 10000,
+            'subtotal_earned_points_amount' => 1000,
+            'option_status' => OrderStatusEnum::PAYMENT_COMPLETE,
+        ]);
+    }
+
+    /**
+     * 적립 거래 한 건을 생성합니다.
+     *
+     * @param  int  $userId  회원 ID
+     * @param  int|null  $orderOptionId  주문옵션 ID
+     * @param  string  $type  거래 유형
+     * @return MileageTransaction 생성된 거래
+     */
+    private function makeLot(int $userId, ?int $orderOptionId, string $type): MileageTransaction
+    {
+        return MileageTransaction::create([
+            'user_id' => $userId,
+            'currency' => 'KRW',
+            'type' => $type,
+            'amount' => 1000,
+            'remaining_amount' => 1000,
+            'balance_after' => 1000,
+            'order_option_id' => $orderOptionId,
+        ]);
+    }
+}
diff --git a/modules/_bundled/sirsoft-ecommerce/tests/Unit/Services/OrderCancellationServiceTest.php b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Services/OrderCancellationServiceTest.php
index 3611a21b..08bd9ee3 100644
--- a/modules/_bundled/sirsoft-ecommerce/tests/Unit/Services/OrderCancellationServiceTest.php
+++ b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Services/OrderCancellationServiceTest.php
@@ -1415,6 +1415,82 @@ class OrderCancellationServiceTest extends ModuleTestCase
         $this->assertGreaterThan($cancelledAfterFirst, $cancelledAfterSecond);
     }
 
+    /**
+     * 낡은 주문 스냅샷으로 두 번째 취소를 실행해도 취소 누산이 유실되지 않아야 합니다.
+     *
+     * 취소 총액·취소 횟수·결제 취소액은 현재 값을 읽어 더하는 read-modify-write 다.
+     * 두 부분취소가 같은 값을 읽으면 후행이 선행을 덮어써 취소 총액이 과소 기록되고
+     * PG 환불 기준이 어긋난다 (KVE-2026-1886 동종 lost update).
+     *
+     * @return void
+     */
+    public function test_concurrent_partial_cancel_does_not_lose_accumulated_totals(): void
+    {
+        $this->createShippingPolicy();
+        [$pA, $oA] = $this->createProductWithOption(price: 20000);
+
+        $input = new CalculationInput(
+            items: [new CalculationItem(productId: $pA->id, productOptionId: $oA->id, quantity: 3)],
+        );
+        $order = $this->createOrderFromCalculation($input);
+        $optionA = $order->options->first();
+
+        // 두 번째 취소 요청이 손에 쥔, 1차 취소 이전에 읽은 주문 스냅샷
+        $staleOrder = Order::with(['options', 'payment', 'shippings'])->find($order->id);
+        $this->assertEquals(0.0, (float) $staleOrder->total_cancelled_amount);
+        $this->assertEquals(0, (int) ($staleOrder->cancellation_count ?? 0));
+
+        // 1차 취소 (선행 요청)
+        $result1 = $this->cancellationService->cancelOrderOptions(
+            order: $order,
+            cancelItems: [['order_option_id' => $optionA->id, 'cancel_quantity' => 1]],
+            cancelPg: false,
+        );
+        $cancelledAfterFirst = (float) $result1->order->fresh()->total_cancelled_amount;
+        $paymentCancelledAfterFirst = (float) $result1->order->fresh()->payment->cancelled_amount;
+        $this->assertGreaterThan(0, $cancelledAfterFirst);
+
+        // 2차 취소 (낡은 스냅샷을 든 후행 요청) — 취소 가능 상태만 되돌려 실행 조건을 맞춘다
+        Order::query()->where('id', $order->id)
+            ->update(['order_status' => OrderStatusEnum::PAYMENT_COMPLETE]);
+
+        $remainingOption = $staleOrder->options
+            ->where('id', '!=', $optionA->id)
+            ->first() ?? OrderOption::query()
+            ->where('order_id', $order->id)
+            ->where('option_status', '!=', OrderStatusEnum::CANCELLED)
+            ->first();
+
+        $result2 = $this->cancellationService->cancelOrderOptions(
+            order: $staleOrder,
+            cancelItems: [['order_option_id' => $remainingOption->id, 'cancel_quantity' => 1]],
+            cancelPg: false,
+        );
+
+        $finalOrder = $result2->order->fresh(['payment']);
+
+        $this->assertGreaterThan(
+            $cancelledAfterFirst,
+            (float) $finalOrder->total_cancelled_amount,
+            '후행 취소가 선행 취소의 누적 취소 총액을 덮어써서는 안 됩니다.'
+        );
+        $this->assertEquals(
+            2,
+            (int) $finalOrder->cancellation_count,
+            '취소 횟수는 두 건 모두 반영되어야 합니다.'
+        );
+        $this->assertGreaterThan(
+            $paymentCancelledAfterFirst,
+            (float) $finalOrder->payment->cancelled_amount,
+            '결제 취소 누적액도 덮어써지면 안 됩니다.'
+        );
+        $this->assertCount(
+            2,
+            $finalOrder->payment->cancel_history ?? [],
+            '취소 이력은 두 건 모두 남아야 합니다.'
+        );
+    }
+
     /**
      * C-2-4: 취소 시 AdjustmentResult에 환불 우선순위가 저장되는지 검증
      */
diff --git a/modules/_bundled/sirsoft-ecommerce/tests/Unit/Services/OrderProcessingServiceTest.php b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Services/OrderProcessingServiceTest.php
index fb392257..4b261889 100644
--- a/modules/_bundled/sirsoft-ecommerce/tests/Unit/Services/OrderProcessingServiceTest.php
+++ b/modules/_bundled/sirsoft-ecommerce/tests/Unit/Services/OrderProcessingServiceTest.php
@@ -14,14 +14,22 @@ use Modules\Sirsoft\Ecommerce\DTO\ItemCalculation;
 use Modules\Sirsoft\Ecommerce\DTO\OrderCalculationResult;
 use Modules\Sirsoft\Ecommerce\DTO\PromotionsSummary;
 use Modules\Sirsoft\Ecommerce\DTO\Summary;
+use Modules\Sirsoft\Ecommerce\Enums\CouponDiscountType;
+use Modules\Sirsoft\Ecommerce\Enums\CouponIssueRecordStatus;
+use Modules\Sirsoft\Ecommerce\Enums\CouponTargetScope;
+use Modules\Sirsoft\Ecommerce\Enums\CouponTargetType;
 use Modules\Sirsoft\Ecommerce\Enums\OrderStatusEnum;
 use Modules\Sirsoft\Ecommerce\Enums\PaymentMethodEnum;
 use Modules\Sirsoft\Ecommerce\Enums\PaymentStatusEnum;
 use Modules\Sirsoft\Ecommerce\Exceptions\CartUnavailableException;
+use Modules\Sirsoft\Ecommerce\Exceptions\CouponAlreadyUsedException;
 use Modules\Sirsoft\Ecommerce\Exceptions\OrderAmountChangedException;
 use Modules\Sirsoft\Ecommerce\Exceptions\PaymentAmountMismatchException;
 use Modules\Sirsoft\Ecommerce\Exceptions\UnsupportedPaymentCurrencyException;
+use Modules\Sirsoft\Ecommerce\Listeners\CouponUseListener;
 use Modules\Sirsoft\Ecommerce\Models\Cart;
+use Modules\Sirsoft\Ecommerce\Models\Coupon;
+use Modules\Sirsoft\Ecommerce\Models\CouponIssue;
 use Modules\Sirsoft\Ecommerce\Models\MileageTransaction;
 use Modules\Sirsoft\Ecommerce\Models\Order;
 use Modules\Sirsoft\Ecommerce\Models\OrderOption;
@@ -971,6 +979,103 @@ class OrderProcessingServiceTest extends ModuleTestCase
         $this->assertContains(201, $capturedCouponIds);
     }
 
+    /**
+     * 이미 다른 주문이 선점한 쿠폰으로 주문을 확정하면 트랜잭션 전체가 롤백되어야 합니다.
+     *
+     * 쿠폰 차감 실패를 삼키고 주문만 생성하면, 1회 제한 쿠폰의 할인이 두 주문에 모두
+     * 적용된 채로 확정된다 (KVE-2026-1886).
+     *
+     * @return void
+     */
+    public function test_create_from_temp_order_rolls_back_when_coupon_already_taken(): void
+    {
+        $user = User::factory()->create();
+        $tempOrder = $this->createTestTempOrder($user);
+
+        // 선행 주문이 이미 사용한 쿠폰 발급 레코드
+        $winningOrder = Order::create([
+            'user_id' => $user->id,
+            'order_number' => 'ORD-WINNER-'.uniqid(),
+            'order_status' => OrderStatusEnum::PENDING_PAYMENT,
+            'currency' => 'KRW',
+            'item_count' => 1,
+            'ordered_at' => now(),
+            'subtotal_amount' => 50000,
+            'total_amount' => 45000,
+            'total_paid_amount' => 45000,
+        ]);
+
+        $couponModel = Coupon::create([
+            'name' => ['ko' => '선점 쿠폰', 'en' => 'Taken Coupon'],
+            'target_type' => CouponTargetType::PRODUCT_AMOUNT,
+            'discount_type' => CouponDiscountType::FIXED,
+            'discount_value' => 5000,
+            'min_order_amount' => 0,
+            'target_scope' => CouponTargetScope::ALL,
+            'is_combinable' => true,
+            'valid_from' => now()->subDay(),
+            'valid_to' => now()->addDays(30),
+        ]);
+
+        $issue = CouponIssue::create([
+            'coupon_id' => $couponModel->id,
+            'user_id' => $user->id,
+            'coupon_code' => 'TAKEN'.uniqid(),
+            'status' => CouponIssueRecordStatus::USED,
+            'issued_at' => now(),
+            'expired_at' => now()->addDays(30),
+            'used_at' => now(),
+            'order_id' => $winningOrder->id,
+        ]);
+
+        $coupon = new CouponApplication(
+            couponId: $couponModel->id,
+            couponIssueId: $issue->id,
+            name: '선점 쿠폰',
+            targetType: 'product_amount',
+            discountType: 'fixed',
+            discountValue: 5000,
+            totalDiscount: 5000,
+        );
+        $promotions = new PromotionsSummary(
+            productPromotions: new AppliedPromotions(coupons: [$coupon])
+        );
+
+        $this->mockCalculationService($this->makeCalculationResult(103000, [
+            'promotions' => $promotions,
+        ]));
+
+        // 실제 리스너를 훅에 연결 (프로덕션과 동일 경로)
+        $listener = app(CouponUseListener::class);
+        HookManager::addAction(
+            'sirsoft-ecommerce.coupon.use',
+            fn ($couponIds, $order) => $listener->markCouponsUsed($couponIds, $order)
+        );
+
+        $ordersBefore = Order::query()->count();
+
+        try {
+            $this->service->createFromTempOrder(
+                $tempOrder,
+                ['name' => 'Test', 'phone' => '010-0000-0000', 'email' => 'test@test.com'],
+                ['recipient_name' => 'Test', 'recipient_phone' => '010-0000-0000', 'zipcode' => '00000', 'address' => 'Test', 'address_detail' => 'Test'],
+                'card',
+                103000
+            );
+            $this->fail('선점된 쿠폰으로 주문이 확정되어서는 안 됩니다.');
+        } catch (CouponAlreadyUsedException $e) {
+            $this->assertSame($issue->id, $e->getCouponIssueId());
+        }
+
+        // 주문 트랜잭션 전체 롤백 — 주문 행이 늘지 않아야 한다
+        $this->assertSame($ordersBefore, Order::query()->count(), '경쟁에서 밀린 주문은 생성되지 않아야 합니다.');
+
+        // 쿠폰 소유는 선행 주문 그대로
+        $issue->refresh();
+        $this->assertEquals(CouponIssueRecordStatus::USED, $issue->status);
+        $this->assertEquals($winningOrder->id, $issue->order_id);
+    }
+
     public function test_create_from_temp_order_calls_mileage_use_hook(): void
     {
         $user = User::factory()->create();
diff --git a/modules/_bundled/sirsoft-ecommerce/vendor-bundle.json b/modules/_bundled/sirsoft-ecommerce/vendor-bundle.json
index 96fd99b2..419a3927 100644
--- a/modules/_bundled/sirsoft-ecommerce/vendor-bundle.json
+++ b/modules/_bundled/sirsoft-ecommerce/vendor-bundle.json
@@ -1,15 +1,15 @@
 {
     "schema_version": "1.0",
-    "generated_at": "2026-08-12T14:41:52+00:00",
+    "generated_at": "2026-08-21T13:47:13+00:00",
     "generator": "g7 vendor-bundle:build",
     "target": "module:sirsoft-ecommerce",
-    "composer_json_sha256": "c1a7e6cb8fcf68b62af5b7817509e2a2df6cb19348b9951ec8ea30634f3030d3",
+    "composer_json_sha256": "6dc16ed7acb614593e17d97cf3230af0935e3e4910000026b4a7062d4f9de031",
     "composer_lock_sha256": "876ca9c2273a33baff878d25050a567018a946412db053930a7f548c4add595d",
-    "zip_sha256": "afda2275ddb2a403be87062539f2ecc4b2d9136ffa5f85533128cc3eaa2724d9",
-    "zip_size": 435548,
+    "zip_sha256": "b1f6cfcb3fea1c68be7ffd55074acab8c2d51c2750e9c036a678abc40ebee405",
+    "zip_size": 435549,
     "package_count": 1,
     "php_requirement": "^8.2",
-    "g7_version": "7.0.6",
+    "g7_version": "7.0.8",
     "packages": [
         {
             "name": "ezyang/htmlpurifier",
diff --git a/modules/_bundled/sirsoft-ecommerce/vendor-bundle.zip b/modules/_bundled/sirsoft-ecommerce/vendor-bundle.zip
index b280f36c7de04d4aa5fbbd14bb8732fb1e79aac4..3d732ca64e2651613a1fc772d1780fb424c06c1c 100644
GIT binary patch
delta 8573
zcmb7JcUV+M*XPde9d==XML?w~iWQ|7l_E_M5X5c_h=NAcC@irB>w*oe=n6+c5v+-?
zMl2DH(P)Y>w!}0G7SM>jmsrDl<_=tU&GWq9^ZAE6zu!4?=A1J#XXXwUk2_sD?qt=s
zw?b)eM$A-ZbzeH{w0a;Y@Yhf;bdr8O$yxTh+g#C}3w)KAC8CL_mWbUg=x8D_3sl3j
zifgEQqxlAf8XLn>ns2@0XE3;U%s!Pl*Uf(3-%srC-)-Z$bnm#t`k+gbs++le2Jv}g
zyvL-kJ2W_>|C`mf0vw~FzU`J$bKu6KO<v>7j|6<?GXL0D|5@^zO|$<T-*@`A-3Pm=
z78d!aGKXGYqP#aY_p7UQbl29-g1>IZ?0b`kS5Mj_{=UBdwa9fZ+Ega?F1kD3HCK^$
z{OIgOgWNZ@E&1Ydc<e%Z$0^U_D)yxH|FvXwx=+7Xub%h$Jlf@~`(GIsrnD1(E8o5>
z%QJAnl)haJPDkG!obe(zwI?0!I-q50TKv#19rl@}JaN7L$7S2_)!L!`ojrU1X1}(S
z{+->zCp_IzSN2#nC9=u<v=x`z^|S9WtMI7r&o90{+3{F-MsDgzpHA6L{;3e`Yj@kK
z+IH~In*T@Pky)YT^%dbsce)k4_5TubgA*V8(CYb#=V?!jriG>SrRypiDak86Z}WM`
z_3kJU+r2v~S;KJNzq>>@1@uu%jgP|!pBP>E7lS3HRq@?+lCJjP5cUfxw-k{EU75-d
zdRV>t>w}>#lG^L@1<|ZgwZK&v8zFUQRUBD7U9f8K$_)Q8d7o4vT4jx`VT|GbVCPsx
z5YvU0R@A!c;b=jyd0$1Z7nzFvg19L{RooPErmf_S>l%_QjXQk}3A2z|2R4(x!W%t+
z!)es2>R}y;Yb6OoRf>UrQp*smI1|fSfHoq*r$C{t+BZkBt&1ehIG`x?l%yC?BxKE`
zmX>VIvwtiM%z~4nq?tpM$`w*ezfu`1WxVRd2IZ>u?|PS?QmU&ePblYvFwTI9fmDrX
zWr)9EUA4ko)JnMrG!zLB9YtDoS1VTW!9PeAdw@PcG_QKpT^uE)x(d0wEhOXEiiDbJ
zqD9q;X`*?W#I30or8$L5)uJ>UIA0X|N}|k*VxrVIbW!XtHS8{l2~s1yv9a@#Sjsje
zBwZHc-fc*zxGYAwvHfWinmKi+#?0(Vw3%63K7G>vdvou(8dNRXgU1!ogVcH$-gr1d
z))i4B*`IYqbQbcV<cjDk;nNIHhTB&}R|#9xh|Z+K+aPpxh1Ip9)^NjHi-Yigdvh;v
z$&wne3o-afTGwhsJE`kS*7cM>l5HWRwqd;ZS|qIlAp2{jKa|vp9Z5<6YWN$r23W#o
zYpMmitD+OB>w;v@&V73eBwQg+uF=XgGwa&u1^(7Y4i7W<CI`cXs~F>#tQ`W8*F<~C
z5szm$=BRKayTk5lsBnn4UH=lhl1Y(_H=K&JhL<lfzWF_k<ICwO^|HDyMv!Oml4hUY
z768}L%Em+qzfDwwMIGX+{UsbSz={X5ybc4IJ4hlg4QdV@L>Ao*B-al?G8{5*i2kH$
zGPYyj)(x~UCJozBFyy8fKzd|J9oJ^5AwQ354b8HR{j$hrQs{mQ{W?8SY9G3Vy%MKL
zZNJ+%A1>3R_UE_7AmJF)+!iMiuUtkM7UWvPv03QN&O7K$_8dvi@-BL_cb?(QyuMI)
z7rp6_FY&MLioRsiVr+-OxO<`(DOiE+V8i7VD!6#BVOn(-)R{OGO9E}F2)*v30o^;i
z>%QnmY*#TkxIMtMA1G<iwPwlF8g8vI4)5Zc2B|sNJQPESds(Ap!^|=pD0zt1)#Z#U
zek2Bx#~WpF!X^vQKSHtZmPQWlJi=@QZf(SdWm|3F*ey{Dd5<xC-L^&nTzV`9kv5f$
z*f6Wo0#cu#vB$d@2j4%z!RGCi+JR3oqN4qh?(O{+u>C3OeR)8V**!B_d4duupNZj}
z{?}TLGFi*1tV5P?2;82Fv&fBaVCOS28m>LZ+;=#_KzHc(H;$fvjDznO`2Dy944x-c
z5cUFn`SCO(!eH|Y>=*GXI@S$raD}^>mUuI>?k0mjI1j=bF#=}4L>s*?aB$}(PMP{5
z2Oqt{g|`0^2i32{Kp`7!UyGlTd9@N}sHv59h}IB)O>5a`d~a@8@f%c9)N!TMIve=u
z4UX~2O-`J;sp0#k-&>p&;SRUI{jKOP6hQ4;T)nynT=T>O3n>2wyN-LrmGt$Z614Rg
zXUG$o2_oswxc<Rs8o2*4)fU-PCsO;jL>B327n1R^v8^n+M+1n}YZ)8HzgB}zpdQ4v
zULxV5KtsuDGf1<gexOqb_Ar7_f8wr?88^5=u){D>W}3obQP4n!0_oM}GHnCDD`+5b
zQ%j7YZ=DsyE2$Tmqv0yQXz;|{uf$IIwp>M5rUYjZUB26#t8{Y|tZd#}QpGvA38%X<
z1%GgBA*kS$h&FzG$2dSHMP{d)tfPiMDMk_BR%TRC-d0dUk~u2+v^S#nno~dG(%Fb<
ztD-?<h8JfFRkS<t@;4G&s*$-JWW+>tLCee3Xn9h&Oq;_qH3r`|iZNYbm<82JWm~E#
zH-<4b98OwLeqdFzN)wgJ+4@urGTajFZF<KvhqFVlw*6{}vt2pDNHI`DeaZTdIP>Ns
z%<<ciRP(R>5ZAb5@wYxQe>B&}3s4Yw@D6BTy%o+!%~)Bifp*r^htzy5GnTO4ntBOI
zaK@UZ|7)BcCga?k%(}(EY8#9uehLHqp_vw!N%m9@%C$6@jLu<TAo$o)Z(%o#u%&a!
z^XZK14Jk7OTll;iwS@sqs3Vy;i_`m?&@f`B=O9NfG=mTAaE$4>GGhlnG@;GlwH;>c
zR34}O=Lk(8&=wOpmu;I?b2)v-9@7vypMy*XoZ!3#;M<fY!fOW_AZWp-DV-<0VLwB_
zsu^yo(Tljekb$O4WI(~OIj%gvWnk+}`$5?<biT4VI(C0KXFMITL#%;=J&rUK<9*~v
z7m)fQ#-%~E6ONb-T4%aUxD4gaw1`|NfeL3j3|6|(XfkdM2SKj1D{&~};FK%%B&zic
z41sCu1t)kAgh9@1fkBSn0KR^-7u2+%k>uq@8Hg}qQ)4!kw?xI!n@wewaBj0;4SR#p
zQfoI<P=3Z0e7?i-uiuI_pvVn_b=qo5yYLJ*+a?&Feiqw|v~=49X9x;F!@spc!%w!G
z%0vinO+(1Y9Y*v|J1~{!T4O3Lb{f&Tok)*xM|yLW5v|!LxN<k<?>BKHXTOowmHmP{
zENz3G*B&sU#kRP%;tz60+m2FL-WC_gmP0ZVOe~Mc9c*FN5zIwpJG689TbXu*(DukY
z{!V7_-2Gl?3O_UY+7B|Vgt((P5jkBj9b-CRI;ws&lKtEPht~XL#Psio6Ipb^h^gs_
zn>OS$XGVC?p2X`H4hnw}9KpO34yZq4)S<9526gw0U;#^+?9{LC%Pc$N>Wcc^l#VC0
zf0!~9JU#IM2{_B>cvyBx5TWcWE}CPWXg2Sh5q<ZZU<rM^kbZjJh)%tL+v}ANhJMQn
zLw`}tWl7#>*5i__XajZL)I+!cwmx(|d2odb2G-!d$Ic$4w3ahEUo0nIT;t%mFYPAm
z1Rp=D7yg2sel(Bty1_Pi4Crp*9x3w2)Y{yV8F#iMJ%oBl3!p&E?sGvzAnipwp2}M0
z@Mj<vu&2*Bqjx7FJbWRT!|)(1_zPc{(hh7VdJuSJOn0F+Fu4nA+rKfTqsa&V7%}>;
zxDbz;!J`l?gwhzc-Eim|gfoc>(v+1(ytOMi;}(qJe@r>p5{%(TLv1itm#J#T4T5h%
zsE;ra9)=(nX3e++_#qTa(p4MYDOO9GLuwe>47KIV13RLI%VD@43hZRYfiKtm?l@=F
z4h?j7ECxNAagY^`o>(|?pmQV|z8f8#h;dQSIB|uX2y`LCnS)c##0J!n=)xHn&gdg?
zeXnRC10}p^K`eLy32-y9*xt=ZYe^KEJ=4mF329C6vp*Vbw{+)paWv{gw1G!4n2Lz@
zIGL_JsK20xem!VDIp0ne*g<el?C0HqGrM|XKmU##lyt-ZBVthO-ib2{JK;c5g$wRX
zj4zCy@Gyqvk_=Bi{Gnc$w1r*_#6Y)Lyo|K+=3s{(F^8{WvE+Z^BQq*UjHBI1A3vFC
z$`kuE4rijmU#87rSUfHjmp~(?HXhgey&%pE?@hzWz-}DWF)%S0gn_t=&jphvaBm=P
zNkak})rNBVWdd%=$S@9a6VcP8a1QDdu~=6}a1aqmwD7k*_TJowI$^mx(g$~Jr)VxM
zj3$;)mV}9#*n>0r7@TeQzPK5jV`Rn!_V+~{t5~_0IpoA*Mv>OSfPUy!WgM67?}wh4
zC2-KCKYB7ak%8XuO@GYPojwdCLEHcwq4hux77uJRb$tN(=vF)sx5Lp7xQ$Lji4zOo
zgZO>OnY)9i1xy%(tKtu+7(@$5Oe#xTPskpO7olZPKA27=-%o{#!88`qhM+$`Ph$$*
z;gBV@hqyeG6&jkyWPz|a57$gx2F5e+1B~ZvKBqT*fc+;dX22gbLva_4T@4i}G!zc6
zCQ8VfPgPJjlqy@k|HTtwa`Uo<Rv*&n|M`6uZ_*))b(kugWj~3~eJ##YuXJ=yNJi)O
z;5{RSM#1o8yc=0p$iM>bBx926@#fJWRzn*RV;;K6WYH%;c?#tZdaqLOs=H$|@1WU&
z6ES)i?LeAukr_+SZy^+}4Z|t8^p3WG<W!u)OFNiiB%Ea6=pGKjhT~elvX23O(2l^v
zZToN(Pdp$qp(OP%)TX0&+hH7Y=?FC5`Z#BF$BD)JpB*4w)Qju5M)(b!tMoMN^XMJZ
z9L_VQ>Yl7)3EKNON0>JclJiieML78o%hk;aOy>{jxZtXwCY@#pFQM;9I-Vq%L%)&e
z*jjUiM!LL99}1dLm?s|<6Zyg6QPdn_S7QH9M&WeKdq?*o`OS=UE;dtGLgGg_eyWp9
zQ!rc??cs-yaOmMs^AR0Ke(nfDCJh2N4}~=pj&Ar2SvMNTT!3XDlZL^|(P*Wn0i<W(
zS4JD${7f<<OkoebiqM<q8EEoHupL8nWL+ee9v*`g?eAV3B*iMMAbc!ZQpR&8C0=0x
zrGTA_5){T~K|bzbX1yjsq2>=cW0Oo2Qj)mBl5tph{~9EL;*W8+d^wa0tUgqzAm?Ko
zEG?Nc`;#%H_?7HI>QXq<eVD?D`<^=<GwGJf=?ml0=B^POBu>Cx*L)-gx{(SSh{;5M
zuTQ{W+Z1O~9iFP$nRGHK8OwFrX5s1RJAs2WSy+Qa9S6g782|Px?Cr0^;p!)Hda({`
z>D$S$d?FSJRW>FpGKYid3{+3!;C?pR9W{f4gEJJiF!d9R<=RY{F^8L<U{N14n=`2s
zsonok7?PoIBAp=YXFt&pISKPuFpu?)hJBN0R{@XQNm$OV<ufh{BJiOazMhPuJ}ux(
z`67h~-cxXUMK6*WTln%ezCD#LH<_`e%b7wXw493CaU~70PsQu&oKglt!SYj-T;IY$
z=x4Zi@fA`FQ}>zJ8MhD8rsEFThxGd!ReB#tKEM=0;Da1=bXNoTCI=^i{=_9IKPj3(
z+%yzlJ<gfRX;?E(p5~zSbQ&g{h7r?oR=xjZTqG>|vvH|xI&b36s`I?l{qwkaw#-1A
zk1sPO7_4UU&wR<LmpAzi#MgX>e|;yLK92RhC9A68%1m4WmBvicEG)8L+?RD!@ck^z
z+s0=`jMr=oXZBmpoP4YJcSWn5O`U}a;G?JAK-A+!_Xun2gfUQ|rxQq2TkzH6Q$=hp
zE{VBw8R+8Ur5mGr??J}oy*kk344Jf&_3{IUJnBt;Yyh9;;cgmU%q823m0IcP7m`;i
zjju(0pw%3#OK(cK-Zyj5i9=-^Sgunx`G35ce}f;q%nRKnr3%*0#p!Xtuigg64y@<l
zx3c>tnQ?%*^H8V$9b*U2m`?v)vW^;t&&Mdz_sEP2s`e<Gu+pi52lHubGWcs*W)2Ap
zaC$D_w;&t!iv`$Ke^dq<IDb^B;V<WKOle#L7arqUEApuWI|XnZxd<n~b|J29Qh;9W
zYye{mXcu7sR20xmp$xPO=_H~*$Mya^hki-BG4P3r@eWV8!mKAsM}F}bxd?00uGgIY
zY7vbf>VFsrhM>h5z^!@)0-<y<4HSmJnZ<O#yEiNkJhcF$V}DwLIZM#DdB)5Yb5X_K
z|FuAuV%fy&$Wruiu(jMt!(In9=4}07puiR<S*_(__Gc*wTZT6888Z>Kq9tr&bVU;*
zMQtJOm(T2sn3;umT7BqX#B6sE)v)(1x+5&dm|HiMW#%w=IX-Z0aFiMRdR>lV_`7gM
z?}A;uS0J;vrK}^u<(BBoT1G!=&1ioJcSrLY12O}=850N-44B0~gE?pyB3eU@q2Z|2
zufljs@XZ^r3gXF*HKYMluEdYN7Li<nzy_AZ;O(JD5iZF!Q8H}~uc9#X(lPv75ytd9
zn#&S<h_(<~j1~vSaAtc9Iwt)Y>ic3;^hw~f3p$PW^S*#Juj2s5h472QheJf;t(geE
zt0@1&o#b^wGNi3V-E*sGC$g~tM6AY1$VuapN(SObao|>hTiH2-gJmTs**=DY`Vu^J
zPvTo6v!*M>`gIkb85y`*ifZ#Fa8Nw~Cm?wZ2IP{(nQzyi$?vl{SZ|H@&7Ny<ksX5(
zYw18~iAs)!Ok+X$Nq@5hZ5bLcykna3j7-ss#v5=fe)q{;4(mk=c#i#qY0zpNR;QE#
zS&CPbb+`pP7njovVo?aT8*!l0a`dYuzVtCLez|A|Fb<FY_A5-ra9SZNs9;(JE|K7s
zoVi$mXL)S{@G8O`)Mq_<ol(ri+t#Bvb1er=H{e+5>p0l44s|y##<5mzz!}ae=k&_!
w=)yB(gkM0rk!F&myIBCPuy!MEkkRKjC_9JweZCRHjD=R4Xdqo$E#j{HFOq)R6aWAK

delta 8586
zcmaKxcU)B0^1!)g_a1g(fd#S96g36`r3*?2D<C!`#2|_>*lB7+vCuSVjCF;<4q}Y)
zMFry%6ZHj6G_jzV<QY+EF^XM@8jUFa=G=qJUGqLa|8UQIXYM&ObLPw~)Sj`ucE;9h
zRFpz#ZA6SzM*hb%<z^2B1^((@3$D^{U-BFK{n}XJ#1)>(Itf^bY6*PZl};fN$yX(4
z6$8+=sY|KC3I_=@7v8($DHs{`R2msM7(sHKXrGlfEp6}m+7U}Vw96hob3Xiiv~?%z
zwa+uIud4V@XiTC@^p)IS!gEKupGfHwa%A6W5~17X9rL1U!J;qEUJ3IsbII@V^Me`J
zpR8FKn>4=Zc1@kVa&RwAuIs;cSQam?8Xb4;TIhrbby42JS2Opw)a~loxA<m(t*K&v
zR`M@np3Xb8x-!cs?8f!udn`{_MaMnN8um!zJa1mFxGST&4~vc-P^4P0c%jn|&Gx@N
zJG%YCp_t=e(&U6iGrtrM=AGDG?eXB@jqlB#xOhFkv-`!PsGfss9jDr-Rb_05Ti7Jt
zUi#DeE7Qhp+I8z%pQ9r`T}wTya>_qDS!Vi6?@xce=ez2<hxv&<5$~TLcr$rKSg`36
z+q`irb&o6*j;ifuL)R9cTh!%JC~axZZq08E+}rfdUl)FzK=1e*>zset{c3)dU;8Gp
z1ix@7vXD|<(Dx4Cm0Wjc3G8!sR<eQaig&OC?0iP3rNOKq!nY|sWZ!#?fS<7#rVIVt
z?CZ3`ZSP7KSssg%GzqsAVLFc(6;wVGmGJ1PsQS9{*Z_NJo|iQ%2C_lLatC30sASG2
zf=Ux=Vah6r{bTx(6NG^(a~vf|NcvBAvDO#XP7ut%(Tti`G*1x(i?>W5CtLJ|>U_aE
zKXRT>5jl@s>?N(zbqk4?7GAW41er*qqr1o-A?+@NG!e6k=9?s<yQB?LDaLw9qYeIw
zi^C*4oFoj=(y0cj=TKU4Bu}x&PcoTyM6tQAWP)*_$zp115Dlip)<&|-BueFaX_T`;
zIZWDzigTsPA}9UTg)f!rit@9{ya34z(=$uj1Hemh>P{l9xUUr}_;Tao#X*o7CK^}#
z87zJz<+uXby{^)9IKtF!r|OFJnWAcv#I{})rM-o^tD>|5*k2PzNvhOqVze~)?wUA8
z8d%qg!==IGH-iJU;%0VCVN{(Mq1GQ$*ik2jJ2KHCFeRg0V`TJrppj9p_PsMYlylEP
zr|#+muJxh|X>ifKa<PH5dQl_IpH(l~3Hh+OUi6gY3rwC1ck4w5Nj7Z|?MSh^?qZMw
z3~mrzgc?X|5M#-DFA4q8Aa;=KUNF0J-Uxd^U}M|lQH==Ae86+3(i=86iq0h72Q9pH
z|MD?~Lw7_iSpP2Ck{f;qeRci&Teyyj5=e+bUyZUFG&1Th3+i>)1StMpOd<z^@Y;b8
zdA)5(*QdDT<Pe=@R4^R8jsYLz<F0>*{mGm#<RQ8XVP^2+Z&9nuAFRcM@qdSM<_~6C
zu(%<HkSCEi9tK4>aE8)oHk+<BS`DT*QEnU~$$>Fukg<YlVf{^vAum>fb+KK*Swv{v
zgs>!zK}cy5eMrZ6$sjFW1$UZomZ_84WF@?R3-tq2LAWi3=(eY-;8`x!>bj(BP1~JQ
z7v2`Lgeu6sEzTjs=Rpp$-91kOp?7dHyG&`JJ$FQ3;YVn^gEoD0r1_WUn8O$5=+J??
z=uldoWT&|&dJF%C(0k%S;<Q{sE%!uEvhy?D@z25_^*&Cyd_5-CUsu0g1-19vlACTq
z?TB@u&a*HKA|HsoNh%wMz}F8%FQP4CW8JJGHMl>-3BKJV={7wSy~))r(%Afw7({w(
zlkApkvw+Qy&`wn>>1ea)L7I0;y6DeM;Ph=Qk9E!Hw8s~c!M$eDkNE7-joveYEA#$D
zW$IUwvhGjOm-H;dai}i4Obrts<IK$mSO{?PvDl9+J)|o+6b`{pkZ<@#SN_c)*vG~P
zkLWHQ2?zV9vicDeQ2ta5`G1Qs{LR+j@9VGxc0sCe47&d%E)i}*@n7O>;&dEJ{t|;>
z%rneR{!d)^feF8ykp!LFSrr67M=wsDXCO%DctHvOVj$#abbSD5u}U2cd$EyGu))#~
zYIG%yp^*JIUKM!-$6;{)Z_JeHnlzsJ0@HuERvOp7z&cB-$8ossLcJ*@w%|2O8&QsA
zm9EuAU6+?!AP6tT`Gnj=gHYYXn-*~9C0>wzOOnsu((ofZ<`r&((Om{%-z!{g`F&~J
zvlSyveJB~9d&oCbH@{ha;-)u4*lX;g^JY?OUBqMg;{Fi&TFfAmo-&It-FHt-3q<N7
zG!%Hy`DDu91)g+J!2{|;G%akXOKwrae{W$3uCL__*uO??7}N<gfD{?QMHThZRo*g(
zEQLS|S_Cz`O2?y-NvJL9p)gQe!7V~v$av9!s$jf=`jR5!cKRy=-PCV@8AK_m8_CtY
z0U{hwQrv$_4m@I%U@uZXa<_{Fz~4qNvv{lRfv^A%TBZZD2!Iw0oLp=ZoV(&(IF%wP
zbL8qv6w?sViwi@IsW)+V;zETnE^OC_3-7AX&xLMW*ocDA7phe>lic>@EMJY6&Iw_H
zKm4V}AV!8mqlWf}2_{r4HF@d$-%MaM1gcCZzlB_5T><+sqlFU%6@;3idpq@@3tW!F
zEdOGPS>B)6Zsx0@o}?s+&-N+_<7%BuHQnAW_XvY>&xZyLohLkCKf|Ha3^Q3jolOx1
zPUh5u)X!u>B$S$C03%Yk;9x;J|Kk`9GMKmNV<@qvLtv8y`W`Wl2~kkBKrn_bTH24K
zWynZ<hM<LvSd3}z0zqDGNelE==HP3I^?Cp%S<<EC=|ZkZSR`1&o&nSn##&JuGJ6Tf
z-&)ZiVwKH>%xs}E#CJe9GIR8#1Dvv=o#AB%%;C9Qj(ze3EBM$NS8;@5Ynn>}KH-Yg
zjx?C$<a6OgN8D-)@a#mF2`%g=4$M1a#U!od`Zb-gE;_E#3o5Yff`#C@2GSkqXejQ2
zN9X=JF1Xp?g+p~*__qxWBnLKd!LdLvg^{-CbZY@8b%05_W=nm9G_bUzYlK=Tv7-f~
zW)ssVK!H6SNTzS$f}aEJFIYpG16@gscQ6(Q3wH>%kkS>WoLLIp-=Ra{LMdkEIU~<^
z>WK(x-O!PwU53OIYIX_ca480Nsiz}mO|hF9M8VA6LPyx{h?Cgt(Gv}<+Jo+5GPTg<
zD}y~%f5ol7>`n)hKlgGWpa%^lAMWSEnf<t_H9c@fbvY-adScQ(ui%2&VZi~O_QY+P
z503B9jbzIaricbrFSLrldj@lBZ7<rN?D`KE%)b*f+!>qW2F{oq=LSXZV)Cj^aG|#o
z4I$0nb79;Mf<06_p)<dq<RtPGmPw``MmD`S=Hbwf99Q?oeK$SLg&1cVMmC(~!ppOG
z6dyR_6#nNqNpeAT-)b%tRAT~FuBgts$Vrwf^(W_k)(aFgeK4A^Uu9(fueh7iZXEA}
zUNrnyrgQ6y8|eKTBST?TEq0LYzv14U?u%>WT$bVcmsyp$A%0vV!xOLI-nDpOgm>I<
z?q^rIF4`UQ;#{jYw1OsgytJl{lc0L6xD*d059&D?(||tWJT7EYBPS`Icrf=~=fV?D
z8Yq;3rx(p8*Ke=`GX$#pQR6~yJQYKl+5wa`3ElYq9q>kn%x@d&I)IxG9<kQDa_mDR
z$m{!Z(j;_%_<po6aeku5f#mU1E>s3m5x#5129@ZGt!~BhxAF7mn8QcD7){}ew{<Cg
zxcMDk{tv7w?2pmJwHm5A@B-S|AEP;G1eTE)db<Nw1F%EhBr-fgK{~NMhY!z688#J3
z+aX&(iM(;npfao7{&WBdSILN50G^b2YCWM)uO=1%BXG+v1yEaIHZ%v&d=hA`H}NNp
z7J5O12rcOX6NAv9081Hu)Pbm>J_w6-c?Uz>kw?5D7$d&YQLYQdtsB@`M$$sC{M9xx
z@+^d%En6AM48^QYv6GSWb{K(47<yD~FX6&)s)j%ZbZ9lB>$<+7LF8S>H)B+W<4o1v
z+d*Itg74)6@sh4R-%tug1JTWpcO<~KD%6Qk=sE~-Rxd-Wf``3`36u@OIWE6zsI!KE
z!HC^@%kY80xZhsRGP21TeZU)@7Df-jg!OQh={|KO=5T5V_P;*RJcQ<uDSc(y?}nm7
zE8IA_=SEZzJ`C4$bY~<Qjts*_m+rxZ=m<=7v=<jDyfA+^B5>Mb&_>ccV%Lu=evicD
z-}B|d)F`~M#6WQr{e;Z+XKV<p9Z8i?<4>&M!C3To!*KN2B2cD#F&z6*XpoHLM&pyz
zh!8yy;ZO*cGDf9^+o1-fd?i$7Wj+%3blnJiF6kI<i2aGnKs^~iW)IQ}rqD2mXrT8f
zOoQzZL#%?eLon0dGM#3aOqV%~V=aswjp6K%(Cd`&?PzrVb(D<sAA{#9Hky;l7;Ge!
zWAMz~8KEa?h>XFm(tWI+gknn*#^ND6`95dWW9cyB`2iOaWAP60YrI}Chi9=^r-LUj
zG8ksRN8N<gQ1TwlAm3*&76RSo6HAy8hmoAmWF#2AGo{uLnQM^FfLus_pZdX?T&&Q+
z@8fn~g0%PPG&1Wmc9A!jjl-gtwh`7P&_J*mM>X%T=eoBaB0~)x_Ox4=d3c|<9=i>`
zHbfd+k;1Ql#CU1~sUM)zm*ga5D>0ScKY+wz`oG>L&CjfZiCKwWFoApVnCI3VdZLD2
zA_o1z=S2SU69pyXDgUO|G9DkU_w8aAL_<;n#@`v%CeS6qHTDw?<0s%YUE9y}VNk_{
zlLxsFJP}W6-C-tpgWETlKIx0giHYdo>?3+i;in^5Za>b&Qua<nT|y;GtQUM$iRX4r
zB8J-i3@2%4Fv{K*ZIAuZ%Rs?Ru43QtVDcn1e$-BE;0hy$?(1zdFz7>casDGcp-}Y*
zT{AAi<xhQxt^5!)en?Y==P-IQokd0%!{{04%vNIse?5@iL(D$Hq`0fNYKcmrhNO>Z
zZ?d$V7{e8nq7&48gzM*b)*Bi_ZD)lkj7UP9V5`Rz<~E7ea4HGc$Jdr5I)j{dW?Em!
zn?h}+HH)X<nx9|`NybWTnL?dOy+1Pvg2_|yJ*H<67ZwL8tf6Tt&VMSHlTp*~_-za0
z!trU??*1CurWuAog-%CXMI<K)k&3o$Djcqm-yrjca|8Ps)LV#$Q8Valay^!@U<iIs
zVGQb-IL*Ov+{*j|g$gnmNsQ;@+jxZr9x`%cJSQOu3R~u=7IJ6du6LWj@zq)Q#9j{C
zWPHu;Jefrs0;iLypU@M86q-iDr*gZp6nyjAI9)F&!6g+ByhpN(tWL)G_NC&Y$~2BA
zq;aAJpEO*wbq>d?(y-ya{20p9aW#{4%vb0FCJcn)1qvnmOoVMVQz1VhSD-8%o5|!w
z+-}xvZ2G@1=0ekKZ2D8daSk2xkGDy~M(_cwn?sWYJS1~)vGBRL^73VDl3@0sS%h!q
z;-i6GzMd!{Gaq*-<YSEK_vJFY_halrk5|Zu>pa})@Rc&MV;*+hRqHr$$iSi*wy7=t
z4D6n{o0$*@n)!G_{`i6mLA$YBrNc4*ut7mgKg<lg;P7FE<^TSC@WByoF=_!iQqG0K
zqqym@w?#|ncv@j0`}QfGmW)xahJ@1!D~Qa*5F5|%DLl?%Q6FXG?0Nm9Ch*Qed?2oZ
zNek)6#O+f11fN_|IP%ikRb${Z)U+EttWlW5?nO9fa~+>Ev|ge4-=RFe#Vyhn(~kdm
zk2m}hH}baLR1FP_G4%a%GHMC--@Om?HYzx|1k+vmR7TvhuyHPV#YxpGg~>mhD$k;J
z!YuI2rUQUxV^6MR<1{kW8Z2}0gUL~Ar3qwY<Jo$ejV&b%v^jJp$y>^_esC~{{_~?=
zKZD!NoDIy>3o7&QQN=cwx{_0JvN#v3eL|tk<}M@A8)c+;qf!m0*P#z4Ta@xv(z01^
z<wcHdgYsqUF1lT5DYf>0q}TAP`+rKAy+3SQiW_IWlL>>tVj1l#^nkKu_;8iCjP?;)
z*?0~aeSql$An_AC9Fq?6D-R!3T7knj^y~R2*aBjYGCTmH^Klz$PB6g-s!w75jxdsS
zN>4iR59>ugDdl}&1tcz~{EtM^N3(HfrRdn-azL>Hoh*}q87r`9jj3w4s9Qn3gsout
zDV<BQF1PdFE~As|dm{KgHb|b+<94I0$4VP+^wCO;q`c*gsv9r<&aDQQs#@RZRp9p-
z#&+wq1YqN5*ks-#P`(y-TwFyR+rPCr8#C$+i5gJ@OIKkyOXZ}&Sd{*npatXA=z&(F
zx9$Y9R-<*Sxt^FpnK}Md@XG48+c&FWQlw@2{t&zdjqkMyJJw+R7h7?SB`#0C=)i>~
z`1es^9F(oaJ9GC=oV~XW8`%yUE*xKn9n{O734YLLJqEe58yD)kiKeh^JudU82Q(I9
zOrbq7y=FQjW84|(2Przd;J^M{a0(F3S)Hhi*~!4?ImjtOk2eN0bs$7+zzdt(gt7u^
z42#1s8I>Dw3WqRm^9FZ>VFhTt89!&TOA!Z?rvte#Vh}dNph8r~4q+q+_74#)_#bvo
z7UJP`hlWC$hMzn}1Gc%|G0Z3cvSTop^P4b&_&8C1x`xLwgMP3rPBa0VRc*<ZT#t(9
zs@7>DKAsfelBII;G9LYp+=zJoB$?rXjhNDik7T6BCd|0)R6Q|;f=w9pSJU(a&-`Yb
z=PZ60WxhxY&fbi-=SKWGswaPJ#+jEU%Sdf9x-fnVUTT*r!#`}n1;0<%6AE5i@p=A7
zn6#CSm5No0&p#8&w_$!Qx8Vfq+l0HBSh>=JXGXRtKe*GNY#U7{3v$^-0We`Zh7gZ8
zP$rz-jt?BJAQaQ7M7<WmO7KCfxEKw(u495fn3T|df(?Y0(CK8r2FARg7OhA_o8Vr6
zk&N7dj!Y@!>b*NqoxGI`N4KK7TPdn1ZHMwwti~m!SlTI2R!S3v3t+jErU<JbdnX+!
bBti8~I+_f<$_m*5LO-XS>8h(D7Ull|)o|Sa

diff --git a/plugins/_bundled/sirsoft-marketing/CHANGELOG.md b/plugins/_bundled/sirsoft-marketing/CHANGELOG.md
index e40388c7..1f09afa4 100644
--- a/plugins/_bundled/sirsoft-marketing/CHANGELOG.md
+++ b/plugins/_bundled/sirsoft-marketing/CHANGELOG.md
@@ -4,6 +4,12 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.0.3] - 2026-08-21
+
+### Security
+
+- 마케팅 수신동의 채널 설정 저장에 플러그인 설정 권한 검사를 추가했습니다. 이전에는 관리자 계정이면 플러그인 설정 권한이 없어도 채널 목록을 통째로 덮어쓸 수 있었습니다. 이제 플러그인 설정 화면의 다른 저장 경로와 같은 권한이 필요합니다.
+
 ## [1.0.2] - 2026-08-19
 
 ### Fixed
diff --git a/plugins/_bundled/sirsoft-marketing/composer.json b/plugins/_bundled/sirsoft-marketing/composer.json
index 2d45226c..f7b59173 100644
--- a/plugins/_bundled/sirsoft-marketing/composer.json
+++ b/plugins/_bundled/sirsoft-marketing/composer.json
@@ -2,7 +2,7 @@
     "name": "plugins/sirsoft-marketing",
     "description": "Marketing consent and subscription management plugin for Gnuboard7 platform",
     "type": "library",
-    "version": "1.0.2",
+    "version": "1.0.3",
     "autoload": {
         "psr-4": {
             "Plugins\\Sirsoft\\Marketing\\": ["src/", "./"]
diff --git a/plugins/_bundled/sirsoft-marketing/docs/api/channels.md b/plugins/_bundled/sirsoft-marketing/docs/api/channels.md
index c5ca259e..87379b8f 100644
--- a/plugins/_bundled/sirsoft-marketing/docs/api/channels.md
+++ b/plugins/_bundled/sirsoft-marketing/docs/api/channels.md
@@ -79,7 +79,7 @@ _단건 응답: `data` 객체의 필드. `data.channels` 는 저장 후 확정
 | 상태코드 | 의미 | 발생 조건 |
 | --- | --- | --- |
 | 401 | Unauthenticated | 유효한 Bearer 토큰이 없거나 만료된 경우 |
-| 403 | Forbidden | 관리자 권한이 없는 사용자가 호출한 경우 (`AdminBaseController`) |
+| 403 | Forbidden | 관리자가 아니거나 `core.plugins.update` 권한이 없는 경우 |
 | 422 | 동의 이력 존재 | 삭제 대상 채널에 동의한 회원이 있는 경우 — "채널(:key)에 동의한 회원이 :count명 있어 삭제할 수 없습니다." |
 
 <!-- @generated:end -->
@@ -88,6 +88,8 @@ _단건 응답: `data` 객체의 필드. `data.channels` 는 저장 후 확정
 
 관리자 환경설정 화면에서 마케팅 동의 **채널 목록 전체를 한 번에 저장**하는 엔드포인트다. 컨트롤러가 `AdminBaseController` 를 상속하므로 실제 인증은 `auth:sanctum` **에 더해 관리자(admin) 권한**을 요구한다(생성기 표기는 `auth:sanctum` 만 노출). 제출된 배열이 곧 새 상태가 되며, 개별 채널 추가/수정 엔드포인트는 없다(전량 교체 방식).
 
+이 엔드포인트는 코어의 `PUT /api/admin/plugins/{identifier}/settings` 와 같은 `plugin_settings` 를 덮어쓰므로, 라우트에 **`permission:admin,core.plugins.update`** 가 부착되어 있다. 관리자 계정이더라도 플러그인 설정 권한이 없으면 403 이 된다(생성기 표기에는 나타나지 않는다).
+
 **요청 파라미터**는 생성기가 배열 중첩 규칙(`channels.*`)을 평면화하지 못해 위 표에 "없음"으로 표기되나, 실제 `ChannelUpdateRequest` 는 다음 body 를 요구한다:
 
 | 이름 | 위치 | 타입 | 필수 | 허용값 | 용도 |
diff --git a/plugins/_bundled/sirsoft-marketing/package-lock.json b/plugins/_bundled/sirsoft-marketing/package-lock.json
index a3670458..940e605c 100644
--- a/plugins/_bundled/sirsoft-marketing/package-lock.json
+++ b/plugins/_bundled/sirsoft-marketing/package-lock.json
@@ -1,12 +1,12 @@
 {
   "name": "@g7/sirsoft-marketing",
-  "version": "1.0.2",
+  "version": "1.0.3",
   "lockfileVersion": 3,
   "requires": true,
   "packages": {
     "": {
       "name": "@g7/sirsoft-marketing",
-      "version": "1.0.2",
+      "version": "1.0.3",
       "devDependencies": {
         "jsdom": "^27.4.0",
         "typescript": "^5.3.3",
diff --git a/plugins/_bundled/sirsoft-marketing/package.json b/plugins/_bundled/sirsoft-marketing/package.json
index 26eba533..60e78547 100644
--- a/plugins/_bundled/sirsoft-marketing/package.json
+++ b/plugins/_bundled/sirsoft-marketing/package.json
@@ -1,6 +1,6 @@
 {
     "name": "@g7/sirsoft-marketing",
-    "version": "1.0.2",
+    "version": "1.0.3",
     "description": "G7 마케팅 동의 플러그인 프론트엔드 에셋",
     "private": true,
     "type": "module",
diff --git a/plugins/_bundled/sirsoft-marketing/plugin.json b/plugins/_bundled/sirsoft-marketing/plugin.json
index 27da4071..3ca3ba1f 100644
--- a/plugins/_bundled/sirsoft-marketing/plugin.json
+++ b/plugins/_bundled/sirsoft-marketing/plugin.json
@@ -5,7 +5,7 @@
         "ko": "마케팅 동의",
         "en": "Marketing Consent"
     },
-    "version": "1.0.2",
+    "version": "1.0.3",
     "description": {
         "ko": "이메일 구독, 마케팅 동의, 제3자 제공 동의 등을 관리하는 플러그인",
         "en": "Plugin for managing email subscriptions, marketing consent, and third-party data sharing consent"
diff --git a/plugins/_bundled/sirsoft-marketing/src/routes/api.php b/plugins/_bundled/sirsoft-marketing/src/routes/api.php
index a2ff4b07..7ed048d2 100644
--- a/plugins/_bundled/sirsoft-marketing/src/routes/api.php
+++ b/plugins/_bundled/sirsoft-marketing/src/routes/api.php
@@ -16,8 +16,12 @@ Route::get('/settings', [MarketingSettingsController::class, 'settings'])
  * 마케팅 플러그인 관리자 API 라우트
  * 자동 prefix 적용 후 최종 URL: /api/plugins/sirsoft-marketing/admin/channels
  * 인증은 AdminBaseController 미들웨어에서 처리
+ *
+ * 채널 저장은 코어 `PUT plugins/{identifier}/settings` 와 같은 plugin_settings 를 덮어쓰는
+ * 우회 경로이므로 동일 권한(core.plugins.update)으로 게이트한다. `admin` 미들웨어는
+ * type=admin 보유 여부만 판정하므로 그것만으로는 업무 권한 없는 관리자도 도달한다.
  */
-Route::prefix('admin')->name('admin.')->group(function () {
+Route::prefix('admin')->name('admin.')->middleware('permission:admin,core.plugins.update')->group(function () {
     Route::put('/channels', [MarketingAdminController::class, 'updateChannels'])
         ->name('channels.update');
 });
diff --git a/plugins/_bundled/sirsoft-marketing/tests/Feature/Http/Controllers/MarketingAdminControllerTest.php b/plugins/_bundled/sirsoft-marketing/tests/Feature/Http/Controllers/MarketingAdminControllerTest.php
index 64a0e29b..e6ab6601 100644
--- a/plugins/_bundled/sirsoft-marketing/tests/Feature/Http/Controllers/MarketingAdminControllerTest.php
+++ b/plugins/_bundled/sirsoft-marketing/tests/Feature/Http/Controllers/MarketingAdminControllerTest.php
@@ -19,10 +19,10 @@ class MarketingAdminControllerTest extends PluginTestCase
      */
     private const EXISTING_CHANNELS = [
         [
-            'key'       => 'email_subscription',
-            'label'     => ['ko' => '광고성 이메일 수신', 'en' => 'Email Marketing'],
+            'key' => 'email_subscription',
+            'label' => ['ko' => '광고성 이메일 수신', 'en' => 'Email Marketing'],
             'page_slug' => '',
-            'enabled'   => true,
+            'enabled' => true,
             'is_system' => true,
         ],
     ];
@@ -35,7 +35,7 @@ class MarketingAdminControllerTest extends PluginTestCase
         $mock->method('get')->willReturnCallback(
             fn (string $id, string $key, mixed $default = null) => match ($key) {
                 'channels' => json_encode(self::EXISTING_CHANNELS),
-                default    => $default,
+                default => $default,
             }
         );
         $this->app->instance(PluginSettingsService::class, $mock);
@@ -54,7 +54,7 @@ class MarketingAdminControllerTest extends PluginTestCase
 
     public function test_update_channels_succeeds_for_admin(): void
     {
-        $admin = $this->createAdminUser();
+        $admin = $this->createAdminUser(['core.plugins.update']);
 
         $response = $this->actingAs($admin)->putJson(
             '/api/plugins/sirsoft-marketing/admin/channels',
@@ -68,14 +68,14 @@ class MarketingAdminControllerTest extends PluginTestCase
 
     public function test_update_channels_saves_new_channel(): void
     {
-        $admin = $this->createAdminUser();
+        $admin = $this->createAdminUser(['core.plugins.update']);
 
         $channels = array_merge(self::EXISTING_CHANNELS, [
             [
-                'key'       => 'sms_subscription',
-                'label'     => ['ko' => '광고성 SMS', 'en' => 'SMS Marketing'],
+                'key' => 'sms_subscription',
+                'label' => ['ko' => '광고성 SMS', 'en' => 'SMS Marketing'],
                 'page_slug' => '',
-                'enabled'   => true,
+                'enabled' => true,
                 'is_system' => false,
             ],
         ]);
@@ -93,7 +93,7 @@ class MarketingAdminControllerTest extends PluginTestCase
 
     public function test_update_channels_rejects_duplicate_keys(): void
     {
-        $admin = $this->createAdminUser();
+        $admin = $this->createAdminUser(['core.plugins.update']);
 
         $channels = [
             ['key' => 'email_subscription', 'label' => ['ko' => 'A', 'en' => 'A'], 'page_slug' => '', 'enabled' => true, 'is_system' => true],
@@ -113,7 +113,7 @@ class MarketingAdminControllerTest extends PluginTestCase
 
     public function test_update_channels_rejects_invalid_key_format(): void
     {
-        $admin = $this->createAdminUser();
+        $admin = $this->createAdminUser(['core.plugins.update']);
 
         $channels = [
             ['key' => 'invalid-key!', 'label' => ['ko' => 'A', 'en' => 'A'], 'page_slug' => '', 'enabled' => true, 'is_system' => false],
@@ -132,7 +132,7 @@ class MarketingAdminControllerTest extends PluginTestCase
 
     public function test_update_channels_rejects_removal_of_system_channel(): void
     {
-        $admin = $this->createAdminUser();
+        $admin = $this->createAdminUser(['core.plugins.update']);
 
         // email_subscription(is_system=true) 없이 제출
         $channels = [
@@ -152,7 +152,7 @@ class MarketingAdminControllerTest extends PluginTestCase
 
     public function test_update_channels_rejects_system_flag_downgrade(): void
     {
-        $admin = $this->createAdminUser();
+        $admin = $this->createAdminUser(['core.plugins.update']);
 
         // email_subscription의 is_system을 false로 위변조
         $channels = [
@@ -172,17 +172,17 @@ class MarketingAdminControllerTest extends PluginTestCase
 
     public function test_update_channels_rejects_deletion_when_consents_exist(): void
     {
-        $admin = $this->createAdminUser();
-        $user  = User::factory()->create();
+        $admin = $this->createAdminUser(['core.plugins.update']);
+        $user = User::factory()->create();
 
         // sms_subscription 채널에 동의 데이터 생성
         MarketingConsent::create([
-            'user_id'       => $user->id,
-            'consent_key'   => 'sms_subscription',
-            'is_consented'  => true,
-            'consented_at'  => now(),
-            'revoked_at'    => null,
-            'last_source'   => 'register',
+            'user_id' => $user->id,
+            'consent_key' => 'sms_subscription',
+            'is_consented' => true,
+            'consented_at' => now(),
+            'revoked_at' => null,
+            'last_source' => 'register',
             'consent_count' => 1,
         ]);
 
@@ -201,17 +201,17 @@ class MarketingAdminControllerTest extends PluginTestCase
 
     public function test_update_channels_rejects_deletion_of_existing_channel_with_consents(): void
     {
-        $admin = $this->createAdminUser();
-        $user  = User::factory()->create();
+        $admin = $this->createAdminUser(['core.plugins.update']);
+        $user = User::factory()->create();
 
         // email_subscription에 동의 데이터 생성
         MarketingConsent::create([
-            'user_id'       => $user->id,
-            'consent_key'   => 'email_subscription',
-            'is_consented'  => true,
-            'consented_at'  => now(),
-            'revoked_at'    => null,
-            'last_source'   => 'register',
+            'user_id' => $user->id,
+            'consent_key' => 'email_subscription',
+            'is_consented' => true,
+            'consented_at' => now(),
+            'revoked_at' => null,
+            'last_source' => 'register',
             'consent_count' => 1,
         ]);
 
@@ -234,7 +234,7 @@ class MarketingAdminControllerTest extends PluginTestCase
 
     public function test_update_channels_rejects_missing_label(): void
     {
-        $admin = $this->createAdminUser();
+        $admin = $this->createAdminUser(['core.plugins.update']);
 
         $channels = [
             ['key' => 'sms_subscription', 'page_slug' => '', 'enabled' => true, 'is_system' => false],
diff --git a/plugins/_bundled/sirsoft-marketing/tests/Feature/Http/Controllers/MarketingAdminRoutePermissionTest.php b/plugins/_bundled/sirsoft-marketing/tests/Feature/Http/Controllers/MarketingAdminRoutePermissionTest.php
new file mode 100644
index 00000000..f6747ed5
--- /dev/null
+++ b/plugins/_bundled/sirsoft-marketing/tests/Feature/Http/Controllers/MarketingAdminRoutePermissionTest.php
@@ -0,0 +1,93 @@
+<?php
+
+namespace Plugins\Sirsoft\Marketing\Tests\Feature\Http\Controllers;
+
+use App\Services\PluginSettingsService;
+use Illuminate\Support\Facades\Route;
+use Plugins\Sirsoft\Marketing\Tests\PluginTestCase;
+
+/**
+ * 마케팅 관리자 라우트 세부권한 회귀 테스트
+ *
+ * `admin` 미들웨어는 type=admin 보유 여부만 판정하므로, 업무 권한이 없는 제한 관리자도
+ * 도달한다. 채널 저장은 코어 `PUT plugins/{id}/settings`(core.plugins.update)와 같은
+ * `plugin_settings` 를 덮어쓰는 우회 경로이므로 동일 권한으로 게이트되어야 한다.
+ */
+class MarketingAdminRoutePermissionTest extends PluginTestCase
+{
+    /**
+     * 기본 채널 목록
+     */
+    private const EXISTING_CHANNELS = [
+        [
+            'key' => 'email_subscription',
+            'label' => ['ko' => '광고성 이메일 수신', 'en' => 'Email Marketing'],
+            'page_slug' => '',
+            'enabled' => true,
+            'is_system' => true,
+        ],
+    ];
+
+    protected function setUp(): void
+    {
+        parent::setUp();
+
+        $mock = $this->createMock(PluginSettingsService::class);
+        $mock->method('get')->willReturnCallback(
+            fn (string $id, string $key, mixed $default = null) => match ($key) {
+                'channels' => json_encode(self::EXISTING_CHANNELS),
+                default => $default,
+            }
+        );
+        $this->app->instance(PluginSettingsService::class, $mock);
+    }
+
+    /**
+     * 채널 저장 라우트에 플러그인 설정 권한이 선언되어 있는지 확인합니다.
+     *
+     * @return void
+     */
+    public function test_channels_update_route_declares_plugin_settings_permission(): void
+    {
+        // 이름 조회표는 앱 부팅 시점에 한 번 갱신된다. 테스트는 부팅 이후(setUp)에 라우트를
+        // 등록하므로 그 표에 반영되지 않는다 — 조회 전에 명시적으로 다시 만든다.
+        Route::getRoutes()->refreshNameLookups();
+
+        $route = Route::getRoutes()->getByName('api.plugins.sirsoft-marketing.admin.channels.update');
+
+        $this->assertNotNull($route, '채널 저장 라우트가 존재해야 합니다.');
+        $this->assertContains(
+            'permission:admin,core.plugins.update',
+            $route->gatherMiddleware(),
+            '채널 저장 라우트는 core.plugins.update 권한을 요구해야 합니다.'
+        );
+    }
+
+    /**
+     * 업무 권한이 없는 관리자는 채널 저장에서 403 을 받아야 합니다.
+     *
+     * @return void
+     */
+    public function test_admin_without_plugin_settings_permission_cannot_update_channels(): void
+    {
+        $admin = $this->createAdminUser();
+
+        $this->actingAs($admin)
+            ->putJson('/api/plugins/sirsoft-marketing/admin/channels', ['channels' => self::EXISTING_CHANNELS])
+            ->assertForbidden();
+    }
+
+    /**
+     * 플러그인 설정 권한 보유 관리자는 정상 저장할 수 있어야 합니다.
+     *
+     * @return void
+     */
+    public function test_admin_with_plugin_settings_permission_can_update_channels(): void
+    {
+        $admin = $this->createAdminUser(['core.plugins.update']);
+
+        $this->actingAs($admin)
+            ->putJson('/api/plugins/sirsoft-marketing/admin/channels', ['channels' => self::EXISTING_CHANNELS])
+            ->assertOk();
+    }
+}
diff --git a/plugins/_bundled/sirsoft-marketing/tests/PluginTestCase.php b/plugins/_bundled/sirsoft-marketing/tests/PluginTestCase.php
index fde2d363..fc8ea40e 100644
--- a/plugins/_bundled/sirsoft-marketing/tests/PluginTestCase.php
+++ b/plugins/_bundled/sirsoft-marketing/tests/PluginTestCase.php
@@ -3,14 +3,13 @@
 namespace Plugins\Sirsoft\Marketing\Tests;
 
 use App\Enums\PermissionType;
+use App\Extension\HookManager;
 use App\Models\Permission;
 use App\Models\Role;
 use App\Models\User;
 use Illuminate\Foundation\Testing\RefreshDatabase;
 use Illuminate\Support\Facades\Route;
 use Plugins\Sirsoft\Marketing\Repositories\Contracts\MarketingConsentRepositoryInterface;
-use Plugins\Sirsoft\Marketing\Http\Controllers\MarketingAdminController;
-use Plugins\Sirsoft\Marketing\Http\Controllers\MarketingSettingsController;
 use Plugins\Sirsoft\Marketing\Repositories\MarketingConsentRepository;
 use Tests\TestCase;
 
@@ -43,19 +42,7 @@ abstract class PluginTestCase extends TestCase
 
         $this->app->bind(MarketingConsentRepositoryInterface::class, MarketingConsentRepository::class);
 
-        Route::prefix('api/plugins/sirsoft-marketing')
-            ->middleware('api')
-            ->group(function () {
-                Route::get('/settings', [MarketingSettingsController::class, 'settings'])
-                    ->name('api.sirsoft-marketing.settings');
-
-                Route::prefix('admin')
-                    ->middleware('auth:sanctum')
-                    ->group(function () {
-                        Route::put('/channels', [MarketingAdminController::class, 'updateChannels'])
-                            ->name('api.sirsoft-marketing.admin.channels.update');
-                    });
-            });
+        $this->registerPluginRoutes();
 
         // HookManager 상태 스냅샷 (tearDown 에서 복원)
         $this->snapshotHookManager();
@@ -76,7 +63,7 @@ abstract class PluginTestCase extends TestCase
      */
     private function snapshotHookManager(): void
     {
-        $ref = new \ReflectionClass(\App\Extension\HookManager::class);
+        $ref = new \ReflectionClass(HookManager::class);
         $this->hookSnapshot = [
             'hooks' => $ref->getProperty('hooks')->getValue(),
             'filters' => $ref->getProperty('filters')->getValue(),
@@ -93,7 +80,7 @@ abstract class PluginTestCase extends TestCase
             return;
         }
 
-        $ref = new \ReflectionClass(\App\Extension\HookManager::class);
+        $ref = new \ReflectionClass(HookManager::class);
         $ref->getProperty('hooks')->setValue(null, $this->hookSnapshot['hooks']);
         $ref->getProperty('filters')->setValue(null, $this->hookSnapshot['filters']);
         $ref->getProperty('dispatching')->setValue(null, $this->hookSnapshot['dispatching']);
@@ -101,19 +88,46 @@ abstract class PluginTestCase extends TestCase
         $this->hookSnapshot = null;
     }
 
+    /**
+     * 플러그인 API 라우트를 실제 라우트 파일에서 등록합니다.
+     *
+     * 테스트 안에 라우트 정의를 복제하면 라우트 파일의 미들웨어 변경이 테스트에 도달하지
+     * 않아, 권한 게이트가 빠져도 검사가 통과한다. 프로덕션 PluginRouteServiceProvider 와
+     * 동일한 prefix/name 으로 실제 파일을 그대로 로드한다.
+     *
+     * @return void
+     */
+    protected function registerPluginRoutes(): void
+    {
+        $apiRoutesFile = base_path('plugins/sirsoft-marketing/src/routes/api.php');
+
+        if (file_exists($apiRoutesFile)) {
+            Route::prefix('api/plugins/sirsoft-marketing')
+                ->name('api.plugins.sirsoft-marketing.')
+                ->middleware('api')
+                ->group($apiRoutesFile);
+        }
+    }
+
     /**
      * 관리자 권한을 가진 사용자를 생성합니다.
      *
      * isAdmin()이 Role/Permission 기반이므로 admin Role과 type=admin Permission을 직접 생성합니다.
      *
-     * @return User
+     * @param  array<int, string>  $permissions  추가로 부여할 업무 권한 식별자 목록
+     * @return User 생성된 관리자
      */
-    protected function createAdminUser(): User
+    protected function createAdminUser(array $permissions = []): User
     {
-        $adminRole = Role::firstOrCreate(
-            ['identifier' => 'admin'],
-            ['name' => ['ko' => '관리자', 'en' => 'Admin'], 'description' => ['ko' => '관리자', 'en' => 'Admin']]
-        );
+        $user = User::factory()->create();
+
+        // 사용자마다 고유 역할을 만든다 — 공용 'admin' 역할을 재사용하면 한 테스트 안에서
+        // 권한 보유 관리자에게 부여한 권한이 무권한 관리자에게도 새어 음성 케이스가 무력화된다.
+        $adminRole = Role::create([
+            'identifier' => 'admin-test-'.$user->id.'-'.uniqid(),
+            'name' => ['ko' => '테스트 관리자', 'en' => 'Test Admin'],
+            'description' => ['ko' => '테스트 관리자', 'en' => 'Test Admin'],
+        ]);
 
         $permission = Permission::firstOrCreate(
             ['identifier' => 'admin.access'],
@@ -122,7 +136,14 @@ abstract class PluginTestCase extends TestCase
 
         $adminRole->permissions()->syncWithoutDetaching([$permission->id]);
 
-        $user = User::factory()->create();
+        foreach ($permissions as $identifier) {
+            $granted = Permission::firstOrCreate(
+                ['identifier' => $identifier],
+                ['name' => ['ko' => $identifier, 'en' => $identifier], 'type' => PermissionType::Admin]
+            );
+            $adminRole->permissions()->syncWithoutDetaching([$granted->id]);
+        }
+
         $user->roles()->attach($adminRole->id);
 
         return $user;
diff --git a/plugins/_bundled/sirsoft-pay_nhnkcp/CHANGELOG.md b/plugins/_bundled/sirsoft-pay_nhnkcp/CHANGELOG.md
index 6d9be298..5d35e317 100644
--- a/plugins/_bundled/sirsoft-pay_nhnkcp/CHANGELOG.md
+++ b/plugins/_bundled/sirsoft-pay_nhnkcp/CHANGELOG.md
@@ -8,6 +8,8 @@
 
 ### Security
 
+- 관리자 주문 조회·에스크로 배송등록 API가 세부 권한을 검사하도록 수정했습니다. 이전에는 관리자 계정이면 주문 권한이 없어도 주문번호·결제정보·수령인 연락처와 주소를 조회하고 배송등록까지 할 수 있었습니다. 이제 조회는 주문 조회 권한, 배송등록은 주문 수정 권한이 필요하며, 다른 결제대행사 연동과 같은 기준이 적용됩니다. (KISA 측에서 제보해주셨습니다 — KVE-2026-1893)
+- 가상계좌 입금통보 주소 조회와 시스템 점검 API에도 설정 조회 권한 검사를 추가했습니다.
 - 에스크로 배송등록 요청의 운송장번호·택배사 코드에 형식·길이 검증을 추가했습니다.
 
 ### Changed
diff --git a/plugins/_bundled/sirsoft-pay_nhnkcp/docs/api/README.md b/plugins/_bundled/sirsoft-pay_nhnkcp/docs/api/README.md
index 7aa4d320..0fa13fe4 100644
--- a/plugins/_bundled/sirsoft-pay_nhnkcp/docs/api/README.md
+++ b/plugins/_bundled/sirsoft-pay_nhnkcp/docs/api/README.md
@@ -5,4 +5,5 @@
 | 문서 | 도메인 | 설명 |
 | --- | --- | --- |
 | [vbank.md](vbank.md) | `payment` | 가상계좌 입금통보·에스크로 공통통보 수신 경로와 발신 서버(IP) 확인 |
+| [admin-orders.md](admin-orders.md) | `admin` | 관리자 주문 연동 경로 전체와 각 경로의 요구 권한 |
 | [transaction-status.md](transaction-status.md) | `admin` | 관리자 주문 상세의 거래 상태·취소·환불 조회 |
diff --git a/plugins/_bundled/sirsoft-pay_nhnkcp/docs/api/admin-orders.md b/plugins/_bundled/sirsoft-pay_nhnkcp/docs/api/admin-orders.md
new file mode 100644
index 00000000..8095c175
--- /dev/null
+++ b/plugins/_bundled/sirsoft-pay_nhnkcp/docs/api/admin-orders.md
@@ -0,0 +1,85 @@
+# 관리자 주문 연동 API 레퍼런스
+
+> **소유**: 플러그인 `sirsoft-pay_nhnkcp`. 관리자 주문 목록·상세 화면이 호출하는 NHN KCP 연동 경로와 각 경로가 요구하는 세부 권한을 서술한다.
+
+---
+
+## TL;DR (5초 요약)
+
+```text
+1. admin 그룹의 모든 경로는 Bearer 토큰(관리자) + 이커머스 세부 권한을 함께 요구한다
+2. 조회 경로는 sirsoft-ecommerce.orders.read, 쓰기 경로는 sirsoft-ecommerce.orders.update
+3. 설정성 경로(입금통보 주소·시스템 점검)는 sirsoft-ecommerce.settings.read
+4. 관리자(type=admin)라도 해당 권한이 없으면 403 이며, 요청은 아무 부작용도 남기지 않는다
+5. 다른 결제대행사 플러그인(kginicis·nicepayments)과 동일한 권한 기준이다
+```
+
+---
+
+## 권한 매트릭스
+
+`admin` 미들웨어는 관리자 여부(type=admin 권한 보유)만 판정하고 업무 권한은 판정하지 않는다. 따라서 각 라우트가 요구 권한을 직접 선언한다.
+
+| 메서드/URI | 라우트명 | 요구 권한 |
+| --- | --- | --- |
+| `GET /api/plugins/sirsoft-pay_nhnkcp/admin/orders/test-mode-map` | `...admin.orders.test-mode-map` | `sirsoft-ecommerce.orders.read` |
+| `GET /api/plugins/sirsoft-pay_nhnkcp/admin/orders/easy-pay-display-map` | `...admin.orders.easy-pay-display-map` | `sirsoft-ecommerce.orders.read` |
+| `GET /api/plugins/sirsoft-pay_nhnkcp/admin/orders/{orderNumber}/transaction-status` | `...admin.orders.transaction-status` | `sirsoft-ecommerce.orders.read` |
+| `GET /api/plugins/sirsoft-pay_nhnkcp/admin/orders/{orderNumber}/escrow-delivery` | `...admin.orders.escrow-delivery.form` | `sirsoft-ecommerce.orders.read` |
+| `POST /api/plugins/sirsoft-pay_nhnkcp/admin/orders/{orderNumber}/escrow-delivery` | `...admin.orders.escrow-delivery.register` | `sirsoft-ecommerce.orders.update` |
+| `GET /api/plugins/sirsoft-pay_nhnkcp/admin/settings/test-mode-status` | `...admin.settings.test-mode-status` | `sirsoft-ecommerce.settings.read` |
+| `GET /api/plugins/sirsoft-pay_nhnkcp/admin/vbank-notify-url` | `...admin.vbank.notify.url` | `sirsoft-ecommerce.settings.read` |
+| `GET /api/plugins/sirsoft-pay_nhnkcp/admin/health` | `...admin.health` | `sirsoft-ecommerce.settings.read` |
+
+### 에러 응답
+
+| 상태코드 | 의미 | 발생 조건 |
+| --- | --- | --- |
+| 401 | Unauthenticated | 유효한 Bearer 토큰이 없거나 만료된 경우 |
+| 403 | Forbidden | 관리자가 아니거나, 위 표의 권한을 보유하지 않은 경우 |
+| 422 | Validation | 배송등록 요청의 운송장번호·택배사 코드가 형식에 맞지 않는 경우 |
+
+권한 검사는 컨트롤러 진입 **전에** 수행되므로, 403 으로 거부된 배송등록 요청은 결제 정보(`payment_meta`)를 포함해 어떤 상태도 변경하지 않는다.
+
+---
+
+## 조회 경로
+
+### 테스트 모드 주문 맵
+
+`GET .../admin/orders/test-mode-map`
+
+관리자 주문 목록에서 어떤 주문이 테스트 결제인지 배지로 표시하기 위한 맵을 반환한다. 응답 `data` 는 주문번호를 키로 하는 객체다.
+
+### 간편결제 표시 맵
+
+`GET .../admin/orders/easy-pay-display-map`
+
+간편결제(PAYCO 등)로 결제된 주문의 원 결제수단 표시 라벨을 반환한다. 응답 `data` 는 주문번호를 키로 하며, 각 항목은 `embedded_pg_provider_label`·`payment_method_label`·`payment_method_display_label` 을 포함한다.
+
+### 거래 상태 조회
+
+`GET .../admin/orders/{orderNumber}/transaction-status`
+
+상세 필드는 [transaction-status.md](transaction-status.md) 참조.
+
+### 에스크로 배송등록 폼 데이터
+
+`GET .../admin/orders/{orderNumber}/escrow-delivery`
+
+배송등록 화면의 초기값(주문 정보·기본 배송지·기등록 배송 이력)을 반환한다. 이 주문에 에스크로 결제가 없으면 `data` 는 `null` 이다(오류 아님).
+
+---
+
+## 쓰기 경로
+
+### 에스크로 배송등록
+
+`POST .../admin/orders/{orderNumber}/escrow-delivery`
+
+| 이름 | 위치 | 타입 | 필수 | 설명 |
+| --- | --- | --- | --- | --- |
+| `deli_numb` | body | string | 예 | 운송장번호 |
+| `deli_corp` | body | string | 예 | 택배사 코드 (KCP 공식 코드표) |
+
+NHN KCP 에 운송장 정보를 등록하고, 응답 중 허용된 필드만 정제해 결제 정보에 기록한다. 주문 조회 권한만 보유한 관리자는 이 경로에서 403 을 받는다.
diff --git a/plugins/_bundled/sirsoft-pay_nhnkcp/docs/api/transaction-status.md b/plugins/_bundled/sirsoft-pay_nhnkcp/docs/api/transaction-status.md
index 2fc757c1..6b0ce037 100644
--- a/plugins/_bundled/sirsoft-pay_nhnkcp/docs/api/transaction-status.md
+++ b/plugins/_bundled/sirsoft-pay_nhnkcp/docs/api/transaction-status.md
@@ -22,7 +22,7 @@
 | --- | --- |
 | 메서드/URI | `GET /api/plugins/sirsoft-pay_nhnkcp/admin/orders/{orderNumber}/transaction-status` |
 | 인증 | Bearer 토큰 (관리자) |
-| 권한 | 주문 조회 권한 |
+| 권한 | 주문 조회 권한 (`sirsoft-ecommerce.orders.read`) — 미보유 시 403 |
 
 ### 경로 파라미터
 
diff --git a/plugins/_bundled/sirsoft-pay_nhnkcp/src/routes/api.php b/plugins/_bundled/sirsoft-pay_nhnkcp/src/routes/api.php
index 6817d9c4..865b1923 100644
--- a/plugins/_bundled/sirsoft-pay_nhnkcp/src/routes/api.php
+++ b/plugins/_bundled/sirsoft-pay_nhnkcp/src/routes/api.php
@@ -52,7 +52,8 @@ Route::prefix('admin')->name('admin.')->middleware(['auth:sanctum', 'admin'])->g
             'url' => url('/plugins/sirsoft-pay_nhnkcp/payment/vbank-notify'),
             'escrow_common_notify_url' => url('/plugins/sirsoft-pay_nhnkcp/payment/escrow-common-notify'),
         ],
-    ]))->name('vbank.notify.url');
+    ]))->middleware('permission:admin,sirsoft-ecommerce.settings.read')
+        ->name('vbank.notify.url');
 
     Route::get('/settings/test-mode-status', [AdminSettingsStatusController::class, 'testMode'])
         ->middleware('permission:admin,sirsoft-ecommerce.settings.read')
@@ -60,23 +61,29 @@ Route::prefix('admin')->name('admin.')->middleware(['auth:sanctum', 'admin'])->g
 
     // 테스트 모드 주문 맵 (관리자 주문목록 배지 표시용)
     Route::get('/orders/test-mode-map', [AdminOrderListController::class, 'testModeMap'])
+        ->middleware('permission:admin,sirsoft-ecommerce.orders.read')
         ->name('orders.test-mode-map');
 
     // 간편결제 원 결제수단 표시 맵 (관리자 주문목록 보강용)
     Route::get('/orders/easy-pay-display-map', [AdminOrderListController::class, 'easyPayDisplayMap'])
+        ->middleware('permission:admin,sirsoft-ecommerce.orders.read')
         ->name('orders.easy-pay-display-map');
 
     // 주문번호로 거래 정보 조회 (레이아웃 확장 자동 로드용)
     Route::get('/orders/{orderNumber}/transaction-status', [AdminTransactionController::class, 'queryByOrder'])
+        ->middleware('permission:admin,sirsoft-ecommerce.orders.read')
         ->name('orders.transaction-status');
 
     // 에스크로 배송 등록
     Route::get('/orders/{orderNumber}/escrow-delivery', [AdminEscrowDeliveryController::class, 'formData'])
+        ->middleware('permission:admin,sirsoft-ecommerce.orders.read')
         ->name('orders.escrow-delivery.form');
     Route::post('/orders/{orderNumber}/escrow-delivery', [AdminEscrowDeliveryController::class, 'register'])
+        ->middleware('permission:admin,sirsoft-ecommerce.orders.update')
         ->name('orders.escrow-delivery.register');
 
     // 시스템 점검 (PC/모바일 결제 사전조건 진단 + 자동 chmod +x 복구)
     Route::get('/health', [HealthCheckController::class, 'check'])
+        ->middleware('permission:admin,sirsoft-ecommerce.settings.read')
         ->name('health');
 });
diff --git a/plugins/_bundled/sirsoft-pay_nhnkcp/tests/Feature/Controllers/AdminRoutePermissionTest.php b/plugins/_bundled/sirsoft-pay_nhnkcp/tests/Feature/Controllers/AdminRoutePermissionTest.php
new file mode 100644
index 00000000..c4f16f95
--- /dev/null
+++ b/plugins/_bundled/sirsoft-pay_nhnkcp/tests/Feature/Controllers/AdminRoutePermissionTest.php
@@ -0,0 +1,199 @@
+<?php
+
+declare(strict_types=1);
+
+namespace Plugins\Sirsoft\PayNhnkcp\Tests\Feature\Controllers;
+
+use App\Models\User;
+use Illuminate\Support\Facades\Route;
+use Modules\Sirsoft\Ecommerce\Database\Factories\OrderFactory;
+use Modules\Sirsoft\Ecommerce\Database\Factories\OrderPaymentFactory;
+use Modules\Sirsoft\Ecommerce\Enums\OrderStatusEnum;
+use Modules\Sirsoft\Ecommerce\Enums\PaymentMethodEnum;
+use Modules\Sirsoft\Ecommerce\Enums\PaymentStatusEnum;
+use Modules\Sirsoft\Ecommerce\Models\Order;
+use Plugins\Sirsoft\PayNhnkcp\Services\NhnKcpApiService;
+use Plugins\Sirsoft\PayNhnkcp\Tests\PluginTestCase;
+
+/**
+ * 관리자 라우트 세부권한 회귀 테스트 (KVE-2026-1893)
+ *
+ * `admin` 미들웨어는 type=admin 권한 보유 여부만 판정하므로 업무 권한이 없는
+ * 제한 관리자도 도달한다. 주문 조회/조작 경로는 `permission:admin,...` 로
+ * 세부권한을 부착해야 하며, 형제 PG 플러그인(kginicis/nicepayments)과 동일 강도여야 한다.
+ */
+class AdminRoutePermissionTest extends PluginTestCase
+{
+    /**
+     * 라우트 선언에 세부권한 미들웨어가 부착되어 있는지 확인합니다.
+     *
+     * @return void
+     */
+    public function test_admin_routes_declare_ecommerce_permission_middleware(): void
+    {
+        $expected = [
+            'api.plugins.sirsoft-pay_nhnkcp.admin.orders.test-mode-map' => 'permission:admin,sirsoft-ecommerce.orders.read',
+            'api.plugins.sirsoft-pay_nhnkcp.admin.orders.easy-pay-display-map' => 'permission:admin,sirsoft-ecommerce.orders.read',
+            'api.plugins.sirsoft-pay_nhnkcp.admin.orders.transaction-status' => 'permission:admin,sirsoft-ecommerce.orders.read',
+            'api.plugins.sirsoft-pay_nhnkcp.admin.orders.escrow-delivery.form' => 'permission:admin,sirsoft-ecommerce.orders.read',
+            'api.plugins.sirsoft-pay_nhnkcp.admin.orders.escrow-delivery.register' => 'permission:admin,sirsoft-ecommerce.orders.update',
+            'api.plugins.sirsoft-pay_nhnkcp.admin.vbank.notify.url' => 'permission:admin,sirsoft-ecommerce.settings.read',
+            'api.plugins.sirsoft-pay_nhnkcp.admin.health' => 'permission:admin,sirsoft-ecommerce.settings.read',
+        ];
+
+        // 이름 조회표는 앱 부팅 시점에 한 번 갱신된다. 테스트는 부팅 이후(setUp)에 라우트를
+        // 등록하므로 그 표에 반영되지 않는다 — 조회 전에 명시적으로 다시 만든다.
+        Route::getRoutes()->refreshNameLookups();
+
+        foreach ($expected as $routeName => $permissionMiddleware) {
+            $route = Route::getRoutes()->getByName($routeName);
+            $this->assertNotNull($route, "Route [{$routeName}] should exist.");
+            $this->assertContains(
+                $permissionMiddleware,
+                $route->gatherMiddleware(),
+                "Route [{$routeName}] should require [{$permissionMiddleware}]."
+            );
+        }
+    }
+
+    /**
+     * 업무 권한이 없는 관리자는 주문 관련 전 경로에서 403 을 받아야 합니다.
+     *
+     * @return void
+     */
+    public function test_admin_without_business_permission_is_denied_on_every_order_route(): void
+    {
+        $admin = $this->createAdminUser([]);
+        $order = $this->createEscrowOrder();
+        $base = '/api/plugins/sirsoft-pay_nhnkcp/admin';
+
+        $this->actingAs($admin)->getJson($base.'/orders/test-mode-map')->assertForbidden();
+        $this->actingAs($admin)->getJson($base.'/orders/easy-pay-display-map')->assertForbidden();
+        $this->actingAs($admin)->getJson($base."/orders/{$order->order_number}/transaction-status")->assertForbidden();
+        $this->actingAs($admin)->getJson($base."/orders/{$order->order_number}/escrow-delivery")->assertForbidden();
+        $this->actingAs($admin)->postJson($base."/orders/{$order->order_number}/escrow-delivery", [
+            'deli_numb' => '1234567890',
+            'deli_corp' => '04',
+        ])->assertForbidden();
+        $this->actingAs($admin)->getJson($base.'/vbank-notify-url')->assertForbidden();
+        $this->actingAs($admin)->getJson($base.'/health')->assertForbidden();
+    }
+
+    /**
+     * 403 은 가드 선행이어야 하며, 거부된 등록 요청은 결제 메타를 변경하지 않아야 합니다.
+     *
+     * @return void
+     */
+    public function test_denied_escrow_register_leaves_payment_meta_untouched(): void
+    {
+        $admin = $this->createAdminUser(['sirsoft-ecommerce.orders.read']);
+        $order = $this->createEscrowOrder();
+        $before = $order->payment()->first()->payment_meta;
+
+        $this->actingAs($admin)
+            ->postJson("/api/plugins/sirsoft-pay_nhnkcp/admin/orders/{$order->order_number}/escrow-delivery", [
+                'deli_numb' => '1234567890',
+                'deli_corp' => '04',
+            ])
+            ->assertForbidden();
+
+        $payment = $order->payment()->first();
+        $this->assertSame($before, $payment->payment_meta);
+        $this->assertArrayNotHasKey('escrow_delivery', $payment->payment_meta ?? []);
+    }
+
+    /**
+     * 읽기 권한 보유 관리자는 조회 경로에 도달해야 합니다 (수정이 정상 관리자를 깨지 않음).
+     *
+     * @return void
+     */
+    public function test_admin_with_orders_read_can_reach_read_routes(): void
+    {
+        $admin = $this->createAdminUser(['sirsoft-ecommerce.orders.read']);
+        $order = $this->createEscrowOrder();
+        $base = '/api/plugins/sirsoft-pay_nhnkcp/admin';
+
+        $this->actingAs($admin)->getJson($base.'/orders/test-mode-map')->assertOk();
+        $this->actingAs($admin)->getJson($base.'/orders/easy-pay-display-map')->assertOk();
+        $this->actingAs($admin)->getJson($base."/orders/{$order->order_number}/escrow-delivery")->assertOk();
+    }
+
+    /**
+     * 수정 권한 보유 관리자는 배송등록에 도달해야 합니다.
+     *
+     * @return void
+     */
+    public function test_admin_with_orders_update_can_register_escrow_delivery(): void
+    {
+        $admin = $this->createAdminUser(['sirsoft-ecommerce.orders.update']);
+        $order = $this->createEscrowOrder();
+
+        $mock = $this->createMock(NhnKcpApiService::class);
+        $mock->method('registerEscrowDelivery')->willReturn([
+            'res_cd' => '0000',
+            'res_msg' => '정상처리',
+            'tno' => 'KCP_ESCROW_TNO_PERM',
+            'deli_numb' => '1234567890',
+            'deli_corp' => '04',
+        ]);
+        $this->app->instance(NhnKcpApiService::class, $mock);
+
+        $this->actingAs($admin)
+            ->postJson("/api/plugins/sirsoft-pay_nhnkcp/admin/orders/{$order->order_number}/escrow-delivery", [
+                'deli_numb' => '1234567890',
+                'deli_corp' => '04',
+            ])
+            ->assertOk()
+            ->assertJsonPath('success', true);
+    }
+
+    /**
+     * 설정 읽기 권한 보유 관리자는 설정성 경로에 도달해야 합니다.
+     *
+     * @return void
+     */
+    public function test_admin_with_settings_read_can_reach_settings_routes(): void
+    {
+        $admin = $this->createAdminUser(['sirsoft-ecommerce.settings.read']);
+
+        $this->actingAs($admin)
+            ->getJson('/api/plugins/sirsoft-pay_nhnkcp/admin/vbank-notify-url')
+            ->assertOk();
+    }
+
+    /**
+     * 에스크로 결제가 붙은 테스트 주문을 생성합니다.
+     *
+     * @return Order 생성된 주문
+     */
+    private function createEscrowOrder(): Order
+    {
+        $order = OrderFactory::new()->create([
+            'user_id' => User::factory()->create()->id,
+            'order_number' => 'ORD-KCP-PERM-'.random_int(10000, 99999),
+            'order_status' => OrderStatusEnum::PAYMENT_COMPLETE,
+            'total_amount' => 30000,
+            'total_due_amount' => 0,
+            'total_paid_amount' => 30000,
+            'paid_at' => now(),
+        ]);
+
+        OrderPaymentFactory::new()->create([
+            'order_id' => $order->id,
+            'payment_status' => PaymentStatusEnum::PAID,
+            'payment_method' => PaymentMethodEnum::CARD,
+            'pg_provider' => 'nhnkcp',
+            'transaction_id' => 'KCP_TNO_PERM_'.random_int(10000, 99999),
+            'paid_amount_local' => 30000,
+            'paid_at' => now(),
+            'is_escrow' => true,
+            'payment_meta' => [
+                'site_cd' => 'T0000',
+                'is_test_mode' => true,
+                'escw_yn' => 'Y',
+            ],
+        ]);
+
+        return $order->fresh();
+    }
+}

From ca4834bbb9b118afc0ab92cfa30fd81bad69a33a Mon Sep 17 00:00:00 2001
From: HeuJung <heuristing@gmail.com>
Date: Sat, 22 Aug 2026 10:16:08 +0900
Subject: [PATCH 7/7] =?UTF-8?q?fix(release):=207.0.8=20=EC=82=AC=EC=A0=84?=
 =?UTF-8?q?=EC=A0=90=EA=B2=80=20=EC=A0=84=EC=88=98=EC=A1=B0=EC=82=AC=20?=
 =?UTF-8?q?=E2=80=94=20=EB=A6=B4=EB=A6=AC=EC=A6=88=20=EC=B0=A8=EB=8B=A8=20?=
 =?UTF-8?q?2=EA=B1=B4=20=ED=8F=AC=ED=95=A8=20=EA=B2=B0=ED=95=A8=207?=
 =?UTF-8?q?=EA=B1=B4=20=EC=88=98=EC=A0=95=20=EB=B0=8F=20=EC=B6=9C=EC=8B=9C?=
 =?UTF-8?q?=EC=9D=BC=20=EC=A0=95=EB=A0=AC?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

- pay_nhnkcp 1.0.3 분리: 관리자 API 권한 게이트 변경분이 이미 배포된 1.0.2
 섹션에 소급 누적돼 있어 배포본과 어긋나고 업데이트 감지도 불가하던 것을
 manifest/package/composer/lock 동기와 함께 정정
- 공개 시나리오 매니페스트의 내부 경로 참조 제거 — 릴리즈 파일 누출 검사가
 error 로 발행을 차단하던 상태 해소 (내부 정적 검사 연계는 도구 비귀속 서술로 이관)
- 모듈/플러그인/템플릿 수동 설치에서 깨진 zip·manifest 누락 같은 사용자 입력
 오류가 500 으로 위장되던 422 계약 회귀 복원 — 서비스 경계에서 도메인 예외로
 승격해 상태코드와 실패 사유를 함께 보존 (회귀 테스트 동반)
- 본인인증 정책 검색 버튼이 입력 중인 검색어를 반영하지 않고, 초기화 후에도
 입력창에 이전 검색어가 남던 문제 수정 — 폼 자동바인딩 옵트아웃 + 명시 상태
 전환, E2E 회귀 스펙과 트러블슈팅 사례 동반
- 프록시 URL 검증 비문자열 분기의 :schemes 치환 누락 보정 (회귀 테스트 동반)
- 7.0.8 사이클 출시일자를 2026-08-22 로 정렬 (코어·엔진·확장 7종·언어팩 3종,
 버전·콘텐츠 무변경) 및 설치본 언어팩 동기
---
 CHANGELOG.md                                  |  2 +-
 app/Rules/ValidOutboundProxyUrl.php           |  4 +-
 app/Services/ModuleService.php                | 13 ++++
 app/Services/PluginService.php                | 13 ++++
 app/Services/TemplateService.php              | 13 ++++
 docs/extension/module-basics.md               |  2 +-
 lang-packs/_bundled/g7-core-ja/CHANGELOG.md   |  2 +-
 .../CHANGELOG.md                              |  2 +-
 .../CHANGELOG.md                              |  2 +-
 modules/_bundled/sirsoft-board/CHANGELOG.md   |  2 +-
 .../_bundled/sirsoft-ecommerce/CHANGELOG.md   |  2 +-
 .../_bundled/sirsoft-marketing/CHANGELOG.md   |  2 +-
 .../sirsoft-pay_kginicis/CHANGELOG.md         |  2 +-
 .../_bundled/sirsoft-pay_nhnkcp/CHANGELOG.md  |  7 +-
 .../_bundled/sirsoft-pay_nhnkcp/composer.json |  2 +-
 .../sirsoft-pay_nhnkcp/package-lock.json      |  4 +-
 .../_bundled/sirsoft-pay_nhnkcp/package.json  |  2 +-
 .../_bundled/sirsoft-pay_nhnkcp/plugin.json   |  2 +-
 .../CHANGELOG.md                              |  2 +-
 .../js/core/template-engine/CHANGELOG.md      |  2 +-
 .../_bundled/sirsoft-admin_basic/CHANGELOG.md |  7 +-
 .../_tab_identity_policies.json               | 40 ++++++++++-
 .../Api/Admin/ModuleControllerTest.php        | 34 ++++++++++
 .../Settings/OutboundProxySettingTest.php     | 31 +++++++++
 .../settings-identity-policy-search.spec.ts   | 66 +++++++++++++++++++
 .../admin/settings-outbound-proxy.spec.ts     |  2 +-
 tests/scenarios/bootstrap-parse-failure.yaml  |  5 +-
 27 files changed, 242 insertions(+), 25 deletions(-)
 create mode 100644 tests/Playwright/specs/admin/settings-identity-policy-search.spec.ts

diff --git a/CHANGELOG.md b/CHANGELOG.md
index 1517bfdb..04df1e86 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [7.0.8] - 2026-08-21
+## [7.0.8] - 2026-08-22
 
 ### Added
 
diff --git a/app/Rules/ValidOutboundProxyUrl.php b/app/Rules/ValidOutboundProxyUrl.php
index 195060ee..bf5279b8 100644
--- a/app/Rules/ValidOutboundProxyUrl.php
+++ b/app/Rules/ValidOutboundProxyUrl.php
@@ -33,7 +33,9 @@ class ValidOutboundProxyUrl implements ValidationRule
         }
 
         if (! is_string($value)) {
-            $fail(__('validation.settings.outbound_proxy_invalid'));
+            $fail(__('validation.settings.outbound_proxy_invalid', [
+                'schemes' => implode(', ', OutboundProxy::ALLOWED_SCHEMES),
+            ]));
 
             return;
         }
diff --git a/app/Services/ModuleService.php b/app/Services/ModuleService.php
index 28ad15d1..7d765025 100644
--- a/app/Services/ModuleService.php
+++ b/app/Services/ModuleService.php
@@ -783,6 +783,13 @@ class ModuleService
                 }
                 throw $e;
             }
+        } catch (ModuleOperationException $e) {
+            throw $e;
+        } catch (\RuntimeException $e) {
+            // ZipInstallHelper 등 설치 원본 처리의 raw RuntimeException(깨진 zip·manifest
+            // 누락 같은 사용자 입력 오류)을 도메인 예외로 승격한다 — 컨트롤러의 좁혀진
+            // catch 가 인프라 예외와 구분해 종전 422 계약을 유지하고, 사유는 :error 로 보존.
+            throw new ModuleOperationException('modules.errors.install_failed', ['error' => $e->getMessage()], $e);
         } finally {
             if (File::exists($extractPath)) {
                 File::deleteDirectory($extractPath);
@@ -836,6 +843,12 @@ class ModuleService
                 }
                 throw $e;
             }
+        } catch (ModuleOperationException $e) {
+            throw $e;
+        } catch (\RuntimeException $e) {
+            // GithubHelper·ZipInstallHelper 의 raw RuntimeException(잘못된 URL·다운로드
+            // 실패·manifest 오류)을 도메인 예외로 승격한다 — 종전 422 계약 유지, 사유 보존.
+            throw new ModuleOperationException('modules.errors.install_failed', ['error' => $e->getMessage()], $e);
         } finally {
             if (File::exists($extractPath)) {
                 File::deleteDirectory($extractPath);
diff --git a/app/Services/PluginService.php b/app/Services/PluginService.php
index 2af946db..3767f183 100644
--- a/app/Services/PluginService.php
+++ b/app/Services/PluginService.php
@@ -899,6 +899,13 @@ class PluginService
                 }
                 throw $e;
             }
+        } catch (PluginOperationException $e) {
+            throw $e;
+        } catch (\RuntimeException $e) {
+            // ZipInstallHelper 등 설치 원본 처리의 raw RuntimeException(깨진 zip·manifest
+            // 누락 같은 사용자 입력 오류)을 도메인 예외로 승격한다 — 컨트롤러의 좁혀진
+            // catch 가 인프라 예외와 구분해 종전 422 계약을 유지하고, 사유는 :error 로 보존.
+            throw new PluginOperationException('plugins.errors.install_failed', ['error' => $e->getMessage()], $e);
         } finally {
             if (File::exists($extractPath)) {
                 File::deleteDirectory($extractPath);
@@ -952,6 +959,12 @@ class PluginService
                 }
                 throw $e;
             }
+        } catch (PluginOperationException $e) {
+            throw $e;
+        } catch (\RuntimeException $e) {
+            // GithubHelper·ZipInstallHelper 의 raw RuntimeException(잘못된 URL·다운로드
+            // 실패·manifest 오류)을 도메인 예외로 승격한다 — 종전 422 계약 유지, 사유 보존.
+            throw new PluginOperationException('plugins.errors.install_failed', ['error' => $e->getMessage()], $e);
         } finally {
             if (File::exists($extractPath)) {
                 File::deleteDirectory($extractPath);
diff --git a/app/Services/TemplateService.php b/app/Services/TemplateService.php
index 37cc899f..153c0667 100644
--- a/app/Services/TemplateService.php
+++ b/app/Services/TemplateService.php
@@ -1936,6 +1936,13 @@ class TemplateService
                 }
                 throw $e;
             }
+        } catch (TemplateOperationException $e) {
+            throw $e;
+        } catch (\RuntimeException $e) {
+            // ZipInstallHelper 등 설치 원본 처리의 raw RuntimeException(깨진 zip·manifest
+            // 누락 같은 사용자 입력 오류)을 도메인 예외로 승격한다 — 컨트롤러의 좁혀진
+            // catch 가 인프라 예외와 구분해 종전 422 계약을 유지하고, 사유는 :error 로 보존.
+            throw new TemplateOperationException('templates.errors.install_failed', ['error' => $e->getMessage()], $e);
         } finally {
             if (File::exists($extractPath)) {
                 File::deleteDirectory($extractPath);
@@ -1989,6 +1996,12 @@ class TemplateService
                 }
                 throw $e;
             }
+        } catch (TemplateOperationException $e) {
+            throw $e;
+        } catch (\RuntimeException $e) {
+            // GithubHelper·ZipInstallHelper 의 raw RuntimeException(잘못된 URL·다운로드
+            // 실패·manifest 오류)을 도메인 예외로 승격한다 — 종전 422 계약 유지, 사유 보존.
+            throw new TemplateOperationException('templates.errors.install_failed', ['error' => $e->getMessage()], $e);
         } finally {
             if (File::exists($extractPath)) {
                 File::deleteDirectory($extractPath);
diff --git a/docs/extension/module-basics.md b/docs/extension/module-basics.md
index 428c9888..49091097 100644
--- a/docs/extension/module-basics.md
+++ b/docs/extension/module-basics.md
@@ -143,6 +143,7 @@
 | `getMetadata()` | `[]` | 메타데이터 |
 | `getMiddleware()` | `[]` | 확장 미들웨어 선언 (self-gate targets) — `{class, groups, timing?, targets}` ([middleware.md](../backend/middleware.md)) |
 | `getBenchmarkProfiles()` | `[]` | 성능 계측 대상 선언 (`g7:bench` 가 수집) — 목록/화면/쓰기/배치 4축 ([benchmark.md](../backend/benchmark.md)) |
+| `upgrades()` | `[]` | 업그레이드 스텝 (`upgrades/` 디렉토리 자동 발견). **`g7_version >= 7.0.0-beta.5` 인 모듈은 신규 step 이 `AbstractUpgradeStep` 상속 의무** ([upgrade-step-guide §13](upgrade-step-guide.md)) — 미상속 시 `ModuleManager::runUpgradeSteps` 가 `RuntimeException` throw |
 
 #### 수명주기 훅이 실패를 알리는 방법
 
@@ -165,7 +166,6 @@ public function activate(): bool
 - 사유는 **이미 번역된 문장**이어야 한다 — 확장의 언어 파일 키는 코어가 해석할 수 없다.
 - 사유를 남기지 않고 `false` 만 돌려주면 코어가 일반 문구로 대체한다(동작은 그대로).
 - 같은 규칙이 플러그인(`AbstractPlugin`)에도 동일하게 적용된다.
-| `upgrades()` | `[]` | 업그레이드 스텝 (`upgrades/` 디렉토리 자동 발견). **`g7_version >= 7.0.0-beta.5` 인 모듈은 신규 step 이 `AbstractUpgradeStep` 상속 의무** ([upgrade-step-guide §13](upgrade-step-guide.md)) — 미상속 시 `ModuleManager::runUpgradeSteps` 가 `RuntimeException` throw |
 
 #### 동적 권한/역할/메뉴 보존 규칙
 
diff --git a/lang-packs/_bundled/g7-core-ja/CHANGELOG.md b/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
index 06279d53..ed9e34e5 100644
--- a/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
+++ b/lang-packs/_bundled/g7-core-ja/CHANGELOG.md
@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.0.7] - 2026-08-21
+## [1.0.7] - 2026-08-22
 
 ### Added
 
diff --git a/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/CHANGELOG.md b/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/CHANGELOG.md
index 2f252148..1e790bd5 100644
--- a/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/CHANGELOG.md
+++ b/lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/CHANGELOG.md
@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.1.2] - 2026-08-21
+## [1.1.2] - 2026-08-22
 
 ### Added
 
diff --git a/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md b/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md
index e9b4b3ca..1bc252fc 100644
--- a/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md
+++ b/lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md
@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.0.6] - 2026-08-21
+## [1.0.6] - 2026-08-22
 
 ### Added
 
diff --git a/modules/_bundled/sirsoft-board/CHANGELOG.md b/modules/_bundled/sirsoft-board/CHANGELOG.md
index 11cdf3a5..00d1a696 100644
--- a/modules/_bundled/sirsoft-board/CHANGELOG.md
+++ b/modules/_bundled/sirsoft-board/CHANGELOG.md
@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.0.5] - 2026-08-21
+## [1.0.5] - 2026-08-22
 
 ### Security
 
diff --git a/modules/_bundled/sirsoft-ecommerce/CHANGELOG.md b/modules/_bundled/sirsoft-ecommerce/CHANGELOG.md
index ee1e895d..a7345482 100644
--- a/modules/_bundled/sirsoft-ecommerce/CHANGELOG.md
+++ b/modules/_bundled/sirsoft-ecommerce/CHANGELOG.md
@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.1.2] - 2026-08-21
+## [1.1.2] - 2026-08-22
 
 ### Security
 
diff --git a/plugins/_bundled/sirsoft-marketing/CHANGELOG.md b/plugins/_bundled/sirsoft-marketing/CHANGELOG.md
index 1f09afa4..e81bd506 100644
--- a/plugins/_bundled/sirsoft-marketing/CHANGELOG.md
+++ b/plugins/_bundled/sirsoft-marketing/CHANGELOG.md
@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.0.3] - 2026-08-21
+## [1.0.3] - 2026-08-22
 
 ### Security
 
diff --git a/plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md b/plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md
index 562adda7..98377c59 100644
--- a/plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md
+++ b/plugins/_bundled/sirsoft-pay_kginicis/CHANGELOG.md
@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.1.2] - 2026-08-21
+## [1.1.2] - 2026-08-22
 
 ### Changed
 
diff --git a/plugins/_bundled/sirsoft-pay_nhnkcp/CHANGELOG.md b/plugins/_bundled/sirsoft-pay_nhnkcp/CHANGELOG.md
index 5d35e317..071e7f59 100644
--- a/plugins/_bundled/sirsoft-pay_nhnkcp/CHANGELOG.md
+++ b/plugins/_bundled/sirsoft-pay_nhnkcp/CHANGELOG.md
@@ -4,12 +4,17 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.0.2] - 2026-08-19
+## [1.0.3] - 2026-08-22
 
 ### Security
 
 - 관리자 주문 조회·에스크로 배송등록 API가 세부 권한을 검사하도록 수정했습니다. 이전에는 관리자 계정이면 주문 권한이 없어도 주문번호·결제정보·수령인 연락처와 주소를 조회하고 배송등록까지 할 수 있었습니다. 이제 조회는 주문 조회 권한, 배송등록은 주문 수정 권한이 필요하며, 다른 결제대행사 연동과 같은 기준이 적용됩니다. (KISA 측에서 제보해주셨습니다 — KVE-2026-1893)
 - 가상계좌 입금통보 주소 조회와 시스템 점검 API에도 설정 조회 권한 검사를 추가했습니다.
+
+## [1.0.2] - 2026-08-19
+
+### Security
+
 - 에스크로 배송등록 요청의 운송장번호·택배사 코드에 형식·길이 검증을 추가했습니다.
 
 ### Changed
diff --git a/plugins/_bundled/sirsoft-pay_nhnkcp/composer.json b/plugins/_bundled/sirsoft-pay_nhnkcp/composer.json
index 81920c80..d866151a 100644
--- a/plugins/_bundled/sirsoft-pay_nhnkcp/composer.json
+++ b/plugins/_bundled/sirsoft-pay_nhnkcp/composer.json
@@ -1,7 +1,7 @@
 {
     "name": "plugins/sirsoft-pay_nhnkcp",
     "description": "NHN KCP PG Plugin for G7 platform",
-    "version": "1.0.2",
+    "version": "1.0.3",
     "type": "library",
     "authors": [
         {
diff --git a/plugins/_bundled/sirsoft-pay_nhnkcp/package-lock.json b/plugins/_bundled/sirsoft-pay_nhnkcp/package-lock.json
index c847ad60..fd265ec4 100644
--- a/plugins/_bundled/sirsoft-pay_nhnkcp/package-lock.json
+++ b/plugins/_bundled/sirsoft-pay_nhnkcp/package-lock.json
@@ -1,12 +1,12 @@
 {
     "name": "@g7/sirsoft-pay_nhnkcp",
-    "version": "1.0.2",
+    "version": "1.0.3",
     "lockfileVersion": 3,
     "requires": true,
     "packages": {
         "": {
             "name": "@g7/sirsoft-pay_nhnkcp",
-            "version": "1.0.2",
+            "version": "1.0.3",
             "devDependencies": {
                 "jsdom": "^27.4.0",
                 "typescript": "^5.3.3",
diff --git a/plugins/_bundled/sirsoft-pay_nhnkcp/package.json b/plugins/_bundled/sirsoft-pay_nhnkcp/package.json
index a10bc4a2..18a5d567 100644
--- a/plugins/_bundled/sirsoft-pay_nhnkcp/package.json
+++ b/plugins/_bundled/sirsoft-pay_nhnkcp/package.json
@@ -1,6 +1,6 @@
 {
     "name": "@g7/sirsoft-pay_nhnkcp",
-    "version": "1.0.2",
+    "version": "1.0.3",
     "type": "module",
     "private": true,
     "scripts": {
diff --git a/plugins/_bundled/sirsoft-pay_nhnkcp/plugin.json b/plugins/_bundled/sirsoft-pay_nhnkcp/plugin.json
index 58774553..5d5688d1 100644
--- a/plugins/_bundled/sirsoft-pay_nhnkcp/plugin.json
+++ b/plugins/_bundled/sirsoft-pay_nhnkcp/plugin.json
@@ -5,7 +5,7 @@
         "ko": "NHN KCP",
         "en": "NHN KCP"
     },
-    "version": "1.0.2",
+    "version": "1.0.3",
     "license": "MIT",
     "github_url": "https://github.com/gnuboard/g7-plugin-sirsoft-pay_nhnkcp",
     "github_changelog_url": "https://github.com/gnuboard/g7-plugin-sirsoft-pay_nhnkcp/blob/main/CHANGELOG.md",
diff --git a/plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md b/plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md
index 49fdac4e..98f38f78 100644
--- a/plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md
+++ b/plugins/_bundled/sirsoft-verification_kginicis/CHANGELOG.md
@@ -4,7 +4,7 @@ All notable changes to this plugin will be documented in this file.
 
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.0.0/).
 
-## [1.0.4] - 2026-08-21
+## [1.0.4] - 2026-08-22
 
 ### Changed
 
diff --git a/resources/js/core/template-engine/CHANGELOG.md b/resources/js/core/template-engine/CHANGELOG.md
index be74a094..3366bea2 100644
--- a/resources/js/core/template-engine/CHANGELOG.md
+++ b/resources/js/core/template-engine/CHANGELOG.md
@@ -5,7 +5,7 @@
 >
 > 형식: [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)
 
-## [engine-v1.60.6] - 2026-08-21
+## [engine-v1.60.6] - 2026-08-22
 
 ### Fixed
 
diff --git a/templates/_bundled/sirsoft-admin_basic/CHANGELOG.md b/templates/_bundled/sirsoft-admin_basic/CHANGELOG.md
index 257a45ea..09626a51 100644
--- a/templates/_bundled/sirsoft-admin_basic/CHANGELOG.md
+++ b/templates/_bundled/sirsoft-admin_basic/CHANGELOG.md
@@ -4,13 +4,18 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.0.6] - 2026-08-21
+## [1.0.6] - 2026-08-22
 
 ### Added
 
 - 환경설정 > 고급 > 디버그 카드에 아웃바운드 프록시 설정이 추가되었습니다 — 디버그 모드를 켜면 사이트가 외부로 보내는 요청이 거쳐 갈 프록시 주소와, 프록시를 거치지 않을 주소 목록을 입력할 수 있습니다.
 - 프록시 주소 옆에 「연결 테스트」 버튼이 추가되었습니다 — 저장하기 전에 연결 여부를 확인하고, 성공 시 외부 서비스에 보이는 IP 주소를 함께 표시합니다.
 
+### Fixed
+
+- 환경설정 > 인증 > 정책 관리에서 검색 버튼을 눌러도 입력 중인 검색어가 반영되지 않던 문제를 수정했습니다. Enter 키로는 검색되지만 버튼으로는 직전 검색어로만 다시 조회되어, 검색어를 바꿔 버튼을 눌러도 결과가 그대로였습니다.
+- 같은 화면의 검색 초기화 버튼을 눌러도 입력창의 검색어가 지워지지 않고 남아 있던 문제를 수정했습니다. 목록은 초기화되는데 입력창만 이전 검색어를 보여 주어 초기화가 안 된 것처럼 보였습니다.
+
 ## [1.0.5] - 2026-08-19
 
 ### Added
diff --git a/templates/_bundled/sirsoft-admin_basic/layouts/partials/admin_settings/_tab_identity_policies.json b/templates/_bundled/sirsoft-admin_basic/layouts/partials/admin_settings/_tab_identity_policies.json
index dd8d36c1..53ab9fba 100644
--- a/templates/_bundled/sirsoft-admin_basic/layouts/partials/admin_settings/_tab_identity_policies.json
+++ b/templates/_bundled/sirsoft-admin_basic/layouts/partials/admin_settings/_tab_identity_policies.json
@@ -290,14 +290,24 @@
             {
               "type": "basic",
               "name": "Input",
+              "comment": "검색 필터는 설정 폼의 일부가 아니다 — 자동바인딩되면 검색어가 설정 폼 상태(filter.search)에 남아 초기화 후에도 입력창에 되살아나고, 설정 dirty 판정까지 오염시킨다.",
               "props": {
                 "type": "text",
                 "name": "filter.search",
-                "value": "{{query.search ?? ''}}",
+                "autoBinding": false,
+                "value": "{{_local.identityPolicySearch ?? query.search ?? ''}}",
                 "placeholder": "$t:admin.identity.policies.search_placeholder",
                 "className": "md:flex-1"
               },
               "actions": [
+                {
+                  "type": "change",
+                  "handler": "setState",
+                  "params": {
+                    "target": "local",
+                    "identityPolicySearch": "{{$event.target.value}}"
+                  }
+                },
                 {
                   "type": "keypress",
                   "key": "Enter",
@@ -331,10 +341,25 @@
               },
               "actions": [
                 {
+                  "comment": "Enter 키와 동일하게 입력값을 쿼리로 실어 이동한다 — refetch 만 하면 입력 중인 검색어가 반영되지 않는다.",
                   "type": "click",
-                  "handler": "refetchDataSource",
+                  "handler": "navigate",
                   "params": {
-                    "dataSourceId": "policies"
+                    "path": "/admin/settings",
+                    "replace": true,
+                    "mergeQuery": true,
+                    "query": {
+                      "tab": "identity",
+                      "search": "{{(_local.identityPolicySearch ?? query.search) || undefined}}",
+                      "page": 1
+                    },
+                    "transition_overlay_target": "policy_table_card",
+                    "scroll": {
+                      "container": "#right_content_area",
+                      "to": "#identity_section_policies",
+                      "offset": 180,
+                      "block": "start"
+                    }
                   }
                 }
               ],
@@ -355,6 +380,15 @@
                 "className": "px-4 py-2 text-sm font-medium bg-white dark:bg-gray-800 border border-gray-300 dark:border-gray-600 text-gray-700 dark:text-gray-200 rounded-lg hover:bg-gray-50 dark:hover:bg-gray-700"
               },
               "actions": [
+                {
+                  "comment": "입력창의 미제출 검색어도 함께 비운다 — 상태만 남으면 초기화가 안 된 것으로 보인다.",
+                  "type": "click",
+                  "handler": "setState",
+                  "params": {
+                    "target": "local",
+                    "identityPolicySearch": ""
+                  }
+                },
                 {
                   "comment": "audit:allow layout-list-context-navigate-merge-query 필터 초기화 — 걸려 있던 조건을 전부 비우는 것이 이 버튼의 목적이므로 병합하지 않는다.",
                   "type": "click",
diff --git a/tests/Feature/Api/Admin/ModuleControllerTest.php b/tests/Feature/Api/Admin/ModuleControllerTest.php
index 114c214c..cdfe1016 100644
--- a/tests/Feature/Api/Admin/ModuleControllerTest.php
+++ b/tests/Feature/Api/Admin/ModuleControllerTest.php
@@ -569,6 +569,40 @@ class ModuleControllerTest extends TestCase
         $response->assertStatus(500);
     }
 
+    /**
+     * 실제 서비스 경로: module.json 없는 ZIP 업로드는 422 를 유지한다.
+     *
+     * ZipInstallHelper 는 이런 사용자 입력 오류를 raw `\RuntimeException` 으로 던진다.
+     * 컨트롤러 catch 가 도메인 예외로 좁혀지면서 서비스가 이를 승격하지 않으면, 종전
+     * 422 였던 실패가 500(인프라 장애)으로 위장된다 — 서비스 계층의 승격을 고정한다.
+     * (mock 이 아닌 실제 ZIP 으로 서비스 실경로를 태운다.)
+     */
+    public function test_install_from_file_with_zip_missing_manifest_returns_422(): void
+    {
+        $zipPath = tempnam(sys_get_temp_dir(), 'g7zip').'.zip';
+        $zip = new \ZipArchive;
+        $zip->open($zipPath, \ZipArchive::CREATE | \ZipArchive::OVERWRITE);
+        $zip->addFromString('readme.txt', 'manifest 없는 ZIP');
+        $zip->close();
+
+        try {
+            $file = new UploadedFile($zipPath, 'module.zip', 'application/zip', null, true);
+
+            $response = $this->authRequest()->postJson('/api/admin/modules/install-from-file', [
+                'file' => $file,
+            ]);
+
+            $response->assertStatus(422);
+            $this->assertStringContainsString(
+                __('modules.errors.module_json_not_found'),
+                (string) $response->json('message'),
+                '실패 사유(:error 자리)가 응답 메시지에 보존되지 않았습니다.'
+            );
+        } finally {
+            @unlink($zipPath);
+        }
+    }
+
     /**
      * ModuleService에서 일반 Exception 발생 시 500 반환
      */
diff --git a/tests/Feature/Settings/OutboundProxySettingTest.php b/tests/Feature/Settings/OutboundProxySettingTest.php
index 7801ac0f..ecceed1f 100644
--- a/tests/Feature/Settings/OutboundProxySettingTest.php
+++ b/tests/Feature/Settings/OutboundProxySettingTest.php
@@ -100,6 +100,37 @@ class OutboundProxySettingTest extends TestCase
         $this->assertArrayHasKey('advanced.outbound_proxy', $validator->errors()->messages());
     }
 
+    /**
+     * 비문자열 값 거부 시에도 오류 문구의 :schemes 치환 자리가 채워집니다.
+     *
+     * 비문자열 분기가 치환 파라미터 없이 번역을 호출하면 번역기가 자리표시자를 그대로 둔
+     * 문장을 돌려줘 관리자 화면에 `:schemes` 리터럴이 노출됩니다 — 실패했을 때만 드러나는
+     * 결함이라 정상 흐름 테스트로는 잡히지 않습니다.
+     *
+     * @scenario debug_mode=on, proxy_value=invalid, bypass_list=empty
+     *
+     * @effects proxy_setting_rejects_invalid_url
+     */
+    public function test_non_string_proxy_value_error_message_has_schemes_substituted(): void
+    {
+        $validator = $this->validatorForAdvanced([
+            'outbound_proxy' => ['not', 'a', 'string'],
+        ]);
+
+        $this->assertTrue($validator->fails(), '비문자열 프록시 값이 검증을 통과했습니다.');
+
+        $messages = $validator->errors()->get('advanced.outbound_proxy');
+        $this->assertNotEmpty($messages);
+
+        foreach ($messages as $message) {
+            $this->assertStringNotContainsString(
+                ':schemes',
+                $message,
+                '치환 자리가 채워지지 않아 :schemes 리터럴이 관리자 화면에 노출됩니다.'
+            );
+        }
+    }
+
     /**
      * 유효한 주소와 빈 값은 검증을 통과합니다.
      *
diff --git a/tests/Playwright/specs/admin/settings-identity-policy-search.spec.ts b/tests/Playwright/specs/admin/settings-identity-policy-search.spec.ts
new file mode 100644
index 00000000..f4e78d94
--- /dev/null
+++ b/tests/Playwright/specs/admin/settings-identity-policy-search.spec.ts
@@ -0,0 +1,66 @@
+/**
+ * E2E 회귀: 환경설정 > 인증 > 정책 관리 — 검색 버튼/검색 초기화
+ *
+ * 결함(2026-08-22 실측): 검색 버튼이 refetchDataSource 만 호출해 입력 중인 검색어가
+ * URL 쿼리로 실리지 않았다 — Enter 로는 검색되는데 버튼으로는 직전 검색어로만 재조회됐다.
+ * 검색 초기화는 URL·목록은 비웠지만 입력창 텍스트가 설정 폼 자동바인딩(filter.search)에
+ * 남아 초기화되지 않은 것처럼 보였다.
+ *
+ * 고정 계약:
+ *  1. 검색 버튼 클릭 = Enter 와 동일하게 입력값을 쿼리로 실어 이동 (재검색 포함)
+ *  2. 검색 초기화 = URL 쿼리 + 입력창 텍스트 모두 비움
+ */
+import { test, expect, issueToken, authenticatePage } from '../../fixtures/auth';
+
+const PERMISSIONS = [
+  'core.settings.read',
+  'core.settings.update',
+  'core.admin.identity.policies.read',
+] as const;
+
+const SEARCH_INPUT = 'input[name="filter.search"]';
+
+async function gotoPoliciesTab(page: import('@playwright/test').Page): Promise<void> {
+  await page.goto('/admin/settings?tab=identity&sub_tab=policies');
+  await page.waitForLoadState('domcontentloaded', { timeout: 30_000 });
+  await expect(page.locator(SEARCH_INPUT)).toBeAttached({ timeout: 20_000 });
+}
+
+test('정책 검색 버튼이 입력 중인 검색어를 반영하고, 검색어를 바꿔 다시 눌러도 재검색된다', async ({ page }) => {
+  await authenticatePage(page, issueToken(...PERMISSIONS));
+  await gotoPoliciesTab(page);
+
+  const searchButton = page
+    .locator('#tab_content_identity_policies button', { hasText: '검색' })
+    .first();
+
+  await page.locator(SEARCH_INPUT).fill('회원가입');
+  await searchButton.click();
+  await expect(page).toHaveURL(/search=%ED%9A%8C%EC%9B%90%EA%B0%80%EC%9E%85/, { timeout: 15_000 });
+
+  // 회귀 축: 검색어를 바꾼 뒤 버튼으로 재검색 — 종전에는 URL 이 그대로였고
+  // 직전 검색어(회원가입)로만 재조회됐다.
+  await page.locator(SEARCH_INPUT).fill('주문');
+  await searchButton.click();
+  await expect(page).toHaveURL(/search=%EC%A3%BC%EB%AC%B8/, { timeout: 15_000 });
+});
+
+test('검색 초기화가 URL 쿼리와 입력창 텍스트를 모두 비운다', async ({ page }) => {
+  await authenticatePage(page, issueToken(...PERMISSIONS));
+  await gotoPoliciesTab(page);
+
+  await page.locator(SEARCH_INPUT).fill('회원가입');
+  await page.locator(SEARCH_INPUT).press('Enter');
+  await expect(page).toHaveURL(/search=/, { timeout: 15_000 });
+
+  // 초기화 직전에 다른 검색어를 입력해 둔다 — 종전에는 이 텍스트가
+  // 설정 폼 자동바인딩에 남아 초기화 후에도 입력창에 되살아났다.
+  await page.locator(SEARCH_INPUT).fill('주문');
+
+  await page
+    .locator('#tab_content_identity_policies button', { hasText: '검색 초기화' })
+    .click();
+
+  await expect(page).not.toHaveURL(/search=/, { timeout: 15_000 });
+  await expect(page.locator(SEARCH_INPUT)).toHaveValue('', { timeout: 10_000 });
+});
diff --git a/tests/Playwright/specs/admin/settings-outbound-proxy.spec.ts b/tests/Playwright/specs/admin/settings-outbound-proxy.spec.ts
index 2059f61f..2dd92e11 100644
--- a/tests/Playwright/specs/admin/settings-outbound-proxy.spec.ts
+++ b/tests/Playwright/specs/admin/settings-outbound-proxy.spec.ts
@@ -19,7 +19,7 @@ import { test, expect, issueToken, authenticatePage } from '../../fixtures/auth'
  *
  * 이 화면은 하드 로드 시 설정 응답이 도착하기 전에도 폼이 렌더되어 조작할 수 있고,
  * 그 조작은 뒤늦게 도착한 `initLocal` 시드에 덮인다(실측 노출 창 300~430ms).
- * 제품 차원의 잠금은 두지 않기로 했으므로(#600 PO 결정), 테스트가 시드 완료를
+ * 제품 차원의 잠금은 두지 않는다는 결정이 확정되어 있으므로, 테스트가 시드 완료를
  * 기다린 뒤에 조작한다.
  */
 async function gotoAdvancedTab(page: import('@playwright/test').Page): Promise<void> {
diff --git a/tests/scenarios/bootstrap-parse-failure.yaml b/tests/scenarios/bootstrap-parse-failure.yaml
index a488ed13..8698f237 100644
--- a/tests/scenarios/bootstrap-parse-failure.yaml
+++ b/tests/scenarios/bootstrap-parse-failure.yaml
@@ -30,13 +30,11 @@ effects:
   - incompatible_strings_defined_per_locale
   - core_source_has_no_lookbehind
   - variable_extraction_contract_unchanged
-  - shipped_bundle_lookbehind_blocked_by_static_check
 
 test_files:
   - tests/Playwright/specs/smoke/bootstrap-parse-failure.spec.ts
   - tests/Feature/View/BootstrapFallbackDiagnosisTest.php
   - resources/js/core/template-engine/__tests__/DataBindingEngine.test.ts
-  - .claude/scripts/audit/__tests__/shipped-bundle-browser-baseline.test.cjs
 
 notes: |
   로케일 축은 E2E cross product 에 넣지 않는다 — 화면 문구는 서버가 렌더한 문자열을
@@ -46,3 +44,6 @@ notes: |
 
   하한 미만 실기기(iOS 15) 에서 "깨진 채로 이용 가능한가" 는 재현 수단이 없어 이 매니페스트
   범위 밖이다 — 최신 WebKit(Playwright) 도 lookbehind 를 지원해 결함 자체가 재현되지 않는다.
+
+  배포 번들에 lookbehind 등 파싱 하한 초과 문법이 재유입되는 회귀는 위 테스트와 별개로
+  저장소의 정적 검사가 차단한다 (이 매니페스트의 검증 범위 밖).