fix(core): 확장 오토로드 캐시 공집합 덮어쓰기로 인한 전역 500 + 소스맵 노출 차단 복원

오토로드 캐시(psr4)가 공집합으로 덮어써져 모든 모듈/플러그인 컨트롤러가
해석 불가능해지고 확장 화면 전체가 500 이 됐다. 이 매핑은 "DB 설치 목록 ×
디스크 활성 디렉토리" 교집합이라 DB 쪽만 일시적으로 비어도(테이블 부재·
설치 중간 실패·testing DB) 정상 매핑이 통째로 소실된다. 코어 라우트는 200
인데 확장 라우트만 전부 500 인 비대칭이 이 결함의 진단 단서다.

- 디스크에 확장 디렉토리가 남아 있는데 매핑이 0건이면 기록하지 않고 보존.
 정상적인 0건(신규 설치·마지막 확장 삭제)은 디스크도 함께 비어 통과한다
- generateAutoloadFile 에 testing 실 캐시 경로 쓰기 차단. updateComposerAutoload
 에만 있던 가드를 생성기 자체로 옮겨 어느 경로로 들어와도 막히게 했다
- extension:update-autoload 가 훅 캐시 재생성 전에 런타임 오토로드를 재등록.
 미재등록 시 깨진 매핑으로 훅 캐시가 modules/plugins 0건으로 생성되어
 확장 훅이 조용히 사라지고, 복구에 커맨드 2회 실행이 필요했다

소스맵 서빙은 에서 차단했으나 이번 브랜치에서 화이트리스트에 재추가되어
운영에서 원본 코드 전문(sourcesContent)이 노출될 수 있었다. 이 화이트리스트가
확장 에셋 서빙의 유일한 방어선이다. dev 빌드의 sourceMappingURL 404 를 피하면서
운영을 막도록 local 환경에서만 허용하도록 분기하고, 산출물을 production 으로
재빌드해 docroot 에 남아 있던 소스맵을 제거했다. --production 빌드는 소스맵을
생성하지 않을 뿐 기존 파일을 지우지 않는다.

CoreUpdateCommandSpawnFailureTest 는 in-process fallback 이 실제 업그레이드
스텝을 돌려 코어 역할·권한·메뉴를 커밋하는데 RefreshDatabase 가 없어, 이후
모든 테스트 클래스가 중복 키로 깨졌다(단독 실행 시 미재현).

app/Rules/AllowedModuleFileType.php

@@ -20,10 +20,6 @@ class AllowedModuleFileType implements ValidationRule
         // Data
         'json',
 
-        // Source maps — dev 빌드의 `//# sourceMappingURL` 이 개별 에셋 서빙 URL 을
-        // 가리키므로 허용 필요. prod 는 ExtensionBundleService 가 참조 자체를 strip 한다.
-        'map',
-
         // Images
         'png', 'jpg', 'jpeg', 'svg', 'webp', 'gif', 'ico',
 
@@ -43,11 +39,12 @@ class AllowedModuleFileType implements ValidationRule
         }
 
         $extension = strtolower(pathinfo($value, PATHINFO_EXTENSION));
+        $allowed = self::getAllowedExtensions();
 
-        if (! in_array($extension, self::ALLOWED_EXTENSIONS, true)) {
+        if (! in_array($extension, $allowed, true)) {
             $fail(__('validation.module_path.file_type_not_allowed', [
                 'extension' => $extension,
-                'allowed' => implode(', ', self::ALLOWED_EXTENSIONS),
+                'allowed' => implode(', ', $allowed),
             ]));
 
             return;
@@ -57,10 +54,20 @@ class AllowedModuleFileType implements ValidationRule
     /**
      * 허용된 확장자 목록 반환
      *
-     * @return array<string>
+     * 로컬 개발 환경에서만 소스맵(`map`)을 덧붙인다. dev 빌드 산출물은
+     * `//# sourceMappingURL` 이 개별 에셋 서빙 URL 을 가리키므로 서빙되어야
+     * 브라우저 콘솔에 404 가 남지 않는다. 반면 소스맵에는 원본 코드 전문
+     * (`sourcesContent`)이 담겨 있고 이 화이트리스트가 에셋 서빙의 유일한
+     * 방어선이므로, 운영 환경에서는 어떤 경우에도 서빙하지 않는다.
+     *
+     * @return array<string> 허용된 확장자 목록
      */
     public static function getAllowedExtensions(): array
     {
+        if (app()->environment('local')) {
+            return [...self::ALLOWED_EXTENSIONS, 'map'];
+        }
+
         return self::ALLOWED_EXTENSIONS;
     }
 }