Merge branch 'develop'

targets 에 명시된 {modules,plugins,templates,lang-packs}/_bundled 가
상위 protected(modules 등)에 걸려 3-way apply 목록에서 제외되던 결함 수정.
targets 가 protected 보다 더 구체적이면 오버라이드해 통과시켜, 코어 업데이트로
번들 확장 갱신 파일(composer.json·vendor-bundle.json 등)이 정상 반영되도록 한다.
자동 발견 폴백의 방어 및 prune 롤백 경로는 불변.

아울러 이슈 템플릿의 사용법 문의 링크를 Discussions 에서 sir.kr Q&A 로 전환.

.env.example

@@ -3,7 +3,7 @@ APP_ENV=production
 APP_KEY=
 APP_DEBUG=false
 APP_URL=http://localhost
-APP_VERSION=7.0.0
+APP_VERSION=7.0.2
 
 APP_LOCALE=ko
 APP_FALLBACK_LOCALE=ko
@@ -36,7 +36,9 @@ DB_WRITE_PASSWORD=
 # Database Table Prefix (optional)
 DB_PREFIX=g7_
 
-# Read Database Connection (Optional - falls back to WRITE if not set)
+# Read Database Connection (Optional)
+# 비워두면 각 항목이 대응하는 DB_WRITE_* 값으로 대체됩니다 (config/database.php).
+# Read 전용 DB(리플리카)를 쓸 때만 값을 채우세요.
 DB_READ_HOST=
 DB_READ_PORT=
 DB_READ_DATABASE=

.env.testing.example

@@ -3,7 +3,7 @@ APP_ENV=testing
 APP_KEY=
 APP_DEBUG=false
 APP_URL=http://localhost
-APP_VERSION=7.0.0
+APP_VERSION=7.0.2
 
 APP_LOCALE=ko
 APP_FALLBACK_LOCALE=ko
@@ -34,7 +34,7 @@ DB_WRITE_PASSWORD=
 DB_PREFIX=g7_
 
 # Read Database Connection (테스트에서는 WRITE와 동일하게 설정)
-# database.php의 read 기본값이 WRITE와 다르므로, 명시 설정 필수
+# 비워두면 config/database.php 가 WRITE 값으로 대체하나, 테스트 DB 명시를 위해 값을 채워 둔다.
 DB_READ_HOST=127.0.0.1
 DB_READ_PORT=3306
 DB_READ_DATABASE=g7_testing

.github/ISSUE_TEMPLATE/bug_report.md

@@ -0,0 +1,71 @@
+---
+name: 🐛 버그 제보
+about: 그누보드7(G7) 사용 중 발견한 버그를 제보합니다.
+title: "[Bug] "
+labels: bug
+assignees: ''
+---
+
+## 증상 요약
+
+<!-- 어떤 문제가 발생했는지 한두 문장으로 적어 주세요. -->
+
+## 재현 절차
+
+1.
+2.
+3.
+
+## 기대한 동작
+
+<!-- 원래 어떻게 동작해야 하는지 적어 주세요. -->
+
+## 실제 동작
+
+<!-- 실제로 어떻게 동작했는지 적어 주세요. 오류 메시지가 있다면 그대로 붙여 주세요. -->
+
+## 환경 정보 (필수)
+
+> 아래 정보가 없으면 원인 파악이 어렵습니다. 가능한 한 모두 채워 주세요.
+
+- **코어 버전**: <!-- 예: 7.0.2 / config/app.php 의 APP_VERSION 또는 관리자 > 정보 화면 -->
+- **업그레이드 이슈인 경우 — 업그레이드 전 버전 → 후 버전**: <!-- 예: 7.0.0-beta.7 → 7.0.2 -->
+- **PHP 버전**: <!-- 예: 8.2.x / php -v -->
+- **웹서버·실행 방식**: <!-- 예: Apache + mod_php / Nginx + PHP-FPM / 공유호스팅 -->
+- **DB**: <!-- 예: MySQL 8.0 / MariaDB 10.x -->
+- **OS**: <!-- 예: Ubuntu 24.04 / Windows 11 -->
+
+## 활성 확장 목록 (해당 시)
+
+<!--
+확장(모듈/플러그인/템플릿) 관련 문제이거나 업그레이드 문제라면 아래 명령 결과를 붙여 주세요.
+  php artisan module:list
+  php artisan plugin:list
+  php artisan template:list
+-->
+
+```text
+(여기에 붙여넣기)
+```
+
+## 커스텀 자산 여부 (해당 시)
+
+> 업그레이드·파일 삭제·권한 문제라면 반드시 확인해 주세요.
+
+- [ ] `modules/_bundled/`·`plugins/_bundled/`·`templates/_bundled/` 아래에 직접 추가한 커스텀 확장이 있습니다.
+- [ ] `public/.htaccess` 에 직접 추가한 규칙이 있습니다.
+- [ ] 그 외 코어 배포본에 없는 커스텀 파일을 직접 추가/수정했습니다.
+
+<!-- 위 항목에 해당하면 어떤 경로에 무엇을 추가했는지 적어 주세요. -->
+
+## 스크린샷·로그
+
+<!--
+- 브라우저 콘솔 에러 (F12 > Console)
+- storage/logs/ 관련 로그
+- 화면 스크린샷
+-->
+
+## 추가 정보
+
+<!-- 원인 추정, 임시 우회 방법 등 참고될 내용이 있으면 적어 주세요. -->

.github/ISSUE_TEMPLATE/config.yml

@@ -0,0 +1,8 @@
+blank_issues_enabled: false
+contact_links:
+  - name: 질문·사용법 문의 (sir.kr Q&A)
+    url: https://sir.kr/questions/create?tag=%EA%B7%B8%EB%88%84%EB%B3%B4%EB%93%9C7
+    about: 버그가 아닌 사용법 질문·사용법 문의는 sir.kr Q&A 를 이용해 주세요.
+  - name: 보안 취약점 신고
+    url: https://github.com/gnuboard/g7/security/advisories/new
+    about: 보안 취약점은 공개 이슈가 아닌 비공개 Security Advisory 로 신고해 주세요.

.github/ISSUE_TEMPLATE/feature_request.md

@@ -0,0 +1,26 @@
+---
+name: ✨ 기능 제안
+about: 새로운 기능이나 개선 아이디어를 제안합니다.
+title: "[Feature] "
+labels: enhancement
+assignees: ''
+---
+
+## 해결하려는 문제
+
+<!-- 어떤 불편이나 한계 때문에 이 기능이 필요한지 적어 주세요. -->
+
+## 제안하는 기능
+
+<!-- 원하는 동작을 구체적으로 적어 주세요. -->
+
+## 적용 범위 (해당 시)
+
+- [ ] 코어
+- [ ] 모듈 <!-- 어떤 모듈인지: -->
+- [ ] 플러그인 <!-- 어떤 플러그인인지: -->
+- [ ] 템플릿 <!-- 어떤 템플릿인지: -->
+
+## 대안·참고 사항
+
+<!-- 고려한 다른 방법, 타 CMS 사례, 참고 링크 등이 있으면 적어 주세요. -->

.github/ISSUE_TEMPLATE/upgrade_issue.md

@@ -0,0 +1,51 @@
+---
+name: ⬆️ 업그레이드 문제
+about: core:update / 확장 업데이트 과정에서 발생한 문제를 제보합니다.
+title: "[Upgrade] "
+labels: "bug, upgrade"
+assignees: ''
+---
+
+## 업그레이드 경로 (필수)
+
+- **업그레이드 전 버전**: <!-- 예: 7.0.0-beta.7 -->
+- **업그레이드 후(목표) 버전**: <!-- 예: 7.0.2 -->
+- **실행한 명령**: <!-- 예: php artisan core:update --source=/tmp/g7-7.0.2 -->
+- **실행 계정/권한**: <!-- 예: www-data / sudo(root) / 일반 사용자 -->
+
+> 참고: `core:update` 는 **현재 설치된(업그레이드 전) 버전의 코드**로 실행됩니다.
+> 따라서 최신 버전에서 수정된 버그라도, 그 수정 이전 버전에서 올라오는 경우에는 재발할 수 있습니다.
+> 업그레이드 전 반드시 전체 백업을 권장합니다.
+
+## 증상
+
+<!-- 업데이트 중/후 어떤 문제가 발생했는지 적어 주세요. 오류 메시지는 그대로 붙여 주세요. -->
+
+## 확장·커스텀 자산 상태 (필수)
+
+- [ ] `_bundled/` 아래에 직접 추가한 커스텀 확장이 있습니다. <!-- 경로: -->
+- [ ] `public/.htaccess`·`public/storage` 등 커스텀 파일/링크가 있습니다.
+- [ ] 업데이트 후 위 자산이 삭제/변경되었습니다.
+
+<!-- 업데이트 전후 확장 목록을 붙여 주시면 도움이 됩니다:
+  php artisan module:list / plugin:list / template:list
+-->
+
+```text
+(확장 목록 붙여넣기)
+```
+
+## 환경 정보
+
+- **PHP 버전**:
+- **웹서버·실행 방식**: <!-- Apache+mod_php / Nginx+PHP-FPM / 공유호스팅 등 -->
+- **DB**:
+- **OS**:
+
+## 로그·스크린샷
+
+<!--
+- 콘솔 전체 출력 (업데이트 실행 로그)
+- storage/logs/ 의 관련 로그
+- 브라우저 콘솔 에러
+-->

.gitignore

@@ -49,6 +49,9 @@ node_modules/
 # Settings JSON files (환경별 설정)
 /storage/app/settings/
 
+# 확장 프론트엔드 병합 번들 캐시 (version-in-path, 런타임 생성)
+/storage/app/ext-bundles/
+
 # Bootstrap cache (auto-generated)
 /bootstrap/cache/*
 !/bootstrap/cache/.gitkeep

AGENTS.md

@@ -776,6 +776,30 @@ php artisan module:update sirsoft-ecommerce --force
 php artisan plugin:update sirsoft-payment --force
 ```
 
+### 코어 3-번들 구조 + 공유 런타임 (engine-v1.51.0+)
+
+`core:build` 는 코어 프론트엔드를 3개 IIFE 번들로 빌드한다:
+
+| 번들 | 로드 시점 | vite config |
+|------|----------|-------------|
+| `template-engine.min.js` | 모든 페이지 (동기 `<script>`) | `vite.config.core.js` |
+| `layout-editor.min.js` | `/admin/layout-editor/*` 진입 시 런타임 주입 | `vite.config.editor.js` |
+| `devtools.min.js` | 디버그 모드에서만 런타임 주입 | `vite.config.devtools.js` |
+
+lazy 번들(편집기/devtools)이 코어 런타임(DynamicRenderer·엔진 싱글톤·React Context·DevTools 코어)을 재사용할 때는 재번들하지 않고 `window.G7Core.__runtime` 을 빌려 쓴다 — React/컨텍스트/싱글톤 인스턴스 동일성이 강제되기 때문(사본이 둘이면 "Invalid hook call"·컨텍스트 미매칭). 메인 번들이 `G7CoreGlobals` 에서 공유 대상을 `G7Core.__runtime` 에 노출하고, lazy 번들 vite config 는 React 4종(`react`/`react-dom`/`react-dom/client`/`react/jsx-runtime`)을 external→window 로, 코어 런타임 모듈을 `resolveId` 플러그인으로 `__runtime-shims/` 로 치환한다.
+
+### 확장 번들 병합 (서버측 concat)
+
+활성 모듈/플러그인의 프론트엔드 IIFE JS·CSS 는 타입별로 서버에서 하나의 번들로 병합해 서빙한다(`/api/{modules,plugins}/bundle.{js,css}?v={version}`). `ExtensionBundleService` 가 정렬·필터·concat·캐시를 전담하고, 프론트는 `window.G7Config.bundleUrls` 를 읽어 모듈 번들 → 플러그인 번들 순으로 로드한다. 병합 규율:
+
+- priority 순서는 선언형 — 실행 순서는 오직 manifest `loading.priority` 오름차순(`uasort`). 특정 확장 이름을 지목하는 분기를 두지 않는다.
+- IIFE 사이는 `\n;\n`(JS)/`\n`(CSS) 로 잇는다. 미사용 시 ASI 경계가 깨져 번들 전체 파싱 에러가 난다.
+- 소스맵은 prod strip, dev 는 개별 에셋 서빙 절대 URL 로 rewrite. 개별 에셋 서빙 라우트(`*.map` 포함)는 존치한다.
+- 번들 URL 은 반드시 same-origin(`/api/...`). 외부 origin/CDN·protocol-relative 는 gdpr preblocker 에 자기 차단된다.
+- 확장 에셋 절대경로는 `getBuiltAssetAbsolutePaths()`(=`getModulePath()`/`getPluginPath()`) 만 쓴다. `base_path("modules"|"plugins")` 직접 조립은 `_bundled` 경로 오해석 → 빈 번들.
+- concat 루프는 확장별 try/catch — 실패 확장만 skip 하고 나머지 병합을 지속한다.
+- 번들 파일명에 확장 캐시 버전을 포함(`{type}.{version}.{js,css}`). 조합 변경 시 version bump → 새 파일명 → 자동 재생성. 구파일 GC 는 `ext-bundles:cleanup` + `{module,plugin,template}:cache-clear` 가 담당한다. prod 은 version-in-path 디스크 캐시, 비프로덕션은 매 요청 concat.
+
 ### 빌드 명령어 (Artisan)
 
 ```bash

CHANGELOG.md

@@ -4,6 +4,43 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [7.0.2] - 2026-07-08
+
+### Added
+
+- 설치된 모듈·플러그인이 늘어날수록 화면마다 개별로 내려받던 확장 스크립트·스타일 요청을 종류별로 하나로 묶어 내려받도록 개선해, 확장이 많은 사이트의 초기 로딩 요청 수를 크게 줄였습니다. 확장을 설치·활성화·비활성화하면 묶음이 자동으로 다시 만들어져 항상 현재 활성 상태와 일치합니다.
+
+### Changed
+
+- 코어 업데이트가 파일을 반영하는 기본 방식을 "새 버전이 실제로 추가·변경한 파일만 반영"으로 바꿔, 업데이트로 인한 사고 가능성을 크게 줄였습니다. 이제 코어가 건드리지 않은 파일은 그대로 두므로, `public/.htaccess` 에 직접 넣은 설정이나 사용자가 추가해 둔 파일이 업데이트 과정에서 사라지지 않습니다. 새 버전에 함께 담긴 기본 제공 확장(모듈·플러그인·템플릿·언어팩)의 갱신 파일은 이 과정에서도 정상적으로 최신 내용으로 반영되며, 사용자가 확장 폴더에 직접 추가해 둔 항목은 그대로 보존됩니다. 기존처럼 새 버전에서 제거된 파일 정리까지 포함한 전체 덮어쓰기를 원하면 `--prune` 옵션으로 업데이트하세요. (#64 @bigmsg 님께서 제보해주셨습니다.)
+- 화면·데이터를 내려받을 때의 전송 용량을 줄여 초기 로딩과 페이지 이동 속도를 개선했습니다.
+  - 모듈·플러그인의 묶음 스크립트·스타일이 지금까지 압축 없이 전송되던 것을 압축 전송하도록 바꿔, 확장이 많은 사이트에서 첫 화면에 받는 용량을 크게 줄였습니다.
+  - 한글 등 다국어 텍스트가 응답에 불필요하게 부풀려 담기던 것을 원래 형태 그대로 담도록 바꿔, 특히 다국어 번역 데이터의 전송 용량을 줄였습니다.
+  - 화면을 그리는 데 쓰이지 않는 개발용 설명 주석을 화면 정보 응답에서 빼도록 해 응답 용량을 추가로 줄였습니다.
+
+### Fixed
+
+- 코어 업데이트 시 레이아웃 편집기·개발자 진단도구 번들의 빌드 설정 파일이 갱신 대상에서 누락되던 문제를 수정했습니다. 이제 코어를 업데이트하면 이 파일들도 최신 내용으로 반영됩니다.
+- 설치 마법사에서 Vendor 설치 방식을 "Composer 실행"으로 선택해 설치할 때, 일부 Windows 환경에서 Composer 설치 로그의 문자 인코딩이 어긋나면 진행 상태 응답이 비어 진행 상황이 표시되지 않고 오류가 반복될 수 있던 문제를 보완했습니다. 어떤 문자가 섞이더라도 진행 로그가 항상 정상적으로 전달되도록 처리했습니다. (#62 @kitrio 님께서 제보해주셨습니다.)
+- 설치 마법사의 "설치 환경 확인" 단계에서, storage 폴더 하위에 파일이 많이 쌓인 환경일수록 요구사항 검사가 오래 걸리던 문제를 개선했습니다. 폴더 쓰기 권한 검사가 불필요하게 깊은 하위까지 훑던 것을 필요한 범위로 제한해 이 단계가 즉시 완료되도록 했습니다.
+- 설치 시 "읽기 전용 데이터베이스(Read DB)를 사용하지 않음"으로 선택했는데도, 읽기 전용 DB 접속 정보를 확인하려다 설치 마지막 단계에서 실패하던 문제를 수정했습니다. 이제 읽기 전용 DB를 사용하지 않으면 쓰기 DB 정보만으로 설치가 정상 완료됩니다. 아울러 설치 이후에도 읽기 전용 DB 접속 정보를 비워 두면 조회 연결이 자동으로 쓰기 DB로 대체되도록 하여, 별도의 읽기 전용 DB 없이도 안정적으로 동작합니다. (#63 @kitrio 님께서 제보해주셨습니다.)
+
+## [7.0.1] - 2026-07-03
+
+### Changed
+
+- 첫 화면 접속 시 내려받는 코어 스크립트 용량을 절반 이하로 줄여 초기 로딩을 개선했습니다. 레이아웃 편집기와 개발자 진단도구를 코어에서 분리해, 편집기는 편집 화면에 들어갈 때만, 진단도구는 디버그 모드를 켰을 때만 내려받도록 했습니다. 일반 사용자는 평소 쓰지 않는 편집기·진단도구 코드를 더 이상 받지 않습니다.
+- 설치가 끝난 사이트에서 매 요청마다 반복되던 불필요한 데이터베이스 조회를 줄여 페이지 응답 속도를 개선했습니다. 알림·본인인증 설정을 준비하는 과정에서 이미 존재가 보장된 테이블을 매번 다시 확인하던 동작을 설치 완료 상태에서는 건너뛰도록 했습니다.
+- 화면을 그릴 때마다 서버가 매번 확장 기능의 연결 정보를 처음부터 다시 계산하던 부담을 줄여 페이지 응답 속도를 개선했습니다. 이 연결 정보는 확장을 설치·수정하거나 코어를 업데이트할 때만 바뀌므로 그 시점에 한 번 저장해 두고, 이후 요청에서는 저장된 값을 재사용하도록 했습니다. 확장이나 코어를 변경하면 저장 값이 자동으로 갱신됩니다.
+- 설치된 모듈·플러그인의 코드를 찾을 때마다 서버가 파일을 하나하나 탐색하던 부담을 줄여, 특히 공유 호스팅 등 파일 접근이 느린 환경에서 페이지 응답 속도를 개선했습니다. 확장 코드의 위치를 설치·수정 시점에 미리 정리해 두고 이후 요청에서는 그 목록을 바로 참조하도록 했습니다. 확장을 설치·수정·삭제하거나 코어를 업데이트하면 목록이 자동으로 갱신됩니다.
+- 코어 업데이트 중 데이터 변환 단계가 현재 환경에서 자동으로 끝까지 실행되지 못하고 중단될 때, 남은 단계를 이어서 실행하는 안내를 실행 권한에 맞게 개선했습니다. 특히 관리자 권한(sudo)으로 업데이트한 경우, 남은 단계를 관리자 권한 그대로 실행하면 그 과정에서 만들어지는 파일이 관리자 소유로 남아 이후 웹사이트가 그 파일에 쓰지 못하는 문제가 생길 수 있습니다. 이제 이런 경우 웹 서버 실행 계정(예: www-data)으로 실행하도록 정확한 명령을 함께 안내하며, 웹 서버 계정을 자동으로 확인하지 못하면 어떤 계정으로 실행해야 하는지 확인 방법을 안내합니다.
+
+### Fixed
+
+- Windows 환경에서 코어 업데이트가 `public/storage` 링크를 복사하는 단계에서 "디렉토리는 복사할 수 없습니다" 오류로 중단되던 문제를 수정했습니다. Windows의 저장소 링크(정션)가 이제 링크 그대로 안전하게 보존되어 업데이트가 정상 완료됩니다.
+- 별도 데이터 변환 작업이 필요 없는 버전으로 코어를 업데이트할 때, "실행할 업그레이드 단계가 없다"는 정상 상황을 실패로 표시하고 중단하던 문제를 수정했습니다. 이제 변환 작업이 없는 업데이트는 매끄럽게 완료되며, 이어서 설치된 확장의 최신 번들 반영 단계까지 정상적으로 진행됩니다.
+- 일부 호스팅 환경에서 관리자 환경설정의 보안 화면에 들어갈 때 시스템 정보 조회가 전체 실패(오류 응답)하던 문제를 수정했습니다. 이제 CPU·메모리·디스크 등 특정 항목을 서버 정책상 읽을 수 없더라도 그 항목만 "알 수 없음"으로 표시하고 나머지 시스템 정보는 정상적으로 보여줍니다. 읽지 못한 항목은 로그로 원인을 확인할 수 있습니다. (#59 @glitter-gim 님께서 제보해주셨습니다.)
+
 ## [7.0.0] - 2026-07-01
 
 ### Added

INSTALL.md

@@ -246,7 +246,7 @@ unzip g7-release.zip
 
 # 압축 해제 결과 확인 — 루트 디렉토리가 g7이 아니면 이름 변경
 ls -la
-# (필요 시) mv g7-7.0.0 g7
+# (필요 시) mv g7-7.0.2 g7
 
 # ZIP 파일 정리 (선택)
 rm g7-release.zip

README.md

@@ -8,7 +8,7 @@
 </p>
 
 <p align="center">
-  <a href="#"><img src="https://img.shields.io/badge/version-7.0.0-blue" alt="Version"></a>
+  <a href="#"><img src="https://img.shields.io/badge/version-7.0.2-blue" alt="Version"></a>
   <a href="#"><img src="https://img.shields.io/badge/PHP-8.2%2B-777BB4?logo=php&logoColor=white" alt="PHP"></a>
   <a href="#"><img src="https://img.shields.io/badge/Laravel-12.x-FF2D20?logo=laravel&logoColor=white" alt="Laravel"></a>
   <a href="#"><img src="https://img.shields.io/badge/React-19-61DAFB?logo=react&logoColor=black" alt="React"></a>

app/Console/Commands/CleanupExtensionBundlesCommand.php

@@ -0,0 +1,43 @@
+<?php
+
+namespace App\Console\Commands;
+
+use App\Services\ExtensionBundleService;
+use Illuminate\Console\Command;
+
+/**
+ * 오래된 확장 프론트엔드 병합 번들 파일을 정리하는 커맨드
+ *
+ * 번들 캐시 파일(`storage/app/ext-bundles/{type}.{version}.{js|css}`)은 Laravel
+ * 캐시 스토어 밖 파일시스템이라 version bump 나 cache:clear 가 구버전 파일을
+ * 지우지 않는다(TTL/GC 없음). 이 커맨드가 현재 version 외의 구파일을 삭제한다.
+ * (`CleanupLayoutPreviewsCommand` 파일 산출물 GC 패턴 미러)
+ */
+class CleanupExtensionBundlesCommand extends Command
+{
+    /**
+     * The name and signature of the console command.
+     */
+    protected $signature = 'ext-bundles:cleanup';
+
+    /**
+     * The console command description.
+     */
+    protected $description = '오래된 확장 프론트엔드 병합 번들 파일(구 version)을 삭제합니다';
+
+    /**
+     * Execute the console command.
+     *
+     * @param  ExtensionBundleService  $service  번들 서비스
+     * @return int 명령 실행 결과 코드
+     */
+    public function handle(ExtensionBundleService $service): int
+    {
+        $currentVersion = $service->getCurrentVersion();
+        $deleted = $service->cleanupStaleBundles($currentVersion);
+
+        $this->info("오래된 확장 번들 {$deleted}건이 삭제되었습니다. (현재 version: {$currentVersion})");
+
+        return self::SUCCESS;
+    }
+}

app/Console/Commands/Core/BuildCoreCommand.php

@@ -85,27 +85,95 @@ class BuildCoreCommand extends Command
      */
     private function buildEngineOnly(string $projectPath, bool $watchMode, bool $productionMode): int
     {
-        $buildCommand = ['npm', 'run'];
-
+        // 감시 모드: 엔진 번들 + 편집기 번들(layout-editor.min.js)을 각각 vite --watch 로
+        // 병렬 감시한다. (기존 dev 서버는 코어 lib 를 빌드하지 않으므로 사용 불가)
         if ($watchMode) {
-            // build:core는 watch 모드가 없으므로 dev 사용
-            $buildCommand[] = 'dev';
-            $this->info('👀 파일 감시 모드로 코어 빌드 시작 (템플릿 엔진)');
+            $this->info('👀 파일 감시 모드로 코어 빌드 시작 (템플릿 엔진 + 레이아웃 편집기)');
             $this->line('   Ctrl+C로 종료할 수 있습니다.');
-        } else {
-            $buildCommand[] = 'build:core';
-            $this->info('🔨 코어 빌드 시작 (템플릿 엔진)'.($productionMode ? ' (프로덕션)' : ''));
+
+            return $this->runWatchBundles($projectPath);
         }
 
-        $result = $this->runNpmCommand($buildCommand, $projectPath, ! $watchMode);
+        // ── 1) 템플릿 엔진 번들 (편집기 코드 제외) ──────────────────────────────
+        $this->info('🔨 코어 빌드 시작 (템플릿 엔진)'.($productionMode ? ' (프로덕션)' : ''));
+        $engineResult = $this->runNpmCommand(['npm', 'run', 'build:core'], $projectPath, true);
 
-        if ($result === Command::SUCCESS && ! $watchMode) {
-            $this->info('✅ 코어 빌드 완료 (템플릿 엔진)');
-            $this->showEngineBuildResults($projectPath);
-            $this->incrementExtensionCacheVersion();
+        if ($engineResult !== Command::SUCCESS) {
+            return $engineResult;
         }
 
-        return $result;
+        // ── 2) 레이아웃 편집기 번들 (lazy, /admin/layout-editor/* 진입 시 로드) ──
+        $this->info('🔨 코어 빌드 시작 (레이아웃 편집기)'.($productionMode ? ' (프로덕션)' : ''));
+        $editorResult = $this->runNpmCommand(['npm', 'run', 'build:core-editor'], $projectPath, true);
+
+        if ($editorResult !== Command::SUCCESS) {
+            $this->error('❌ 레이아웃 편집기 번들 빌드 실패');
+
+            return $editorResult;
+        }
+
+        // ── 3) DevTools 번들 (lazy, 디버그 모드에서만 로드) ──
+        $this->info('🔨 코어 빌드 시작 (DevTools)'.($productionMode ? ' (프로덕션)' : ''));
+        $devtoolsResult = $this->runNpmCommand(['npm', 'run', 'build:core-devtools'], $projectPath, true);
+
+        if ($devtoolsResult !== Command::SUCCESS) {
+            $this->error('❌ DevTools 번들 빌드 실패');
+
+            return $devtoolsResult;
+        }
+
+        $this->info('✅ 코어 빌드 완료 (템플릿 엔진 + 레이아웃 편집기 + DevTools)');
+        $this->showEngineBuildResults($projectPath);
+        $this->incrementExtensionCacheVersion();
+
+        return Command::SUCCESS;
+    }
+
+    /**
+     * 감시 모드에서 엔진 번들 + 편집기 번들을 병렬로 vite --watch 실행합니다.
+     *
+     * @param  string  $projectPath  프로젝트 경로
+     * @return int 명령 실행 결과 코드
+     */
+    private function runWatchBundles(string $projectPath): int
+    {
+        // 엔진 + 편집기 + DevTools 번들을 각각 vite --watch 로 병렬 감시
+        $bundles = [
+            'engine' => ['npm', 'run', 'build:core-watch'],
+            'editor' => ['npm', 'run', 'build:core-editor-watch'],
+            'devtools' => ['npm', 'run', 'build:core-devtools-watch'],
+        ];
+
+        /** @var array<string, Process> $processes */
+        $processes = [];
+
+        foreach ($bundles as $label => $command) {
+            if (PHP_OS_FAMILY === 'Windows') {
+                $command = array_merge(['cmd', '/c'], $command);
+            }
+
+            $process = new Process($command);
+            $process->setWorkingDirectory($projectPath);
+            $process->setTimeout(null);
+            $process->start(function ($type, $buffer) use ($label) {
+                $this->output->write("[{$label}] ".$buffer);
+            });
+
+            $processes[$label] = $process;
+        }
+
+        // 하나라도 실행 중이면 계속 대기 (Ctrl+C 로 종료)
+        do {
+            $anyRunning = false;
+            foreach ($processes as $process) {
+                if ($process->isRunning()) {
+                    $anyRunning = true;
+                }
+            }
+            usleep(100000); // 100ms
+        } while ($anyRunning);
+
+        return Command::SUCCESS;
     }
 
     /**
@@ -155,12 +223,26 @@ class BuildCoreCommand extends Command
 
         $this->line('   빌드 결과:');
 
-        // template-engine.min.js 확인
+        // template-engine.min.js 확인 (일반 페이지 초기 로드 = 이 번들만)
         $engineFile = $corePath.'/template-engine.min.js';
         if (file_exists($engineFile)) {
             $fileSize = number_format(filesize($engineFile) / 1024, 2);
             $this->line("   - template-engine.min.js ({$fileSize} KB)");
         }
+
+        // layout-editor.min.js 확인 (편집기 lazy 번들, /admin/layout-editor/* 진입 시 로드)
+        $editorFile = $corePath.'/layout-editor.min.js';
+        if (file_exists($editorFile)) {
+            $fileSize = number_format(filesize($editorFile) / 1024, 2);
+            $this->line("   - layout-editor.min.js ({$fileSize} KB, lazy)");
+        }
+
+        // devtools.min.js 확인 (DevTools lazy 번들, 디버그 모드에서만 로드)
+        $devtoolsFile = $corePath.'/devtools.min.js';
+        if (file_exists($devtoolsFile)) {
+            $fileSize = number_format(filesize($devtoolsFile) / 1024, 2);
+            $this->line("   - devtools.min.js ({$fileSize} KB, lazy/debug)");
+        }
     }
 
     /**

app/Console/Commands/Core/CoreUpdateCommand.php

@@ -15,6 +15,7 @@ use App\Extension\Traits\ClearsTemplateCaches;
 use App\Extension\Vendor\Exceptions\VendorInstallException;
 use App\Extension\Vendor\VendorMode;
 use App\Services\CoreUpdateService;
+use App\Support\ConfigCacheHelper;
 use Illuminate\Console\Command;
 use Illuminate\Support\Facades\Log;
 
@@ -27,6 +28,7 @@ class CoreUpdateCommand extends Command
     protected $signature = 'core:update
         {--force : 버전 비교 없이 강제 업데이트}
         {--no-backup : 백업 생성 건너뛰기}
+        {--prune : 코어가 제거한 파일 정리 + targets 전체 덮어쓰기(기존 방식). 미지정 시 코어가 실제 변경/추가한 파일만 적용하고 나머지는 보존}
         {--no-maintenance : 유지보수 모드 활성화 건너뛰기}
         {--local : 로컬 코드베이스를 업데이트 소스로 사용 (GitHub 스킵)}
         {--source= : 수동 업데이트용 소스 디렉토리 경로 (GitHub 다운로드 대신 지정 디렉토리 사용)}
@@ -345,6 +347,12 @@ class CoreUpdateCommand extends Command
             //
             // `--no-backup` 모드면 backupPath 가 null 이므로 manifest 생성을 스킵 — 롤백
             // 자체가 불가능한 모드이므로 기존 동작 유지.
+            // 증분 적용(3-way) 대상 목록. 백업 있음 + --prune 미지정 시에만 산출.
+            // null 로 남으면(백업 부재 또는 --prune) applyUpdate 가 전체 덮어쓰기로 회귀.
+            $applyList = null;
+            $applyStats = null;
+            $prune = (bool) $this->option('prune');
+
             if ($backupPath !== null) {
                 $bar->setMessage('신규 파일 manifest 생성 중...');
                 $log('신규 파일 manifest 생성 시작');
@@ -370,15 +378,51 @@ class CoreUpdateCommand extends Command
                         'error' => $manifestError->getMessage(),
                     ]);
                 }
+
+                // ── 증분 적용 대상 산출 (3-way) ──
+                // --prune 이면 전체 덮어쓰기이므로 산출 자체를 스킵.
+                if (! $prune) {
+                    try {
+                        $applyStats = CoreBackupHelper::computeApplyList(
+                            $backupPath,
+                            $pendingPath,
+                            (array) config('app.update.targets', []),
+                            (array) config('app.update.protected_paths', []),
+                            (array) config('app.update.excludes', []),
+                        );
+                        $applyList = $applyStats['apply'];
+                        $log(sprintf(
+                            '증분 적용 대상 산출 완료 (added=%d, changed=%d, total=%d)',
+                            $applyStats['added_count'],
+                            $applyStats['changed_count'],
+                            count($applyList),
+                        ));
+                    } catch (\Throwable $applyError) {
+                        // 산출 실패 시 안전하게 전체 덮어쓰기로 회귀 (applyList=null 유지)
+                        $applyList = null;
+                        $applyStats = null;
+                        $log("증분 적용 대상 산출 실패 (전체 덮어쓰기로 회귀): {$applyError->getMessage()}");
+                        Log::warning('코어 업데이트: 증분 적용 대상 산출 실패', [
+                            'error' => $applyError->getMessage(),
+                        ]);
+                    }
+                }
             }
 
             // ── Step 7: 파일 적용 ──
             $bar->setMessage(__('settings.core_update.step_apply'));
             $bar->advance();
-            $log('코어 파일 덮어쓰기 시작');
 
-            $service->applyUpdate($pendingPath, $onProgress);
-            $log('코어 파일 덮어쓰기 완료');
+            if ($prune) {
+                $log('코어 파일 덮어쓰기 시작 (--prune: 전체 덮어쓰기 + orphan 정리)');
+            } elseif ($applyList !== null) {
+                $log(sprintf('코어 파일 적용 시작 (증분: 코어 변경분 %d건만 적용, 나머지 보존)', count($applyList)));
+            } else {
+                $log('코어 파일 덮어쓰기 시작 (백업 부재 — 전체 덮어쓰기로 회귀)');
+            }
+
+            $service->applyUpdate($pendingPath, $onProgress, prune: $prune, applyList: $applyList);
+            $log('코어 파일 적용 완료');
 
             // ── Step 8: vendor 디렉토리 복사 (_pending → 운영) ──
             if ($composerSkipped) {
@@ -484,6 +528,13 @@ class CoreUpdateCommand extends Command
                 $maintenanceEnabled = false;
             }
 
+            // 모든 파일(코어 config/lang/vendor)이 안착한 뒤 config 캐시를 재생성한다.
+            // clearAllCaches() 는 흐름 중간에서 stale 캐시를 비우기만 하므로, 여기서
+            // 재생성하지 않으면 업데이트 후 config:cache 가 비활성 상태로 남아 이후 모든
+            // 요청이 config 파일을 재파싱한다(성능 손실). ConfigCacheHelper 는 설치 미완료
+            // 상태를 가드하고 실패를 안전하게 흡수한다.
+            ConfigCacheHelper::rebuild();
+
             $log('정리 완료');
 
             $bar->finish();
@@ -495,6 +546,9 @@ class CoreUpdateCommand extends Command
             $this->info("그누보드7 코어가 {$toVersion} 버전으로 업데이트되었습니다!");
             $this->newLine();
 
+            // ── 파일 적용 방식 요약 (부수의무: 설명의무) ──
+            $this->summarizeApplyMode($prune, $applyList, $applyStats);
+
             // _bundled 확장 일괄 업데이트 프롬프트 (번들에 신버전이 있을 때만 표시).
             //
             // 주의: Step 11 restoreOwnership 이후에 실행되므로, 프롬프트 내 실제
@@ -593,7 +647,7 @@ class CoreUpdateCommand extends Command
             $this->line("  사유: {$e->reason}");
             $this->newLine();
             $this->info('나머지 스텝을 적용하려면 아래 명령을 실행하세요 (재다운로드 없이 스텝만 실행):');
-            $this->line("  {$resumeCommand}");
+            $this->surfaceResumeCommandWithPermissionGuidance($resumeCommand);
             $this->newLine();
             $this->warn('⚠ 위 명령을 실행하지 않으면 버전 표시는 최신이지만 일부 스텝이 미실행 상태로 남습니다.');
             $this->newLine();
@@ -806,6 +860,7 @@ class CoreUpdateCommand extends Command
         // 페이로드만 보관한다 (각각 UpgradeHandoffException 재구성 / silent skip 가드용).
         $handoffPayload = null;
         $stepsExecuted = null;
+        $stepsDiscovered = null;
         while (! feof($pipes[1])) {
             $line = fgets($pipes[1]);
             if ($line !== false) {
@@ -837,7 +892,13 @@ class CoreUpdateCommand extends Command
                     $decoded = json_decode($json, true);
                     if (is_array($decoded) && isset($decoded['count']) && is_int($decoded['count']) && $decoded['count'] >= 0) {
                         $stepsExecuted = $decoded['count'];
-                        $log('[spawn] 실행된 step 수: '.$stepsExecuted);
+                        // discovered 는 신버전 자식만 발행하는 필드. 구버전 자식(필드 부재)은
+                        // null 로 남아 handleSpawnExit 가 기존(레거시) 판정 경로를 탄다.
+                        if (isset($decoded['discovered']) && is_int($decoded['discovered']) && $decoded['discovered'] >= 0) {
+                            $stepsDiscovered = $decoded['discovered'];
+                        }
+                        $log('[spawn] 실행된 step 수: '.$stepsExecuted
+                            .($stepsDiscovered !== null ? " (발견 {$stepsDiscovered})" : ''));
 
                         continue;
                     }
@@ -852,6 +913,50 @@ class CoreUpdateCommand extends Command
         fclose($pipes[2]);
         $exitCode = proc_close($process);
 
+        return $this->handleSpawnExit(
+            $exitCode,
+            $handoffPayload,
+            $stepsExecuted,
+            $stepsDiscovered,
+            $fromVersion,
+            $toVersion,
+            $log,
+        );
+    }
+
+    /**
+     * spawn 자식 종료 후 exit code · 신호를 해석해 성공/실패/핸드오프를 판정합니다.
+     *
+     * 판정 규칙 (exit=0 경우):
+     *  - `[STEPS_EXECUTED]` 신호 미수신 (`$stepsExecuted === null`) → fail-fast.
+     *    이전 버전 자식 (신호 미발행) 또는 silent skip 의심.
+     *  - executed=0 인데 **discovered>0** → fail-fast. 범위 내에 스텝 파일이 실제로
+     *    존재하는데 자식이 하나도 실행하지 못함 (gnuboard/g7#28 silent skip — 케이스 A).
+     *  - executed=0 이고 **discovered=0** → 정상 통과. 해당 from~to 범위에 스텝 파일이
+     *    애초에 없는 릴리즈 (예: 데이터/설정 변경 없는 패치). from<to 여도 실패 아님 (케이스 B).
+     *  - discovered 신호 부재 (`null`, 구버전 자식) + executed=0 + from<to → 레거시 판정 유지
+     *    (fail-fast). 신버전 자식은 항상 discovered 를 발행하므로 이 경로는 구버전 자식 한정.
+     *
+     * @param  int  $exitCode  자식 프로세스 종료 코드
+     * @param  array|null  $handoffPayload  파싱된 [HANDOFF] 페이로드 (없으면 null)
+     * @param  int|null  $stepsExecuted  실행된 스텝 수 ([STEPS_EXECUTED] 미수신 시 null)
+     * @param  int|null  $stepsDiscovered  범위 내 발견된 스텝 파일 수 (구버전 자식은 null)
+     * @param  string  $fromVersion  업그레이드 시작 버전
+     * @param  string  $toVersion  업그레이드 대상 버전
+     * @param  \Closure  $log  로그 수집 콜백
+     * @return bool spawn 성공 여부 (mode=fallback 실패 시 false — 호출자 in-process fallback)
+     *
+     * @throws UpgradeHandoffException 핸드오프 수신 또는 mode=abort 실패 시
+     */
+    private function handleSpawnExit(
+        int $exitCode,
+        ?array $handoffPayload,
+        ?int $stepsExecuted,
+        ?int $stepsDiscovered,
+        string $fromVersion,
+        string $toVersion,
+        \Closure $log,
+    ): bool {
         if ($exitCode === UpgradeHandoffException::EXIT_CODE && $handoffPayload !== null) {
             $log("spawn 핸드오프 종료 (exit={$exitCode})");
 
@@ -866,9 +971,7 @@ class CoreUpdateCommand extends Command
         }
 
         if ($exitCode === 0) {
-            // silent skip 가드 — 자식이 [STEPS_EXECUTED] 신호를 발행하지 않거나, step 0건
-            // 실행한 채 exit=0 으로 종료한 경우. 이전 버전 자식 (beta.5 이전 디스크) 또는
-            // 자식이 비정상 종료 직전 silent skip 한 상태로 추정. fail-fast 모드 가드 적용.
+            // 신호 미수신 — 이전 버전 자식 (신호 미발행) 또는 silent skip 의심. fail-fast.
             if ($stepsExecuted === null) {
                 return $this->failSpawnWithMode(
                     'spawn 자식이 [STEPS_EXECUTED] 신호 미발행 — 이전 버전 자식 또는 silent skip 의심',
@@ -878,9 +981,27 @@ class CoreUpdateCommand extends Command
                 );
             }
 
-            if ($stepsExecuted === 0 && version_compare($fromVersion, $toVersion, '<')) {
+            // executed=0 + discovered=0 → 범위 내 스텝 파일 부재. 정상 통과 (케이스 B).
+            // 스텝이 필요 없는 릴리즈(데이터/설정 변경 없음)를 실패로 오판하지 않는다.
+            if ($stepsExecuted === 0 && $stepsDiscovered === 0) {
+                $log("spawn 완료 (exit=0, 실행할 스텝 없음 — 범위 내 스텝 파일 부재, from={$fromVersion} to={$toVersion})");
+
+                return true;
+            }
+
+            // executed=0 + (discovered>0 또는 discovered 신호 부재) + from<to → fail-fast.
+            // discovered>0: 스텝 파일이 있는데 자식이 실행 못함 (gnuboard/g7#28 케이스 A).
+            // discovered=null: 구버전 자식 (discovered 미발행) — 레거시 판정 유지.
+            if ($stepsExecuted === 0
+                && $stepsDiscovered !== 0
+                && version_compare($fromVersion, $toVersion, '<')) {
                 return $this->failSpawnWithMode(
-                    sprintf('spawn 자식 exit=0 이지만 step 0건 실행 — 의도된 동작이 아님 (from=%s to=%s)', $fromVersion, $toVersion),
+                    sprintf(
+                        'spawn 자식 exit=0 이지만 step 0건 실행 — 의도된 동작이 아님 (from=%s to=%s%s)',
+                        $fromVersion,
+                        $toVersion,
+                        $stepsDiscovered !== null ? ", 발견 {$stepsDiscovered}건" : '',
+                    ),
                     $log,
                     $fromVersion,
                     $toVersion,
@@ -993,6 +1114,41 @@ class CoreUpdateCommand extends Command
         return true;
     }
 
+    /**
+     * 파일 적용 방식(증분/prune/fallback)과 통계를 사용자에게 요약 출력합니다.
+     *
+     * @param  bool  $prune  --prune 지정 여부
+     * @param  array<int, string>|null  $applyList  증분 적용 대상 목록 (null 이면 전체 덮어쓰기)
+     * @param  array{apply:array<int,string>, added_count:int, changed_count:int, has_symlink:bool}|null  $applyStats  computeApplyList 산출 통계
+     */
+    private function summarizeApplyMode(bool $prune, ?array $applyList, ?array $applyStats): void
+    {
+        if ($prune) {
+            $this->line(__('settings.core_update.apply_mode_prune'));
+            $this->newLine();
+
+            return;
+        }
+
+        if ($applyList === null) {
+            // 백업 부재 또는 산출 실패 → 전체 덮어쓰기로 회귀
+            $this->warn(__('settings.core_update.apply_mode_fallback'));
+            $this->newLine();
+
+            return;
+        }
+
+        // 증분 모드
+        $added = $applyStats['added_count'] ?? 0;
+        $changed = $applyStats['changed_count'] ?? 0;
+        $this->line(__('settings.core_update.apply_mode_incremental', [
+            'added' => $added,
+            'changed' => $changed,
+        ]));
+        $this->line(__('settings.core_update.apply_mode_incremental_prune_hint'));
+        $this->newLine();
+    }
+
     /**
      * 업데이트 로그를 파일로 저장합니다.
      *
@@ -1105,6 +1261,125 @@ class CoreUpdateCommand extends Command
         ]);
     }
 
+    /**
+     * 업그레이드 스텝 재실행 명령을 실행 사용자 권한에 맞는 안내와 함께 출력합니다.
+     *
+     * 배경: sudo(root) 로 `core:update` 를 실행하면 업그레이드 스텝 spawn 자식이 root 로
+     * 돌아가고, 그 자식이 실패(proc_open 미지원 · 비정상 종료 · silent skip)하면 스텝이
+     * 미실행 상태로 남아 운영자에게 재실행을 안내한다. 이때 운영자가 안내받은 명령을 그대로
+     * root 로 재실행하면 스텝이 만드는 파일·캐시가 root 소유로 생성되어, 이후 웹서버
+     * (php-fpm www-data 등) 요청이 그 경로에 쓰기 실패한다.
+     *
+     * 실행 환경을 4가지로 분기해 안내한다:
+     *  1. non-root (일반 SSH 사용자 = 파일 소유자) 또는 posix 미지원(Windows 등)
+     *     → 명령만 그대로 안내 (권한 분기 불필요, 공유 호스팅 = 웹서버·PHP·실행 유저 동일 포함).
+     *  2. root 실행 + 웹서버 계정 식별 가능 + 실행 사용자와 다름
+     *     → `sudo -u {webUser}` 로 재실행 안내 + root 그대로 실행 시 위험 경고.
+     *  3. root 실행 + 웹서버 계정을 root 로 추정 (root 로 서비스하는 비표준/컨테이너 구성)
+     *     → 권한 문제 없으므로 명령만 그대로 안내.
+     *  4. root 실행 + 웹서버 계정 식별 불가 (스냅샷/추정 실패)
+     *     → 명령 그대로 안내하되 "웹서버 계정으로 실행" 일반 경고 (계정명 미상).
+     *
+     * @param  string  $resumeCommand  재실행할 `core:execute-upgrade-steps` 명령
+     */
+    private function surfaceResumeCommandWithPermissionGuidance(string $resumeCommand): void
+    {
+        [$mode, $webUser] = $this->classifyResumeExecutionContext();
+
+        $this->renderResumeGuidance($resumeCommand, $mode, $webUser);
+    }
+
+    /**
+     * 실행 환경 모드에 따라 재실행 명령과 권한 안내를 콘솔에 출력합니다.
+     *
+     * `classifyResumeExecutionContext()` 판정 결과를 입력으로 받아 출력만 담당한다 —
+     * posix/파일시스템 상태에 의존하지 않으므로 4가지 모드 전부 결정적으로 테스트 가능하다.
+     *
+     * @param  string  $resumeCommand  재실행할 `core:execute-upgrade-steps` 명령
+     * @param  string  $mode  `classifyResumeExecutionContext()` 가 반환한 실행 환경 모드
+     * @param  string|null  $webUser  웹서버 계정명 (`root_web_known` 일 때만 유효)
+     */
+    private function renderResumeGuidance(string $resumeCommand, string $mode, ?string $webUser): void
+    {
+        // 케이스 1·3: 권한 분기 불필요 — 명령만 그대로 안내.
+        //  - non_root: 일반 SSH 사용자 / 공유 호스팅(웹서버=PHP=실행 유저 동일) / posix 미지원
+        //  - root_web_symmetric: root 로 서비스하는 구성 → 재실행도 root 로 무해
+        if ($mode === 'non_root' || $mode === 'root_web_symmetric') {
+            $this->line("  {$resumeCommand}");
+
+            return;
+        }
+
+        // 케이스 2: root 실행 + 웹서버 계정 식별 → 웹서버 권한 재실행 안내.
+        if ($mode === 'root_web_known' && $webUser !== null) {
+            $this->line("  sudo -u {$webUser} {$resumeCommand}");
+            $this->newLine();
+            $this->warn('⚠ 현재 sudo(root) 로 실행 중입니다. 위 명령을 root 로 그대로 실행하면 업그레이드');
+            $this->warn("  스텝이 생성하는 파일이 root 소유가 되어 이후 웹서버({$webUser}) 요청이 쓰기 실패할 수");
+            $this->warn("  있습니다. 반드시 웹서버 계정({$webUser})으로 재실행하세요.");
+
+            return;
+        }
+
+        // 케이스 4: root 실행 + 웹서버 계정 식별 불가 — 계정명 미상 상태의 일반 경고.
+        $this->line("  sudo -u <웹서버계정> {$resumeCommand}");
+        $this->newLine();
+        $this->warn('⚠ 현재 sudo(root) 로 실행 중입니다. 웹서버 계정을 자동으로 식별하지 못했습니다.');
+        $this->warn('  위 명령을 root 로 그대로 실행하면 업그레이드 스텝이 생성하는 파일이 root 소유가 되어');
+        $this->warn('  이후 웹서버(php-fpm) 요청이 쓰기 실패할 수 있습니다. 웹서버 계정(예: www-data,');
+        $this->warn('  nginx, apache)을 확인해 그 계정으로 재실행하세요.');
+    }
+
+    /**
+     * 재실행 안내의 실행 환경을 분류합니다.
+     *
+     * 반환하는 모드:
+     *  - `non_root`           : posix 미지원 또는 현재 유효 사용자가 root 가 아님
+     *                           (일반 SSH 사용자 = 파일 소유자, 공유 호스팅 대칭 구성 포함).
+     *  - `root_web_known`     : root 실행 + 웹서버 계정 식별 성공 + 실행 사용자(root)와 다름.
+     *  - `root_web_symmetric` : root 실행 + 웹서버 계정이 root 로 추정됨 (root 서비스 구성).
+     *  - `root_web_unknown`   : root 실행 + 웹서버 계정 추정 실패 (스냅샷/추정 불가).
+     *
+     * 웹서버 계정은 `FilePermissionHelper::inferWebServerOwnership()` 이 storage/bootstrap
+     * 쓰기 영역 소유자로 추정한다.
+     *
+     * @return array{0: string, 1: string|null} [모드, 웹서버 계정명 또는 null]
+     */
+    private function classifyResumeExecutionContext(): array
+    {
+        if (! function_exists('posix_geteuid') || ! function_exists('posix_getpwuid')) {
+            return ['non_root', null];
+        }
+
+        // root(sudo) 실행이 아니면 일반 SSH 사용자 = 파일 소유자 → 권한 분기 안내 불필요.
+        // (공유 호스팅에서 웹서버·PHP·실행 유저가 같은 경우도 여기서 non_root 로 처리됨.)
+        if (posix_geteuid() !== 0) {
+            return ['non_root', null];
+        }
+
+        [$owner] = FilePermissionHelper::inferWebServerOwnership();
+
+        // 추정 실패 (스냅샷 불가) — 계정명 미상 경고 경로.
+        if ($owner === false) {
+            return ['root_web_unknown', null];
+        }
+
+        // 웹서버 계정이 root 로 추정됨 — root 로 서비스하는 구성이라 재실행도 root 로 무해.
+        if ($owner === 0) {
+            return ['root_web_symmetric', null];
+        }
+
+        $entry = posix_getpwuid($owner);
+        $name = $entry['name'] ?? null;
+
+        // uid 는 나왔지만 이름 해석 실패 — 미상 경로로 처리 (uid 노출은 오히려 혼란).
+        if ($name === null) {
+            return ['root_web_unknown', null];
+        }
+
+        return ['root_web_known', $name];
+    }
+
     /**
      * `restoreOwnership()` 직후 누적된 권한 정상화 실패 경고를 콘솔/로그에 즉시 노출합니다.
      *

app/Console/Commands/Core/ExecuteUpgradeStepsCommand.php

@@ -164,6 +164,7 @@ class ExecuteUpgradeStepsCommand extends Command
         }
 
         $stepsExecuted = 0;
+        $stepsDiscovered = 0;
 
         try {
             $service->runUpgradeSteps(
@@ -174,6 +175,9 @@ class ExecuteUpgradeStepsCommand extends Command
                     $stepsExecuted++;
                 },
                 $force,
+                function (int $discovered) use (&$stepsDiscovered): void {
+                    $stepsDiscovered = $discovered;
+                },
             );
         } catch (UpgradeHandoffException $e) {
             // 업그레이드 스텝이 새 PHP 프로세스 재진입을 요청했다.
@@ -221,6 +225,7 @@ class ExecuteUpgradeStepsCommand extends Command
         // mode=fallback 시 in-process 진행 (`spawn_failure_mode`).
         $this->line('[STEPS_EXECUTED] '.json_encode([
             'count' => $stepsExecuted,
+            'discovered' => $stepsDiscovered,
             'fromVersion' => $from,
             'toVersion' => $to,
         ], JSON_UNESCAPED_UNICODE));
@@ -242,6 +247,11 @@ class ExecuteUpgradeStepsCommand extends Command
         if (! $this->option('skip-cache-clear') && ! $isSpawnChild && ! $stepsOnly) {
             $this->info('캐시 정리 (config/route/view/services/packages)');
             $service->clearAllCaches();
+            // clearAllCaches() 는 config:clear 만 하므로, 단독 실행 흐름에서는 config 캐시가
+            // 비활성 상태로 남는다. 모든 upgrade step + 번들 확장 업데이트가 config 소스를
+            // 변경했을 수 있으니, 캐시 정리 세트의 마지막에 config 캐시를 재생성한다.
+            // spawn 자식·steps-only 는 이 블록을 스킵하고 부모(CoreUpdateCommand)가 재생성한다.
+            \App\Support\ConfigCacheHelper::rebuild();
             // 업그레이드 스텝 단독 실행 시에도 코어 lang/routes/layout 변경이
             // 프론트엔드 캐시 stale 로 가려지지 않도록 `ext.cache_version` bump.
             // spawn 자식·steps-only 모드에서는 부모가 처리하므로 스킵.

app/Console/Commands/Extension/UpdateAutoloadCommand.php

@@ -3,6 +3,9 @@
 namespace App\Console\Commands\Extension;
 
 use App\Extension\ExtensionManager;
+use App\Extension\HookCacheManager;
+use App\Extension\ModuleManager;
+use App\Extension\PluginManager;
 use Illuminate\Console\Command;
 
 class UpdateAutoloadCommand extends Command
@@ -24,8 +27,12 @@ class UpdateAutoloadCommand extends Command
     /**
      * Execute the console command.
      */
-    public function handle(ExtensionManager $extensionManager): int
-    {
+    public function handle(
+        ExtensionManager $extensionManager,
+        HookCacheManager $hookCacheManager,
+        ModuleManager $moduleManager,
+        PluginManager $pluginManager,
+    ): int {
         $this->info('확장 오토로드 파일을 생성합니다...');
 
         try {
@@ -34,6 +41,16 @@ class UpdateAutoloadCommand extends Command
             $this->info('오토로드 파일이 성공적으로 생성되었습니다.');
             $this->line('  → bootstrap/cache/autoload-extensions.php');
 
+            // 오토로드 캐시와 동일 생명주기의 정적 훅 매핑 캐시도 함께 재생성.
+            // 코어 업데이트(clearAllCaches → 이 커맨드) 시 코어 리스너 추가/변경/삭제가
+            // 캐시에 반영되도록 보장한다 (미갱신 시 stale 매핑으로 훅 발화 누락/과잉 위험).
+            $moduleManager->loadModules();
+            $pluginManager->loadPlugins();
+            $hookCacheManager->generate($moduleManager, $pluginManager);
+
+            $this->info('정적 훅 매핑 캐시가 재생성되었습니다.');
+            $this->line('  → bootstrap/cache/hooks.php');
+
             return Command::SUCCESS;
         } catch (\Exception $e) {
             $this->error('오토로드 파일 생성 중 오류가 발생했습니다: '.$e->getMessage());

app/Console/Commands/HooksCacheCommand.php

@@ -0,0 +1,57 @@
+<?php
+
+namespace App\Console\Commands;
+
+use App\Extension\HookCacheManager;
+use App\Extension\ModuleManager;
+use App\Extension\PluginManager;
+use Illuminate\Console\Command;
+
+/**
+ * 정적 훅 매핑 캐시 생성 Artisan 커맨드.
+ *
+ * 코어(app/Listeners) + 활성 모듈/플러그인의 정적 훅 리스너를 사전 계산하여
+ * bootstrap/cache/hooks.php 에 저장한다. route:cache 동형 — 코어 리스너를
+ * 추가/변경하는 코드 배포 시 배포 파이프라인에서 실행한다.
+ * (확장 install/update 시에는 ExtensionManager 가 자동 재생성하므로 수동 실행 불필요.)
+ */
+class HooksCacheCommand extends Command
+{
+    /**
+     * @var string 커맨드 시그니처
+     */
+    protected $signature = 'hooks:cache';
+
+    /**
+     * @var string 커맨드 설명
+     */
+    protected $description = '정적 훅 매핑 캐시 생성 (bootstrap/cache/hooks.php)';
+
+    /**
+     * 커맨드를 실행합니다.
+     *
+     * @param  HookCacheManager  $hookCacheManager  훅 캐시 매니저
+     * @param  ModuleManager  $moduleManager  모듈 매니저
+     * @param  PluginManager  $pluginManager  플러그인 매니저
+     * @return int 종료 코드
+     */
+    public function handle(
+        HookCacheManager $hookCacheManager,
+        ModuleManager $moduleManager,
+        PluginManager $pluginManager,
+    ): int {
+        $moduleManager->loadModules();
+        $pluginManager->loadPlugins();
+
+        $counts = $hookCacheManager->generate($moduleManager, $pluginManager);
+
+        $this->info(__('hooks.cache_generated', [
+            'core' => $counts['core'],
+            'modules' => $counts['modules'],
+            'plugins' => $counts['plugins'],
+            'path' => $hookCacheManager->getCacheFilePath(),
+        ]));
+
+        return Command::SUCCESS;
+    }
+}

app/Console/Commands/HooksClearCommand.php

@@ -0,0 +1,45 @@
+<?php
+
+namespace App\Console\Commands;
+
+use App\Extension\HookCacheManager;
+use Illuminate\Console\Command;
+
+/**
+ * 정적 훅 매핑 캐시 삭제 Artisan 커맨드.
+ *
+ * bootstrap/cache/hooks.php 를 삭제한다. 캐시 삭제 후에는 부팅 시 스캔 폴백으로
+ * 동작하므로 항상 안전하다 (route:clear 동형).
+ */
+class HooksClearCommand extends Command
+{
+    /**
+     * @var string 커맨드 시그니처
+     */
+    protected $signature = 'hooks:clear';
+
+    /**
+     * @var string 커맨드 설명
+     */
+    protected $description = '정적 훅 매핑 캐시 삭제 (bootstrap/cache/hooks.php)';
+
+    /**
+     * 커맨드를 실행합니다.
+     *
+     * @param  HookCacheManager  $hookCacheManager  훅 캐시 매니저
+     * @return int 종료 코드
+     */
+    public function handle(HookCacheManager $hookCacheManager): int
+    {
+        if (! $hookCacheManager->isCached()) {
+            $this->info(__('hooks.cache_absent'));
+
+            return Command::SUCCESS;
+        }
+
+        $hookCacheManager->clear();
+        $this->info(__('hooks.cache_cleared'));
+
+        return Command::SUCCESS;
+    }
+}

app/Console/Commands/Module/ClearModuleCacheCommand.php

@@ -5,6 +5,7 @@ namespace App\Console\Commands\Module;
 use App\Contracts\Extension\CacheInterface;
 use App\Contracts\Repositories\ModuleRepositoryInterface;
 use App\Extension\ModuleManager;
+use App\Services\ExtensionBundleService;
 use Illuminate\Console\Command;
 use Illuminate\Support\Facades\Log;
 
@@ -27,7 +28,8 @@ class ClearModuleCacheCommand extends Command
     public function __construct(
         private ModuleManager $moduleManager,
         private ModuleRepositoryInterface $moduleRepository,
-        private CacheInterface $cache
+        private CacheInterface $cache,
+        private ExtensionBundleService $bundleService
     ) {
         parent::__construct();
     }
@@ -86,6 +88,9 @@ class ClearModuleCacheCommand extends Command
                     $clearedCount += $this->clearModuleCache($module->getIdentifier());
                 }
 
+                // 모듈 프론트엔드 병합 번들 파일 삭제 (캐시 키 forget 만으로는 미삭제)
+                $clearedCount += $this->bundleService->clearBundles('module');
+
                 $this->info('✅ '.__('modules.commands.cache_clear.success_all', ['count' => $clearedCount]));
             }
 

app/Console/Commands/Plugin/ClearPluginCacheCommand.php

@@ -5,6 +5,7 @@ namespace App\Console\Commands\Plugin;
 use App\Contracts\Extension\CacheInterface;
 use App\Contracts\Repositories\PluginRepositoryInterface;
 use App\Extension\PluginManager;
+use App\Services\ExtensionBundleService;
 use Illuminate\Console\Command;
 use Illuminate\Support\Facades\Log;
 
@@ -27,7 +28,8 @@ class ClearPluginCacheCommand extends Command
     public function __construct(
         private PluginManager $pluginManager,
         private PluginRepositoryInterface $pluginRepository,
-        private CacheInterface $cache
+        private CacheInterface $cache,
+        private ExtensionBundleService $bundleService
     ) {
         parent::__construct();
     }
@@ -86,6 +88,9 @@ class ClearPluginCacheCommand extends Command
                     $clearedCount += $this->clearPluginCache($plugin->getIdentifier());
                 }
 
+                // 플러그인 프론트엔드 병합 번들 파일 삭제 (캐시 키 forget 만으로는 미삭제)
+                $clearedCount += $this->bundleService->clearBundles('plugin');
+
                 $this->info('✅ '.__('plugins.commands.cache_clear.success_all', ['count' => $clearedCount]));
             }
 

app/Console/Commands/Template/ClearTemplateCacheCommand.php

@@ -6,6 +6,7 @@ use App\Contracts\Extension\CacheInterface;
 use App\Extension\TemplateManager;
 use App\Models\Template;
 use App\Models\TemplateLayout;
+use App\Services\ExtensionBundleService;
 use Illuminate\Console\Command;
 use Illuminate\Support\Facades\Log;
 
@@ -27,7 +28,8 @@ class ClearTemplateCacheCommand extends Command
      */
     public function __construct(
         private TemplateManager $templateManager,
-        private CacheInterface $cache
+        private CacheInterface $cache,
+        private ExtensionBundleService $bundleService
     ) {
         parent::__construct();
     }
@@ -153,6 +155,9 @@ class ClearTemplateCacheCommand extends Command
         $this->cache->forget('templates.active.user');
         $clearedCount += 2;
 
+        // 5. 확장 프론트엔드 병합 번들 파일 전체 삭제 (템플릿 캐시 정리는 페이지 전면 갱신)
+        $clearedCount += $this->bundleService->clearBundles();
+
         $this->info('✅ '.__('templates.commands.cache_clear.success_all', [
             'count' => $clearedCount,
         ]));

app/Extension/AbstractModule.php

@@ -1190,6 +1190,29 @@ abstract class AbstractModule implements CacheableExtensionInterface, ModuleInte
         return $result;
     }
 
+    /**
+     * 빌드된 에셋의 절대 파일 경로를 반환합니다.
+     *
+     * `getBuiltAssetPaths()` 는 module.json 의 상대 output 경로를 돌려주므로
+     * 파일을 실제로 읽으려면 모듈 루트(`getModulePath()`: 활성 dir 또는 `_bundled`
+     * 실제 위치)를 앞에 붙여야 한다. 서버측 번들 병합(ExtensionBundleService)이
+     * `getAssetFilePath()` 의 `base_path("modules/{id}/...")` 하드코딩을 복제하지
+     * 않고 `_bundled` 확장에서도 정확한 경로를 얻도록 이 게터를 SSoT 로 쓴다.
+     *
+     * @return array 빌드된 에셋 절대 경로 배열 ['js' => '...', 'css' => '...']
+     */
+    public function getBuiltAssetAbsolutePaths(): array
+    {
+        $relative = $this->getBuiltAssetPaths();
+        $result = [];
+
+        foreach ($relative as $kind => $output) {
+            $result[$kind] = $this->getModulePath().'/'.$output;
+        }
+
+        return $result;
+    }
+
     /**
      * 모듈 스토리지 드라이버 인스턴스 반환
      *

app/Extension/AbstractPlugin.php

@@ -1011,6 +1011,30 @@ abstract class AbstractPlugin implements CacheableExtensionInterface, PluginInte
         return $result;
     }
 
+    /**
+     * 빌드된 에셋의 절대 파일 경로를 반환합니다.
+     *
+     * `getBuiltAssetPaths()` 는 plugin.json 의 상대 output 경로를 돌려주므로
+     * 파일을 실제로 읽으려면 플러그인 루트(`getPluginPath()`: 활성 dir 또는
+     * `_bundled` 실제 위치)를 앞에 붙여야 한다. 서버측 번들 병합
+     * (ExtensionBundleService)이 `getAssetFilePath()` 의
+     * `base_path("plugins/{id}/...")` 하드코딩을 복제하지 않고 `_bundled`
+     * 확장에서도 정확한 경로를 얻도록 이 게터를 SSoT 로 쓴다.
+     *
+     * @return array 빌드된 에셋 절대 경로 배열 ['js' => '...', 'css' => '...']
+     */
+    public function getBuiltAssetAbsolutePaths(): array
+    {
+        $relative = $this->getBuiltAssetPaths();
+        $result = [];
+
+        foreach ($relative as $kind => $output) {
+            $result[$kind] = $this->getPluginPath().'/'.$output;
+        }
+
+        return $result;
+    }
+
     /**
      * 플러그인이 설정 페이지를 가지고 있는지 확인합니다.
      *

app/Extension/ExtensionManager.php

@@ -5,6 +5,9 @@ namespace App\Extension;
 use App\Contracts\Repositories\ModuleRepositoryInterface;
 use App\Contracts\Repositories\PluginRepositoryInterface;
 use App\Extension\Helpers\GithubHelper;
+use App\Rules\ValidExtensionIdentifier;
+use App\Support\ConfigCacheHelper;
+use Composer\Autoload\ClassLoader;
 use Illuminate\Console\Command;
 use Illuminate\Support\Facades\File;
 use Illuminate\Support\Facades\Log;
@@ -37,14 +40,6 @@ class ExtensionManager
         $this->autoloadFilePath = base_path('bootstrap/cache/autoload-extensions.php');
     }
 
-    /**
-     * 설치된 모듈/플러그인의 오토로드 파일을 생성합니다.
-     *
-     * composer.json을 수정하지 않고, bootstrap/cache/autoload-extensions.php 파일을 생성하여
-     * 런타임에 Composer ClassLoader에 PSR-4 네임스페이스를 등록합니다.
-     *
-     * 테스트 환경(APP_ENV=testing)에서는 자동으로 스킵됩니다.
-     */
     public function updateComposerAutoload(): void
     {
         // 테스트 환경에서 오토로드 업데이트 스킵 (성능 최적화)
@@ -61,6 +56,41 @@ class ExtensionManager
         // 신규 네임스페이스(beta 업그레이드로 추가된 Seeder/Model 등) 의 autoload 가
         // 실패하지 않도록 런타임 재등록을 수행한다.
         $this->reregisterRuntimeAutoload();
+
+        // 정적 훅 매핑 캐시도 오토로드 캐시와 나란히 재생성.
+        // 훅 매핑은 확장 install/activate/deactivate/uninstall/update 시에만 바뀌므로
+        // 이 지점에 편승하면 별도 무효화 발굴 없이 오토로드 캐시와 동일 생명주기를 갖는다.
+        $this->regenerateHookCache();
+
+        // config 캐시도 함께 재생성. 확장 설치/삭제/업데이트는 활성 확장 목록을 바꾸므로
+        // (optimizeSystem 이 config:cache 를 만든 시점의 스냅샷이 stale 해짐), 오토로드/훅
+        // 캐시와 동일 생명주기로 config 캐시를 재빌드해 캐시가 비활성 상태로 남지 않게 한다.
+        // activate/deactivate 는 이 메서드를 거치지 않으므로 각 Manager 에서 별도 호출한다.
+        ConfigCacheHelper::rebuild();
+    }
+
+    /**
+     * 정적 훅 매핑 캐시(bootstrap/cache/hooks.php)를 재생성합니다.
+     *
+     * 모듈/플러그인 리스너 수집을 위해 각 Manager 를 (재)로드한 뒤 HookCacheManager 에 위임한다.
+     * 생성 실패는 부팅 시 스캔 폴백으로 흡수되므로 확장 업데이트 흐름을 중단시키지 않는다.
+     */
+    protected function regenerateHookCache(): void
+    {
+        try {
+            $moduleManager = app(ModuleManager::class);
+            $moduleManager->loadModules();
+
+            $pluginManager = app(PluginManager::class);
+            $pluginManager->loadPlugins();
+
+            app(HookCacheManager::class)->generate($moduleManager, $pluginManager);
+        } catch (\Throwable $e) {
+            // 훅 캐시 생성 실패는 치명적이지 않다 — 부팅 시 스캔 폴백이 안전망.
+            Log::warning('훅 매핑 캐시 재생성 실패 (스캔 폴백으로 동작)', [
+                'error' => $e->getMessage(),
+            ]);
+        }
     }
 
     /**
@@ -78,7 +108,7 @@ class ExtensionManager
      */
     protected function reregisterRuntimeAutoload(): void
     {
-        if (! class_exists(\Composer\Autoload\ClassLoader::class, false)) {
+        if (! class_exists(ClassLoader::class, false)) {
             return;
         }
 
@@ -86,7 +116,7 @@ class ExtensionManager
             return;
         }
 
-        $loaders = \Composer\Autoload\ClassLoader::getRegisteredLoaders();
+        $loaders = ClassLoader::getRegisteredLoaders();
         if (empty($loaders)) {
             return;
         }
@@ -135,8 +165,13 @@ class ExtensionManager
             $pluginAutoloads['vendor_autoloads']
         );
 
+        // 확장 소스 classmap 생성 (FQCN → 상대경로).
+        // 런타임에 ClassLoader::addClassMap() 으로 등록되어 findFile 이 파일시스템 스캔 없이
+        // 즉시 경로를 반환하도록 한다(성능). 클래스 로딩은 여전히 lazy — 사용 시점에만 include.
+        $srcClassmap = $this->buildSourceClassmap($psr4);
+
         // 파일 내용 생성
-        $content = $this->buildAutoloadFileContent($psr4, $classmap, $files, $vendorAutoloads);
+        $content = $this->buildAutoloadFileContent($psr4, $classmap, $files, $vendorAutoloads, $srcClassmap);
 
         // 디렉토리 확인
         $dir = dirname($this->autoloadFilePath);
@@ -151,6 +186,7 @@ class ExtensionManager
             'path' => $this->autoloadFilePath,
             'psr4_count' => count($psr4),
             'classmap_count' => count($classmap),
+            'src_classmap_count' => count($srcClassmap),
             'files_count' => count($files),
             'vendor_autoloads_count' => count($vendorAutoloads),
         ]);
@@ -164,7 +200,7 @@ class ExtensionManager
      * @param  array  $files  헬퍼 파일 목록
      * @return string PHP 파일 내용
      */
-    protected function buildAutoloadFileContent(array $psr4, array $classmap, array $files = [], array $vendorAutoloads = []): string
+    protected function buildAutoloadFileContent(array $psr4, array $classmap, array $files = [], array $vendorAutoloads = [], array $srcClassmap = []): string
     {
         $generatedAt = now()->toDateTimeString();
 
@@ -173,12 +209,14 @@ class ExtensionManager
         $classmapJson = json_encode($classmap, JSON_PRETTY_PRINT | JSON_UNESCAPED_SLASHES | JSON_UNESCAPED_UNICODE);
         $filesJson = json_encode($files, JSON_PRETTY_PRINT | JSON_UNESCAPED_SLASHES | JSON_UNESCAPED_UNICODE);
         $vendorAutoloadsJson = json_encode($vendorAutoloads, JSON_PRETTY_PRINT | JSON_UNESCAPED_SLASHES | JSON_UNESCAPED_UNICODE);
+        $srcClassmapJson = json_encode($srcClassmap, JSON_PRETTY_PRINT | JSON_UNESCAPED_SLASHES | JSON_UNESCAPED_UNICODE);
 
         // JSON을 PHP 배열 문법으로 변환
         $psr4Php = $this->jsonToPhpArray($psr4Json, 1);
         $classmapPhp = $this->jsonToPhpArray($classmapJson, 1);
         $filesPhp = $this->jsonToPhpArray($filesJson, 1);
         $vendorAutoloadsPhp = $this->jsonToPhpArray($vendorAutoloadsJson, 1);
+        $srcClassmapPhp = $this->jsonToPhpArray($srcClassmapJson, 1);
 
         return <<<PHP
 <?php
@@ -195,6 +233,7 @@ class ExtensionManager
 return [
     'psr4' => {$psr4Php},
     'classmap' => {$classmapPhp},
+    'src_classmap' => {$srcClassmapPhp},
     'files' => {$filesPhp},
     'vendor_autoloads' => {$vendorAutoloadsPhp},
 ];
@@ -240,7 +279,7 @@ PHP;
      *
      * public/index.php 및 artisan에서 호출됩니다.
      *
-     * @param  \Composer\Autoload\ClassLoader  $loader  Composer ClassLoader 인스턴스
+     * @param  ClassLoader  $loader  Composer ClassLoader 인스턴스
      */
     public static function registerExtensionAutoload($loader): void
     {
@@ -266,6 +305,17 @@ PHP;
             }
         }
 
+        // 확장 소스 classmap 등록 (FQCN → 절대경로).
+        // findFile 이 파일시스템 스캔 없이 즉시 반환하도록 in-memory 맵에 추가한다(lazy include).
+        // PSR-4 등록은 위에서 유지되므로 classmap 에 없는 클래스는 PSR-4 폴백(안전망).
+        if (! empty($autoloads['src_classmap'])) {
+            $absoluteClassmap = [];
+            foreach ($autoloads['src_classmap'] as $fqcn => $relPath) {
+                $absoluteClassmap[$fqcn] = base_path($relPath);
+            }
+            $loader->addClassMap($absoluteClassmap);
+        }
+
         // Classmap 파일 로드 (module.php, plugin.php)
         if (! empty($autoloads['classmap'])) {
             foreach ($autoloads['classmap'] as $file) {
@@ -471,6 +521,130 @@ PHP;
         return ['psr4' => $psr4, 'classmap' => $classmap, 'files' => $files, 'vendor_autoloads' => $vendorAutoloads];
     }
 
+    /**
+     * PSR-4 매핑을 기반으로 확장 소스 클래스의 classmap 을 생성합니다.
+     *
+     * 각 PSR-4 네임스페이스 디렉토리를 재귀 스캔하여 PHP 파일마다 FQCN → 상대경로 를
+     * 산출한다. 이 classmap 은 런타임에 `ClassLoader::addClassMap()` 으로 등록되어
+     * `findFile()` 이 파일시스템 스캔 없이 즉시 경로를 반환하도록 한다(성능: cold OPcache /
+     * 느린 파일시스템 환경에서 findFile stat 비용 제거). 클래스 로딩은 여전히 지연(lazy)이다.
+     *
+     * 확장 **소스** 클래스만 대상으로 하며, 확장별 독립 vendor(서드파티)는 각 확장의
+     * `vendor/autoload.php`(별도 ClassLoader) 가 담당하므로 여기서 다루지 않는다
+     * (vendor 격리 불변조건 보존).
+     *
+     * @param  array<string, string|array<int, string>>  $psr4  네임스페이스 → base_path 상대경로(들)
+     * @return array<string, string> FQCN → base_path 상대경로 (.php 포함)
+     */
+    protected function buildSourceClassmap(array $psr4): array
+    {
+        $classmap = [];
+
+        foreach ($psr4 as $namespace => $paths) {
+            foreach ((array) $paths as $relativePath) {
+                $absoluteDir = base_path($relativePath);
+
+                if (! is_dir($absoluteDir)) {
+                    continue;
+                }
+
+                $iterator = new \RecursiveIteratorIterator(
+                    new \RecursiveDirectoryIterator($absoluteDir, \RecursiveDirectoryIterator::SKIP_DOTS)
+                );
+
+                foreach ($iterator as $file) {
+                    if ($file->getExtension() !== 'php') {
+                        continue;
+                    }
+
+                    $fqcn = $this->extractFqcnFromFile($file->getPathname());
+                    if ($fqcn === null) {
+                        continue;
+                    }
+
+                    // PSR-4 계약상 이 파일의 네임스페이스는 $namespace 로 시작해야 한다.
+                    // (다른 네임스페이스 파일은 다른 PSR-4 항목이 담당 — 중복 방지)
+                    if (! str_starts_with($fqcn, rtrim($namespace, '\\'))) {
+                        continue;
+                    }
+
+                    // base_path 상대경로로 정규화 (autoload-extensions.php 의 다른 경로와 일관)
+                    $rel = str_replace('\\', '/', substr($file->getPathname(), strlen(base_path()) + 1));
+                    $classmap[$fqcn] = $rel;
+                }
+            }
+        }
+
+        ksort($classmap);
+
+        return $classmap;
+    }
+
+    /**
+     * PHP 파일에서 FQCN(네임스페이스 + 클래스/인터페이스/트레이트/enum 명)을 추출합니다.
+     *
+     * 토큰 기반 파싱으로 파일당 최상위 선언 1개의 FQCN 을 반환한다. 선언이 없으면 null.
+     *
+     * @param  string  $filePath  PHP 파일 절대경로
+     * @return string|null FQCN 또는 null
+     */
+    protected function extractFqcnFromFile(string $filePath): ?string
+    {
+        $contents = @file_get_contents($filePath);
+        if ($contents === false) {
+            return null;
+        }
+
+        $tokens = token_get_all($contents);
+        $namespace = '';
+        $count = count($tokens);
+
+        for ($i = 0; $i < $count; $i++) {
+            $token = $tokens[$i];
+            if (! is_array($token)) {
+                continue;
+            }
+
+            // 네임스페이스 수집
+            if ($token[0] === T_NAMESPACE) {
+                $namespace = '';
+                for ($j = $i + 1; $j < $count; $j++) {
+                    $t = $tokens[$j];
+                    if ($t === ';' || $t === '{') {
+                        break;
+                    }
+                    if (is_array($t) && in_array($t[0], [T_STRING, T_NS_SEPARATOR], true)) {
+                        $namespace .= $t[1];
+                    } elseif (is_array($t) && defined('T_NAME_QUALIFIED') && $t[0] === T_NAME_QUALIFIED) {
+                        $namespace .= $t[1];
+                    }
+                }
+
+                continue;
+            }
+
+            // 최상위 선언(class/interface/trait/enum) 감지
+            if (in_array($token[0], [T_CLASS, T_INTERFACE, T_TRAIT], true)
+                || (defined('T_ENUM') && $token[0] === T_ENUM)) {
+                // ::class, new class 등 익명/상수 사용 배제: 다음 유효 토큰이 T_STRING 이어야 함
+                for ($j = $i + 1; $j < $count; $j++) {
+                    $t = $tokens[$j];
+                    if (is_array($t) && $t[0] === T_WHITESPACE) {
+                        continue;
+                    }
+                    if (is_array($t) && $t[0] === T_STRING) {
+                        $class = $t[1];
+
+                        return $namespace !== '' ? $namespace.'\\'.$class : $class;
+                    }
+                    break;
+                }
+            }
+        }
+
+        return null;
+    }
+
     /**
      * 모듈 identifier를 네임스페이스로 변환합니다.
      *
@@ -640,7 +814,7 @@ PHP;
         $failed = false;
         $message = '';
 
-        (new \App\Rules\ValidExtensionIdentifier)->validate(
+        (new ValidExtensionIdentifier)->validate(
             'identifier',
             $identifier,
             function ($msg) use (&$failed, &$message) {
@@ -718,7 +892,6 @@ PHP;
         return ! empty($this->getComposerDependenciesAt($path));
     }
 
-
     /**
      * 확장의 composer.json에서 외부 패키지 의존성 목록을 반환합니다.
      *
@@ -1096,7 +1269,6 @@ PHP;
      *
      * @param  string  $zipPath  ZIP 파일 경로
      * @param  string  $extractDir  추출 대상 디렉토리
-     * @return void
      *
      * @throws \RuntimeException 추출 실패 시
      */
@@ -1116,7 +1288,6 @@ PHP;
      *
      * @param  string  $zipPath  ZIP 파일 경로
      * @param  string  $extractDir  추출 대상 디렉토리
-     * @return void
      *
      * @throws \RuntimeException 추출 실패 시
      */
@@ -1138,7 +1309,7 @@ PHP;
     /**
      * unzip 명령어 사용 가능 여부를 확인합니다.
      *
-     * @return bool
+     * @return bool unzip 실행 파일이 PATH 에 존재하면 true
      */
     public function isUnzipAvailable(): bool
     {

app/Extension/Helpers/CoreBackupHelper.php

@@ -238,6 +238,7 @@ class CoreBackupHelper
         $newDirs = [];
 
         $protectedSet = self::normalizeProtectedSet($protectedPaths);
+        $allowedTargetSet = self::normalizeProtectedSet($targets);
         $excludeSet = array_values(array_filter(array_map('trim', $excludes)));
 
         foreach ($targets as $target) {
@@ -246,8 +247,9 @@ class CoreBackupHelper
                 continue;
             }
 
-            // target 자체가 보호 경로면 스킵
-            if (self::isWithinProtectedPath($target, $protectedSet)) {
+            // target 자체가 보호 경로면 스킵 (단, targets 에 더 구체적으로 명시된
+            // 경로는 상위 protected 를 오버라이드 — _bundled 갱신 허용)
+            if (self::isWithinProtectedPath($target, $protectedSet, $allowedTargetSet)) {
                 continue;
             }
 
@@ -284,7 +286,7 @@ class CoreBackupHelper
                 if (self::matchesExcludes($relative, $excludeSet)) {
                     continue;
                 }
-                if (self::isWithinProtectedPath($relative, $protectedSet)) {
+                if (self::isWithinProtectedPath($relative, $protectedSet, $allowedTargetSet)) {
                     continue;
                 }
 
@@ -336,6 +338,177 @@ class CoreBackupHelper
         ];
     }
 
+    /**
+     * 코어(신 버전)가 실제로 추가·변경한 파일 목록(적용 대상)을 3-way 비교로 산출합니다.
+     *
+     * `core:update` 기본(증분) 모드에서 `applyUpdate()` 가 참조하는 "적용 대상 집합"을
+     * 만든다. 코어가 건드리지 않은 파일(base == theirs)은 목록에서 제외되어, 활성
+     * 디렉토리에 남은 현재 상태(사용자 수정 포함 가능)를 그대로 보존한다.
+     *
+     * 3-way 판정:
+     *  - base   = 구버전 원본 = 백업 스냅샷 (`$backupPath/$target`)
+     *  - theirs = 신 버전     = _pending 소스 (`$sourcePath/$target`)
+     *  - 규칙:
+     *      · base 없음 (theirs 에만 존재)        → added   (신규 파일 — 적용)
+     *      · base 있고 size 또는 md5 다름         → changed (코어가 변경 — 적용)
+     *      · base 있고 size·md5 동일             → 제외 (코어 미변경 — 스킵/보존)
+     *
+     * 성능: size 가 다르면 md5 를 계산하지 않는다(즉시 changed). size 가 같을 때만
+     * `md5_file`. mtime 은 비교하지 않는다 — `_pending` 은 방금 추출되어 mtime 이
+     * 전부 추출 시각이므로 항상 "다름"으로 오판한다.
+     *
+     * symlink 는 목록에서 제외한다 — 링크 자체는 `copyDirectory` 의 별도 링크 처리
+     * 경로가 담당하며, 증분 모드에서도 항상 재생성되어야 한다(target 추적 없이 동일
+     * 링크). 따라서 반환값 `is_partial` 이 true 여도 링크는 정상 반영된다.
+     *
+     * `writeNewFilesManifest()` 와 동일한 순회 구조·가드(`excludes`/`protectedPaths`)를
+     * 재사용한다. 두 산출을 각각 별도 순회하지만, 반환값은 in-memory 로 즉시 소비되어
+     * 파일화 비용이 없다(롤백용 `_new_files_manifest.json` 은 별도).
+     *
+     * @param  string  $backupPath  백업 디렉토리 경로 (= base, 활성 사전 스냅샷)
+     * @param  string  $sourcePath  소스 디렉토리 경로 (= theirs, _pending 신 버전)
+     * @param  array  $targets  처리할 target 경로 목록 (`app.update.targets`)
+     * @param  array  $protectedPaths  보호 경로 목록 (목록에서 제외)
+     * @param  array  $excludes  제외 패턴 목록 (예: ['node_modules', '.git'])
+     * @return array{apply:array<int,string>, added_count:int, changed_count:int, has_symlink:bool}
+     *                                                                                              apply = 적용 대상 상대경로 목록(정렬됨, 슬래시 정규화)
+     */
+    public static function computeApplyList(
+        string $backupPath,
+        string $sourcePath,
+        array $targets,
+        array $protectedPaths,
+        array $excludes,
+    ): array {
+        $added = [];
+        $changed = [];
+        $hasSymlink = false;
+
+        $protectedSet = self::normalizeProtectedSet($protectedPaths);
+        $allowedTargetSet = self::normalizeProtectedSet($targets);
+        $excludeSet = array_values(array_filter(array_map('trim', $excludes)));
+
+        foreach ($targets as $target) {
+            $target = trim($target);
+            if ($target === '') {
+                continue;
+            }
+
+            if (self::isWithinProtectedPath($target, $protectedSet, $allowedTargetSet)) {
+                continue;
+            }
+
+            $sourceTargetPath = $sourcePath.DIRECTORY_SEPARATOR.$target;
+            if (! file_exists($sourceTargetPath)) {
+                continue;
+            }
+
+            // 단일 파일 target
+            if (is_file($sourceTargetPath) && ! is_link($sourceTargetPath)) {
+                $rel = self::normalizeRelative($target);
+                $backupFilePath = $backupPath.DIRECTORY_SEPARATOR.$target;
+                self::classifyForApply($rel, $sourceTargetPath, $backupFilePath, $added, $changed);
+
+                continue;
+            }
+
+            if (is_link($sourceTargetPath)) {
+                $hasSymlink = true;
+
+                continue;
+            }
+
+            if (! is_dir($sourceTargetPath)) {
+                continue;
+            }
+
+            // 디렉토리 target — 재귀 비교
+            $iterator = new RecursiveIteratorIterator(
+                new RecursiveDirectoryIterator($sourceTargetPath, FilesystemIterator::SKIP_DOTS),
+                RecursiveIteratorIterator::SELF_FIRST,
+            );
+
+            foreach ($iterator as $item) {
+                /** @var SplFileInfo $item */
+                $absolute = $item->getPathname();
+                $relative = self::normalizeRelative($target.'/'.ltrim(substr($absolute, strlen($sourceTargetPath)), DIRECTORY_SEPARATOR.'/'));
+
+                if (self::matchesExcludes($relative, $excludeSet)) {
+                    continue;
+                }
+                if (self::isWithinProtectedPath($relative, $protectedSet, $allowedTargetSet)) {
+                    continue;
+                }
+
+                // symlink 는 목록 제외 — 링크 처리 경로가 별도 담당
+                if ($item->isLink()) {
+                    $hasSymlink = true;
+
+                    continue;
+                }
+
+                // 디렉토리 자체는 목록에 담지 않는다 — 파일 단위 적용이 디렉토리를
+                // 필요 시 생성한다(copyDirectory 가 대상 디렉토리를 ensure).
+                if (! $item->isFile()) {
+                    continue;
+                }
+
+                $backupItemPath = $backupPath.DIRECTORY_SEPARATOR.str_replace('/', DIRECTORY_SEPARATOR, $relative);
+                self::classifyForApply($relative, $absolute, $backupItemPath, $added, $changed);
+            }
+        }
+
+        $apply = array_values(array_unique(array_merge($added, $changed)));
+        sort($apply, SORT_STRING);
+
+        return [
+            'apply' => $apply,
+            'added_count' => count($added),
+            'changed_count' => count($changed),
+            'has_symlink' => $hasSymlink,
+        ];
+    }
+
+    /**
+     * 3-way 판정으로 파일 하나를 added/changed 로 분류하거나 제외합니다.
+     *
+     * base(백업) 부재 → added, size 다름 또는 md5 다름 → changed, 동일 → 제외.
+     *
+     * @param  string  $relative  슬래시 정규화된 상대 경로 (목록 등재값)
+     * @param  string  $theirsAbsolute  신 버전(_pending) 파일 절대 경로
+     * @param  string  $baseAbsolute  백업(base) 파일 절대 경로
+     * @param  array<int,string>  $added  added 누적 배열 (참조)
+     * @param  array<int,string>  $changed  changed 누적 배열 (참조)
+     */
+    private static function classifyForApply(
+        string $relative,
+        string $theirsAbsolute,
+        string $baseAbsolute,
+        array &$added,
+        array &$changed,
+    ): void {
+        if (! file_exists($baseAbsolute) || is_dir($baseAbsolute)) {
+            $added[] = $relative;
+
+            return;
+        }
+
+        // size 선필터 — 다르면 md5 생략하고 즉시 changed
+        $theirsSize = @filesize($theirsAbsolute);
+        $baseSize = @filesize($baseAbsolute);
+        if ($theirsSize !== $baseSize) {
+            $changed[] = $relative;
+
+            return;
+        }
+
+        // size 동일 → 내용 비교
+        if (@md5_file($theirsAbsolute) !== @md5_file($baseAbsolute)) {
+            $changed[] = $relative;
+        }
+        // 동일하면 제외 (코어 미변경 — 스킵)
+    }
+
     /**
      * 백업 디렉토리의 manifest 를 로드해 활성 디렉토리에서 신 버전 신규 파일을 정리합니다.
      *
@@ -491,23 +664,61 @@ class CoreBackupHelper
 
     /**
      * 상대 경로가 protected_paths 목록의 어떤 항목 하위에 위치하는지 검사합니다.
+     *
+     * `$allowedTargetSet` 이 주어지면 "targets 에 명시된 더 구체적인 경로" 는 상위
+     * protected 를 오버라이드한다. 예: `protected_paths` 에 `modules` 가 있고
+     * `targets` 에 `modules/_bundled` 가 명시되어 있으면, `modules/_bundled/...` 파일은
+     * protected 로 차단되지 않고 apply 대상에 포함된다.
+     *
+     * 배경: `protected_paths` 의 확장 부모(`modules`/`plugins`/`templates`/`lang-packs`)는
+     * "자동 발견 폴백" 이 활성 서브디렉토리(`modules/sirsoft-*`)를 통째로 삭제하는
+     * 회귀(#347) 를 막기 위한 방어인데, 정상 증분 흐름에서는 `_bundled` 갱신까지
+     * 함께 막아 코어 업데이트로 번들 확장 파일이 반영되지 않는 결함(#452 / 공개 #64)을
+     * 유발했다. targets 에 명시된 경로가 protected 보다 더 구체적(하위)이면 예외 처리한다.
+     *
+     * @param  string  $relative  검사할 상대 경로
+     * @param  array<int, string>  $protectedSet  정규화된 보호 경로 집합
+     * @param  array<int, string>  $allowedTargetSet  정규화된 targets 집합 (protected 오버라이드 허용)
      */
-    private static function isWithinProtectedPath(string $relative, array $protectedSet): bool
+    private static function isWithinProtectedPath(string $relative, array $protectedSet, array $allowedTargetSet = []): bool
     {
         $relative = self::normalizeRelative($relative);
+
+        // 가장 구체적으로 매칭되는 protected 경로 길이(세그먼트 수)를 찾는다.
+        $matchedProtectedLen = -1;
         foreach ($protectedSet as $p) {
             if ($p === '') {
                 continue;
             }
-            if ($relative === $p) {
-                return true;
-            }
-            if (str_starts_with($relative, $p.'/')) {
-                return true;
+            if ($relative === $p || str_starts_with($relative, $p.'/')) {
+                $len = substr_count($p, '/') + 1;
+                if ($len > $matchedProtectedLen) {
+                    $matchedProtectedLen = $len;
+                }
             }
         }
 
-        return false;
+        if ($matchedProtectedLen === -1) {
+            return false;
+        }
+
+        // protected 하위이지만, targets 에 더 구체적으로(= 더 깊게) 명시된 경로의
+        // 하위이면 오버라이드하여 통과(= 보호 해제). target 이 protected 와 같거나
+        // 더 얕으면 오버라이드하지 않는다(예: target `storage` == protected `storage`).
+        foreach ($allowedTargetSet as $t) {
+            if ($t === '') {
+                continue;
+            }
+            $targetLen = substr_count($t, '/') + 1;
+            if ($targetLen <= $matchedProtectedLen) {
+                continue;
+            }
+            if ($relative === $t || str_starts_with($relative, $t.'/')) {
+                return false;
+            }
+        }
+
+        return true;
     }
 
     /**

app/Extension/Helpers/FilePermissionHelper.php

@@ -32,8 +32,13 @@ class FilePermissionHelper
      * @param  string  $relativePath  현재 상대 경로 (내부 재귀용)
      * @param  bool  $removeOrphans  소스에 없는 대상 파일/디렉토리 삭제 여부
      * @param  bool  $preserveTopLevelOrphans  최상위 한 레벨의 orphan 보존 여부
+     * @param  array<string, bool>|null  $applyList  적용 대상 파일 상대경로 화이트리스트
+     *   (이 디렉토리 루트 기준, `'sub/file.txt' => true` 형태의 lookup 맵). null 이면
+     *   전체 파일 복사(기존 동작). 지정 시 이 맵에 없는 파일은 복사를 스킵한다 — 코어
+     *   업데이트 증분 모드에서 "코어가 변경하지 않은 파일"을 건드리지 않기 위함. symlink
+     *   는 이 필터의 영향을 받지 않고 항상 재생성된다(링크는 목록 산출 대상이 아님).
      */
-    public static function copyDirectory(string $source, string $destination, ?\Closure $onProgress = null, array $excludes = [], string $relativePath = '', bool $removeOrphans = false, bool $preserveTopLevelOrphans = false): void
+    public static function copyDirectory(string $source, string $destination, ?\Closure $onProgress = null, array $excludes = [], string $relativePath = '', bool $removeOrphans = false, bool $preserveTopLevelOrphans = false, ?array $applyList = null): void
     {
         if (! File::isDirectory($destination)) {
             // 신규 디렉토리: 부모 디렉토리의 퍼미션/소유권 상속
@@ -53,21 +58,36 @@ class FilePermissionHelper
 
             $destPath = $destination.DIRECTORY_SEPARATOR.$itemName;
 
-            // symlink 자체 보존: target 추적 없이 동일 symlink 재생성.
+            // symlink / Windows junction 자체 보존: target 추적 없이 동일 링크 재생성.
             // SplFileInfo::isDir() 가 symlink 를 추적하므로 검사 순서가 isDir() 보다 먼저여야 한다.
-            // 미적용 시 `public/storage` 등 symlink 가 target 디렉토리 내용으로 복사되어 백업/복원 양쪽에서 손상.
-            if ($item->isLink()) {
-                if (static::copySymlink($item->getPathname(), $destPath)) {
+            // 미적용 시 `public/storage` 등 링크가 target 디렉토리 내용으로 복사되어 백업/복원 양쪽에서 손상.
+            //
+            // Windows JUNCTION(`mklink /J`)은 reparse point 지만 PHP `isLink()`/`isDir()` 이 모두
+            // false 를 반환한다(`storage:link` 가 Windows 에서 생성하는 형태). isLink() 만 검사하면
+            // junction 이 파일로 오판되어 copyFile → `copy(디렉토리)` 로 코어 업데이트가 실패한다.
+            // isReparsePoint() 로 junction 도 이 분기에 포함시킨다.
+            if ($item->isLink() || static::isReparsePoint($item->getPathname())) {
+                if (static::copyLink($item->getPathname(), $destPath)) {
                     continue;
                 }
                 // 복원 실패 (Windows SeCreateSymbolicLink 권한 부족 등) — 일반 복사로 fall-through.
+                // 단, junction 은 isDir() 이 false 라 아래 else 분기의 copyFile 로 새어 파일 복사가
+                // 다시 실패하므로, fall-through 대신 skip 하여 손상 없이 넘어간다.
                 // 운영자가 추후 `php artisan storage:link` 수동 실행으로 회복 가능.
+                if (! $item->isLink()) {
+                    continue;
+                }
             }
 
             if ($item->isDir()) {
                 // preserveTopLevelOrphans 는 최상위 한 레벨 한정 — 자식 재귀에는 항상 false 전달.
-                static::copyDirectory($item->getPathname(), $destPath, $onProgress, $excludes, $itemRelativePath, $removeOrphans, preserveTopLevelOrphans: false);
+                static::copyDirectory($item->getPathname(), $destPath, $onProgress, $excludes, $itemRelativePath, $removeOrphans, preserveTopLevelOrphans: false, applyList: $applyList);
             } else {
+                // 증분 모드(applyList 지정): 화이트리스트에 없는 파일은 스킵 —
+                // 코어가 변경하지 않은 파일의 현재 디스크 상태(사용자 수정 포함)를 보존.
+                if ($applyList !== null && ! isset($applyList[$itemRelativePath])) {
+                    continue;
+                }
                 static::copyFile($item->getPathname(), $destPath);
             }
         }
@@ -79,25 +99,63 @@ class FilePermissionHelper
     }
 
     /**
-     * symlink 자체를 보존 복사합니다 (target 미추적).
+     * 경로가 Windows JUNCTION 등 PHP `isLink()` 가 인식하지 못하는 reparse point 인지 판정합니다.
      *
-     * 기존 dest 가 symlink 또는 파일이면 unlink, 디렉토리면 deleteDirectory 후 symlink 재생성.
-     * readlink / symlink 실패 시 false 반환 — 호출자가 일반 복사로 fall-through.
+     * Windows JUNCTION(`mklink /J`)은 디렉토리 reparse point 로, `is_link()` / `is_file()` /
+     * `is_dir()` 이 **모두** false 를 반환한다(그러나 경로 항목으로는 존재하며 `readlink()` 로
+     * target 을 얻을 수 있다). `php artisan storage:link` 가 Windows 에서 생성하는
+     * `public/storage` 가 이 형태다.
      *
-     * Windows 환경에서 PHP `symlink()` 는 `SeCreateSymbolicLink` 권한이 필요하며 일반 사용자는
-     * 권한이 없을 가능성이 높다. 실패 시 warning 로그 후 false 반환하여 호출자가 일반 복사로
-     * fall-through 하도록 한다. 운영자는 업그레이드 후 `php artisan storage:link` 등 수동
-     * 명령으로 symlink 를 회복할 수 있다.
+     * 주의: Windows 의 `readlink()` 는 일반 파일/디렉토리에도 자기 경로를 반환하므로 junction
+     * 판별 기준이 될 수 없다. 따라서 "존재하는 경로인데 link/file/dir 어디에도 해당하지 않음"
+     * 을 판정 기준으로 삼는다. 여기에 추가로 `readlink()` 성공(!== false)을 요구해 존재하지
+     * 않는 경로를 배제한다.
      *
-     * @param  string  $source  소스 symlink 경로
-     * @param  string  $destination  대상 symlink 경로
-     * @return bool symlink 복원 성공 여부 (false 면 호출자가 일반 복사로 폴백)
+     * 일반 symlink(`is_link()` true)는 호출부가 별도로 처리하므로 여기서는 false 를 반환한다.
+     * junction 은 Windows 전용이므로 비-Windows 에서는 항상 false.
+     *
+     * @param  string  $path  검사할 경로
+     * @return bool junction 등 isLink() 미인식 reparse point 여부
      */
-    protected static function copySymlink(string $source, string $destination): bool
+    protected static function isReparsePoint(string $path): bool
+    {
+        if (PHP_OS_FAMILY !== 'Windows') {
+            return false;
+        }
+
+        // 일반 symlink / 파일 / 디렉토리는 각 검사가 true → junction 아님.
+        if (is_link($path) || is_file($path) || is_dir($path)) {
+            return false;
+        }
+
+        // 위 셋에 모두 해당하지 않으면서 readlink 가 target 을 반환하면 junction(reparse point).
+        return @readlink($path) !== false;
+    }
+
+    /**
+     * symlink 또는 Windows junction 자체를 보존 복사합니다 (target 미추적).
+     *
+     * 기존 dest 가 symlink 또는 파일이면 unlink, 디렉토리면 deleteDirectory 후 링크 재생성.
+     * readlink 실패 시 false 반환 — 호출자가 일반 복사로 fall-through.
+     *
+     * 재생성 전략:
+     * - 일반 symlink: `symlink()`
+     * - target 이 디렉토리인 경우(Windows junction 포함): `symlink()` 실패 시 `mklink /J` 로 폴백.
+     *   Windows 에서 PHP `symlink()` 는 `SeCreateSymbolicLink` 권한이 필요하지만 junction 은
+     *   권한 없이 생성 가능하므로, junction 복원의 실질 경로가 된다.
+     *
+     * 모든 재생성 시도 실패 시 warning 로그 후 false 반환. 운영자는 업그레이드 후
+     * `php artisan storage:link` 등 수동 명령으로 링크를 회복할 수 있다.
+     *
+     * @param  string  $source  소스 링크(symlink/junction) 경로
+     * @param  string  $destination  대상 링크 경로
+     * @return bool 링크 복원 성공 여부 (false 면 호출자가 일반 복사로 폴백)
+     */
+    protected static function copyLink(string $source, string $destination): bool
     {
         $target = @readlink($source);
         if ($target === false) {
-            Log::warning('copySymlink: readlink 실패 — 일반 복사로 폴백', ['source' => $source]);
+            Log::warning('copyLink: readlink 실패 — 일반 복사로 폴백', ['source' => $source]);
 
             return false;
         }
@@ -109,17 +167,29 @@ class FilePermissionHelper
             File::deleteDirectory($destination);
         }
 
-        if (! @symlink($target, $destination)) {
-            Log::warning('copySymlink: symlink 생성 실패 — 일반 복사로 폴백', [
-                'source' => $source,
-                'destination' => $destination,
-                'target' => $target,
-            ]);
-
-            return false;
+        if (@symlink($target, $destination)) {
+            return true;
         }
 
-        return true;
+        // symlink 실패 + target 이 디렉토리 → Windows junction 으로 폴백 재생성.
+        if (PHP_OS_FAMILY === 'Windows' && is_dir($target)) {
+            exec(
+                'cmd /c mklink /J '.escapeshellarg($destination).' '.escapeshellarg($target).' 2>&1',
+                $out,
+                $code
+            );
+            if ($code === 0 && is_dir($destination)) {
+                return true;
+            }
+        }
+
+        Log::warning('copyLink: 링크 생성 실패 — 일반 복사로 폴백', [
+            'source' => $source,
+            'destination' => $destination,
+            'target' => $target,
+        ]);
+
+        return false;
     }
 
     /**
@@ -157,11 +227,19 @@ class FilePermissionHelper
 
             // 소스에 존재하지 않는 항목만 삭제
             if (! File::exists($srcPath) && ! File::isDirectory($srcPath)) {
-                // symlink 는 항상 unlink — File::deleteDirectory 는 is_dir() 추적 검사 후
-                // 재귀 삭제하므로 symlink-to-dir 인 경우 target 의 모든 파일을 삭제하는 사고
-                // 발생 가능. is_link() 가 isDir() 보다 먼저 평가되어야 한다.
+                // symlink / Windows junction 은 링크 자체만 제거 — File::deleteDirectory 는 is_dir()
+                // 추적 검사 후 재귀 삭제하므로 link-to-dir 인 경우 target 의 모든 파일을 삭제하는
+                // 사고 발생 가능. 링크 검사가 isDir() 보다 먼저 평가되어야 한다.
+                //
+                // junction 은 is_link() 가 false 지만 isReparsePoint() 가 감지한다. junction 링크
+                // 제거는 파일 대상 unlink 가 아닌 rmdir() 로 수행해야 target 내용을 보존한다.
                 if (is_link($destItem->getPathname())) {
                     @unlink($destItem->getPathname());
+                } elseif (static::isReparsePoint($destItem->getPathname())) {
+                    // junction: rmdir 로 링크만 제거 (target 미추적). 폴백으로 unlink 시도.
+                    if (! @rmdir($destItem->getPathname())) {
+                        @unlink($destItem->getPathname());
+                    }
                 } elseif ($destItem->isDir()) {
                     File::deleteDirectory($destItem->getPathname());
                 } else {

app/Extension/HookCacheManager.php

@@ -0,0 +1,320 @@
+<?php
+
+namespace App\Extension;
+
+use App\Contracts\Extension\HookListenerInterface;
+use App\Contracts\Extension\ModuleInterface;
+use App\Contracts\Extension\PluginInterface;
+use Illuminate\Support\Facades\File;
+use Illuminate\Support\Facades\Log;
+
+/**
+ * 정적 훅 매핑 캐시 관리자.
+ *
+ * 코어(app/Listeners 재귀 스캔) + 모듈/플러그인(getHookListeners)의 정적 훅 리스너를
+ * 사전 계산하여 bootstrap/cache/hooks.php 에 저장하고, 부팅 시 이 캐시를 읽어
+ * 매 요청 디렉토리 스캔·리플렉션·getSubscribedHooks() 클래스 로딩을 제거한다.
+ *
+ * 캐시는 "무엇을 등록할지 목록"만 제공하며, 실제 등록은 여전히 boot 에서 수행되므로
+ * 등록↔발화 순서 계약은 불변이다. 캐시 미스(파일 부재/설치 직후/캐시 클리어 후)는
+ * 항상 스캔 폴백으로 안전하게 동작한다.
+ *
+ * 오토로드 캐시(autoload-extensions.php)와 동일 위치·생명주기를 갖는다:
+ * 확장 install/activate/deactivate/uninstall/update 시
+ * ExtensionManager::updateComposerAutoload() 가 함께 재생성한다.
+ *
+ * @see HookListenerRegistrar::registerFromCache()
+ */
+class HookCacheManager
+{
+    /**
+     * 캐시 파일 경로.
+     */
+    protected string $cacheFilePath;
+
+    /**
+     * Request-scoped 메모리 캐시 (read() 결과).
+     *
+     * HookCacheManager 는 싱글톤이 아니라 부팅 경로에서 매번 새 인스턴스로
+     * 생성되므로(app(HookCacheManager::class)), 요청 단위 캐시는 static 이어야 한다.
+     * 세 상태를 구분한다:
+     *   - null   = 아직 read() 전 (미초기화). PHP static 프로퍼티는 unset() 불가하므로
+     *              무효화(generate/clear)는 이 값으로 되돌린다.
+     *   - false  = 이번 요청 캐시 미스 확정 (파일 부재/손상) — 재시도 없이 폴백 유지.
+     *   - array  = 유효 캐시 데이터.
+     *
+     * @var array{core: array, modules: array, plugins: array}|false|null
+     */
+    private static array|false|null $memo = null;
+
+    public function __construct()
+    {
+        $this->cacheFilePath = base_path('bootstrap/cache/hooks.php');
+    }
+
+    /**
+     * 캐시 파일 경로를 반환합니다.
+     *
+     * @return string bootstrap/cache/hooks.php 절대 경로
+     */
+    public function getCacheFilePath(): string
+    {
+        return $this->cacheFilePath;
+    }
+
+    /**
+     * 캐시 파일 존재 여부를 반환합니다.
+     *
+     * @return bool 캐시 파일이 존재하면 true
+     */
+    public function isCached(): bool
+    {
+        return File::exists($this->cacheFilePath);
+    }
+
+    /**
+     * 캐시 파일을 읽어 반환합니다.
+     *
+     * 파일이 없거나 구조가 손상된 경우 null 을 반환하여 호출측이 스캔 폴백하도록 한다.
+     *
+     * @return array{core: array<int, array<string, mixed>>, modules: array<string, array<int, array<string, mixed>>>, plugins: array<string, array<int, array<string, mixed>>>}|null
+     */
+    public function read(): ?array
+    {
+        // Request-scoped 메모리 캐시: 한 요청 동안 부팅 경로에서
+        // core/module/plugin 등록이 이 메서드를 여러 번 호출한다
+        // (호출당 86KB 캐시 파일 재파싱 — OPcache 부재 시 요청당 십수 ms 누적).
+        // 캐시 파일 내용은 요청 수명 동안 불변이므로 첫 로드 결과를 static 에 보관해
+        // 파일 접근을 요청당 1회로 고정한다. self::$memo 는 세 상태를 구분한다:
+        //   - 미설정(unset): 아직 read() 호출 전
+        //   - false: 이번 요청에서 캐시 미스(파일 부재/손상) 확정 — 재시도 없이 폴백 유지
+        //   - array: 유효 캐시 데이터
+        if (self::$memo !== null) {
+            return self::$memo === false ? null : self::$memo;
+        }
+
+        if (! $this->isCached()) {
+            self::$memo = false;
+
+            return null;
+        }
+
+        try {
+            $data = require $this->cacheFilePath;
+        } catch (\Throwable $e) {
+            Log::warning('훅 캐시 파일 로드 실패 — 스캔 폴백', [
+                'path' => $this->cacheFilePath,
+                'error' => $e->getMessage(),
+            ]);
+            self::$memo = false;
+
+            return null;
+        }
+
+        if (! is_array($data) || ! isset($data['core'], $data['modules'], $data['plugins'])) {
+            Log::warning('훅 캐시 파일 구조가 올바르지 않습니다 — 스캔 폴백', [
+                'path' => $this->cacheFilePath,
+            ]);
+            self::$memo = false;
+
+            return null;
+        }
+
+        self::$memo = $data;
+
+        return $data;
+    }
+
+    /**
+     * 캐시 파일을 삭제합니다.
+     *
+     * @return bool 삭제 성공 또는 파일 부재 시 true
+     */
+    public function clear(): bool
+    {
+        self::$memo = null;
+
+        if (! $this->isCached()) {
+            return true;
+        }
+
+        return File::delete($this->cacheFilePath);
+    }
+
+    /**
+     * 정적 훅 매핑을 스캔·리플렉션하여 캐시 파일로 생성합니다.
+     *
+     * 모듈/플러그인 리스너는 로드된 Module/Plugin 인스턴스의 getHookListeners() 에서
+     * 수집하므로, 호출 전에 각 Manager 의 loadModules()/loadPlugins() 가 선행되어야 한다.
+     *
+     * @param  ModuleManager  $moduleManager  로드 완료된 모듈 매니저
+     * @param  PluginManager  $pluginManager  로드 완료된 플러그인 매니저
+     * @return array{core: int, modules: int, plugins: int} 소스별 리스너 수
+     */
+    public function generate(ModuleManager $moduleManager, PluginManager $pluginManager): array
+    {
+        $cache = [
+            'core' => $this->collectCoreListeners(),
+            'modules' => $this->collectExtensionListeners($moduleManager->getActiveModules()),
+            'plugins' => $this->collectExtensionListeners($pluginManager->getActivePlugins()),
+        ];
+
+        $content = $this->buildCacheFileContent($cache);
+
+        $dir = dirname($this->cacheFilePath);
+        if (! File::isDirectory($dir)) {
+            File::makeDirectory($dir, 0755, true);
+        }
+
+        File::put($this->cacheFilePath, $content);
+
+        // 방금 쓴 새 매핑으로 request-scoped 메모리 캐시를 갱신
+        // (이후 read() 가 옛 memo 를 반환하지 않도록 무효화).
+        self::$memo = null;
+
+        $counts = [
+            'core' => count($cache['core']),
+            'modules' => array_sum(array_map('count', $cache['modules'])),
+            'plugins' => array_sum(array_map('count', $cache['plugins'])),
+        ];
+
+        Log::info('훅 매핑 캐시 파일 생성 완료', [
+            'path' => $this->cacheFilePath,
+            'core' => $counts['core'],
+            'modules' => $counts['modules'],
+            'plugins' => $counts['plugins'],
+        ]);
+
+        return $counts;
+    }
+
+    /**
+     * app/Listeners/ 재귀 스캔으로 코어 리스너 항목을 수집합니다.
+     *
+     * registerCoreHookListeners() 스캔 로직과 동일하게 HookListenerInterface 구현체만 대상.
+     *
+     * @return array<int, array<string, mixed>> [['listener' => FQCN, 'hooks' => [...], 'dynamic' => bool], ...]
+     */
+    protected function collectCoreListeners(): array
+    {
+        $listenersPath = app_path('Listeners');
+
+        if (! is_dir($listenersPath)) {
+            return [];
+        }
+
+        $iterator = new \RecursiveIteratorIterator(
+            new \RecursiveDirectoryIterator($listenersPath, \RecursiveDirectoryIterator::SKIP_DOTS)
+        );
+
+        $entries = [];
+
+        foreach ($iterator as $file) {
+            if ($file->getExtension() !== 'php') {
+                continue;
+            }
+
+            $relativePath = str_replace($listenersPath.DIRECTORY_SEPARATOR, '', $file->getPathname());
+            $relativePath = str_replace('.php', '', $relativePath);
+            $relativePath = str_replace(DIRECTORY_SEPARATOR, '\\', $relativePath);
+            $listenerClass = 'App\\Listeners\\'.$relativePath;
+
+            $entry = $this->buildListenerEntry($listenerClass);
+            if ($entry !== null) {
+                $entries[] = $entry;
+            }
+        }
+
+        return $entries;
+    }
+
+    /**
+     * 로드된 모듈/플러그인 인스턴스에서 훅 리스너 항목을 수집합니다.
+     *
+     * @param  array<string, ModuleInterface|PluginInterface>  $extensions  식별자(디렉토리명) => 확장 인스턴스
+     * @return array<string, array<int, array<string, mixed>>> 확장 식별자 => 리스너 항목 목록
+     */
+    protected function collectExtensionListeners(array $extensions): array
+    {
+        $result = [];
+
+        foreach ($extensions as $extension) {
+            if (! method_exists($extension, 'getHookListeners')) {
+                continue;
+            }
+
+            $identifier = $extension->getIdentifier();
+            $entries = [];
+
+            foreach ($extension->getHookListeners() as $listenerClass) {
+                $entry = $this->buildListenerEntry($listenerClass);
+                if ($entry !== null) {
+                    $entries[] = $entry;
+                }
+            }
+
+            if (! empty($entries)) {
+                $result[$identifier] = $entries;
+            }
+        }
+
+        return $result;
+    }
+
+    /**
+     * 단일 리스너 클래스의 캐시 항목을 생성합니다.
+     *
+     * HookListenerInterface 미구현·클래스 부재 시 null 을 반환하여 제외합니다.
+     * 사전 계산된 getSubscribedHooks() 결과와 동적 훅 여부(registerDynamicHooks 존재)를 함께 저장합니다.
+     *
+     * @param  string  $listenerClass  리스너 FQCN
+     * @return array{listener: string, hooks: array<string, array<string, mixed>>, dynamic: bool}|null
+     */
+    protected function buildListenerEntry(string $listenerClass): ?array
+    {
+        if (! class_exists($listenerClass)) {
+            Log::warning('훅 캐시 생성: 리스너 클래스를 찾을 수 없습니다', ['listener' => $listenerClass]);
+
+            return null;
+        }
+
+        if (! in_array(HookListenerInterface::class, class_implements($listenerClass), true)) {
+            return null;
+        }
+
+        try {
+            $hooks = $listenerClass::getSubscribedHooks();
+        } catch (\Throwable $e) {
+            Log::warning('훅 캐시 생성: getSubscribedHooks() 오류 — 항목 제외', [
+                'listener' => $listenerClass,
+                'error' => $e->getMessage(),
+            ]);
+
+            return null;
+        }
+
+        return [
+            'listener' => $listenerClass,
+            'hooks' => $hooks,
+            'dynamic' => method_exists($listenerClass, 'registerDynamicHooks'),
+        ];
+    }
+
+    protected function buildCacheFileContent(array $cache): string
+    {
+        $exported = var_export($cache, true);
+        $generatedAt = now()->toDateTimeString();
+
+        $header = "<?php\n\n"
+            ."/**\n"
+            ." * 정적 훅 매핑 캐시\n"
+            ." *\n"
+            ." * 이 파일은 자동 생성됩니다. 직접 수정하지 마세요.\n"
+            ." * Generated at: {$generatedAt}\n"
+            ." *\n"
+            ." * @see \\App\\Extension\\HookCacheManager::generate()\n"
+            ." */\n\n";
+
+        return $header."return {$exported};\n";
+    }
+}

app/Extension/HookListenerRegistrar.php

@@ -34,7 +34,9 @@ class HookListenerRegistrar
     /**
      * 리스너 클래스를 HookManager에 등록합니다.
      *
-     * 동일 source + listenerClass 조합이 이미 등록된 경우 skip (idempotent).
+     * 런타임에 $listenerClass::getSubscribedHooks() 를 호출해 구독 훅을 조회한 뒤
+     * 등록한다. 동일 source + listenerClass 조합이 이미 등록된 경우 skip (idempotent).
+     * 사전 계산된 캐시 매핑으로 등록하려면 registerFromCache() 를 사용한다.
      *
      * @param  string  $listenerClass  HookListenerInterface 구현 클래스의 FQCN
      * @param  string|null  $source  등록 출처 (로그용: 'core', 모듈/플러그인 식별자)
@@ -45,14 +47,10 @@ class HookListenerRegistrar
         if (isset(self::$registered[$key])) {
             return; // 동일 PHP process 내 중복 등록 방지
         }
-        self::$registered[$key] = true;
 
         try {
             $subscribedHooks = $listenerClass::getSubscribedHooks();
         } catch (\Throwable $e) {
-            // 실패 시 캐시 롤백하여 재시도 가능 상태 유지
-            unset(self::$registered[$key]);
-
             Log::error('훅 리스너 등록 실패: getSubscribedHooks() 오류', [
                 'listener' => $listenerClass,
                 'source' => $source,
@@ -62,6 +60,49 @@ class HookListenerRegistrar
             return;
         }
 
+        self::applySubscribedHooks($listenerClass, $subscribedHooks, $source);
+    }
+
+    /**
+     * 캐시된 구독 훅 매핑으로 리스너를 등록합니다 (클래스 로딩 없음).
+     *
+     * bootstrap/cache/hooks.php 에서 읽어온 사전 계산 getSubscribedHooks() 결과를
+     * 그대로 받아 HookManager 에 등록한다. register() 와 달리 $listenerClass::getSubscribedHooks()
+     * 를 호출하지 않으므로 리스너 클래스가 부팅 시점에 오토로딩되지 않는다 —
+     * 실제 클래스 로딩은 훅 발화 시 클로저 내부 app($listenerClass) 에서 지연 수행된다.
+     *
+     * 등록 결과(HookManager 훅 매핑)는 register() 스캔 경로와 바이트 동일해야 한다
+     * (동일 applySubscribedHooks 위임).
+     *
+     * @param  string  $listenerClass  리스너 FQCN
+     * @param  array<string, array<string, mixed>>  $subscribedHooks  사전 계산된 getSubscribedHooks() 결과
+     * @param  string|null  $source  등록 출처 ('core', 모듈/플러그인 식별자)
+     */
+    public static function registerFromCache(string $listenerClass, array $subscribedHooks, ?string $source = null): void
+    {
+        $key = ($source ?? 'unknown').'::'.$listenerClass;
+        if (isset(self::$registered[$key])) {
+            return; // 동일 PHP process 내 중복 등록 방지 (스캔 경로와 동일 계약)
+        }
+
+        self::applySubscribedHooks($listenerClass, $subscribedHooks, $source);
+    }
+
+    /**
+     * 구독 훅 배열을 HookManager 에 등록합니다 (스캔/캐시 경로 공통).
+     *
+     * register()(런타임 getSubscribedHooks 호출)와 registerFromCache()(캐시 읽기)가
+     * 이 메서드에 위임하여 등록 결과의 동일성을 보장한다.
+     *
+     * @param  string  $listenerClass  리스너 FQCN
+     * @param  array<string, array<string, mixed>>  $subscribedHooks  구독 훅 매핑
+     * @param  string|null  $source  등록 출처
+     */
+    private static function applySubscribedHooks(string $listenerClass, array $subscribedHooks, ?string $source): void
+    {
+        $key = ($source ?? 'unknown').'::'.$listenerClass;
+        self::$registered[$key] = true;
+
         foreach ($subscribedHooks as $hookName => $config) {
             $method = $config['method'] ?? 'handle';
             $priority = $config['priority'] ?? 10;

app/Extension/ModuleManager.php

@@ -2961,13 +2961,6 @@ class ModuleManager implements ModuleManagerInterface
         }
     }
 
-    /**
-     * 모듈의 훅 리스너를 자동으로 등록합니다.
-     *
-     * 비활성화된 모듈의 훅 리스너는 등록하지 않습니다.
-     *
-     * @param  ModuleInterface  $module  모듈 인스턴스
-     */
     protected function registerModuleHookListeners(ModuleInterface $module): void
     {
         // 모듈이 getHookListeners 메서드를 가지고 있는지 확인
@@ -2981,6 +2974,11 @@ class ModuleManager implements ModuleManagerInterface
             return;
         }
 
+        // 캐시 우선: 사전 계산된 훅 매핑이 있으면 클래스 로딩 없이 등록.
+        if ($this->registerExtensionHookListenersFromCache('modules', $module->getIdentifier())) {
+            return;
+        }
+
         $listeners = $module->getHookListeners();
 
         foreach ($listeners as $listenerClass) {
@@ -3010,6 +3008,44 @@ class ModuleManager implements ModuleManagerInterface
         }
     }
 
+    /**
+     * 훅 캐시에서 확장(모듈/플러그인)의 정적 훅 리스너를 등록합니다.
+     *
+     * 캐시 파일(bootstrap/cache/hooks.php)에 해당 확장 식별자의 항목이 있으면
+     * getSubscribedHooks() 클래스 로딩·리플렉션 없이 사전 계산 매핑으로 등록한다.
+     * 테스트 환경은 매 setUp 스캔이 정확·격리 우선이므로 캐시 미사용(항상 스캔 폴백).
+     *
+     * @param  string  $bucket  캐시 버킷 ('modules' 또는 'plugins')
+     * @param  string  $identifier  확장 식별자
+     * @return bool 캐시로 등록했으면 true, 캐시 부재/해당 항목 없음/테스트 환경이면 false (스캔 폴백)
+     */
+    protected function registerExtensionHookListenersFromCache(string $bucket, string $identifier): bool
+    {
+        if (app()->environment('testing')) {
+            return false;
+        }
+
+        $cache = app(HookCacheManager::class)->read();
+
+        if ($cache === null || ! isset($cache[$bucket][$identifier])) {
+            return false;
+        }
+
+        foreach ($cache[$bucket][$identifier] as $entry) {
+            try {
+                HookListenerRegistrar::registerFromCache($entry['listener'], $entry['hooks'], $identifier);
+            } catch (\Throwable $e) {
+                Log::error('확장 훅 리스너 캐시 등록 중 오류 발생', [
+                    'listener' => $entry['listener'] ?? null,
+                    'identifier' => $identifier,
+                    'error' => $e->getMessage(),
+                ]);
+            }
+        }
+
+        return true;
+    }
+
     /**
      * 모듈의 브로드캐스트 채널을 등록합니다.
      *

app/Extension/PluginManager.php

@@ -2802,13 +2802,6 @@ class PluginManager implements PluginManagerInterface
         }
     }
 
-    /**
-     * 플러그인의 훅 리스너를 자동으로 등록합니다.
-     *
-     * 비활성화된 플러그인의 훅 리스너는 등록하지 않습니다.
-     *
-     * @param  PluginInterface  $plugin  플러그인 인스턴스
-     */
     protected function registerPluginHookListeners(PluginInterface $plugin): void
     {
         // 플러그인 활성화 상태 확인 (비활성화된 플러그인의 훅은 등록하지 않음)
@@ -2817,6 +2810,11 @@ class PluginManager implements PluginManagerInterface
             return;
         }
 
+        // 캐시 우선: 사전 계산된 훅 매핑이 있으면 클래스 로딩 없이 등록.
+        if ($this->registerExtensionHookListenersFromCache('plugins', $plugin->getIdentifier())) {
+            return;
+        }
+
         $listeners = $plugin->getHookListeners();
 
         foreach ($listeners as $listenerClass) {
@@ -2846,6 +2844,44 @@ class PluginManager implements PluginManagerInterface
         }
     }
 
+    /**
+     * 훅 캐시에서 플러그인의 정적 훅 리스너를 등록합니다.
+     *
+     * 캐시 파일(bootstrap/cache/hooks.php)에 해당 플러그인 식별자의 항목이 있으면
+     * getSubscribedHooks() 클래스 로딩·리플렉션 없이 사전 계산 매핑으로 등록한다.
+     * 테스트 환경은 매 setUp 스캔이 정확·격리 우선이므로 캐시 미사용(항상 스캔 폴백).
+     *
+     * @param  string  $bucket  캐시 버킷 ('plugins')
+     * @param  string  $identifier  플러그인 식별자
+     * @return bool 캐시로 등록했으면 true, 캐시 부재/해당 항목 없음/테스트 환경이면 false (스캔 폴백)
+     */
+    protected function registerExtensionHookListenersFromCache(string $bucket, string $identifier): bool
+    {
+        if (app()->environment('testing')) {
+            return false;
+        }
+
+        $cache = app(HookCacheManager::class)->read();
+
+        if ($cache === null || ! isset($cache[$bucket][$identifier])) {
+            return false;
+        }
+
+        foreach ($cache[$bucket][$identifier] as $entry) {
+            try {
+                HookListenerRegistrar::registerFromCache($entry['listener'], $entry['hooks'], $identifier);
+            } catch (\Throwable $e) {
+                Log::error('확장 훅 리스너 캐시 등록 중 오류 발생', [
+                    'listener' => $entry['listener'] ?? null,
+                    'identifier' => $identifier,
+                    'error' => $e->getMessage(),
+                ]);
+            }
+        }
+
+        return true;
+    }
+
     /**
      * 플러그인의 브로드캐스트 채널을 등록합니다.
      *

app/Helpers/ResponseHelper.php

@@ -9,14 +9,23 @@ use Illuminate\Support\Facades\App;
 
 class ResponseHelper
 {
+    /**
+     * JSON 응답 인코딩 옵션.
+     *
+     * JSON_UNESCAPED_UNICODE: 한글 등 멀티바이트 문자를 `\uXXXX` (6바이트) 로
+     * 이스케이프하지 않고 raw UTF-8 (한글 3바이트) 로 직렬화하여 응답 크기를 줄인다.
+     * 특히 다국어 팩(lang) 응답에서 전송량 절감 효과가 크다.
+     */
+    public const JSON_ENCODE_OPTIONS = JSON_UNESCAPED_UNICODE;
+
     /**
      * 성공 응답을 생성합니다.
      *
-     * @param string $messageKey 메시지 키 (기본값: 'messages.success')
-     * @param mixed $data 응답 데이터
-     * @param int $statusCode HTTP 상태 코드 (기본값: 200)
-     * @param array $messageParams 메시지 매개변수
-     * @param string $domain 번역 도메인 (기본값: 'core')
+     * @param  string  $messageKey  메시지 키 (기본값: 'messages.success')
+     * @param  mixed  $data  응답 데이터
+     * @param  int  $statusCode  HTTP 상태 코드 (기본값: 200)
+     * @param  array  $messageParams  메시지 매개변수
+     * @param  string  $domain  번역 도메인 (기본값: 'core')
      * @return JsonResponse JSON 응답
      */
     public static function success(
@@ -29,18 +38,18 @@ class ResponseHelper
         return response()->json([
             'success' => true,
             'message' => self::trans($messageKey, $messageParams, $domain),
-            'data' => $data
-        ], $statusCode);
+            'data' => $data,
+        ], $statusCode, [], self::JSON_ENCODE_OPTIONS);
     }
 
     /**
      * 실패 응답을 생성합니다.
      *
-     * @param string $messageKey 메시지 키 (기본값: 'messages.failed')
-     * @param int $statusCode HTTP 상태 코드 (기본값: 400)
-     * @param mixed $errors 오류 정보
-     * @param array $messageParams 메시지 매개변수
-     * @param string $domain 번역 도메인 (기본값: 'core')
+     * @param  string  $messageKey  메시지 키 (기본값: 'messages.failed')
+     * @param  int  $statusCode  HTTP 상태 코드 (기본값: 400)
+     * @param  mixed  $errors  오류 정보
+     * @param  array  $messageParams  메시지 매개변수
+     * @param  string  $domain  번역 도메인 (기본값: 'core')
      * @return JsonResponse JSON 응답
      */
     public static function error(
@@ -59,28 +68,28 @@ class ResponseHelper
             if (config('app.debug')) {
                 // messageParams에 이미 에러 메시지가 포함된 경우 중복 방지
                 if (empty($messageParams)) {
-                    $response['message'] .= ': ' . $errors->getMessage();
+                    $response['message'] .= ': '.$errors->getMessage();
                 }
                 $response['debug'] = self::formatException($errors);
             }
         } elseif ($errors !== null) {
-            if ($statusCode >= 500 && is_string($errors) && !config('app.debug')) {
+            if ($statusCode >= 500 && is_string($errors) && ! config('app.debug')) {
                 // 프로덕션 500+ 에러의 string errors 차단 (내부 예외 메시지 노출 방지)
             } else {
                 $response['errors'] = $errors;
             }
         }
 
-        return response()->json($response, $statusCode);
+        return response()->json($response, $statusCode, [], self::JSON_ENCODE_OPTIONS);
     }
 
     /**
      * 입력 검증 실패 응답을 생성합니다.
      *
-     * @param mixed $errors 검증 오류 정보
-     * @param string $messageKey 메시지 키 (기본값: 'messages.validation_failed')
-     * @param array $messageParams 메시지 매개변수
-     * @param string $domain 번역 도메인 (기본값: 'core')
+     * @param  mixed  $errors  검증 오류 정보
+     * @param  string  $messageKey  메시지 키 (기본값: 'messages.validation_failed')
+     * @param  array  $messageParams  메시지 매개변수
+     * @param  string  $domain  번역 도메인 (기본값: 'core')
      * @return JsonResponse 422 상태 코드를 가진 JSON 응답
      */
     public static function validationError(
@@ -92,16 +101,16 @@ class ResponseHelper
         return response()->json([
             'success' => false,
             'message' => self::trans($messageKey, $messageParams, $domain),
-            'errors' => $errors
-        ], 422);
+            'errors' => $errors,
+        ], 422, [], self::JSON_ENCODE_OPTIONS);
     }
 
     /**
      * 인증 실패 응답을 생성합니다.
      *
-     * @param string $messageKey 메시지 키 (기본값: 'messages.unauthorized')
-     * @param array $messageParams 메시지 매개변수
-     * @param string $domain 번역 도메인 (기본값: 'core')
+     * @param  string  $messageKey  메시지 키 (기본값: 'messages.unauthorized')
+     * @param  array  $messageParams  메시지 매개변수
+     * @param  string  $domain  번역 도메인 (기본값: 'core')
      * @return JsonResponse 401 상태 코드를 가진 JSON 응답
      */
     public static function unauthorized(
@@ -111,16 +120,16 @@ class ResponseHelper
     ): JsonResponse {
         return response()->json([
             'success' => false,
-            'message' => self::trans($messageKey, $messageParams, $domain)
-        ], 401);
+            'message' => self::trans($messageKey, $messageParams, $domain),
+        ], 401, [], self::JSON_ENCODE_OPTIONS);
     }
 
     /**
      * 권한 부족 응답을 생성합니다.
      *
-     * @param string $messageKey 멤시지 키 (기본값: 'messages.forbidden')
-     * @param array $messageParams 멤시지 매개변수
-     * @param string $domain 번역 도메인 (기본값: 'core')
+     * @param  string  $messageKey  멤시지 키 (기본값: 'messages.forbidden')
+     * @param  array  $messageParams  멤시지 매개변수
+     * @param  string  $domain  번역 도메인 (기본값: 'core')
      * @return JsonResponse 403 상태 코드를 가진 JSON 응답
      */
     public static function forbidden(
@@ -130,16 +139,16 @@ class ResponseHelper
     ): JsonResponse {
         return response()->json([
             'success' => false,
-            'message' => self::trans($messageKey, $messageParams, $domain)
-        ], 403);
+            'message' => self::trans($messageKey, $messageParams, $domain),
+        ], 403, [], self::JSON_ENCODE_OPTIONS);
     }
 
     /**
      * 리소스를 찾을 수 없음 응답을 생성합니다.
      *
-     * @param string $messageKey 멤시지 키 (기본값: 'messages.not_found')
-     * @param array $messageParams 멤시지 매개변수
-     * @param string $domain 번역 도메인 (기본값: 'core')
+     * @param  string  $messageKey  멤시지 키 (기본값: 'messages.not_found')
+     * @param  array  $messageParams  멤시지 매개변수
+     * @param  string  $domain  번역 도메인 (기본값: 'core')
      * @return JsonResponse 404 상태 코드를 가진 JSON 응답
      */
     public static function notFound(
@@ -149,17 +158,17 @@ class ResponseHelper
     ): JsonResponse {
         return response()->json([
             'success' => false,
-            'message' => self::trans($messageKey, $messageParams, $domain)
-        ], 404);
+            'message' => self::trans($messageKey, $messageParams, $domain),
+        ], 404, [], self::JSON_ENCODE_OPTIONS);
     }
 
     /**
      * 서버 내부 오류 응답을 생성합니다.
      *
-     * @param string $messageKey 멤시지 키 (기본값: 'messages.error_occurred')
-     * @param mixed $error 오류 정보 (디버그 모드에서만 표시)
-     * @param array $messageParams 멤시지 매개변수
-     * @param string $domain 번역 도메인 (기본값: 'core')
+     * @param  string  $messageKey  멤시지 키 (기본값: 'messages.error_occurred')
+     * @param  mixed  $error  오류 정보 (디버그 모드에서만 표시)
+     * @param  array  $messageParams  멤시지 매개변수
+     * @param  string  $domain  번역 도메인 (기본값: 'core')
      * @return JsonResponse 500 상태 코드를 가진 JSON 응답
      */
     public static function serverError(
@@ -175,22 +184,22 @@ class ResponseHelper
 
         if ($error instanceof \Throwable) {
             if (config('app.debug')) {
-                $response['message'] .= ': ' . $error->getMessage();
+                $response['message'] .= ': '.$error->getMessage();
                 $response['debug'] = self::formatException($error);
             }
         } elseif ($error !== null && config('app.debug')) {
             $response['error'] = $error;
         }
 
-        return response()->json($response, 500);
+        return response()->json($response, 500, [], self::JSON_ENCODE_OPTIONS);
     }
 
     /**
      * 다국어 메시지를 변환합니다.
      *
-     * @param string $key 번역 키
-     * @param array $params 번역 매개변수
-     * @param string $domain 번역 도메인
+     * @param  string  $key  번역 키
+     * @param  array  $params  번역 매개변수
+     * @param  string  $domain  번역 도메인
      * @return string 번역된 메시지
      */
     private static function trans(
@@ -199,10 +208,10 @@ class ResponseHelper
         string $domain = 'core'
     ): string {
         $locale = self::getUserLocale();
-        
+
         // 도메인별로 다른 경로에서 번역 파일 로드
         $translationKey = $domain === 'core' ? $key : "{$domain}::{$key}";
-        
+
         return __($translationKey, $params, $locale);
     }
 
@@ -225,7 +234,7 @@ class ResponseHelper
     /**
      * 예외 정보를 디버그용 배열로 변환합니다.
      *
-     * @param \Throwable $e 예외 인스턴스
+     * @param  \Throwable  $e  예외 인스턴스
      * @return array 디버그 정보 배열
      */
     private static function formatException(\Throwable $e): array
@@ -238,7 +247,7 @@ class ResponseHelper
             'trace' => collect($e->getTrace())->take(10)->map(fn ($frame) => [
                 'file' => $frame['file'] ?? null,
                 'line' => $frame['line'] ?? null,
-                'function' => ($frame['class'] ?? '') . ($frame['type'] ?? '') . ($frame['function'] ?? ''),
+                'function' => ($frame['class'] ?? '').($frame['type'] ?? '').($frame['function'] ?? ''),
             ])->toArray(),
         ];
     }
@@ -246,11 +255,11 @@ class ResponseHelper
     /**
      * 모듈별 성공 응답을 생성합니다.
      *
-     * @param string $module 모듈명
-     * @param string $messageKey 멤시지 키
-     * @param mixed $data 응답 데이터
-     * @param int $statusCode HTTP 상태 코드 (기본값: 200)
-     * @param array $messageParams 멤시지 매개변수
+     * @param  string  $module  모듈명
+     * @param  string  $messageKey  멤시지 키
+     * @param  mixed  $data  응답 데이터
+     * @param  int  $statusCode  HTTP 상태 코드 (기본값: 200)
+     * @param  array  $messageParams  멤시지 매개변수
      * @return JsonResponse JSON 응답
      */
     public static function moduleSuccess(
@@ -266,11 +275,11 @@ class ResponseHelper
     /**
      * 모듈별 실패 응답을 생성합니다.
      *
-     * @param string $module 모듈명
-     * @param string $messageKey 멤시지 키
-     * @param int $statusCode HTTP 상태 코드 (기본값: 400)
-     * @param mixed $errors 오류 정보
-     * @param array $messageParams 멤시지 매개변수
+     * @param  string  $module  모듈명
+     * @param  string  $messageKey  멤시지 키
+     * @param  int  $statusCode  HTTP 상태 코드 (기본값: 400)
+     * @param  mixed  $errors  오류 정보
+     * @param  array  $messageParams  멤시지 매개변수
      * @return JsonResponse JSON 응답
      */
     public static function moduleError(
@@ -286,11 +295,11 @@ class ResponseHelper
     /**
      * 플러그인별 성공 응답을 생성합니다.
      *
-     * @param string $plugin 플러그인명
-     * @param string $messageKey 멤시지 키
-     * @param mixed $data 응답 데이터
-     * @param int $statusCode HTTP 상태 코드 (기본값: 200)
-     * @param array $messageParams 멤시지 매개변수
+     * @param  string  $plugin  플러그인명
+     * @param  string  $messageKey  멤시지 키
+     * @param  mixed  $data  응답 데이터
+     * @param  int  $statusCode  HTTP 상태 코드 (기본값: 200)
+     * @param  array  $messageParams  멤시지 매개변수
      * @return JsonResponse JSON 응답
      */
     public static function pluginSuccess(
@@ -306,11 +315,11 @@ class ResponseHelper
     /**
      * 플러그인별 실패 응답을 생성합니다.
      *
-     * @param string $plugin 플러그인명
-     * @param string $messageKey 멤시지 키
-     * @param int $statusCode HTTP 상태 코드 (기본값: 400)
-     * @param mixed $errors 오류 정보
-     * @param array $messageParams 멤시지 매개변수
+     * @param  string  $plugin  플러그인명
+     * @param  string  $messageKey  멤시지 키
+     * @param  int  $statusCode  HTTP 상태 코드 (기본값: 400)
+     * @param  mixed  $errors  오류 정보
+     * @param  array  $messageParams  멤시지 매개변수
      * @return JsonResponse JSON 응답
      */
     public static function pluginError(
@@ -326,11 +335,11 @@ class ResponseHelper
     /**
      * JSON Resource를 사용한 성공 응답을 생성합니다.
      *
-     * @param string $messageKey 멤시지 키 (기본값: 'messages.success')
-     * @param JsonResource|ResourceCollection|null $resource JSON 리소스
-     * @param int $statusCode HTTP 상태 코드 (기본값: 200)
-     * @param array $messageParams 멤시지 매개변수
-     * @param string $domain 번역 도메인 (기본값: 'core')
+     * @param  string  $messageKey  멤시지 키 (기본값: 'messages.success')
+     * @param  JsonResource|ResourceCollection|null  $resource  JSON 리소스
+     * @param  int  $statusCode  HTTP 상태 코드 (기본값: 200)
+     * @param  array  $messageParams  멤시지 매개변수
+     * @param  string  $domain  번역 도메인 (기본값: 'core')
      * @return JsonResponse JSON 응답
      */
     public static function successWithResource(
@@ -341,22 +350,22 @@ class ResponseHelper
         string $domain = 'core'
     ): JsonResponse {
         $data = $resource ? $resource->resolve() : null;
-        
+
         return response()->json([
             'success' => true,
             'message' => self::trans($messageKey, $messageParams, $domain),
-            'data' => $data
-        ], $statusCode);
+            'data' => $data,
+        ], $statusCode, [], self::JSON_ENCODE_OPTIONS);
     }
 
     /**
      * JSON Resource를 사용한 모듈 성공 응답을 생성합니다.
      *
-     * @param string $module 모듈명
-     * @param string $messageKey 멤시지 키
-     * @param JsonResource|ResourceCollection|null $resource JSON 리소스
-     * @param int $statusCode HTTP 상태 코드 (기본값: 200)
-     * @param array $messageParams 멤시지 매개변수
+     * @param  string  $module  모듈명
+     * @param  string  $messageKey  멤시지 키
+     * @param  JsonResource|ResourceCollection|null  $resource  JSON 리소스
+     * @param  int  $statusCode  HTTP 상태 코드 (기본값: 200)
+     * @param  array  $messageParams  멤시지 매개변수
      * @return JsonResponse JSON 응답
      */
     public static function moduleSuccessWithResource(
@@ -372,11 +381,11 @@ class ResponseHelper
     /**
      * JSON Resource를 사용한 플러그인 성공 응답을 생성합니다.
      *
-     * @param string $plugin 플러그인명
-     * @param string $messageKey 멤시지 키
-     * @param JsonResource|ResourceCollection|null $resource JSON 리소스
-     * @param int $statusCode HTTP 상태 코드 (기본값: 200)
-     * @param array $messageParams 멤시지 매개변수
+     * @param  string  $plugin  플러그인명
+     * @param  string  $messageKey  멤시지 키
+     * @param  JsonResource|ResourceCollection|null  $resource  JSON 리소스
+     * @param  int  $statusCode  HTTP 상태 코드 (기본값: 200)
+     * @param  array  $messageParams  멤시지 매개변수
      * @return JsonResponse JSON 응답
      */
     public static function pluginSuccessWithResource(
@@ -392,21 +401,21 @@ class ResponseHelper
     /**
      * 페이지네이션된 리소스 응답을 생성합니다.
      *
-     * @param string $messageKey 멤시지 키 (기본값: 'messages.success')
-     * @param ResourceCollection|null $collection 페이지네이션된 리소스 컬렉션
-     * @param array $messageParams 멤시지 매개변수
-     * @param string $domain 번역 도메인 (기본값: 'core')
+     * @param  string  $messageKey  멤시지 키 (기본값: 'messages.success')
+     * @param  ResourceCollection|null  $collection  페이지네이션된 리소스 컬렉션
+     * @param  array  $messageParams  멤시지 매개변수
+     * @param  string  $domain  번역 도메인 (기본값: 'core')
      * @return JsonResponse 페이지네이션 메타 데이터를 포함한 JSON 응답
      */
     public static function successWithPagination(
         string $messageKey = 'messages.success',
-        ResourceCollection|null $collection = null,
+        ?ResourceCollection $collection = null,
         array $messageParams = [],
         string $domain = 'core'
     ): JsonResponse {
         $response = [
             'success' => true,
-            'message' => self::trans($messageKey, $messageParams, $domain)
+            'message' => self::trans($messageKey, $messageParams, $domain),
         ];
 
         if ($collection) {
@@ -424,7 +433,7 @@ class ResponseHelper
             $response['links'] = $paginationData['links'] ?? null;
         }
 
-        return response()->json($response);
+        return response()->json($response, 200, [], self::JSON_ENCODE_OPTIONS);
     }
 
     /**
@@ -444,6 +453,6 @@ class ResponseHelper
             'error_code' => 'identity_verification_required',
             'message' => self::trans('identity.errors.verification_required', [], 'core'),
             'verification' => $verification,
-        ], 428);
+        ], 428, [], self::JSON_ENCODE_OPTIONS);
     }
 }

app/Http/Controllers/Api/Admin/AdminTemplateAssetController.php

@@ -187,7 +187,7 @@ class AdminTemplateAssetController extends AdminBaseController
     /**
      * 편집기 프리뷰 전용 CSS 서빙 — 다크 셀렉터를 프리뷰 마커로 치환.
      *
-     * PO admin 환경이 다크 테마면 `<html class="dark">` 가 조상으로 남아, 프리뷰
+     * 관리자 admin 환경이 다크 테마면 `<html class="dark">` 가 조상으로 남아, 프리뷰
      * 프레임에서 `.dark` 를 빼도(라이트 토글) Tailwind `.dark &` 가 활성돼 프리뷰가
      * 라이트로 격리되지 않는다. 이를 해소하기 위해, 편집기 진입 시에만 components.css 의
      * 다크 조상 셀렉터(`.dark`)를 프리뷰 전용 마커(`.g7le-preview-dark`)로 치환해 서빙한다.

app/Http/Controllers/Api/Admin/SettingsController.php

@@ -4,6 +4,7 @@ namespace App\Http\Controllers\Api\Admin;
 
 use App\Http\Controllers\Api\Base\AdminBaseController;
 use App\Http\Requests\Settings\RegenerateAppKeyRequest;
+use App\Http\Requests\Settings\RestoreSettingsRequest;
 use App\Http\Requests\Settings\SaveSettingsRequest;
 use App\Http\Requests\Settings\TestDriverConnectionRequest;
 use App\Http\Requests\Settings\TestMailRequest;
@@ -13,7 +14,7 @@ use App\Services\DriverConnectionTester;
 use App\Services\DriverRegistryService;
 use App\Services\SettingsService;
 use Illuminate\Http\JsonResponse;
-use Illuminate\Http\Request;
+use Illuminate\Support\Facades\Log;
 use Illuminate\Validation\ValidationException;
 
 /**
@@ -137,7 +138,9 @@ class SettingsController extends AdminBaseController
             $systemInfo = $this->settingsService->getSystemInfo();
 
             return $this->success('common.success', $systemInfo);
-        } catch (\Exception $e) {
+        } catch (\Throwable $e) {
+            Log::error('시스템 정보 조회 실패', ['error' => $e->getMessage()]);
+
             return $this->error('common.error_occurred', 500, $e->getMessage());
         }
     }
@@ -264,16 +267,13 @@ class SettingsController extends AdminBaseController
     /**
      * 백업에서 설정을 복원합니다.
      *
+     * @param  RestoreSettingsRequest  $request  복원 요청 데이터 (백업 경로)
      * @return JsonResponse 복원 결과 JSON 응답
      */
-    public function restore(Request $request): JsonResponse
+    public function restore(RestoreSettingsRequest $request): JsonResponse
     {
         try {
-            $backupPath = $request->input('backup_path');
-
-            if (empty($backupPath)) {
-                return $this->error('settings.backup_path_required', 422);
-            }
+            $backupPath = $request->validated('backup_path');
 
             $result = $this->settingsService->restoreSettings($backupPath);
 

app/Http/Controllers/Api/Base/BaseApiController.php

@@ -4,6 +4,7 @@ namespace App\Http\Controllers\Api\Base;
 
 use App\Helpers\ResponseHelper;
 use App\Http\Controllers\Controller;
+use App\Models\User;
 use Illuminate\Http\JsonResponse;
 use Illuminate\Http\Response;
 use Illuminate\Support\Facades\Auth;
@@ -20,11 +21,11 @@ abstract class BaseApiController extends Controller
     /**
      * 성공 응답을 생성합니다.
      *
-     * @param string $messageKey 메시지 키
-     * @param mixed $data 응답 데이터
-     * @param int $statusCode HTTP 상태 코드
-     * @param array $messageParams 메시지 매개변수
-     * @return \Illuminate\Http\JsonResponse
+     * @param  string  $messageKey  메시지 키
+     * @param  mixed  $data  응답 데이터
+     * @param  int  $statusCode  HTTP 상태 코드
+     * @param  array  $messageParams  메시지 매개변수
+     * @return JsonResponse
      */
     protected function success(
         string $messageKey = 'common.success',
@@ -38,11 +39,11 @@ abstract class BaseApiController extends Controller
     /**
      * 실패 응답을 생성합니다.
      *
-     * @param string $messageKey 메시지 키
-     * @param int $statusCode HTTP 상태 코드
-     * @param mixed $errors 오류 정보
-     * @param array $messageParams 메시지 매개변수
-     * @return \Illuminate\Http\JsonResponse
+     * @param  string  $messageKey  메시지 키
+     * @param  int  $statusCode  HTTP 상태 코드
+     * @param  mixed  $errors  오류 정보
+     * @param  array  $messageParams  메시지 매개변수
+     * @return JsonResponse
      */
     protected function error(
         string $messageKey = 'common.failed',
@@ -56,11 +57,11 @@ abstract class BaseApiController extends Controller
     /**
      * 리소스와 함께 성공 응답을 생성합니다.
      *
-     * @param string $messageKey 메시지 키
-     * @param mixed $resource JSON 리소스
-     * @param int $statusCode HTTP 상태 코드
-     * @param array $messageParams 메시지 매개변수
-     * @return \Illuminate\Http\JsonResponse
+     * @param  string  $messageKey  메시지 키
+     * @param  mixed  $resource  JSON 리소스
+     * @param  int  $statusCode  HTTP 상태 코드
+     * @param  array  $messageParams  메시지 매개변수
+     * @return JsonResponse
      */
     protected function successWithResource(
         string $messageKey = 'common.success',
@@ -74,7 +75,7 @@ abstract class BaseApiController extends Controller
     /**
      * 현재 인증된 사용자를 반환합니다.
      *
-     * @return \App\Models\User|null
+     * @return User|null
      */
     protected function getCurrentUser()
     {
@@ -84,9 +85,9 @@ abstract class BaseApiController extends Controller
     /**
      * Not Found 응답을 생성합니다.
      *
-     * @param string $messageKey 메시지 키
-     * @param array $messageParams 메시지 매개변수
-     * @return \Illuminate\Http\JsonResponse
+     * @param  string  $messageKey  메시지 키
+     * @param  array  $messageParams  메시지 매개변수
+     * @return JsonResponse
      */
     protected function notFound(
         string $messageKey = 'common.not_found',
@@ -98,9 +99,9 @@ abstract class BaseApiController extends Controller
     /**
      * Unauthorized 응답을 생성합니다.
      *
-     * @param string $messageKey 메시지 키
-     * @param array $messageParams 메시지 매개변수
-     * @return \Illuminate\Http\JsonResponse
+     * @param  string  $messageKey  메시지 키
+     * @param  array  $messageParams  메시지 매개변수
+     * @return JsonResponse
      */
     protected function unauthorized(
         string $messageKey = 'common.unauthorized',
@@ -112,9 +113,9 @@ abstract class BaseApiController extends Controller
     /**
      * Forbidden 응답을 생성합니다.
      *
-     * @param string $messageKey 메시지 키
-     * @param array $messageParams 메시지 매개변수
-     * @return \Illuminate\Http\JsonResponse
+     * @param  string  $messageKey  메시지 키
+     * @param  array  $messageParams  메시지 매개변수
+     * @return JsonResponse
      */
     protected function forbidden(
         string $messageKey = 'common.forbidden',
@@ -126,10 +127,10 @@ abstract class BaseApiController extends Controller
     /**
      * Validation Error 응답을 생성합니다.
      *
-     * @param mixed $errors 검증 오류
-     * @param string $messageKey 메시지 키
-     * @param array $messageParams 메시지 매개변수
-     * @return \Illuminate\Http\JsonResponse
+     * @param  mixed  $errors  검증 오류
+     * @param  string  $messageKey  메시지 키
+     * @param  array  $messageParams  메시지 매개변수
+     * @return JsonResponse
      */
     protected function validationError(
         mixed $errors,
@@ -142,9 +143,9 @@ abstract class BaseApiController extends Controller
     /**
      * 파일 응답을 반환합니다 (ETag 및 캐싱 헤더 포함).
      *
-     * @param string $filePath 파일 경로
-     * @param string $mimeType MIME 타입
-     * @param int $maxAge 캐시 유지 시간 (초, 기본: 1년)
+     * @param  string  $filePath  파일 경로
+     * @param  string  $mimeType  MIME 타입
+     * @param  int  $maxAge  캐시 유지 시간 (초, 기본: 1년)
      */
     protected function fileResponse(string $filePath, string $mimeType, int $maxAge = 31536000): BinaryFileResponse|Response
     {
@@ -176,35 +177,35 @@ abstract class BaseApiController extends Controller
     /**
      * JSON 응답을 반환합니다 (캐싱 헤더 포함).
      *
-     * @param mixed $data JSON으로 변환할 데이터
-     * @param int $maxAge 캐시 유지 시간 (초, 기본: 1시간)
-     * @param int $status HTTP 상태 코드
+     * @param  mixed  $data  JSON으로 변환할 데이터
+     * @param  int  $maxAge  캐시 유지 시간 (초, 기본: 1시간)
+     * @param  int  $status  HTTP 상태 코드
      * @return JsonResponse JSON 응답
      */
     protected function cachedJsonResponse(mixed $data, int $maxAge = 3600, int $status = 200): JsonResponse
     {
         return response()->json($data, $status, [
             'Cache-Control' => "public, max-age={$maxAge}",
-        ]);
+        ], ResponseHelper::JSON_ENCODE_OPTIONS);
     }
 
     /**
      * ETag를 생성합니다.
      *
-     * @param mixed $data 해시할 데이터
+     * @param  mixed  $data  해시할 데이터
      * @return string ETag 값 (따옴표 포함)
      */
     protected function generateETag(mixed $data): string
     {
         $content = is_string($data) ? $data : json_encode($data);
 
-        return '"' . md5($content) . '"';
+        return '"'.md5($content).'"';
     }
 
     /**
      * 클라이언트 캐시가 유효한지 확인합니다.
      *
-     * @param string $etag 현재 ETag 값
+     * @param  string  $etag  현재 ETag 값
      * @return bool 캐시가 유효하면 true
      */
     protected function isNotModified(string $etag): bool
@@ -217,8 +218,8 @@ abstract class BaseApiController extends Controller
     /**
      * 304 Not Modified 응답을 반환합니다.
      *
-     * @param string $etag ETag 값
-     * @param int $maxAge 캐시 TTL (초)
+     * @param  string  $etag  ETag 값
+     * @param  int  $maxAge  캐시 TTL (초)
      * @return Response 304 응답
      */
     protected function notModifiedResponse(string $etag, int $maxAge = 3600): Response
@@ -233,10 +234,10 @@ abstract class BaseApiController extends Controller
      *
      * 클라이언트의 ETag가 일치하면 304 Not Modified를 반환합니다.
      *
-     * @param string $messageKey 메시지 키
-     * @param mixed $data 응답 데이터
-     * @param int $maxAge 캐시 TTL (초, 기본: 1시간)
-     * @param array $messageParams 메시지 매개변수
+     * @param  string  $messageKey  메시지 키
+     * @param  mixed  $data  응답 데이터
+     * @param  int  $maxAge  캐시 TTL (초, 기본: 1시간)
+     * @param  array  $messageParams  메시지 매개변수
      * @return JsonResponse|Response JSON 응답 또는 304 응답
      */
     protected function successWithCache(
@@ -256,7 +257,7 @@ abstract class BaseApiController extends Controller
             'success' => true,
             'message' => __($messageKey, $messageParams),
             'data' => $data,
-        ])
+        ], 200, [], ResponseHelper::JSON_ENCODE_OPTIONS)
             ->header('ETag', $etag)
             ->header('Cache-Control', "public, max-age={$maxAge}")
             ->header('Vary', 'Accept-Encoding, Accept-Language');

app/Http/Controllers/Api/Public/PublicModuleController.php

@@ -4,6 +4,7 @@ namespace App\Http\Controllers\Api\Public;
 
 use App\Http\Controllers\Api\Base\PublicBaseController;
 use App\Http\Requests\Public\Module\ServeModuleAssetRequest;
+use App\Services\ExtensionBundleService;
 use App\Services\ModuleService;
 use Illuminate\Http\JsonResponse;
 use Illuminate\Http\Response;
@@ -17,11 +18,54 @@ use Symfony\Component\HttpFoundation\BinaryFileResponse;
 class PublicModuleController extends PublicBaseController
 {
     public function __construct(
-        private readonly ModuleService $moduleService
+        private readonly ModuleService $moduleService,
+        private readonly ExtensionBundleService $bundleService
     ) {
         parent::__construct();
     }
 
+    /**
+     * 활성 모듈 프론트엔드 IIFE 병합 번들(JS)을 서빙합니다.
+     *
+     * 활성 global 모듈 에셋이 없으면 빈 200 응답(text/javascript)을 반환한다
+     * (프론트는 빈 스크립트 로드로 무해). 그 외에는 병합 파일을 fileResponse 로
+     * 서빙(ETag/304/환경별 Cache-Control 재사용).
+     *
+     * @return BinaryFileResponse|Response 병합 JS 파일 응답 또는 빈 응답
+     */
+    public function serveBundleJs(): BinaryFileResponse|Response
+    {
+        $this->logApiUsage('modules.bundle', ['kind' => 'js']);
+
+        $version = $this->bundleService->getCurrentVersion();
+        $path = $this->bundleService->getBundleFilePath('module', 'js', $version);
+
+        if ($path === '') {
+            return response('', 200)->header('Content-Type', 'text/javascript');
+        }
+
+        return $this->fileResponse($path, 'text/javascript', 31536000);
+    }
+
+    /**
+     * 활성 모듈 프론트엔드 병합 번들(CSS)을 서빙합니다.
+     *
+     * @return BinaryFileResponse|Response 병합 CSS 파일 응답 또는 빈 응답
+     */
+    public function serveBundleCss(): BinaryFileResponse|Response
+    {
+        $this->logApiUsage('modules.bundle', ['kind' => 'css']);
+
+        $version = $this->bundleService->getCurrentVersion();
+        $path = $this->bundleService->getBundleFilePath('module', 'css', $version);
+
+        if ($path === '') {
+            return response('', 200)->header('Content-Type', 'text/css');
+        }
+
+        return $this->fileResponse($path, 'text/css', 31536000);
+    }
+
     /**
      * 모듈 에셋 서빙
      *

app/Http/Controllers/Api/Public/PublicPluginController.php

@@ -4,6 +4,7 @@ namespace App\Http\Controllers\Api\Public;
 
 use App\Http\Controllers\Api\Base\PublicBaseController;
 use App\Http\Requests\Public\Plugin\ServePluginAssetRequest;
+use App\Services\ExtensionBundleService;
 use App\Services\PluginService;
 use Illuminate\Http\JsonResponse;
 use Illuminate\Http\Response;
@@ -17,11 +18,53 @@ use Symfony\Component\HttpFoundation\BinaryFileResponse;
 class PublicPluginController extends PublicBaseController
 {
     public function __construct(
-        private readonly PluginService $pluginService
+        private readonly PluginService $pluginService,
+        private readonly ExtensionBundleService $bundleService
     ) {
         parent::__construct();
     }
 
+    /**
+     * 활성 플러그인 프론트엔드 IIFE 병합 번들(JS)을 서빙합니다.
+     *
+     * 활성 global 플러그인 에셋이 없으면 빈 200 응답(text/javascript)을 반환한다.
+     * 그 외에는 병합 파일을 fileResponse 로 서빙(ETag/304/환경별 Cache-Control 재사용).
+     *
+     * @return BinaryFileResponse|Response 병합 JS 파일 응답 또는 빈 응답
+     */
+    public function serveBundleJs(): BinaryFileResponse|Response
+    {
+        $this->logApiUsage('plugins.bundle', ['kind' => 'js']);
+
+        $version = $this->bundleService->getCurrentVersion();
+        $path = $this->bundleService->getBundleFilePath('plugin', 'js', $version);
+
+        if ($path === '') {
+            return response('', 200)->header('Content-Type', 'text/javascript');
+        }
+
+        return $this->fileResponse($path, 'text/javascript', 31536000);
+    }
+
+    /**
+     * 활성 플러그인 프론트엔드 병합 번들(CSS)을 서빙합니다.
+     *
+     * @return BinaryFileResponse|Response 병합 CSS 파일 응답 또는 빈 응답
+     */
+    public function serveBundleCss(): BinaryFileResponse|Response
+    {
+        $this->logApiUsage('plugins.bundle', ['kind' => 'css']);
+
+        $version = $this->bundleService->getCurrentVersion();
+        $path = $this->bundleService->getBundleFilePath('plugin', 'css', $version);
+
+        if ($path === '') {
+            return response('', 200)->header('Content-Type', 'text/css');
+        }
+
+        return $this->fileResponse($path, 'text/css', 31536000);
+    }
+
     /**
      * 플러그인 에셋 서빙
      *

app/Http/Middleware/GzipEncodeResponse.php

@@ -4,6 +4,7 @@ namespace App\Http\Middleware;
 
 use Closure;
 use Illuminate\Http\Request;
+use Symfony\Component\HttpFoundation\BinaryFileResponse;
 use Symfony\Component\HttpFoundation\Response;
 
 /**
@@ -98,6 +99,15 @@ class GzipEncodeResponse
         }
 
         // 최소 크기 이상인지 확인
+        // BinaryFileResponse 는 getContent() 가 false 를 반환하므로 파일 크기로 판정한다.
+        // (번들 JS/CSS 서빙은 response()->file() 로 BinaryFileResponse 를 반환하며,
+        //  이 분기가 없으면 미들웨어가 압축 없이 통과시켜 비압축 전송된다.)
+        if ($response instanceof BinaryFileResponse) {
+            $file = $response->getFile();
+
+            return $file !== null && $file->getSize() >= self::MIN_COMPRESS_SIZE;
+        }
+
         $content = $response->getContent();
         if ($content === false || strlen($content) < self::MIN_COMPRESS_SIZE) {
             return false;
@@ -158,6 +168,12 @@ class GzipEncodeResponse
      */
     private function compressResponse(Response $response): Response
     {
+        // BinaryFileResponse 는 본문을 setContent() 로 교체할 수 없으므로
+        // 파일 내용을 읽어 일반 Response 로 치환한 뒤 압축한다 (헤더는 승계).
+        if ($response instanceof BinaryFileResponse) {
+            return $this->compressBinaryFileResponse($response);
+        }
+
         $content = $response->getContent();
 
         // gzip 압축 적용
@@ -173,14 +189,70 @@ class GzipEncodeResponse
         $response->headers->set('Content-Encoding', 'gzip');
         $response->headers->set('Content-Length', (string) strlen($compressed));
 
-        // Vary 헤더가 없으면 추가 (캐시 프록시 지원)
+        $this->ensureVaryAcceptEncoding($response);
+
+        return $response;
+    }
+
+    /**
+     * BinaryFileResponse 를 gzip 압축된 일반 Response 로 치환합니다.
+     *
+     * BinaryFileResponse 는 파일 스트림 기반이라 setContent() 로 본문을 교체할 수 없으므로,
+     * 파일 내용을 읽어 gzip 압축한 새 Response 를 생성하고 기존 헤더(Content-Type,
+     * ETag, Cache-Control, Expires 등)를 승계한다. Content-Encoding/Content-Length 는
+     * 압축 결과로 재설정한다.
+     *
+     * @param  BinaryFileResponse  $response  파일 응답
+     * @return Response gzip 압축된 응답 (실패 시 원본 반환)
+     */
+    private function compressBinaryFileResponse(BinaryFileResponse $response): Response
+    {
+        $file = $response->getFile();
+
+        if ($file === null) {
+            return $response;
+        }
+
+        $content = @file_get_contents($file->getPathname());
+
+        if ($content === false) {
+            // 파일 읽기 실패 시 원본(비압축) 반환
+            return $response;
+        }
+
+        $compressed = gzencode($content, self::COMPRESSION_LEVEL);
+
+        if ($compressed === false) {
+            return $response;
+        }
+
+        // 기존 헤더를 승계한 새 Response 생성 (본문만 압축된 내용으로 교체)
+        $compressedResponse = new Response(
+            $compressed,
+            $response->getStatusCode(),
+            $response->headers->all()
+        );
+
+        $compressedResponse->headers->set('Content-Encoding', 'gzip');
+        $compressedResponse->headers->set('Content-Length', (string) strlen($compressed));
+
+        $this->ensureVaryAcceptEncoding($compressedResponse);
+
+        return $compressedResponse;
+    }
+
+    /**
+     * 응답에 `Vary: Accept-Encoding` 헤더를 보장합니다 (캐시 프록시 지원).
+     *
+     * @param  Response  $response  HTTP 응답
+     */
+    private function ensureVaryAcceptEncoding(Response $response): void
+    {
         if (! $response->headers->has('Vary')) {
             $response->headers->set('Vary', 'Accept-Encoding');
         } elseif (! str_contains($response->headers->get('Vary', ''), 'Accept-Encoding')) {
             $currentVary = $response->headers->get('Vary');
             $response->headers->set('Vary', $currentVary.', Accept-Encoding');
         }
-
-        return $response;
     }
 }

app/Http/Requests/Settings/RestoreSettingsRequest.php

@@ -0,0 +1,55 @@
+<?php
+
+namespace App\Http\Requests\Settings;
+
+use App\Extension\HookManager;
+use Illuminate\Contracts\Validation\ValidationRule;
+use Illuminate\Foundation\Http\FormRequest;
+
+/**
+ * 설정 복원 요청 FormRequest
+ *
+ * 백업에서 설정을 복원할 때 백업 경로를 검증합니다.
+ * 권한은 라우트의 permission 미들웨어(core.settings.update)가 담당합니다.
+ */
+class RestoreSettingsRequest extends FormRequest
+{
+    /**
+     * 요청 권한을 확인합니다.
+     *
+     * 권한 검사는 permission 미들웨어 체인에 위임하므로 항상 true 를 반환합니다.
+     *
+     * @return bool 항상 true
+     */
+    public function authorize(): bool
+    {
+        return true;
+    }
+
+    /**
+     * 검증 규칙을 반환합니다.
+     *
+     * @return array<string, ValidationRule|array<mixed>|string>
+     */
+    public function rules(): array
+    {
+        $rules = [
+            'backup_path' => 'required|string',
+        ];
+
+        // 모듈/플러그인이 validation rules를 동적으로 추가할 수 있도록 훅 제공
+        return HookManager::applyFilters('core.settings.restore_validation_rules', $rules, $this);
+    }
+
+    /**
+     * 검증 오류 메시지를 반환합니다.
+     *
+     * @return array<string, string>
+     */
+    public function messages(): array
+    {
+        return [
+            'backup_path.required' => __('settings.backup_path_required'),
+        ];
+    }
+}

app/Http/View/Composers/TemplateComposer.php

@@ -99,6 +99,9 @@ class TemplateComposer
         // 확장 기능 캐시 버전 (브라우저 캐시 무효화용)
         $extensionCacheVersion = ClearsTemplateCaches::getExtensionCacheVersion();
 
+        // 확장 프론트엔드 병합 번들 URL (상시 ON — 활성 에셋이 없으면 null)
+        $bundleUrls = $this->buildExtensionBundleUrls($moduleAssets, $pluginAssets, $extensionCacheVersion);
+
         $view->with('activeAdminTemplate', $activeTemplate);
         $view->with('extensionCacheVersion', $extensionCacheVersion);
         $view->with('frontendSettings', $frontendSettings);
@@ -106,12 +109,39 @@ class TemplateComposer
         $view->with('moduleSettings', $moduleSettings);
         $view->with('moduleAssets', $moduleAssets);
         $view->with('pluginAssets', $pluginAssets);
+        $view->with('bundleUrls', $bundleUrls);
         $view->with('activeModulesMeta', $activeModulesMeta);
         $view->with('activePluginsMeta', $activePluginsMeta);
         $view->with('appConfig', $appConfig);
         $view->with('templateExternals', $templateExternals);
     }
 
+    /**
+     * 확장 프론트엔드 병합 번들 URL을 계산합니다.
+     *
+     * 활성 global 에셋(JS/CSS)이 하나라도 있는 타입만 해당 번들 URL을 채우고,
+     * 없으면 null을 두어 프론트가 로드를 스킵하게 한다. URL은 same-origin
+     * (`/api/...`)이어야 gdpr preblocker 의 same-origin 통과 규칙에 자기 차단되지
+     * 않는다(CDN 호스팅 금지).
+     *
+     * @param  array  $moduleAssets  수집된 모듈 개별 에셋 맵
+     * @param  array  $pluginAssets  수집된 플러그인 개별 에셋 맵
+     * @param  int  $version  확장 캐시 버전
+     * @return array{moduleJs: ?string, moduleCss: ?string, pluginJs: ?string, pluginCss: ?string}
+     */
+    private function buildExtensionBundleUrls(array $moduleAssets, array $pluginAssets, int $version): array
+    {
+        $hasJs = static fn (array $assets): bool => ! empty(array_filter($assets, fn ($a) => ! empty($a['js'])));
+        $hasCss = static fn (array $assets): bool => ! empty(array_filter($assets, fn ($a) => ! empty($a['css'])));
+
+        return [
+            'moduleJs' => $hasJs($moduleAssets) ? "/api/modules/bundle.js?v={$version}" : null,
+            'moduleCss' => $hasCss($moduleAssets) ? "/api/modules/bundle.css?v={$version}" : null,
+            'pluginJs' => $hasJs($pluginAssets) ? "/api/plugins/bundle.js?v={$version}" : null,
+            'pluginCss' => $hasCss($pluginAssets) ? "/api/plugins/bundle.css?v={$version}" : null,
+        ];
+    }
+
     /**
      * 활성화된 모듈의 프론트엔드 에셋 정보를 수집합니다.
      *

app/Http/View/Composers/UserTemplateComposer.php

@@ -105,6 +105,9 @@ class UserTemplateComposer
         // 확장 기능 캐시 버전 (브라우저 캐시 무효화용)
         $extensionCacheVersion = ClearsTemplateCaches::getExtensionCacheVersion();
 
+        // 확장 프론트엔드 병합 번들 URL (상시 ON — 활성 에셋이 없으면 null)
+        $bundleUrls = $this->buildExtensionBundleUrls($moduleAssets, $pluginAssets, $extensionCacheVersion);
+
         $view->with('activeUserTemplate', $activeTemplate);
         $view->with('extensionCacheVersion', $extensionCacheVersion);
         $view->with('frontendSettings', $frontendSettings);
@@ -112,12 +115,39 @@ class UserTemplateComposer
         $view->with('moduleSettings', $moduleSettings);
         $view->with('moduleAssets', $moduleAssets);
         $view->with('pluginAssets', $pluginAssets);
+        $view->with('bundleUrls', $bundleUrls);
         $view->with('activeModulesMeta', $activeModulesMeta);
         $view->with('activePluginsMeta', $activePluginsMeta);
         $view->with('appConfig', $appConfig);
         $view->with('templateExternals', $templateExternals);
     }
 
+    /**
+     * 확장 프론트엔드 병합 번들 URL을 계산합니다.
+     *
+     * 활성 global 에셋(JS/CSS)이 하나라도 있는 타입만 해당 번들 URL을 채우고,
+     * 없으면 null을 두어 프론트가 로드를 스킵하게 한다. URL은 same-origin
+     * (`/api/...`)이어야 gdpr preblocker 의 same-origin 통과 규칙에 자기 차단되지
+     * 않는다(CDN 호스팅 금지).
+     *
+     * @param  array  $moduleAssets  수집된 모듈 개별 에셋 맵
+     * @param  array  $pluginAssets  수집된 플러그인 개별 에셋 맵
+     * @param  int  $version  확장 캐시 버전
+     * @return array{moduleJs: ?string, moduleCss: ?string, pluginJs: ?string, pluginCss: ?string}
+     */
+    private function buildExtensionBundleUrls(array $moduleAssets, array $pluginAssets, int $version): array
+    {
+        $hasJs = static fn (array $assets): bool => ! empty(array_filter($assets, fn ($a) => ! empty($a['js'])));
+        $hasCss = static fn (array $assets): bool => ! empty(array_filter($assets, fn ($a) => ! empty($a['css'])));
+
+        return [
+            'moduleJs' => $hasJs($moduleAssets) ? "/api/modules/bundle.js?v={$version}" : null,
+            'moduleCss' => $hasCss($moduleAssets) ? "/api/modules/bundle.css?v={$version}" : null,
+            'pluginJs' => $hasJs($pluginAssets) ? "/api/plugins/bundle.js?v={$version}" : null,
+            'pluginCss' => $hasCss($pluginAssets) ? "/api/plugins/bundle.css?v={$version}" : null,
+        ];
+    }
+
     /**
      * 활성화된 모듈의 프론트엔드 에셋 정보를 수집합니다.
      *

app/Listeners/ExtensionConfigCacheListener.php

@@ -0,0 +1,86 @@
+<?php
+
+namespace App\Listeners;
+
+use App\Contracts\Extension\HookListenerInterface;
+use App\Support\ConfigCacheHelper;
+use Illuminate\Support\Facades\Log;
+
+/**
+ * 확장 활성화/비활성화 시 config 캐시를 재생성하는 리스너.
+ *
+ * 확장이 활성화·비활성화되면 다음 요청부터 그 확장의 config/settings 가 부팅 시
+ * 주입 대상에 포함/제외된다. config:cache 가 켜진 환경에서는 optimizeSystem 이
+ * 캐시를 만든 시점의 "활성 확장 스냅샷" 이 stale 해지므로, 라이프사이클 직후
+ * config 캐시를 재빌드해 캐시가 최신 활성 목록을 반영하도록 한다.
+ *
+ * install/uninstall/update 는 ExtensionManager::updateComposerAutoload() 가 오토로드·훅
+ * 캐시와 나란히 config 캐시를 재생성하므로 여기서 구독하지 않는다(이중 재생성 회피).
+ * 이 리스너는 updateComposerAutoload 를 거치지 않는 activate/deactivate 만 담당한다.
+ *
+ * @see \App\Extension\ExtensionManager::updateComposerAutoload()
+ * @see \App\Support\ConfigCacheHelper
+ */
+class ExtensionConfigCacheListener implements HookListenerInterface
+{
+    /**
+     * 구독할 훅 목록을 반환합니다.
+     *
+     * activate/deactivate 만 구독한다 (install/uninstall/update 는 updateComposerAutoload 담당).
+     *
+     * @return array<string, array{method: string, priority: int}> 훅 이름 → 메서드/우선순위 매핑
+     */
+    public static function getSubscribedHooks(): array
+    {
+        $hooks = [];
+        $hookNames = [
+            'core.modules.activated',
+            'core.modules.after_deactivate',
+            'core.plugins.activated',
+            'core.plugins.after_deactivate',
+            'core.templates.activated',
+            'core.templates.after_deactivate',
+        ];
+
+        foreach ($hookNames as $hookName) {
+            $hooks[$hookName] = [
+                'method' => 'onExtensionToggled',
+                'priority' => 30,
+                // config 캐시 재생성은 인프라 작업이라 큐로 미루면 안 된다. Action 훅의 기본
+                // 등록은 큐 디스패치(HookListenerRegistrar) 이므로, sync 를 명시하지 않으면
+                // 워커 미가동 환경에서 config:cache 가 재생성되지 않는다. 또한 확장 토글은
+                // CLI 커맨드(plugin:deactivate 등)로도 수행되며, 커맨드 프로세스는 실행 후
+                // 즉시 종료되어 큐에 쌓인 작업을 처리할 주체가 없다. 반드시 동기 실행한다.
+                'sync' => true,
+            ];
+        }
+
+        return $hooks;
+    }
+
+    /**
+     * 기본 훅 핸들러 (HookListenerInterface 필수 메서드).
+     *
+     * @param  mixed  ...$args  훅 인자
+     */
+    public function handle(...$args): void
+    {
+        // 개별 메서드에서 처리
+    }
+
+    /**
+     * 확장 활성화/비활성화 직후 config 캐시를 재생성합니다.
+     *
+     * @param  mixed  ...$args  훅 인자 (확장 식별자 등)
+     */
+    public function onExtensionToggled(...$args): void
+    {
+        try {
+            ConfigCacheHelper::rebuild();
+        } catch (\Throwable $e) {
+            Log::warning('[Config] 확장 토글 후 config 캐시 재생성 실패', [
+                'error' => $e->getMessage(),
+            ]);
+        }
+    }
+}

app/Listeners/NotificationHookListener.php

@@ -50,7 +50,9 @@ class NotificationHookListener implements HookListenerInterface
      */
     public function registerDynamicHooks(): void
     {
-        if (! Schema::hasTable('notification_definitions')) {
+        // 설치 완료 상태에서는 Schema introspection 을 건너뜀 (매 요청 information_schema 쿼리 제거).
+        // 인스톨러 이전/마이그레이션 전 환경에서는 기존 hasTable 폴백으로 안전하게 스킵.
+        if (! config('app.installer_completed') && ! Schema::hasTable('notification_definitions')) {
             return;
         }
 

app/Models/TemplateLayoutAttachment.php

@@ -12,7 +12,7 @@ use Illuminate\Database\Eloquent\Relations\BelongsTo;
  * 레이아웃 편집 중 업로드되는 파일(배경 이미지 등)을 표현한다. 파일 자체는
  * 코어 StorageInterface 로 저장되고 본 모델은 저장 위치(disk/path)와 메타데이터를
  * 보관한다. 템플릿 삭제 시 행은 cascadeOnDelete 로 삭제되나, 스토리지 파일
- * 실삭제는 Service 가 명시적으로 수행한다(CLAUDE.md "DB CASCADE 의존 삭제 금지").
+ * 실삭제는 Service 가 명시적으로 수행한다(코어 규정: DB CASCADE 의존 삭제 금지).
  *
  * @property int $id 첨부 파일 ID
  * @property int $template_id 소속 템플릿 ID

app/Providers/CoreServiceProvider.php

@@ -42,6 +42,7 @@ use App\Enums\DeactivationReason;
 use App\Extension\Cache\CoreCacheDriver;
 use App\Extension\CoreVersionChecker;
 use App\Extension\ExtensionManager;
+use App\Extension\HookCacheManager;
 use App\Extension\HookListenerRegistrar;
 use App\Extension\HookManager;
 use App\Extension\IdentityVerification\IdentityVerificationManager;
@@ -151,6 +152,15 @@ class CoreServiceProvider extends ServiceProvider
             }
         }
 
+        // 확장 소스 classmap 등록 (FQCN → 절대경로) — findFile 파일시스템 스캔 제거 (lazy include).
+        if (! empty($extensionAutoloads['src_classmap'])) {
+            $absoluteClassmap = [];
+            foreach ($extensionAutoloads['src_classmap'] as $fqcn => $relPath) {
+                $absoluteClassmap[$fqcn] = base_path($relPath);
+            }
+            $loader->addClassMap($absoluteClassmap);
+        }
+
         // Classmap 파일 로드 (module.php, plugin.php)
         if (! empty($extensionAutoloads['classmap'])) {
             foreach ($extensionAutoloads['classmap'] as $file) {
@@ -866,12 +876,14 @@ class CoreServiceProvider extends ServiceProvider
 
     // registerActivityLogManager() 제거됨 — Monolog 채널(config/logging.php 'activity')로 대체
 
-    /**
-     * app/Listeners/ 디렉토리에서 HookListenerInterface 구현체를 자동 발견하여 등록합니다.
-     * 하위 디렉토리까지 재귀적으로 스캔합니다.
-     */
     private function registerCoreHookListeners(): void
     {
+        // 캐시 우선: bootstrap/cache/hooks.php 가 있으면 스캔·리플렉션 없이 등록.
+        // 테스트 환경은 매 setUp 스캔이 정확·격리 우선이므로 캐시 미사용(항상 스캔).
+        if (! $this->app->environment('testing') && $this->registerCoreHookListenersFromCache()) {
+            return;
+        }
+
         $listenersPath = app_path('Listeners');
 
         if (! is_dir($listenersPath)) {
@@ -910,6 +922,41 @@ class CoreServiceProvider extends ServiceProvider
         }
     }
 
+    /**
+     * 훅 캐시에서 코어 리스너를 등록합니다.
+     *
+     * 캐시 파일(bootstrap/cache/hooks.php)이 존재하면 디렉토리 스캔·class_implements
+     * 리플렉션·getSubscribedHooks() 클래스 로딩 없이 사전 계산 매핑으로 등록한다.
+     * 동적 훅(registerDynamicHooks) 보유 리스너는 스캔 경로와 동일하게 boot 후반부 실행을 위해 지연 목록에 담는다.
+     *
+     * @return bool 캐시로 등록했으면 true, 캐시 부재/손상 시 false (스캔 폴백)
+     */
+    private function registerCoreHookListenersFromCache(): bool
+    {
+        $cache = $this->app->make(HookCacheManager::class)->read();
+
+        if ($cache === null) {
+            return false;
+        }
+
+        foreach ($cache['core'] as $entry) {
+            try {
+                HookListenerRegistrar::registerFromCache($entry['listener'], $entry['hooks'], 'core');
+
+                if (! empty($entry['dynamic'])) {
+                    $this->deferredDynamicListeners[] = $entry['listener'];
+                }
+            } catch (\Throwable $e) {
+                Log::error('코어 훅 리스너 캐시 등록 중 오류 발생', [
+                    'listener' => $entry['listener'] ?? null,
+                    'error' => $e->getMessage(),
+                ]);
+            }
+        }
+
+        return true;
+    }
+
     /**
      * 단일 코어 리스너를 HookManager에 등록합니다.
      *

app/Repositories/IdentityPolicyRepository.php

@@ -340,7 +340,9 @@ class IdentityPolicyRepository implements IdentityPolicyRepositoryInterface
     public function listHookTargets(): array
     {
         try {
-            if (! Schema::hasTable('identity_policies')) {
+            // 설치 완료 상태에서는 Schema introspection 을 건너뜀 (매 요청 information_schema 쿼리 제거).
+            // 인스톨러 이전/마이그레이션 전 환경에서는 기존 hasTable 폴백으로 안전하게 빈 배열 반환.
+            if (! config('app.installer_completed') && ! Schema::hasTable('identity_policies')) {
                 return [];
             }
 
@@ -404,7 +406,9 @@ class IdentityPolicyRepository implements IdentityPolicyRepositoryInterface
     {
         try {
             $table = (new $modelClass)->getTable();
-            if (! Schema::hasTable($table)) {
+            // 설치 완료 상태에서는 Schema introspection 을 건너뜀 (매 요청 information_schema 쿼리 제거).
+            // 인스톨러 이전/마이그레이션 전 환경에서는 기존 hasTable 폴백으로 null 반환(필터 미적용).
+            if (! config('app.installer_completed') && ! Schema::hasTable($table)) {
                 return null;
             }
 

app/Seo/Editor/BroadcastCatalogService.php

@@ -11,7 +11,7 @@ use App\Contracts\Extension\PluginManagerInterface;
  * 데이터소스 종류=websocket 편집 시 채널을 "구독 가능한 목록 기준 검색 드롭다운"으로
  * 제시하기 위해, "지금 이 설치본에서 구독 가능한 채널"을 런타임 수집한다. 코어/확장이
  * `getChannels()` 오버라이드로 등록한 채널명을 출처(core/module/plugin)와 함께 모은다
- * (CLAUDE.md 채널 프리픽스 규약 — 코어 `core.*`, 모듈 `module.{id}.*`, 플러그인
+ * (코어 채널 프리픽스 규약 — 코어 `core.*`, 모듈 `module.{id}.*`, 플러그인
  * `plugin.{id}.*`).
  *
  * 이벤트는 `HookManager::broadcast($channel, $eventName, $payload)` 호출 시점에 이름이

app/Services/CoreUpdateService.php

@@ -885,7 +885,16 @@ class CoreUpdateService
     }
 
     /**
-     * 코어 업데이트 대상 파일만 선택적으로 덮어씁니다.
+     * 코어 업데이트 대상 파일을 덮어씁니다.
+     *
+     * 기본(증분) 모드 — `$applyList` 가 주어지고 `$prune === false`:
+     *  - 코어(신 버전)가 실제로 추가·변경한 파일만 적용한다(3-way 판정 산출물).
+     *  - 코어가 건드리지 않은 파일은 복사·chmod·chown·mtime 갱신을 전부 스킵하여 현재
+     *    디스크 상태(사용자 수정 포함 가능)를 그대로 보존한다.
+     *  - orphan(소스에 없는 대상 파일) 삭제를 하지 않는다 — 사용자가 추가한 신규 파일 보존.
+     *
+     * prune 모드 — `$prune === true` 또는 `$applyList === null`(백업 부재 fallback):
+     *  - targets 전체를 무조건 덮어쓰고, 소스에 없는 orphan 을 삭제한다(기존 동작).
      *
      * 주의: ExtensionPendingHelper::copyToActive()는 PHP copy()를 사용하여
      * 파일 퍼미션/소유자를 보존하지 않으므로, 코어 업데이트에서는 사용하지 않습니다.
@@ -893,12 +902,29 @@ class CoreUpdateService
      *
      * @param  string  $sourcePath  소스 경로 (_pending 내)
      * @param  \Closure|null  $onProgress  진행 콜백
+     * @param  bool  $prune  true 면 전체 덮어쓰기 + orphan 삭제(기존 동작), false 면 증분 적용
+     * @param  array<int, string>|null  $applyList  적용 대상 상대경로 목록(target 접두사 포함).
+     *   `CoreBackupHelper::computeApplyList()` 산출물. null 이면 증분 불가로 판단해 전체 덮어쓰기.
      */
-    public function applyUpdate(string $sourcePath, ?\Closure $onProgress = null): void
+    public function applyUpdate(string $sourcePath, ?\Closure $onProgress = null, bool $prune = false, ?array $applyList = null): void
     {
         $targets = config('app.update.targets', []);
         $excludes = config('app.update.excludes', []);
 
+        // 증분 모드 여부: prune 이 아니고 적용 목록이 주어진 경우에만 증분 적용.
+        // applyList 가 null 이면(백업 부재 등) 안전을 위해 전체 덮어쓰기로 회귀한다.
+        $incremental = ! $prune && $applyList !== null;
+
+        // 증분 모드에서 각 target 하위 파일을 O(1) 로 조회하기 위한 lookup 맵.
+        // computeApplyList 는 target 접두사를 포함한 상대경로(예: 'public/.htaccess')를
+        // 반환하므로, 그대로 정규화 키로 담는다.
+        $applySet = [];
+        if ($incremental) {
+            foreach ($applyList as $rel) {
+                $applySet[$this->normalizeRelativePath((string) $rel)] = true;
+            }
+        }
+
         $applied = [];
 
         foreach ($targets as $target) {
@@ -909,21 +935,45 @@ class CoreUpdateService
                 continue;
             }
 
+            $normalizedTarget = $this->normalizeRelativePath($target);
+
             $onProgress?->__invoke('apply', $target);
 
             if (File::isDirectory($src)) {
+                // 증분 모드: 이 target 하위의 적용 대상만 추린 뒤, target 접두사를 벗겨
+                // copyDirectory 의 내부 상대경로($itemRelativePath)와 직접 매칭되는
+                // 화이트리스트 맵을 만든다.
+                $targetApplyList = null;
+                if ($incremental) {
+                    $targetApplyList = $this->buildTargetApplyList($applySet, $normalizedTarget);
+                }
+
                 // `{domain}/_bundled` 타깃은 최상위 한 레벨의 orphan 을 보존한다 — 사용자가
                 // `_bundled/` 바로 아래에 직접 만든 커스텀 확장 디렉토리/파일이 코어 업데이트
                 // 소스(번들 확장만 포함)에 없다는 이유로 삭제되던 결함 차단.
-                // 번들 확장 디렉토리 *내부* stale 정리는 그대로 유지된다.
-                $preserveTopLevelOrphans = str_ends_with($this->normalizeRelativePath($target), '_bundled');
-                FilePermissionHelper::copyDirectory($src, $dest, $onProgress, $excludes, removeOrphans: true, preserveTopLevelOrphans: $preserveTopLevelOrphans);
+                // 번들 확장 디렉토리 *내부* stale 정리는 prune 모드에서만 수행된다.
+                $preserveTopLevelOrphans = str_ends_with($normalizedTarget, '_bundled');
+                FilePermissionHelper::copyDirectory(
+                    $src,
+                    $dest,
+                    $onProgress,
+                    $excludes,
+                    removeOrphans: $prune,
+                    preserveTopLevelOrphans: $preserveTopLevelOrphans,
+                    applyList: $targetApplyList,
+                );
             } else {
+                // 단일 파일 target — 증분 모드에서는 적용 목록에 있을 때만 복사.
+                if ($incremental && ! isset($applySet[$normalizedTarget])) {
+                    $applied[$normalizedTarget] = true;
+
+                    continue;
+                }
                 File::ensureDirectoryExists(dirname($dest));
                 FilePermissionHelper::copyFile($src, $dest);
             }
 
-            $applied[$this->normalizeRelativePath($target)] = true;
+            $applied[$normalizedTarget] = true;
         }
 
         // 자동 발견 폴백 — 부모 프로세스(구버전) 의 stale `app.update.targets` 가
@@ -1005,6 +1055,31 @@ class CoreUpdateService
         return trim(str_replace(['\\', '/'], '/', $path), '/');
     }
 
+    /**
+     * 전체 적용 집합에서 특정 target 하위 항목만 추려, target 접두사를 제거한
+     * `copyDirectory` 내부 상대경로 화이트리스트 맵을 만듭니다.
+     *
+     * `computeApplyList` 는 target 접두사를 포함한 경로(예: `public/.htaccess`)를 담지만,
+     * `copyDirectory` 는 target 루트 기준 상대경로(`.htaccess`)로 항목을 순회하므로 접두사를
+     * 벗겨야 매칭된다.
+     *
+     * @param  array<string, bool>  $applySet  전체 적용 대상 정규화 경로 lookup 맵
+     * @param  string  $normalizedTarget  정규화된 target 경로 (예: `public`)
+     * @return array<string, bool> target 내부 상대경로 화이트리스트 (빈 맵일 수 있음 → 전부 스킵)
+     */
+    private function buildTargetApplyList(array $applySet, string $normalizedTarget): array
+    {
+        $prefix = $normalizedTarget.'/';
+        $out = [];
+        foreach ($applySet as $rel => $_) {
+            if (str_starts_with((string) $rel, $prefix)) {
+                $out[substr((string) $rel, strlen($prefix))] = true;
+            }
+        }
+
+        return $out;
+    }
+
     /**
      * 정규화된 path 가 이미 처리된 상위/하위 path 와 관계가 있는지 검사합니다.
      *
@@ -1558,8 +1633,9 @@ class CoreUpdateService
      * @param  string  $toVersion  종료 버전
      * @param  \Closure|null  $onStep  각 스텝 실행 시 콜백 (버전 문자열 전달)
      * @param  bool  $force  true 시 fromVersion == toVersion이면 해당 버전 스텝도 포함
+     * @param  \Closure|null  $onDiscovered  범위 내 발견된 스텝 파일 수를 실행 전 1회 통지 (int 전달)
      */
-    public function runUpgradeSteps(string $fromVersion, string $toVersion, ?\Closure $onStep = null, bool $force = false): void
+    public function runUpgradeSteps(string $fromVersion, string $toVersion, ?\Closure $onStep = null, bool $force = false, ?\Closure $onDiscovered = null): void
     {
         // 부모 in-process fallback 진입 시 stale 메모리 가드.
         //
@@ -1597,6 +1673,9 @@ class CoreUpdateService
         $upgradesPath = base_path('upgrades');
 
         if (! File::isDirectory($upgradesPath)) {
+            // upgrades 디렉토리 자체가 없으면 발견된 스텝 0건 — 정상 통지 후 종료.
+            $onDiscovered?->__invoke(0);
+
             return;
         }
 
@@ -1656,6 +1735,12 @@ class CoreUpdateService
 
         uksort($steps, 'version_compare');
 
+        // 범위 내에서 발견된 스텝 파일 수(discovered)를 먼저 통지한다.
+        // 호출자(spawn 자식)는 이 값으로 "스텝 파일이 애초에 없어 0건(정상)" 과 "스텝 파일은
+        // 있는데 실행이 0건(비정상 — gnuboard/g7#28 silent skip)" 을 구분한다. onStep 은 실제 실행
+        // 건마다 호출되므로 executed 수만 세며, discovered 는 실행 전에 1회 통지한다.
+        $onDiscovered?->__invoke(count($steps));
+
         $context = new UpgradeContext($fromVersion, $toVersion);
 
         foreach ($steps as $version => $step) {

app/Services/ExtensionBundleService.php

@@ -0,0 +1,475 @@
+<?php
+
+namespace App\Services;
+
+use App\Extension\ModuleManager;
+use App\Extension\PluginManager;
+use App\Extension\Storage\CoreStorageDriver;
+use App\Extension\Traits\ClearsTemplateCaches;
+use App\Http\View\Composers\TemplateComposer;
+use Illuminate\Support\Facades\Log;
+
+/**
+ * 확장(모듈/플러그인) 프론트엔드 IIFE/CSS 번들 병합 서비스
+ *
+ * 활성 모듈/플러그인의 개별 IIFE JS·CSS 에셋을 타입별로 하나의 번들 파일로
+ * 이어붙여(concat) 서빙 오버헤드(HTTP 요청 수)를 줄인다. 각 확장 IIFE 는
+ * 자체 클로저에서 자가등록(`window.G7ModuleRegistry`/`G7PluginRegistry` +
+ * 핸들러/리스너)을 수행하므로, N개 IIFE 를 priority 순으로 이어붙여 1개
+ * `<script>` 로 실행해도 등록 로직은 동일하게 동작한다.
+ *
+ * 정렬/필터(`hasAssets()` && strategy==='global' + `uasort(priority)`) 는
+ * TemplateComposer 와 공유하는 SSoT 로 이 서비스에 둔다(drift 방지).
+ *
+ * 경로는 절대경로 게터(`getBuiltAssetAbsolutePaths()`)를 재사용한다 —
+ * `ModuleService::getAssetFilePath()` 의 `base_path("modules/{id}/...")`
+ * 하드코딩을 복제하지 않아야 `_bundled` 확장에서도 정확히 읽는다(제약 4).
+ *
+ * @see TemplateComposer
+ */
+class ExtensionBundleService
+{
+    // ext.cache_version 게터 재사용 — 트레이트를 use 해 self:: 로 호출(트레이트명
+    // 직접 정적 호출은 PHP 8.3+ deprecated). 인스턴스 캐시 무효화 메서드는 미사용.
+    use ClearsTemplateCaches;
+
+    /**
+     * 번들 캐시 파일이 저장되는 스토리지 디스크(= storage/app/ext-bundles).
+     */
+    private const BUNDLE_DISK = 'ext-bundles';
+
+    /**
+     * 서비스 주입
+     *
+     * @param  ModuleManager  $moduleManager  모듈 매니저
+     * @param  PluginManager  $pluginManager  플러그인 매니저
+     */
+    public function __construct(
+        private readonly ModuleManager $moduleManager,
+        private readonly PluginManager $pluginManager
+    ) {}
+
+    /**
+     * 확장 타입별 global 전략 에셋을 priority 오름차순으로 정렬해 반환합니다.
+     *
+     * TemplateComposer 의 개별 에셋 URL 생성과 번들러의 concat 이 동일한
+     * 필터/정렬을 쓰도록 하는 SSoT. 순서 제어는 오직 manifest
+     * `loading.priority` 숫자 오름차순뿐이며 특정 확장 이름 하드코딩은 없다(제약 1).
+     *
+     * @param  string  $type  'module' | 'plugin'
+     * @return array<string, array{jsAbsPath: ?string, cssAbsPath: ?string, priority: int}>
+     *                                                                                      identifier => 절대경로/우선순위 (priority 오름차순 정렬)
+     */
+    public function getOrderedGlobalAssetPaths(string $type): array
+    {
+        $extensions = $type === 'plugin'
+            ? $this->pluginManager->getActivePlugins()
+            : $this->moduleManager->getActiveModules();
+
+        $ordered = [];
+
+        foreach ($extensions as $extension) {
+            if (! $extension->hasAssets()) {
+                continue;
+            }
+
+            $loadingConfig = $extension->getAssetLoadingConfig();
+
+            // global 전략만 번들 대상 (layout, lazy 는 레이아웃에서 개별 처리)
+            if (($loadingConfig['strategy'] ?? 'global') !== 'global') {
+                continue;
+            }
+
+            $absolutePaths = $extension->getBuiltAssetAbsolutePaths();
+
+            $jsAbsPath = $absolutePaths['js'] ?? null;
+            $cssAbsPath = $absolutePaths['css'] ?? null;
+
+            // JS/CSS 둘 다 없으면 번들에 기여할 것이 없으므로 제외
+            if ($jsAbsPath === null && $cssAbsPath === null) {
+                continue;
+            }
+
+            $ordered[$extension->getIdentifier()] = [
+                'jsAbsPath' => $jsAbsPath,
+                'cssAbsPath' => $cssAbsPath,
+                'priority' => (int) ($loadingConfig['priority'] ?? 100),
+            ];
+        }
+
+        // priority 오름차순 (낮을수록 먼저) — 개별 로딩과 동일 규칙
+        uasort($ordered, fn ($a, $b) => $a['priority'] <=> $b['priority']);
+
+        return $ordered;
+    }
+
+    /**
+     * 확장 타입의 JS 번들 문자열을 생성합니다.
+     *
+     * priority 순으로 각 IIFE 파일을 읽어 `\n;\n` 구분자로 이어붙인다(제약 2 —
+     * ASI 경계 보호). 각 파일 끝의 `//# sourceMappingURL` 주석은 prod 에서는
+     * strip(맵 생략), dev 에서는 개별 에셋 서빙 절대 URL 로 rewrite 한다(제약 3).
+     *
+     * 확장별 fine-grained try/catch — 파일 읽기 실패 시 해당 확장만 skip +
+     * Log::warning, 나머지 병합 지속(한 확장 실패가 번들 전체를 붕괴시키지 않음).
+     *
+     * @param  string  $type  'module' | 'plugin'
+     * @return string 병합된 JS (활성 global 에셋이 없으면 빈 문자열)
+     */
+    public function buildJsBundle(string $type): string
+    {
+        $ordered = $this->getOrderedGlobalAssetPaths($type);
+        $isProduction = app()->environment('production');
+        $segments = [];
+
+        foreach ($ordered as $identifier => $paths) {
+            if (empty($paths['jsAbsPath'])) {
+                continue;
+            }
+
+            try {
+                $content = @file_get_contents($paths['jsAbsPath']);
+
+                if ($content === false) {
+                    Log::warning('확장 JS 번들 병합: 파일 읽기 실패, 해당 확장 skip', [
+                        'type' => $type,
+                        'identifier' => $identifier,
+                        'path' => $paths['jsAbsPath'],
+                    ]);
+
+                    continue;
+                }
+
+                $segments[] = $this->processJsSourceMap($content, $type, $identifier, $isProduction);
+            } catch (\Throwable $e) {
+                Log::warning('확장 JS 번들 병합 중 오류, 해당 확장 skip', [
+                    'type' => $type,
+                    'identifier' => $identifier,
+                    'error' => $e->getMessage(),
+                ]);
+            }
+        }
+
+        return implode("\n;\n", $segments);
+    }
+
+    /**
+     * 확장 타입의 CSS 번들 문자열을 생성합니다.
+     *
+     * priority 순으로 각 CSS 파일을 읽어 `\n` 구분자로 이어붙인다. 상대경로
+     * `url(...)` 참조가 있는 CSS 는 병합 시 경로가 깨지므로 번들에서 제외하고
+     * 경고 로그를 남긴다(안전장치 — 현재 번들 CSS 는 url() 0건).
+     *
+     * @param  string  $type  'module' | 'plugin'
+     * @return string 병합된 CSS (활성 global 에셋이 없으면 빈 문자열)
+     */
+    public function buildCssBundle(string $type): string
+    {
+        $ordered = $this->getOrderedGlobalAssetPaths($type);
+        $segments = [];
+
+        foreach ($ordered as $identifier => $paths) {
+            if (empty($paths['cssAbsPath'])) {
+                continue;
+            }
+
+            try {
+                $content = @file_get_contents($paths['cssAbsPath']);
+
+                if ($content === false) {
+                    Log::warning('확장 CSS 번들 병합: 파일 읽기 실패, 해당 확장 skip', [
+                        'type' => $type,
+                        'identifier' => $identifier,
+                        'path' => $paths['cssAbsPath'],
+                    ]);
+
+                    continue;
+                }
+
+                // 상대경로 url() 참조가 있으면 병합 시 폰트/이미지 경로가 깨진다.
+                // 절대/data URI 는 안전하므로 상대경로만 검출해 해당 CSS 제외.
+                if ($this->hasRelativeUrl($content)) {
+                    Log::warning('확장 CSS 에 상대경로 url() 존재 — 번들에서 제외(개별 폴백 유지)', [
+                        'type' => $type,
+                        'identifier' => $identifier,
+                    ]);
+
+                    continue;
+                }
+
+                $segments[] = $content;
+            } catch (\Throwable $e) {
+                Log::warning('확장 CSS 번들 병합 중 오류, 해당 확장 skip', [
+                    'type' => $type,
+                    'identifier' => $identifier,
+                    'error' => $e->getMessage(),
+                ]);
+            }
+        }
+
+        return implode("\n", $segments);
+    }
+
+    /**
+     * 캐시된 번들 파일의 절대 경로를 반환합니다(없으면 build → 원자적 write).
+     *
+     * 파일명에 version 을 포함(`{type}.{version}.{js|css}`)하므로 활성 조합이
+     * 바뀌어 version 이 bump 되면 새 파일명으로 자연 무효화된다. 프로덕션에서만
+     * 디스크 캐시하며, 비프로덕션(dev/watch)에서는 캐시하지 않고 매 요청 build 해
+     * rebuild 를 즉시 반영한다.
+     *
+     * @param  string  $type  'module' | 'plugin'
+     * @param  string  $kind  'js' | 'css'
+     * @param  int  $version  확장 캐시 버전(ClearsTemplateCaches::getExtensionCacheVersion)
+     * @return string 캐시(또는 방금 build 한) 파일의 절대 경로. 병합 결과가 빈 문자열이면 빈 문자열.
+     */
+    public function getBundleFilePath(string $type, string $kind, int $version): string
+    {
+        $content = $kind === 'css'
+            ? $this->buildCssBundle($type)
+            : $this->buildJsBundle($type);
+
+        // 병합할 에셋이 하나도 없으면 파일을 만들지 않는다(호출측이 빈 문자열로 판단).
+        if ($content === '') {
+            return '';
+        }
+
+        $storage = $this->bundleStorage();
+        $relativeName = $this->bundleFileName($type, $kind, $version);
+
+        // 비프로덕션은 캐시하지 않고 임시 파일로 매번 build → rebuild 즉시 반영
+        if (! app()->environment('production')) {
+            return $this->writeAtomically($storage, $relativeName, $content, cache: false);
+        }
+
+        // 프로덕션: 동일 version 캐시가 있으면 그대로 사용
+        if ($storage->exists('', $relativeName)) {
+            return $storage->getBasePath('').'/'.$relativeName;
+        }
+
+        return $this->writeAtomically($storage, $relativeName, $content, cache: true);
+    }
+
+    /**
+     * 현재 version 외의 오래된 번들 파일을 삭제하고 삭제 건수를 반환합니다.
+     *
+     * @param  int  $currentVersion  보존할 현재 캐시 버전
+     * @return int 삭제된 파일 수
+     */
+    public function cleanupStaleBundles(int $currentVersion): int
+    {
+        $storage = $this->bundleStorage();
+        $deleted = 0;
+
+        foreach ($storage->files('', '') as $file) {
+            $name = basename($file);
+
+            // 현재 version 파일과 .gitignore 는 보존
+            if ($name === '.gitignore' || $this->matchesVersion($name, $currentVersion)) {
+                continue;
+            }
+
+            if ($this->isBundleFile($name) && $storage->delete('', $name)) {
+                $deleted++;
+            }
+        }
+
+        return $deleted;
+    }
+
+    /**
+     * 번들 캐시 파일을 삭제합니다(cache-clear 커맨드용).
+     *
+     * @param  string|null  $type  'module' | 'plugin' 지정 시 해당 타입만, null 이면 전체
+     * @return int 삭제된 파일 수
+     */
+    public function clearBundles(?string $type = null): int
+    {
+        $storage = $this->bundleStorage();
+        $deleted = 0;
+
+        foreach ($storage->files('', '') as $file) {
+            $name = basename($file);
+
+            if ($name === '.gitignore' || ! $this->isBundleFile($name)) {
+                continue;
+            }
+
+            // 타입 필터 (파일명 접두사 `{type}.`)
+            if ($type !== null && ! str_starts_with($name, $type.'.')) {
+                continue;
+            }
+
+            if ($storage->delete('', $name)) {
+                $deleted++;
+            }
+        }
+
+        return $deleted;
+    }
+
+    /**
+     * 번들 파일명을 생성합니다(`{type}.{version}.{kind}`).
+     *
+     * @param  string  $type  'module' | 'plugin'
+     * @param  string  $kind  'js' | 'css'
+     * @param  int  $version  캐시 버전
+     * @return string 파일명 (디렉토리 제외)
+     */
+    private function bundleFileName(string $type, string $kind, int $version): string
+    {
+        return "{$type}.{$version}.{$kind}";
+    }
+
+    /**
+     * 파일명이 번들 파일 패턴(`{type}.{version}.{kind}`)인지 확인합니다.
+     *
+     * @param  string  $name  파일명
+     * @return bool 번들 파일이면 true
+     */
+    private function isBundleFile(string $name): bool
+    {
+        return (bool) preg_match('/^(module|plugin)\.\d+\.(js|css)$/', $name);
+    }
+
+    /**
+     * 파일명이 지정한 version 의 번들인지 확인합니다.
+     *
+     * @param  string  $name  파일명
+     * @param  int  $version  비교할 버전
+     * @return bool 해당 version 파일이면 true
+     */
+    private function matchesVersion(string $name, int $version): bool
+    {
+        return (bool) preg_match('/^(module|plugin)\.'.preg_quote((string) $version, '/').'\.(js|css)$/', $name);
+    }
+
+    /**
+     * 병합 결과를 원자적으로(임시 파일 → rename) 기록하고 절대 경로를 반환합니다.
+     *
+     * @param  CoreStorageDriver  $storage  번들 디스크 스토리지
+     * @param  string  $relativeName  대상 파일명
+     * @param  string  $content  기록할 내용
+     * @param  bool  $cache  true 면 version 파일명 유지, false 면 임시 파일 사용
+     * @return string 기록된 파일의 절대 경로
+     */
+    private function writeAtomically(CoreStorageDriver $storage, string $relativeName, string $content, bool $cache): string
+    {
+        $basePath = $storage->getBasePath('');
+
+        if (! is_dir($basePath)) {
+            @mkdir($basePath, 0o755, true);
+        }
+
+        $finalPath = $basePath.'/'.$relativeName;
+
+        if (! $cache) {
+            // 비프로덕션: 매 요청 덮어써도 무방(원자성 불요), 그대로 write
+            $storage->put('', $relativeName, $content);
+
+            return $finalPath;
+        }
+
+        // 프로덕션: 임시 파일에 쓴 뒤 rename 으로 원자적 게시(부분 파일 서빙 방지)
+        $tmpName = $relativeName.'.tmp.'.getmypid();
+        $storage->put('', $tmpName, $content);
+
+        $tmpPath = $basePath.'/'.$tmpName;
+
+        if (! @rename($tmpPath, $finalPath)) {
+            // rename 실패 시(경합으로 이미 존재 등) 임시 파일 정리 후 최종 경로 사용
+            $storage->delete('', $tmpName);
+        }
+
+        return $finalPath;
+    }
+
+    /**
+     * IIFE 소스맵 주석을 환경에 맞게 처리합니다.
+     *
+     * prod: `//# sourceMappingURL` 라인 strip(맵 생략).
+     * dev: 개별 에셋 서빙 절대 URL(`/api/{type}s/assets/{id}/dist/js/*.map`)로
+     *      rewrite → 브라우저가 확장별 원본 맵을 추적(완벽한 통합 맵은 아님).
+     *
+     * @param  string  $content  원본 IIFE 내용
+     * @param  string  $type  'module' | 'plugin'
+     * @param  string  $identifier  확장 식별자
+     * @param  bool  $isProduction  프로덕션 여부
+     * @return string 처리된 내용
+     */
+    private function processJsSourceMap(string $content, string $type, string $identifier, bool $isProduction): string
+    {
+        // 구분자로 `~` 사용 — 패턴 자체에 `#`(`//#`)가 포함되어 `#` 구분자는 못 씀
+        $pattern = '~//# sourceMappingURL=(\S+)~';
+
+        if ($isProduction) {
+            // prod: 맵 참조 제거
+            return preg_replace($pattern, '', $content) ?? $content;
+        }
+
+        // dev: 상대 맵 파일명을 개별 에셋 서빙 절대 URL 로 rewrite
+        $typeSegment = $type === 'plugin' ? 'plugins' : 'modules';
+
+        return preg_replace_callback($pattern, function (array $m) use ($typeSegment, $identifier) {
+            $mapFile = ltrim($m[1], './');
+
+            return '//# sourceMappingURL=/api/'.$typeSegment.'/assets/'.$identifier.'/dist/js/'.basename($mapFile);
+        }, $content) ?? $content;
+    }
+
+    /**
+     * CSS 내용에 상대경로 url() 참조가 있는지 확인합니다.
+     *
+     * 절대 URL(http/https), 루트 절대경로(/), data URI 는 병합에 안전하므로
+     * 그 외의 url() 참조만 상대경로로 간주한다.
+     *
+     * @param  string  $css  CSS 내용
+     * @return bool 상대경로 url() 이 하나라도 있으면 true
+     */
+    private function hasRelativeUrl(string $css): bool
+    {
+        if (! preg_match_all('/url\(\s*[\'"]?([^\'")]+)[\'"]?\s*\)/i', $css, $matches)) {
+            return false;
+        }
+
+        foreach ($matches[1] as $url) {
+            $url = trim($url);
+
+            if ($url === '') {
+                continue;
+            }
+
+            $isAbsolute = str_starts_with($url, 'http://')
+                || str_starts_with($url, 'https://')
+                || str_starts_with($url, '//')
+                || str_starts_with($url, '/')
+                || str_starts_with($url, 'data:');
+
+            if (! $isAbsolute) {
+                return true;
+            }
+        }
+
+        return false;
+    }
+
+    /**
+     * 번들 디스크용 스토리지 드라이버를 반환합니다(StorageInterface 경유).
+     *
+     * @return CoreStorageDriver ext-bundles 디스크 스토리지
+     */
+    private function bundleStorage(): CoreStorageDriver
+    {
+        return (new CoreStorageDriver)->withDisk(self::BUNDLE_DISK);
+    }
+
+    /**
+     * 현재 확장 캐시 버전을 반환합니다.
+     *
+     * @return int 캐시 버전
+     */
+    public function getCurrentVersion(): int
+    {
+        return self::getExtensionCacheVersion();
+    }
+}

app/Services/GeoIpDatabaseService.php

@@ -4,7 +4,7 @@ namespace App\Services;
 
 use App\Contracts\Repositories\ConfigRepositoryInterface;
 use App\Extension\HookManager;
-use Illuminate\Support\Facades\Artisan;
+use App\Support\ConfigCacheHelper;
 use Illuminate\Support\Facades\File;
 use Illuminate\Support\Facades\Http;
 use Illuminate\Support\Facades\Log;
@@ -369,8 +369,8 @@ class GeoIpDatabaseService
             $current['last_updated_at'] = now()->toIso8601String();
             $this->configRepository->saveCategory('geoip', $current);
 
-            // Laravel config 캐시 재로드 강제
-            Artisan::call('config:clear');
+            // config 캐시 재로드 강제 + 즉시 재생성 (clear 만 하면 캐시 비활성 잔존).
+            ConfigCacheHelper::rebuild();
         } catch (\Throwable $e) {
             Log::warning('GeoIP last_updated_at 갱신 실패', ['error' => $e->getMessage()]);
         }

app/Services/LayoutService.php

@@ -807,6 +807,12 @@ class LayoutService
         // 캐시 비활성 시 매번 병합 실행
         if (! $cacheEnabled) {
             $merged = $this->loadAndMergeLayoutInternal($templateId, $layoutName, $withSourceMeta);
+
+            // 공개 서빙 응답에서 개발자용 comment 필드 제거 (편집 모드는 보존)
+            if (! $withSourceMeta) {
+                $merged = $this->stripDeveloperComments($merged);
+            }
+
             HookManager::doAction('core.layout.after_load', $merged, $templateId, $layoutName, false);
 
             return $merged;
@@ -844,6 +850,12 @@ class LayoutService
         // 병합된 레이아웃 생성
         $mergedLayout = $this->loadAndMergeLayoutInternal($templateId, $layoutName, $withSourceMeta);
 
+        // 공개 서빙 응답에서 개발자용 comment 필드 제거 (편집 모드는 보존).
+        // withSourceMeta 가 캐시 키에 반영되므로 공개/편집 캐시가 분리되어 안전.
+        if (! $withSourceMeta) {
+            $mergedLayout = $this->stripDeveloperComments($mergedLayout);
+        }
+
         // 캐시에 저장
         $cacheTtl = $this->getCacheTtl();
         $this->cache->put($cacheKey, $mergedLayout, $cacheTtl);
@@ -1601,6 +1613,30 @@ class LayoutService
         }, $components);
     }
 
+    /**
+     * 병합된 레이아웃에서 개발자용 comment 필드를 재귀적으로 제거합니다.
+     *
+     * 레이아웃 JSON 의 `comment` / `_comment` 키는 편집기(layout-editor)와 개발자를 위한
+     * 설명 주석으로, 프론트엔드 런타임 렌더러(DynamicRenderer)는 이를 참조하지 않는다.
+     * 공개 서빙 응답에서만 제거하여 전송 크기를 줄이며, 편집 모드(withSourceMeta)에서는
+     * 호출하지 않아 보존한다. 배열/객체 노드를 재귀 순회하며 두 키만 unset 한다.
+     *
+     * @param  array  $node  정리 대상 레이아웃(또는 하위) 배열
+     * @return array comment 필드가 제거된 배열
+     */
+    private function stripDeveloperComments(array $node): array
+    {
+        unset($node['comment'], $node['_comment']);
+
+        foreach ($node as $key => $value) {
+            if (is_array($value)) {
+                $node[$key] = $this->stripDeveloperComments($value);
+            }
+        }
+
+        return $node;
+    }
+
     /**
      * 컴포넌트의 props를 sanitize합니다.
      *

app/Services/SettingsService.php

@@ -7,6 +7,7 @@ use App\Contracts\Repositories\AttachmentRepositoryInterface;
 use App\Contracts\Repositories\ConfigRepositoryInterface;
 use App\Extension\HookManager;
 use App\Http\Resources\AttachmentResource;
+use App\Support\ConfigCacheHelper;
 use Illuminate\Support\Facades\Artisan;
 use Illuminate\Support\Facades\Auth;
 use Illuminate\Support\Facades\DB;
@@ -32,11 +33,14 @@ class SettingsService
      * 시스템 설정 캐시를 무효화합니다.
      *
      * 설정 저장 시 4곳에서 중복되던 로직을 단일 메서드로 통합했습니다.
+     * config 캐시는 clear 후 즉시 재생성한다(ConfigCacheHelper). config:clear 만
+     * 하면 config:cache 가 비워진 채 재생성되지 않아 이후 모든 요청이 config 파일을
+     * 재파싱하는 성능 손실이 발생하기 때문이다.
      */
     private function invalidateSettingsCache(): void
     {
         $this->cache->forget('settings.system');
-        Artisan::call('config:clear');
+        ConfigCacheHelper::rebuild();
     }
 
     /**
@@ -822,30 +826,74 @@ class SettingsService
     private function buildSystemInfo(): array
     {
         return [
-            'os_info' => php_uname('s').' '.php_uname('r'),
+            // php_uname / ini_get 은 disable_functions 로 차단될 수 있어 개별 격리한다.
+            'os_info' => $this->safeSystemProbe('os_info', fn () => php_uname('s').' '.php_uname('r'), __('common.unknown')),
             'web_server' => $_SERVER['SERVER_SOFTWARE'] ?? __('common.unknown'),
             'php_version' => PHP_VERSION,
-            'mysql_version' => $this->getDatabaseInfo(),
+            'mysql_version' => $this->safeSystemProbe('mysql_version', fn () => $this->getDatabaseInfo(), __('common.unknown')),
             'g7_version' => config('app.version', '1.0.0'),
             'g7_release_year' => config('app.release_year', '2026'),
             'laravel_version' => app()->version(),
             'environment' => app()->environment(),
-            'cpu_info' => $this->getCpuInfo(),
-            'memory_usage' => $this->getMemoryUsage(),
-            'disk_usage' => $this->getDiskUsage(),
-            'php_memory_limit' => ini_get('memory_limit'),
-            'max_execution_time' => ini_get('max_execution_time').__('settings.seconds'),
-            'upload_max_filesize' => ini_get('upload_max_filesize'),
+            'cpu_info' => $this->safeSystemProbe('cpu_info', fn () => $this->getCpuInfo(), __('common.unknown')),
+            'memory_usage' => $this->safeSystemProbe('memory_usage', fn () => $this->getMemoryUsage(), $this->unknownUsage()),
+            'disk_usage' => $this->safeSystemProbe('disk_usage', fn () => $this->getDiskUsage(), $this->unknownUsage()),
+            'php_memory_limit' => $this->safeSystemProbe('php_memory_limit', fn () => ini_get('memory_limit'), __('common.unknown')),
+            'max_execution_time' => $this->safeSystemProbe('max_execution_time', fn () => ini_get('max_execution_time').__('settings.seconds'), __('common.unknown')),
+            'upload_max_filesize' => $this->safeSystemProbe('upload_max_filesize', fn () => ini_get('upload_max_filesize'), __('common.unknown')),
             'install_path' => base_path(),
             'config_path' => storage_path('app/settings'),
             'log_path' => storage_path('logs'),
             'upload_path' => storage_path('app/public'),
-            'php_extensions' => $this->getPhpExtensions(),
-            'database_config' => $this->getDatabaseConfig(),
+            'php_extensions' => $this->safeSystemProbe('php_extensions', fn () => $this->getPhpExtensions(), ['required' => [], 'optional' => []]),
+            'database_config' => $this->safeSystemProbe('database_config', fn () => $this->getDatabaseConfig(), ['has_read_write_split' => false, 'write' => [], 'read' => []]),
             'timezone' => config('app.timezone'),
         ];
     }
 
+    /**
+     * 시스템 정보 probe 를 안전하게 실행합니다.
+     *
+     * probe 가 예외(ErrorException·Error·disable_functions 로 인한 Error 포함)를
+     * 던지면 전파하지 않고 폴백값을 반환하고 경고 로그를 남깁니다. 개별 항목 수집
+     * 실패가 system-info API 전체를 500 으로 만들지 않도록 격리합니다.
+     *
+     * @param  string  $label  실패 로그 식별용 항목명 (예: 'cpu_info')
+     * @param  callable  $cb  실행할 probe 콜백
+     * @param  mixed  $fallback  실패 시 반환할 폴백 값
+     * @return mixed probe 결과 또는 폴백
+     */
+    private function safeSystemProbe(string $label, callable $cb, mixed $fallback): mixed
+    {
+        try {
+            return $cb();
+        } catch (\Throwable $e) {
+            Log::warning('시스템 정보 수집 실패', [
+                'item' => $label,
+                'error' => $e->getMessage(),
+            ]);
+
+            return $fallback;
+        }
+    }
+
+    /**
+     * 메모리/디스크 사용량 조회 실패 시 사용할 폴백 배열을 반환합니다.
+     *
+     * total/used/free/percentage 형식을 memory_usage·disk_usage 와 동일하게 유지합니다.
+     *
+     * @return array 사용량 폴백 배열
+     */
+    private function unknownUsage(): array
+    {
+        return [
+            'total' => __('common.unknown'),
+            'used' => __('common.unknown'),
+            'free' => __('common.unknown'),
+            'percentage' => 0,
+        ];
+    }
+
     /**
      * 시스템 캐시를 정리합니다.
      *
@@ -859,10 +907,12 @@ class SettingsService
             }
 
             Artisan::call('cache:clear');
-            Artisan::call('config:clear');
             Artisan::call('route:clear');
             Artisan::call('view:clear');
 
+            // config 는 clear 후 즉시 재생성 (비운 채 두면 이후 모든 요청이 config 재파싱).
+            ConfigCacheHelper::rebuild();
+
             return true;
         } catch (\Exception $e) {
             return false;
@@ -908,7 +958,8 @@ class SettingsService
             $envContent = preg_replace('/^APP_KEY=.*/m', 'APP_KEY='.$newKey, $envContent);
             file_put_contents($envPath, $envContent);
 
-            Artisan::call('config:clear');
+            // .env 변경 반영 + config 캐시 재생성 (clear 만 하면 캐시 비활성 상태로 잔존).
+            ConfigCacheHelper::rebuild();
 
             return [
                 'success' => true,
@@ -949,11 +1000,16 @@ class SettingsService
         try {
             $connection = DB::connection();
             $driver = $connection->getDriverName();
-            $version = $connection->select('SELECT VERSION() as version')[0]->version ?? 'Unknown';
+            $version = $connection->select('SELECT VERSION() as version')[0]->version ?? __('common.unknown');
 
             return ucfirst($driver).' '.$version;
-        } catch (\Exception $e) {
-            return 'Unknown';
+        } catch (\Throwable $e) {
+            Log::warning('시스템 정보 수집 실패', [
+                'item' => 'mysql_version',
+                'error' => $e->getMessage(),
+            ]);
+
+            return __('common.unknown');
         }
     }
 
@@ -999,12 +1055,7 @@ class SettingsService
         }
 
         if ($total <= 0) {
-            return [
-                'total' => __('common.unknown'),
-                'used' => __('common.unknown'),
-                'free' => __('common.unknown'),
-                'percentage' => 0,
-            ];
+            return $this->unknownUsage();
         }
 
         $used = max(0, $total - $free);
@@ -1034,12 +1085,7 @@ class SettingsService
         $free = is_numeric($freeRaw) ? (int) $freeRaw : 0;
 
         if ($total <= 0) {
-            return [
-                'total' => __('common.unknown'),
-                'used' => __('common.unknown'),
-                'free' => __('common.unknown'),
-                'percentage' => 0,
-            ];
+            return $this->unknownUsage();
         }
 
         $used = max(0, $total - $free);
@@ -1077,7 +1123,7 @@ class SettingsService
      *
      * @return string CPU 정보 문자열
      */
-    private function getCpuInfo(): string
+    protected function getCpuInfo(): string
     {
         if (PHP_OS_FAMILY === 'Windows') {
             $output = @shell_exec('powershell -NoProfile -NonInteractive -Command "(Get-CimInstance Win32_Processor | Select-Object -First 1).Name" 2>&1');

app/Services/TemplateLayoutAttachmentService.php

@@ -18,7 +18,7 @@ use Illuminate\Support\Str;
  * 레이아웃 편집 중 업로드되는 파일(배경 이미지 등)의 업로드·조회·삭제를 처리한다.
  * 파일 저장은 코어 StorageInterface(CoreStorageDriver)를 통해서만 수행하고,
  * 저장 위치(disk/path)와 메타데이터를 template_layout_attachments 에 기록한다.
- * (Storage::disk() 직접 호출 금지 — CLAUDE.md 스토리지 규칙)
+ * (Storage::disk() 직접 호출 금지 — 코어 스토리지 규칙)
  */
 class TemplateLayoutAttachmentService
 {
@@ -114,7 +114,7 @@ class TemplateLayoutAttachmentService
      * 첨부 파일을 삭제합니다 — 스토리지 파일 실삭제 후 DB 행 삭제.
      *
      * DB CASCADE 에 의존하지 않고 스토리지 파일을 명시적으로 삭제한다
-     * (CLAUDE.md "DB CASCADE 의존 삭제 금지" — 파일 정리 보장).
+     * (코어 규정: DB CASCADE 의존 삭제 금지 — 파일 정리 보장).
      *
      * @param  TemplateLayoutAttachment  $attachment  삭제할 첨부 파일
      * @return bool 삭제 성공 여부

app/Support/ConfigCacheHelper.php

@@ -0,0 +1,89 @@
+<?php
+
+namespace App\Support;
+
+use Illuminate\Support\Facades\Artisan;
+use Illuminate\Support\Facades\File;
+use Illuminate\Support\Facades\Log;
+
+/**
+ * config 캐시(bootstrap/cache/config.php) 재빌드 헬퍼.
+ *
+ * config 의 소스(config/*.php, .env, storage/app/settings/*.json, 활성 확장 목록)를
+ * 변경하는 모든 라이프사이클 지점이 이 헬퍼를 호출해 "변경 반영 + 캐시 재최적화"를
+ * 일관되게 수행한다. 산발적으로 config:clear/config:cache 를 각 지점에 뿌리면
+ * 누락이 생겨(설정 저장은 clear 만, 확장 설치는 clear 조차 안 함) config:cache 가
+ * 한 번 비워진 뒤 재생성되지 않아 성능 이점이 영구히 사라진다 — 이를 단일 SSoT 로 막는다.
+ *
+ * 정책: 환경 무관 항상 재생성. config:cache 는 그 자체로 부팅 비용을
+ * 절감하고, G7 설정은 config 캐시에 박제되지 않고 매 요청 SettingsServiceProvider /
+ * CoreServiceProvider 의 런타임 Config::set() 으로 재주입되므로(설정 stale 없음),
+ * 항상 켜두는 것이 이득이다. local 개발 시 config/*.php 수정이 즉시 반영되지 않는 점은
+ * 개발자가 `php artisan config:clear` 로 대응하는 개발자 책임 영역이다.
+ */
+class ConfigCacheHelper
+{
+    /**
+     * config 캐시를 비우고 즉시 재생성합니다.
+     *
+     * 설치 미완료(installer 실행 전) 환경에서는 config:cache 가 불완전한 부팅을
+     * 캐시에 박제해 부팅 실패를 유발할 수 있으므로, clear 만 수행하고 재생성은 건너뛴다.
+     * 테스트 환경(APP_ENV=testing)은 tests/bootstrap.php 가 config 캐시를 자동 삭제하며
+     * 캐시 생성이 테스트 격리를 깨므로 no-op 로 스킵한다.
+     *
+     * 재생성 실패(권한/디스크 등)는 치명적이지 않다 — config:clear 로 stale 캐시는
+     * 이미 제거되어 다음 요청이 fresh config 로 안전하게 부팅되므로, 경고만 남기고 넘어간다.
+     *
+     * @return void
+     */
+    public static function rebuild(): void
+    {
+        // 항상 stale 캐시부터 제거 (값 반영 보장). testing 환경에서도 clear 는 수행한다 —
+        // 캐시 파일이 없으면 사실상 no-op 이고 격리를 깨지 않으며, 설정 저장 후 값 반영을
+        // 검증하는 기존 테스트(SettingsServiceConfigClearTest) 계약을 유지한다.
+        Artisan::call('config:clear');
+
+        // config:cache 생성은 격리를 깨므로(캐시된 config 가 다음 테스트로 누출) testing 에서
+        // 스킵한다. 설치 미완료 상태에서도 불완전 config 박제를 피하려 재생성하지 않는다.
+        if (app()->environment('testing') || ! self::isInstalled()) {
+            return;
+        }
+
+        try {
+            Artisan::call('config:cache');
+        } catch (\Throwable $e) {
+            Log::warning('config 캐시 재생성 실패 (config:clear 로 stale 은 제거됨 — 다음 요청은 비캐시 부팅)', [
+                'error' => $e->getMessage(),
+            ]);
+        }
+    }
+
+    /**
+     * config 캐시만 제거합니다 (재생성 없음).
+     *
+     * 재생성이 부적절한 특수 경로(예: 설치 직전 초기화)를 위한 보조 진입점.
+     *
+     * @return void
+     */
+    public static function clear(): void
+    {
+        Artisan::call('config:clear');
+    }
+
+    /**
+     * G7 설치 완료 여부를 확인합니다.
+     *
+     * config('app.installer_completed') 는 config:clear 직후 재로드되어 신뢰 가능하며,
+     * 보조로 storage/app/g7_installed 플래그 파일도 확인한다.
+     *
+     * @return bool 설치 완료 시 true
+     */
+    private static function isInstalled(): bool
+    {
+        if (config('app.installer_completed')) {
+            return true;
+        }
+
+        return File::exists(storage_path('app/g7_installed'));
+    }
+}

config/app.php

@@ -231,7 +231,7 @@ return [
     |
     */
 
-    'version' => env('APP_VERSION', '7.0.0'),
+    'version' => env('APP_VERSION', '7.0.2'),
 
     /*
     |--------------------------------------------------------------------------
@@ -270,7 +270,7 @@ return [
         'github_url' => env('G7_UPDATE_GITHUB_URL', 'https://github.com/gnuboard/g7'),
         'github_token' => env('G7_UPDATE_GITHUB_TOKEN', ''),
         'pending_path' => env('G7_UPDATE_PENDING_PATH') ?: storage_path('app/core_pending'),
-        'targets' => array_filter(array_map('trim', explode(',', env('G7_UPDATE_TARGETS', 'app,bootstrap,config,database,docs,lang,lang-packs/_bundled,resources,routes,public,tests,upgrades,artisan,composer.json,composer.json.default,composer.lock,package.json,package-lock.json,vite.config.js,vite.config.core.js,vitest.config.ts,playwright.config.ts,tsconfig.json,phpunit.xml,.editorconfig,.gitattributes,.gitignore,README.md,CHANGELOG.md,modules/_bundled,plugins/_bundled,templates/_bundled')))),
+        'targets' => array_filter(array_map('trim', explode(',', env('G7_UPDATE_TARGETS', 'app,bootstrap,config,database,docs,lang,lang-packs/_bundled,resources,routes,public,tests,upgrades,artisan,composer.json,composer.json.default,composer.lock,package.json,package-lock.json,vite.config.js,vite.config.core.js,vite.config.editor.js,vite.config.devtools.js,vitest.config.ts,playwright.config.ts,tsconfig.json,phpunit.xml,.editorconfig,.gitattributes,.gitignore,README.md,CHANGELOG.md,modules/_bundled,plugins/_bundled,templates/_bundled')))),
         'excludes' => array_filter(array_map('trim', explode(',', env('G7_UPDATE_EXCLUDES', 'node_modules,.git,bootstrap/cache')))),
         // applyUpdate 의 "신규 최상위 항목 자동 발견" 폴백이 절대 덮어쓰면 안 되는 경로 목록.
         // 런타임 데이터(`storage`), 로컬 환경(`.env*`), 별도 파이프라인 산출물(`vendor`),

config/database.php

@@ -45,14 +45,20 @@ return [
 
         'mysql' => [
             'driver' => 'mysql',
+            // Read 커넥션 — DB_READ_* 가 비어 있으면(미설정/빈 값/주석) 대응하는
+            // DB_WRITE_* 로 fallback 한다. Read DB 미사용 환경에서도 SELECT 가 write DB 로
+            // 정확히 향하도록 보장한다. (이슈 #63)
+            // 중첩 env(A, env(B)) 대신 Elvis(?:) 를 쓰는 이유: env('DB_READ_HOST') 가
+            // 빈 문자열('')을 반환하면 두 번째 인자(default)가 적용되지 않아 fallback 이
+            // 무력화된다. ?: 는 빈 문자열까지 falsy 로 흡수하여 write 로 넘긴다.
             'read' => [
                 'host' => [
-                    env('DB_READ_HOST', '127.0.0.1'),
+                    env('DB_READ_HOST') ?: env('DB_WRITE_HOST', '127.0.0.1'),
                 ],
-                'port' => env('DB_READ_PORT', '3306'),
-                'database' => env('DB_READ_DATABASE', 'laravel'),
-                'username' => env('DB_READ_USERNAME', 'root'),
-                'password' => env('DB_READ_PASSWORD', ''),
+                'port' => env('DB_READ_PORT') ?: env('DB_WRITE_PORT', '3306'),
+                'database' => env('DB_READ_DATABASE') ?: env('DB_WRITE_DATABASE', 'laravel'),
+                'username' => env('DB_READ_USERNAME') ?: env('DB_WRITE_USERNAME', 'root'),
+                'password' => env('DB_READ_PASSWORD') ?: env('DB_WRITE_PASSWORD', ''),
             ],
             'write' => [
                 'host' => [

config/filesystems.php

@@ -74,6 +74,16 @@ return [
             'report' => false,
         ],
 
+        // 확장(모듈/플러그인) 프론트엔드 IIFE/CSS 번들 병합 결과 캐시.
+        // ExtensionBundleService 가 version-in-path 파일명으로 저장/서빙한다.
+        'ext-bundles' => [
+            'driver' => 'local',
+            'root' => storage_path('app/ext-bundles'),
+            'serve' => false,
+            'throw' => true,
+            'report' => false,
+        ],
+
         'public' => [
             'driver' => 'local',
             'root' => storage_path('app/public'),

docs/backend/core-update-system.md

@@ -111,7 +111,8 @@
 ├─ Step 4:  다운로드 (GitHub zipball 또는 --source/--local에서 복사)
 ├─ Step 5:  백업 생성 (--no-backup 시 스킵)
 ├─ Step 6:  Composer install (_pending에서 실행, 변경 없으면 스킵)
-├─ Step 7:  파일 적용 (_pending → base_path 선택적 덮어쓰기)
+├─ Step 6.5: 신규 파일 manifest 생성 + 증분 적용 대상(3-way) 산출 (백업 있을 때)
+├─ Step 7:  파일 적용 (_pending → base_path, 기본=코어 변경분만 / --prune=전체 덮어쓰기)
 ├─ Step 8:  vendor 복사 (_pending/vendor → base_path/vendor, Step 6 스킵 시 함께 스킵)
 ├─ Step 9:  마이그레이션 + 동기화 (migrate, roles, permissions, menus, mail templates)
 ├─ Step 10: 업그레이드 스텝 실행 (upgrades/Upgrade_X_Y_Z.php)
@@ -178,16 +179,49 @@ v접두사 자동 감지 (resolveGithubArchiveUrl):
 
 > Vendor 번들 시스템 상세: [docs/extension/vendor-bundle.md](../extension/vendor-bundle.md)
 
+### Step 6.5: 신규 파일 manifest + 증분 적용 대상 산출
+
+```text
+백업이 있을 때(--no-backup 아님)만 수행:
+
+1. writeNewFilesManifest() — 자동 롤백용 `_new_files_manifest.json` 기록
+   (base=백업 vs theirs=_pending: 신 버전이 추가한 파일/디렉토리 목록)
+
+2. computeApplyList() — 기본(증분) 모드의 3-way 적용 대상 산출 (--prune 시 스킵)
+   · base   = 구버전 원본 = 백업 스냅샷
+   · theirs = 신 버전     = _pending
+   · base 없음 → added / size·md5 다름 → changed / 동일 → 제외(스킵)
+   · size 선필터 후 size 동일할 때만 md5 (mtime 비교 안 함 — _pending 은 추출 시각)
+   · symlink / excludes / protected_paths 하위 → 목록 제외
+   · 단, targets 에 더 구체적으로 명시된 경로는 상위 protected 를 오버라이드(아래 주석)
+```
+
+> **protected_paths 오버라이드 (공개 #64 / 내부 #452)**: `protected_paths` 에는 확장 부모(`modules`·`plugins`·`templates`·`lang-packs`)가 포함되지만, `targets` 에는 `{domain}/_bundled` 가 명시된다. 3-way 산출(`computeApplyList`)과 신규 파일 manifest(`writeNewFilesManifest`)는 "targets 에 더 구체적(하위)으로 명시된 경로가 상위 protected 를 오버라이드"하도록 판정한다. 이로써 코어 배포본에 포함된 번들 확장의 갱신 파일(`_bundled/{id}/composer.json`·`vendor-bundle.json` 등)이 코어 업데이트로 정상 반영된다. 오버라이드는 target 이 protected 보다 **더 깊을 때만** 적용되므로, `storage`(target) == `storage`(protected) 같은 동일 경로는 여전히 제외된다. 확장 부모를 protected 에 둔 원래 의도(자동 발견 폴백이 활성 서브디렉토리 `modules/sirsoft-*` 를 삭제하는 #347 방어)는 그대로 유지된다 — 자동 발견 폴백은 targets 순회가 아니므로 오버라이드 영향을 받지 않는다.
+
 ### Step 7: 파일 적용
 
 ```text
-- _pending 소스에서 config('app.update.targets') 에 해당하는 파일/디렉토리 선택적 덮어쓰기
+기본(증분) 모드 — --prune 미지정 + 백업 있음:
+- Step 6.5 의 applyList(코어가 실제 변경/추가한 파일)에 있는 파일만 적용
+- 코어가 건드리지 않은 파일은 복사·chmod·chown·mtime 갱신을 전부 스킵 → 현재 디스크
+  상태(사용자 수정 포함 가능)를 그대로 보존
+- orphan(소스에 없는 대상 파일) 삭제 안 함 → 사용자가 추가한 신규 파일 보존
+
+--prune 모드 (또는 백업 부재 fallback):
+- targets 전체 무조건 덮어쓰기 + orphan 삭제 (기존 동작)
+- 백업 부재 시 base 가 없어 3-way 불가 → 안전하게 전체 덮어쓰기로 회귀 + 안내 출력
+
+공통:
 - 자동 발견 폴백: targets 에 미등재된 source 최상위 항목도 스캔하여 적용
   (config('app.update.protected_paths') 와 config('app.update.excludes') 매치 시 스킵)
 - FilePermissionHelper::copyDirectory() 사용 → 원본 파일 권한 보존
 - ExtensionPendingHelper::copyToActive() 미사용 (권한 유실 방지)
 ```
 
+> **기본 동작 변경 배경 (공개 #64)**: 이전에는 Step 7 이 targets 전체를 무조건 재복사하고 orphan 을 삭제하여, 사용자가 수정한 `public/.htaccess` 커스텀 블록이나 `_bundled/` 아래 커스텀 확장이 소실되는 사고가 반복 제보되었다. 기본 동작을 "코어가 실제로 변경/추가한 파일만 적용(3-way)"으로 전환해 발생 표면을 제거했다. 전체 덮어쓰기 + 정리를 원하면 `--prune` 을 지정한다. "코어도 바꾸고 사용자도 바꾼" 파일은 코어 버전으로 갱신되지만 백업에 원본이 보존되어 복구 가능하다.
+
+> **증분 모드 잔존 stale 파일 정리**: 기본(증분) 모드는 orphan 을 삭제하지 않으므로, 신 버전에서 제거된 파일이 활성 디렉토리에 잔존할 수 있다. 완료 요약이 잔존을 안내하며, 정리하려면 다음 업데이트를 `--prune` 으로 실행하거나 단발성 정리 도구 `php artisan hotfix:rollback-stale-files --prune` 을 사용한다 (진단 모드 기본, `--prune` 시 확인 프롬프트 후 정리, symlink/protected_paths 가드 적용). 상세 사용법: [docs/cheatsheet.md](../cheatsheet.md) "단발성 결함 보정 (hotfix)".
+
 > **자동 발견 폴백의 배경 (engine-v / beta.4 이후)**: Step 7 은 부모 프로세스의 `config('app.update.targets')` 를 사용한다. 부모는 업그레이드 *직전* 의 코드/메모리 상태이므로 신버전이 도입한 신규 최상위 디렉토리(예: beta.4 의 `lang-packs/`) 가 부모의 stale targets 에서 누락된다. 폴백은 이 결함을 안전망으로 차단하며, `config/app.php` 의 `update.protected_paths` 가 런타임 데이터(`storage`)·로컬 환경(`.env*`)·별도 파이프라인 산출물(`vendor`)·개발 메타(`.git`/`.claude`/`.serena` 등) 의 의도치 않은 덮어쓰기를 방지한다.
 
 ### Step 9: 마이그레이션 + 동기화
@@ -217,6 +251,21 @@ v접두사 자동 감지 (resolveGithubArchiveUrl):
 
 > **단독 실행 안전성 (beta.6 이후)**: `core:execute-upgrade-steps` 는 HANDOFF 안내 또는 수동 복구 목적으로 운영자가 직접 호출되는 경로가 있다. 단독 실행 시 자식은 기본값으로 부모 Step 9 (`runMigrations` + `reloadCoreConfigAndResync`), Step 11 (`updateVersionInEnv` + `clearAllCaches`), Step 12 (번들 확장 일괄 업데이트) 를 자체적으로 수행해 단일 명령으로 업그레이드를 완결한다. 부모 `CoreUpdateCommand::spawnUpgradeStepsProcess()` 는 자식 명령 라인에 `--skip-migrations`, `--skip-resync`, `--skip-version-env`, `--skip-cache-clear`, `--skip-bundled-updates` 5개를 무조건 추가해 중복 회피한다 — 부모가 자식 종료 후 동일 단계를 직접 수행하기 때문이다.
 
+#### 재실행 안내의 권한 분기 (핸드오프 catch)
+
+spawn 자식이 실패(`proc_open` 미지원 · 비정상 종료 · silent skip)하고 `spawn_failure_mode=abort`(기본값) 이면, 파일·버전은 이미 `toVersion` 으로 반영되지만 업그레이드 스텝이 미실행 상태로 남아 운영자에게 `core:execute-upgrade-steps` 재실행을 안내한다. 이때 **sudo(root) 로 `core:update` 를 실행한 경우**, 안내받은 명령을 root 로 그대로 재실행하면 스텝이 만드는 파일·캐시가 root 소유로 생성되어 이후 웹서버(php-fpm www-data 등) 요청이 그 경로에 쓰기 실패한다.
+
+`CoreUpdateCommand::surfaceResumeCommandWithPermissionGuidance()` 는 실행 환경을 4가지로 분류(`classifyResumeExecutionContext()`)하여 안내를 분기한다:
+
+| 모드 | 조건 | 안내 |
+|------|------|------|
+| `non_root` | root 아님(일반 SSH 사용자 = 파일 소유자) / posix 미지원(Windows) / 공유 호스팅(웹서버·PHP·실행 유저 동일) | 명령만 그대로 출력 |
+| `root_web_known` | root 실행 + 웹서버 계정 식별 가능 + 실행 사용자와 다름 | `sudo -u {계정} {명령}` + 계정명 명시 경고 |
+| `root_web_symmetric` | root 실행 + 웹서버 계정이 root 로 추정 (root 서비스 구성) | 명령만 그대로 출력 |
+| `root_web_unknown` | root 실행 + 웹서버 계정 추정 실패 | `sudo -u <웹서버계정>` placeholder + 계정 확인 안내 |
+
+웹서버 계정은 `FilePermissionHelper::inferWebServerOwnership()` 이 `storage/*`·`bootstrap/cache` 쓰기 영역 소유자로 추정한다.
+
 ### Step 11: 마무리
 
 ```text
@@ -616,12 +665,13 @@ config('app.version') = env('APP_VERSION', 'config/app.php 기본값')
 |--------|---------|------|
 | `createBackup()` | `(?Closure $onProgress): string` | CoreBackupHelper로 백업 생성 |
 | `restoreFromBackup()` | `(string $backupPath, ?Closure $onProgress): void` | 백업에서 파일 복원 |
+| `CoreBackupHelper::computeApplyList()` | `(string $backupPath, string $sourcePath, array $targets, array $protectedPaths, array $excludes): array` | 3-way 판정으로 증분 적용 대상(added/changed) 산출 (`apply`, `added_count`, `changed_count`, `has_symlink`). targets 에 명시된 `{domain}/_bundled` 는 상위 protected(`modules` 등)를 오버라이드해 목록에 포함 (공개 #64 / 내부 #452) |
 
 ### 적용 및 설치
 
 | 메서드 | 시그니처 | 설명 |
 |--------|---------|------|
-| `applyUpdate()` | `(string $sourcePath, ?Closure $onProgress): void` | _pending → base_path 선택적 덮어쓰기 |
+| `applyUpdate()` | `(string $sourcePath, ?Closure $onProgress, bool $prune = false, ?array $applyList = null): void` | _pending → base_path 적용. `$applyList` 지정 + `!$prune` 이면 증분(코어 변경분만), 그 외 전체 덮어쓰기 + orphan 삭제 |
 | `runComposerInstallInPending()` | `(string $pendingPath, ?Closure $onProgress): void` | _pending에서 composer install (--no-scripts) |
 | `isComposerUnchangedForCore()` | `(string $pendingPath): bool` | composer.json/lock MD5 비교 |
 | `runComposerInstall()` | `(?Closure $onProgress): void` | base_path에서 composer install |
@@ -663,13 +713,14 @@ config('app.version') = env('APP_VERSION', 'config/app.php 기본값')
 ### core:update
 
 ```bash
-php artisan core:update [--force] [--no-backup] [--no-maintenance] [--local] [--source={path}]
+php artisan core:update [--force] [--no-backup] [--prune] [--no-maintenance] [--local] [--source={path}]
 ```
 
 | 옵션 | 설명 |
 |------|------|
 | `--force` | 버전 비교 스킵, 동일 버전이어도 강제 업데이트 |
-| `--no-backup` | 백업 생성 스킵 (Step 5) |
+| `--no-backup` | 백업 생성 스킵 (Step 5). 증분 적용 불가 → 전체 덮어쓰기로 회귀 |
+| `--prune` | 코어가 제거한 파일 정리 + targets 전체 덮어쓰기(기존 방식). 미지정 시 코어가 실제 변경/추가한 파일만 적용(3-way)하고 나머지는 보존 |
 | `--no-maintenance` | 유지보수 모드 스킵 (Step 3) |
 | `--local` | 현재 코드베이스를 소스로 사용 (GitHub 스킵) |
 | `--source={path}` | 지정 디렉토리를 소스로 사용 (GitHub 스킵) |

docs/backend/response-helper.md

@@ -587,6 +587,27 @@ class PublicLayoutController extends PublicBaseController
 
 ---
 
+## JSON 인코딩 옵션 (JSON_UNESCAPED_UNICODE)
+
+모든 `response()->json()` 호출은 `ResponseHelper::JSON_ENCODE_OPTIONS`(= `JSON_UNESCAPED_UNICODE`)를 인코딩 옵션으로 전달한다. 한글 등 멀티바이트 문자를 `\uXXXX`(6바이트)로 이스케이프하지 않고 raw UTF-8(한글 3바이트)로 직렬화하여 응답 전송 크기를 줄인다. 다국어 팩(lang) 응답처럼 한글 비중이 큰 페이로드에서 절감 효과가 크다.
+
+```php
+// ✅ 올바른 사용 — 네 번째 인자로 옵션 전달
+return response()->json($payload, $status, [], ResponseHelper::JSON_ENCODE_OPTIONS);
+
+// 헤더 배열이 필요한 경우 (세 번째 인자)
+return response()->json($payload, $status, ['Cache-Control' => '...'], ResponseHelper::JSON_ENCODE_OPTIONS);
+
+// ❌ 옵션 누락 — 한글이 \uXXXX 로 팽창
+return response()->json($payload, $status);
+```
+
+`ResponseHelper` 의 모든 메서드(`success`/`error`/`validationError`/… )와 `BaseApiController::successWithCache`/`cachedJsonResponse` 는 이미 이 옵션을 적용한다. 컨트롤러/서비스는 `ResponseHelper` 를 사용하면 자동으로 적용되므로 별도 조치가 불필요하다. `response()->json()` 을 직접 호출하는 신규 코드에서만 옵션 전달을 잊지 않는다.
+
+> 슬래시 언이스케이프(`JSON_UNESCAPED_SLASHES`)는 적용하지 않는다 — endpoint 경로의 `\/` 는 크기 영향이 미미하고, 기존 응답 본문 정확 매칭 테스트의 안전성을 우선한다.
+
+---
+
 ## 관련 문서
 
 - [index.md](index.md) - 백엔드 가이드 인덱스

docs/backend/service-provider.md

@@ -346,7 +346,7 @@ protected function loadModuleRoutes(): void
 - **`hasTable` 폴백 경로는 반드시 유지** — `installer_completed=false` 환경에서도 안전하게 부팅되어야 함
 - **try/catch 도 그대로 유지** — DB 연결 실패 시 안전한 스킵 계약 준수
 - 가드는 hasTable 체크 **전체 블록을 `if (! config('app.installer_completed'))` 로 래핑** 하는 형태
-- `config:cache` 를 사용하는 환경에서는 `.env` 값 변경 후 반드시 `php artisan config:clear && php artisan config:cache` 를 실행해야 함
+- `config:cache` 는 config 소스를 변경하는 라이프사이클에서 `App\Support\ConfigCacheHelper::rebuild()` 로 자동 재생성된다 (아래 "config 캐시 자동 재생성" 참조). `.env` 를 직접 편집한 경우처럼 헬퍼를 거치지 않는 변경은 여전히 `php artisan config:clear && php artisan config:cache` 를 수동 실행한다
 
 ### 확장 Trait 패턴
 
@@ -369,6 +369,28 @@ private static function isExtensionTableReady(string $table): bool
 }
 ```
 
+### 부팅 경로 Listener / Repository 적용
+
+ServiceProvider 와 Trait 외에도, `CoreServiceProvider::boot()` 말미(동적 훅 등록 / IDV 정책 동기화)에서 매 요청 실행되는 다음 지점도 동일 가드를 적용합니다:
+
+- `NotificationHookListener::registerDynamicHooks()` — `notification_definitions` 존재 확인 (단일 최대 비용)
+- `IdentityPolicyRepository::listHookTargets()` — `identity_policies` 존재 확인
+- `IdentityPolicyRepository::activeExtensionIdentifiers()` — `modules` / `plugins` 존재 확인 (테이블 부재 시 `null` 반환으로 필터 미적용 계약 보존)
+
+```php
+// hasTable 을 단독 조건이 아니라 installer_completed 와 && 로 단락.
+// 설치 완료 시 hasTable 호출 자체를 건너뛰고 후속 로직으로 진행한다.
+if (! config('app.installer_completed') && ! Schema::hasTable('notification_definitions')) {
+    return;
+}
+```
+
+`try/catch` 블록 안에 있는 Repository 조회는 catch 계약(테이블 부재/DB 오류 시 `[]` 또는 `null` 반환)을 그대로 보존한 채 조건만 확장한다.
+
+### 부팅 경로 정적 훅 등록 캐시
+
+`installer_completed` 가드가 부팅 시 DB 조회를 줄이는 것과 별개로, `CoreServiceProvider::boot()` 의 정적 훅 리스너 등록(`app/Listeners` 재귀 스캔 + 모듈/플러그인 `getHookListeners()` 클래스 로딩)은 `bootstrap/cache/hooks.php` 캐시로 매 요청 스캔·리플렉션을 제거한다. 캐시 부재/테스트 환경에서는 기존 스캔 경로로 안전 폴백하며, 등록 결과는 스캔 경로와 바이트 동일하다. 상세: [extension/hooks.md "정적 훅 매핑 캐시"](../extension/hooks.md).
+
 ### 주의사항
 
 - **인스톨러 설치 완료 시점에 `INSTALLER_COMPLETED=true` 가 `.env` 에 기록되어야 함** — G7 인스톨러(`public/install/includes/task-runner.php`)는 이를 이미 수행
@@ -408,6 +430,38 @@ php artisan migrate
 
 ---
 
+## config 캐시 자동 재생성 (ConfigCacheHelper)
+
+config 소스(`config/*.php`, `.env`, `storage/app/settings/*.json`, 활성 확장 목록)를 변경하는 라이프사이클은 `App\Support\ConfigCacheHelper::rebuild()` 를 호출해 config 캐시를 재빌드한다.
+
+### 배경
+
+과거 설정 변경/코어 업데이트/APP_KEY 재생성 등은 `config:clear` 만 하고 `config:cache` 를 재생성하지 않았다. 그 결과 관리자가 "시스템 최적화"(`optimizeSystem`)로 캐시를 만들어도, 이후 설정을 한 번 저장하면 캐시가 비워진 채 재생성되지 않아 이후 모든 요청이 config 파일을 재파싱했다(성능 손실). `rebuild()` 는 clear 직후 재생성까지 수행해 캐시가 비활성 상태로 잔존하지 않게 한다.
+
+### 정책
+
+- **환경 무관 항상 재생성** — config:cache 는 그 자체로 부팅 비용을 줄이고, G7 설정은 config 캐시에 박제되지 않고 매 요청 런타임 `Config::set()` 으로 재주입되므로(설정 stale 없음) 항상 켜두는 것이 이득이다.
+- **testing 환경**: `config:clear` 는 수행(값 반영 계약 유지)하되 `config:cache` 생성은 스킵(캐시된 config 가 다음 테스트로 누출되는 격리 파괴 방지).
+- **설치 미완료 상태**: 불완전 config 박제를 피하려 재생성을 스킵하고 clear 만 한다.
+- **local 개발 주의**: config:cache 가 켜지면 `config/*.php` 를 직접 수정해도 다음 요청에 반영되지 않는다. 이는 개발자가 `php artisan config:clear` 로 대응하는 개발자 책임 영역이다.
+
+### 적용 지점
+
+| 라이프사이클 | 재생성 위치 |
+| --- | --- |
+| 코어 설치 완료 | 인스톨러 `complete_flag` 직후 `config:cache` task |
+| 코어 업데이트 | `CoreUpdateCommand` Step 11 완료 지점 |
+| 코어 업그레이드 스텝(단독 실행) | `ExecuteUpgradeStepsCommand` 캐시 정리 블록 (spawn 자식은 부모가 처리) |
+| 코어 관리자 설정 저장 / 캐시 정리 / GeoIP / APP_KEY | `SettingsService` / `GeoIpDatabaseService` 의 각 지점 |
+| 확장 설치/삭제/업데이트 | `ExtensionManager::updateComposerAutoload()` (오토로드·훅 캐시와 동일 생명주기) |
+| 확장 활성화/비활성화 | `ExtensionConfigCacheListener` (`core.*.activated` / `core.*.after_deactivate` 훅 구독) |
+
+`ExtensionConfigCacheListener` 의 구독 훅은 `getSubscribedHooks()` 에서 `'sync' => true` 로 선언한다. 훅 Action 리스너의 기본 등록 정책은 큐 디스패치(`HookListenerRegistrar`)인데, config 캐시 재생성을 큐로 미루면 (1) 워커 미가동 환경에서 영영 재생성되지 않고, (2) 확장 토글을 수행하는 CLI 커맨드(`plugin:deactivate` 등)는 실행 후 프로세스가 종료되어 큐 작업을 처리할 주체가 없다. config 캐시 재생성은 인프라 부수효과이므로 반드시 동기 실행한다. 회귀 방지 테스트: `ExtensionConfigCacheListenerTest::test_all_hooks_are_synchronous`.
+
+**확장별 개별 환경설정 저장(board/ecommerce/plugin SettingsService)은 재생성 대상이 아니다.** 확장 설정은 `config/*.php` 가 아니라 settings JSON 에 저장되고, 매 요청 `CoreServiceProvider::boot` 의 `loadModule/PluginSettingsToConfig` 가 런타임 `Config::set('g7_settings.*', 최신값)` 으로 config 캐시에 박제된 값을 덮어쓴다. 따라서 값 stale 이 없고(즉시 반영), config 캐시를 clear 하지도 않으므로(성능 손실 없음) 재생성이 실효가 없다.
+
+---
+
 ## 관련 이슈
 
 - 인스톨러에서 `composer install` 시 DB 접근 오류

docs/cheatsheet.md

@@ -27,6 +27,8 @@ _bundled에서 TSX/TS 파일 수정한 경우    → 빌드 후 확장 업데이
 | `modules/**/resources/js/**/*.ts` (핸들러) | `module:build` + `module:update {id} --force` |
 | `templates/**/src/**/*.tsx` (컴포넌트) | `template:build` + `template:update {id} --force` |
 
+> **확장 프론트엔드 번들**: 활성 모듈/플러그인 IIFE 는 서버측에서 종류별 1개 번들로 병합 서빙된다(`/api/{modules,plugins}/bundle.{js,css}`). `{type}:update` 후 확장 캐시 버전이 bump 되면 번들이 자동 재생성된다(prod 캐시, dev 매 요청 concat). 구버전 번들 파일은 `ext-bundles:cleanup` 또는 `{type}:cache-clear` 로 정리. 상세: [module-assets.md](extension/module-assets.md#서버측-번들-병합).
+
 ---
 
 ## 확장 업데이트 (_bundled → 활성 반영)
@@ -172,9 +174,15 @@ php artisan language-pack:update [identifier] [--force] [--source=auto|bundled|g
 php artisan extension:composer-install          # 모든 모듈+플러그인
 
 # 오토로드
-php artisan extension:update-autoload
+php artisan extension:update-autoload            # 오토로드 캐시 + 정적 훅 매핑 캐시 함께 재생성
+
+# 정적 훅 매핑 캐시 (부팅 비용 절감 — route:cache 동형)
+php artisan hooks:cache                           # bootstrap/cache/hooks.php 생성
+php artisan hooks:clear                           # 캐시 삭제 (삭제 후 스캔 폴백 — 항상 안전)
 ```
 
+> 훅 캐시는 확장 install/update 및 코어 업데이트(`clearAllCaches` → `extension:update-autoload`) 시 자동 재생성됩니다. 코어 리스너 코드 배포 시에만 `hooks:cache` 수동 실행. 상세: [extension/hooks.md "정적 훅 매핑 캐시"](extension/hooks.md).
+
 ### 단발성 결함 보정 (hotfix)
 
 `hotfix:*` prefix 는 특정 버전의 결함 회복을 위해 신설되는 단발성 도구를 위한 표준 prefix 다. `core:*` (영구 운영 도구) 와 명확히 구분되며 dev-dashboard 자동 노출 면제 대상이다.

docs/extension/editor-spec.md

@@ -136,7 +136,7 @@ editor-spec.json 이 커지면(코어 admin 템플릿은 단일 파일 18,000줄
 
 ### actionRecipes — 친화 명칭 → 핸들러 JSON
 
-`params`(친화 입력란) + `build`(핸들러 JSON 생성 틀)로 구성한다. `build` 값의 `{{paramKey}}`(중괄호 2개)가 입력값으로 치환된다. `onSuccess`/`onError` 가 `{{key}}` 이고 그 파라미터가 `action-list` 면 치환 결과는 중첩 액션 **배열**이 된다. 핸들러명/파라미터 키는 사용자에게 노출하지 않는다 — 사용자는 `label` 친화 명칭만 본다. `build.handler` 는 CLAUDE.md CRITICAL RULES 의 올바른 핸들러(`navigate`/`apiCall`/`setState`/...)를 쓴다. `comment` 키는 레시피가 아닌 작성자 메모다.
+`params`(친화 입력란) + `build`(핸들러 JSON 생성 틀)로 구성한다. `build` 값의 `{{paramKey}}`(중괄호 2개)가 입력값으로 치환된다. `onSuccess`/`onError` 가 `{{key}}` 이고 그 파라미터가 `action-list` 면 치환 결과는 중첩 액션 **배열**이 된다. 핸들러명/파라미터 키는 사용자에게 노출하지 않는다 — 사용자는 `label` 친화 명칭만 본다. `build.handler` 는 코어 핸들러 규칙의 올바른 핸들러(`navigate`/`apiCall`/`setState`/...)를 쓴다. `comment` 키는 레시피가 아닌 작성자 메모다.
 
 `build.handler` 는 리터럴 핸들러명 대신 `{{paramKey}}` **placeholder** 도 가능하다 — 호출할 핸들러를 응답값 등 데이터로 결정하는 provider-agnostic 액션(예: ecommerce 모듈 `requestPgPayment` "결제 진입" — 핸들러를 `{{response.data.pg_payment_handler}}` 데이터 칩으로 연결)에 쓴다. 결제 같은 **도메인 동작은 코어가 아니라 그 도메인 확장(모듈/플러그인/템플릿)이 자기 editor-spec `actionRecipes` 에 소유**한다 — 코어는 PG/도메인을 모른다. 확장 레시피는 로더가 `__source` 메타를 붙여 〔확장식별자〕 배지·'extension' 그룹으로 자동 분류한다. 라벨은 그 확장의 lang 네임스페이스를 명시한다(예: `$t:sirsoft-ecommerce.editor.action.request_pg_payment.label`).
 

docs/extension/extension-manager.md

@@ -13,6 +13,7 @@
 3. 설치/삭제 시 자동 갱신: updateComposerAutoload() → generateAutoloadFile()
 4. 수동 갱신: php artisan extension:update-autoload
 5. _bundled/_pending 디렉토리 자동 제외 (str_starts_with($name, '_') → skip)
+6. src_classmap: 확장 소스 FQCN→경로 사전 계산 → findFile 파일시스템 stat 제거 (지연 로드·vendor 격리 유지)
 ```
 
 ---
@@ -79,6 +80,10 @@ return [
         "modules/sirsoft-ecommerce/module.php",
         "plugins/sirsoft-payment/plugin.php",
     ],
+    'src_classmap' => [
+        "Modules\\Sirsoft\\Ecommerce\\Services\\OrderService" => "modules/sirsoft-ecommerce/src/Services/OrderService.php",
+        "Plugins\\Sirsoft\\Payment\\Providers\\PaymentServiceProvider" => "plugins/sirsoft-payment/src/Providers/PaymentServiceProvider.php",
+    ],
     'files' => [],
     'vendor_autoloads' => [
         "modules/sirsoft-ecommerce/vendor/autoload.php",
@@ -86,8 +91,19 @@ return [
 ];
 ```
 
+- `classmap`: `module.php` / `plugin.php` 등 부트스트랩 파일 목록 — 진입점에서 `require_once` (즉시 로드)
+- `src_classmap`: 확장 **소스** 클래스의 `FQCN → 상대경로` 맵 — 진입점에서 `$loader->addClassMap()` (지연 로드)
 - `vendor_autoloads`: 모듈/플러그인의 `vendor/autoload.php` 경로 목록 (Composer 의존성이 설치된 경우만 포함)
 
+#### src_classmap — findFile 파일시스템 스캔 제거 (성능)
+
+확장 소스 클래스는 `addPsr4()` 로만 등록되면 Composer `findFile()` 이 클래스마다 파일시스템을 스캔(`is_dir`/`file_exists` stat)한다. OPcache 가 cold 이거나 파일시스템이 느린 환경에서는 이 stat 비용이 요청 시간의 큰 비중을 차지할 수 있다. `src_classmap` 은 `generateAutoloadFile()` 이 각 PSR-4 디렉토리를 스캔해 `FQCN → 경로` 를 사전 계산하고, 진입점(`public/index.php` / `CoreServiceProvider` / `ExtensionManager::registerExtensionAutoload`)이 `ClassLoader::addClassMap()` 으로 등록한다. `findFile()` 은 classMap 을 **최우선 조회**하므로 확장 클래스는 파일시스템 접근 0 으로 즉시 경로를 얻는다.
+
+- **지연 로드 유지**: classmap 은 경로만 제공하며 `include` 는 실제 사용 시점에. 매 요청 전량 로드가 아니다.
+- **PSR-4 폴백 보존**: classmap 에 없는 클래스(신규 추가 후 미재생성 등)는 기존 PSR-4 경로로 폴백 — 안전망.
+- **vendor 격리 불변**: `src_classmap` 은 확장 **소스**(`Modules\*`/`Plugins\*`)만 담는다. 확장별 독립 서드파티 vendor 는 각 확장 `vendor/autoload.php`(별도 ClassLoader) 가 담당하므로 여기 포함되지 않는다.
+- **재생성**: `psr4` 와 동일 생명주기 — install / update / uninstall 시 `updateComposerAutoload()`, 코어 업데이트 시 `extension:update-autoload` 가 함께 재생성.
+
 ### 중요 규칙
 
 ```

docs/extension/hooks.md

@@ -484,6 +484,44 @@ private function registerCoreHookListeners(): void
 | 위치 | `app/Listeners/**/*.php` | `modules/**/Listeners/`, `plugins/**/Listeners/` |
 | 등록 주체 | `CoreServiceProvider` | `ModuleServiceProvider`, `PluginServiceProvider` |
 
+---
+
+## 정적 훅 매핑 캐시 (Static Hook Cache)
+
+매 요청 부팅 시 코어(`app/Listeners` 재귀 스캔) + 모듈/플러그인(`getHookListeners()`)의 정적 훅 리스너를 발견·리플렉션·`getSubscribedHooks()` 클래스 로딩하는 비용을 제거하기 위해, 사전 계산한 훅 매핑을 `bootstrap/cache/hooks.php` 에 캐시합니다 (오토로드 캐시 `autoload-extensions.php` 와 동일 위치·생명주기).
+
+캐시는 "무엇을 등록할지 목록" 만 제공하며 **등록 자체는 여전히 부팅에서 수행** 되므로 등록↔발화 순서 계약은 불변입니다. 캐시 경로 등록 결과는 스캔 경로와 **훅 매핑이 바이트 동일** 합니다 (`HookListenerRegistrar::registerFromCache()` 가 `register()` 와 동일한 `applySubscribedHooks()` 에 위임).
+
+### 동작
+
+| 상태 | 부팅 시 동작 |
+|------|-------------|
+| 캐시 존재 (`bootstrap/cache/hooks.php`) | 스캔·리플렉션·클래스 로딩 없이 캐시 매핑으로 등록 |
+| 캐시 부재 / 손상 / 구조 불일치 | 기존 스캔 경로로 **안전 폴백** (항상 동작) |
+| 테스트 환경 (`APP_ENV=testing`) | 캐시 미사용 — 매 setUp 스캔이 정확·격리 우선 |
+
+- 동적 훅(알림 등 `registerDynamicHooks()`)은 캐시 대상이 아니며 코드 변경 없이 그대로 동작합니다. 캐시에는 각 리스너의 `dynamic` 플래그만 저장하여, 동적 훅 보유 코어 리스너의 boot 후반부 지연 실행 순서를 스캔 경로와 동일하게 유지합니다.
+- 동적 훅의 DB 조회(`NotificationDefinitionService::getAllActive()`)는 이미 `['notification']` 태그로 캐시되어 있으므로 첫 요청(캐시 워밍) 이후 DB 조회가 발생하지 않습니다.
+
+### 재생성 (무효화 = 재생성)
+
+정적 훅 매핑은 **확장 변경 또는 코어 리스너 코드 배포 시에만** 바뀝니다. 해당 시점에 자동/수동 재생성됩니다:
+
+| 사건 | 재생성 경로 |
+|------|-----------|
+| 확장 install / activate / deactivate / uninstall / update | `ExtensionManager::updateComposerAutoload()` 가 오토로드 캐시와 나란히 재생성 (자동) |
+| 코어 업데이트 (`core:update`) | `clearAllCaches()` → `extension:update-autoload` 가 오토로드 + 훅 캐시 함께 재생성 (자동). 코어 리스너 추가/변경/삭제 반영 |
+| 코어 리스너 코드 배포 | `php artisan hooks:cache` (배포 파이프라인 — `route:cache` 동형) |
+
+```bash
+php artisan hooks:cache   # 정적 훅 매핑 캐시 생성 (bootstrap/cache/hooks.php)
+php artisan hooks:clear   # 캐시 삭제 (삭제 후 스캔 폴백 — 항상 안전)
+```
+
+캐시 파일은 Git 미추적(`bootstrap/cache/*`) 이며 배포 환경마다 생성됩니다. 캐시가 없어도 스캔 폴백으로 정상 동작하므로 필수는 아니지만, 프로덕션 배포 시 부팅 비용 절감을 위해 `config:cache`/`route:cache` 와 함께 실행하는 것을 권장합니다.
+
+**핵심 파일**: `app/Extension/HookCacheManager.php`, `app/Extension/HookListenerRegistrar.php` (`registerFromCache`)
+
 ### 동적 훅 리스너 (DB 기반)
 
 DB 설정에 따라 훅 구독 대상이 동적으로 변하는 경우, 리스너에 `registerDynamicHooks()` 메서드를 구현합니다.

docs/extension/module-assets.md

@@ -381,6 +381,72 @@ GET /api/modules/assets/{identifier}/{path}
 
 ---
 
+## 서버측 번들 병합 (Server-side Bundle)
+
+활성 모듈/플러그인이 늘어날수록 개별 IIFE JS/CSS 요청이 선형 증가한다. 이를 줄이기 위해 코어는 타입별(모듈/플러그인)로 활성 `global` 에셋을 서버에서 하나의 번들로 병합해 서빙한다. 각 확장 IIFE 는 자체 클로저에서 자가등록(레지스트리 + 핸들러/리스너)을 수행하므로, priority 순으로 이어붙여 단일 `<script>` 로 실행해도 등록 동작은 동일하다.
+
+### 서빙 엔드포인트
+
+```
+GET /api/modules/bundle.js?v={version}
+GET /api/modules/bundle.css?v={version}
+GET /api/plugins/bundle.js?v={version}
+GET /api/plugins/bundle.css?v={version}
+```
+
+`{version}` = 확장 캐시 버전(`ClearsTemplateCaches::getExtensionCacheVersion()`). 활성 조합이 바뀌면 install/activate/deactivate/update 라이프사이클에서 version 이 bump 되어 새 URL → 새 캐시 파일명으로 자동 무효화된다.
+
+### 동작 흐름
+
+```
+1. blade → window.G7Config.bundleUrls 주입 (활성 에셋 없는 타입은 null)
+2. TemplateApp.loadExtensionAssets()
+   └─ ModuleAssetLoader.loadBundle('module', ...) → loadBundle('plugin', ...)
+       ├─ 단일 <script async=false> + 단일 <link> append
+       └─ 번들 내부 물리 순서(=priority 정렬)로 IIFE 자가등록 실행
+```
+
+`bundleUrls` 가 없으면(구버전 blade) `ModuleAssetLoader.loadActiveExtensionAssets` 개별 로딩으로 폴백한다.
+
+### 병합 규율
+
+| 규율 | 내용 | audit 룰 |
+|------|------|---------|
+| priority 순서 | manifest `loading.priority` 오름차순만. 확장 이름 하드코딩 금지 | (선언형) |
+| `\n;\n` 구분자 | IIFE 사이는 `\n;\n`(JS)/`\n`(CSS). 미사용 시 ASI 붕괴 → 전체 파싱 에러 | `extension-bundle-concat-separator` |
+| 소스맵 | prod strip, dev 는 개별 에셋 서빙 절대 URL 로 rewrite | - |
+| same-origin | 번들 URL 은 `/api/...` 만 (CDN 금지 — gdpr preblocker 자기차단 방지) | `extension-bundle-url-same-origin` |
+| 절대경로 게터 | `getBuiltAssetAbsolutePaths()` 사용. `base_path("modules"\|"plugins")` 직접 조립 금지 | `extension-bundle-asset-path-getter` |
+| 확장별 try/catch | 파일 읽기 실패 시 해당 확장만 skip, 나머지 병합 지속 | (메모리+회귀테스트) |
+| CSS url() | 상대경로 url() 을 가진 CSS 는 번들 제외(개별 폴백) | - |
+
+### 캐시 stale 관리
+
+번들 파일(`storage/app/ext-bundles/{type}.{version}.{js,css}`)은 Laravel 캐시 스토어 밖 파일시스템이라 version bump/`cache:clear` 가 구파일을 지우지 않는다. 정리 경로:
+
+```bash
+php artisan ext-bundles:cleanup           # 현재 version 외 구파일 삭제
+php artisan module:cache-clear            # 모듈 번들 파일 정리 포함
+php artisan plugin:cache-clear            # 플러그인 번들 파일 정리 포함
+php artisan template:cache-clear          # 전체 번들 파일 정리 포함
+```
+
+프로덕션은 version-in-path 디스크 캐시, 비프로덕션(dev/watch)은 캐시 없이 매 요청 concat(rebuild 즉시 반영). `_bundled` 수정 후에는 `{type}:update {id} --force` 로 활성 반영 후 version bump 로 번들이 재생성된다.
+
+> 개별 에셋 서빙 라우트(`/api/{type}/assets/...`, `*.map` 포함)는 소스맵·static 참조를 위해 존치한다.
+
+### 전송 압축 (gzip)
+
+번들 JS/CSS 는 `fileResponse()`(= `response()->file()` → `BinaryFileResponse`)로 서빙되며, `GzipEncodeResponse` 미들웨어가 gzip 압축을 적용한다. `BinaryFileResponse` 는 `getContent()` 가 `false` 를 반환하므로, 미들웨어는 파일 경로(`getFile()->getPathname()`)에서 본문을 읽어 압축한 뒤 헤더(Content-Type/ETag/Cache-Control)를 승계한 일반 `Response` 로 치환한다.
+
+- 1KB 미만 번들(예: 빈 CSS)은 `MIN_COMPRESS_SIZE` 가드로 압축 생략.
+- `Accept-Encoding: gzip` 미포함 요청, 이미 `Content-Encoding` 이 있는 응답, 304 응답은 압축 대상에서 제외.
+- 회귀 테스트: `tests/Feature/Middleware/GzipEncodeResponseTest.php` (BinaryFileResponse 압축/헤더 승계/소용량 skip).
+
+> `BinaryFileResponse` 를 압축 대상에 포함하지 않으면 번들이 비압축 전송되는 사각지대가 생긴다(모듈/플러그인 번들은 크기가 커 압축 이득이 특히 크다).
+
+---
+
 ## 에셋 로딩 전략
 
 ### global (기본값)

docs/frontend/layout-json-components-rendering.md

@@ -606,7 +606,7 @@ iteration 내부에서 상태를 관리하는 컴포넌트(Input, Select, TagInp
 - id가 없으면 동적으로 행 추가/삭제 시 이전 인스턴스의 내부 상태가 새 인스턴스에 표시될 수 있음
 - 특히 내부 상태를 관리하는 컴포넌트(TagInput, Select, Input 등)에서 중요
 
-> **iteration id 표현식 보간** (engine-v1.52.4+): 노드의 최상위 `id` 필드에 쓴 표현식(`id: "item_{{$idx}}"`, `id: "row_{{item.id}}"` 등)은 일반 렌더 경로(DynamicRenderer)에서 iteration 컨텍스트로 보간되어 행마다 고유 DOM id 가 된다. `index_var`(예 `"index_var": "$idx"`) 또는 `item_var` 의 필드를 활용한다. 정적 id 를 iteration 안에 그대로 두면 모든 행이 같은 HTML id 를 갖게 되어 W3C id 유일성을 위반하므로(렌더 누락까지 유발), 반복 항목 노드와 그 자식의 id 는 반드시 동적화한다. 내부 식별(slot 등록·React key)에는 원본 id 가 쓰이므로 보간은 DOM 출력에만 적용된다.
+> **iteration id 표현식 보간** (engine-v1.50.0+): 노드의 최상위 `id` 필드에 쓴 표현식(`id: "item_{{$idx}}"`, `id: "row_{{item.id}}"` 등)은 일반 렌더 경로(DynamicRenderer)에서 iteration 컨텍스트로 보간되어 행마다 고유 DOM id 가 된다. `index_var`(예 `"index_var": "$idx"`) 또는 `item_var` 의 필드를 활용한다. 정적 id 를 iteration 안에 그대로 두면 모든 행이 같은 HTML id 를 갖게 되어 W3C id 유일성을 위반하므로(렌더 누락까지 유발), 반복 항목 노드와 그 자식의 id 는 반드시 동적화한다. 내부 식별(slot 등록·React key)에는 원본 id 가 쓰이므로 보간은 DOM 출력에만 적용된다.
 
 ---
 

docs/frontend/layout-json.md

@@ -554,7 +554,7 @@ Laravel의 `FormRequest::validated()` 메서드는 `rules()`에 정의된 필드
 | `id` | string | ✅ | 컴포넌트 고유 ID |
 | `type` | string | ✅ | 컴포넌트 타입 (basic/composite/layout) |
 | `name` | string | ✅ | 컴포넌트 이름 (components.json에 등록된 이름) |
-| `comment` | string | ✅ | 시안 추적 코드 및 역할 설명 (예: "F-002: 상품명 검색 필드") |
+| `comment` | string | ✅ | 시안 추적 코드 및 역할 설명 (예: "F-002: 상품명 검색 필드"). 공개 서빙 응답에서는 제거됨 (아래 참조) |
 | `props` | object | ❌ | 컴포넌트에 전달할 props |
 | `text` | string | ❌ | 텍스트 콘텐츠 (최우선 렌더링) |
 | `children` | array | ❌ | 자식 컴포넌트 배열 (레이아웃/집합 컴포넌트에서 사용) |
@@ -575,6 +575,13 @@ Laravel의 `FormRequest::validated()` 메서드는 `rules()`에 정의된 필드
 > - `actions`: [layout-json-features.md](layout-json-features.md#액션-시스템-actions)
 > - `isolatedState`: [아래 섹션](#격리된-상태-isolatedstate)
 
+### `comment` / `_comment` — 공개 서빙 응답에서 제거
+
+`comment` / `_comment` 는 편집기·개발자용 설명 주석이며 런타임 렌더러는 참조하지 않는다. 공개 레이아웃 서빙(`GET /api/layouts/{template}/{layout}.json`) 응답에서는 전송 크기 절감을 위해 이 두 키가 노드 트리 전체에서 재귀적으로 제거된다(`LayoutService::stripDeveloperComments`).
+
+- 편집 모드 서빙(`?with_source_meta=1`, 편집 권한 필요)에서는 편집기가 `comment` 를 편집 가능한 속성으로 노출하므로 **보존**된다. 공개/편집 응답은 별도 캐시 키로 분리되어 있어 조건부 제거가 안전하다.
+- 따라서 `comment` 는 편집기·저장본에서는 유지되고, 일반 사용자에게 서빙되는 응답에서만 사라진다. 레이아웃 로직이 `comment` 값에 의존해서는 안 된다.
+
 ---
 
 ## 격리된 상태 (isolatedState)

docs/testing/e2e-testing.md

@@ -219,7 +219,7 @@ test('unauthenticated_401 × no_token', async ({ page }) => {
 
 `audit-branch.cjs` 의 `test-scenario-coverage` 룰이 매니페스트 axes ↔ docblock 매칭을 자동 검증.
 
-## §8. 회귀 테스트 4단계 (CLAUDE.md 의무 절차 준수)
+## §8. 회귀 테스트 4단계
 
 버그 수정 시 다음 4단계를 스킵 불가:
 
@@ -236,7 +236,7 @@ E2E spec 작성 중 발견한 무관 에러는 같은 세션에서 처리:
 
 - **테스트 stale** (logic 정상, 테스트가 오래됨) → 테스트 수정
 - **로직 회귀** (테스트 정상, 로직이 의도와 어긋남) → 코드 수정
-- **데이터 구조 불일치** (양쪽 모두 오래됨) → PO 보고 + 보류
+- **데이터 구조 불일치** (양쪽 모두 오래됨) → 보고 + 보류
 
 상세: `testing-guide.md` "무관 에러 처리 분기".
 

lang-packs/_bundled/g7-core-ja/CHANGELOG.md

@@ -4,6 +4,19 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.0.2] - 2026-07-08
+
+### Added
+
+- 코어 업데이트 파일 적용 방식 안내 메시지 일본어 번역 추가 (`settings.core_update.apply_mode_incremental`·`apply_mode_incremental_prune_hint`·`apply_mode_prune`·`apply_mode_fallback`) — 코어가 실제 변경한 파일만 적용하는 기본 방식·`--prune` 전체 덮어쓰기·백업 부재 회귀 안내가 일본어 로케일에서 자연스럽게 표시됩니다.
+
+## [1.0.1] - 2026-07-03
+
+### Added
+
+- 설정 복원 관련 안내 메시지 일본어 번역 추가 (`settings.backup_path_required`·`restore_success`·`restore_failed`·`restore_error`) — 백업 경로 미입력 안내와 설정 복원 성공/실패 결과가 일본어 로케일에서 자연스럽게 표시됩니다.
+- 훅 매핑 캐시 관리 안내 메시지 일본어 번역 추가 (`hooks.cache_generated`·`cache_cleared`·`cache_absent`) — 부팅 성능을 위한 훅 캐시 생성·삭제 결과가 일본어 로케일에서 자연스럽게 표시됩니다.
+
 ## [1.0.0] - 2026-07-01
 
 ### Added

lang-packs/_bundled/g7-core-ja/backend/ja/hooks.php

@@ -0,0 +1,7 @@
+<?php
+
+return [
+    'cache_generated' => '静的フック マッピング キャッシュを作成しました。(コア :core / モジュール :modules / プラグイン :plugins) → :path',
+    'cache_cleared' => '静的フック マッピング キャッシュを削除しました。',
+    'cache_absent' => '削除する静的フック マッピング キャッシュがありません。',
+];

lang-packs/_bundled/g7-core-ja/backend/ja/settings.php

@@ -144,5 +144,13 @@ return [
         'zip_file_not_found' => '指定されたZIPファイルが見つかりません::path',
         'source_vendor_missing' => 'ソースディレクトリにvendorがありません。composer installが実行されていない可能性があります。',
         'composer_failed_with_output' => 'composer installの実行に失敗しました。:output',
+        'apply_mode_incremental' => 'ファイル適用: コアが実際に変更したファイルのみ適用しました (新規 :added個、変更 :changed個)。その他のファイルは現在の状態のまま保存されました。',
+        'apply_mode_incremental_prune_hint' => '新しいバージョンで削除されたファイルを一緒に整理する場合は、`--prune` オプションで再実行するか、`php artisan hotfix:rollback-stale-files --prune` を使用してください。',
+        'apply_mode_prune' => 'ファイル適用: 完全な上書き + 削除されたファイルの整理を実行しました (--prune)。',
+        'apply_mode_fallback' => 'ファイル適用: バックアップがないため増分適用をスキップし、完全な上書きを実行しました。ユーザーカスタムファイルの保存を希望する場合は、次回からはバックアップを維持したまま更新してください。',
     ],
+    'backup_path_required' => 'バックアップパスを入力してください。',
+    'restore_success' => '設定が正常に復元されました。',
+    'restore_failed' => '設定の復元に失敗しました。',
+    'restore_error' => '設定の復元中にエラーが発生しました。',
 ];

lang-packs/_bundled/g7-core-ja/language-pack.json

@@ -12,7 +12,7 @@
         "en": "G7 core Japanese language pack (bundled)",
         "ja": "G7 コア 日本語 言語パック(バンドル)"
     },
-    "version": "1.0.0",
+    "version": "1.0.2",
     "license": "MIT",
     "scope": "core",
     "target_identifier": null,

lang-packs/_bundled/g7-module-sirsoft-board-ja/CHANGELOG.md

@@ -4,6 +4,12 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.0.1] - 2026-07-08
+
+### Added
+
+- 관리자 게시글 목록의 "사용자 화면 보기" 링크 라벨(`view_user_page`) 일본어 번역 추가 — 관리자에서 해당 게시글의 사용자 화면으로 이동하는 링크가 일본어 로케일에서 자연스럽게 표시됩니다.
+
 ## [1.0.0] - 2026-07-01
 
 ### Added

lang-packs/_bundled/g7-module-sirsoft-board-ja/frontend/partial/admin/posts.json

@@ -236,7 +236,8 @@
     "blind": "ブラインド",
     "restore": "復元",
     "delete": "削除",
-    "create": "投稿を追加"
+    "create": "投稿を追加",
+    "view_user_page": "ユーザー画面を表示"
   },
   "author_actions": {
     "view_user": "ユーザー情報を表示"

lang-packs/_bundled/g7-module-sirsoft-board-ja/language-pack.json

@@ -12,7 +12,7 @@
         "en": "G7 module (sirsoft-board) Japanese language pack (bundled)",
         "ja": "G7 モジュール (sirsoft-board) 日本語 言語パック(バンドル)"
     },
-    "version": "1.0.0",
+    "version": "1.0.1",
     "license": "MIT",
     "scope": "module",
     "target_identifier": "sirsoft-board",

lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/CHANGELOG.md

@@ -4,6 +4,12 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.0.1] - 2026-07-08
+
+### Added
+
+- 관리자 상품 목록의 "사용자 화면 보기" 링크 라벨(`view_user_page`) 일본어 번역 추가 — 관리자에서 해당 상품의 사용자 화면으로 이동하는 링크가 일본어 로케일에서 자연스럽게 표시됩니다.
+
 ## [1.0.0] - 2026-07-01
 
 ### Added

lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/frontend/partial/admin/product.json

@@ -87,7 +87,8 @@
     "edit_search": "検索編集",
     "search": "検索",
     "reset": "初期化",
-    "save_preset": "プリセット保存"
+    "save_preset": "プリセット保存",
+    "view_user_page": "ユーザー画面を表示"
   },
   "bulk_apply": "一括適用",
   "bulk_success": "選択された商品が一括変更されました。",

lang-packs/_bundled/g7-module-sirsoft-ecommerce-ja/language-pack.json

@@ -12,7 +12,7 @@
         "en": "G7 module (sirsoft-ecommerce) Japanese language pack (bundled)",
         "ja": "G7 モジュール (sirsoft-ecommerce) 日本語 言語パック(バンドル)"
     },
-    "version": "1.0.0",
+    "version": "1.0.1",
     "license": "MIT",
     "scope": "module",
     "target_identifier": "sirsoft-ecommerce",

lang-packs/_bundled/g7-module-sirsoft-page-ja/CHANGELOG.md

@@ -4,6 +4,12 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.0.1] - 2026-07-08
+
+### Added
+
+- 페이지 버전 이력의 변경 필드명 라벨 일본어 번역 추가 (`versions.field_labels.*`) — 버전 이력의 "변경내역" 항목이 일본어 로케일에서 필드 키 대신 자연스러운 라벨로 표시됩니다.
+
 ## [1.0.0] - 2026-07-01
 
 ### Added

lang-packs/_bundled/g7-module-sirsoft-page-ja/backend/ja/validation.php

@@ -62,4 +62,7 @@ return [
             'array' => '順序情報の形式が正しくありません。',
         ],
     ],
+    'attributes' => [
+        'search' => '検索ワード',
+    ],
 ];

lang-packs/_bundled/g7-module-sirsoft-page-ja/frontend/partial/admin.json

@@ -160,7 +160,13 @@
         "changed_fields": "変更: {{fields}}",
         "restored_from": "v{{version}}から復元",
         "restore_guide": "表示ボタンをクリックすると、内容を確認して復元できます。添付ファイルはバージョン管理に含まれていません。",
-        "preview_modal_editor_label": "バージョンプレビュー"
+        "preview_modal_editor_label": "バージョンプレビュー",
+        "field_labels": {
+          "title": "タイトル",
+          "content": "内容",
+          "seo_meta": "SEO情報",
+          "content_mode": "編集モード"
+        }
       }
     }
   }

lang-packs/_bundled/g7-module-sirsoft-page-ja/language-pack.json

@@ -12,7 +12,7 @@
         "en": "G7 module (sirsoft-page) Japanese language pack (bundled)",
         "ja": "G7 モジュール (sirsoft-page) 日本語 言語パック(バンドル)"
     },
-    "version": "1.0.0",
+    "version": "1.0.1",
     "license": "MIT",
     "scope": "module",
     "target_identifier": "sirsoft-page",

lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/CHANGELOG.md

@@ -4,6 +4,16 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.0.1] - 2026-07-08
+
+### Added
+
+- 관리자 헤더의 "사이트 보기" 링크와 접근 가능한 메뉴 부재 안내(`view_site`·`no_accessible_menus`) 일본어 번역 추가 — 관리자에서 사용자 사이트로 이동하는 링크와 메뉴 접근 권한이 없을 때의 안내가 일본어 로케일에서 자연스럽게 표시됩니다.
+
+### Changed
+
+- 첨부 개수 초과 안내 문구(`attachment.upload_limit_exceeded`)를 이미지 전용 표현에서 일반 파일에도 맞는 범용 표현으로 갱신했습니다 — 한국어/영어 원문 변경에 맞춰 일본어 번역을 동기화했습니다.
+
 ## [1.0.0] - 2026-07-01
 
 ### Added

lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/frontend/partial/admin.json

@@ -1,6 +1,7 @@
 {
   "sidebar": {
-    "no_accessible_menus": "アクセス可能なメニューがありません"
+    "no_accessible_menus": "アクセス可能なメニューがありません",
+    "view_site": "サイトを表示"
   },
   "profile_settings": "プロフィール設定",
   "logout": "ログアウト",

lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/frontend/partial/attachment.json

@@ -7,11 +7,11 @@
   "deleting": "削除中...",
   "drop_or_click": "ファイルをドラッグするか、クリックしてアップロード",
   "upload_limit": "最大{{maxFiles}}個、1個あたり{{maxSize}}MB",
+  "upload_limit_exceeded": "最大{{max}}個まで添付できます。",
   "attached_count": "{{count}}/{{max}}個添付済み",
   "max_size": "最大{{size}}MB",
   "drag_to_reorder": "ドラッグして順序を変更",
   "reorder_failed": "順序変更に失敗しました。",
   "primary_image": "メイン画像",
-  "set_as_primary": "メイン画像に設定",
-  "upload_limit_exceeded": "画像は最大{{max}}枚までアップロードできます。"
+  "set_as_primary": "メイン画像に設定"
 }

lang-packs/_bundled/g7-template-sirsoft-admin_basic-ja/language-pack.json

@@ -12,7 +12,7 @@
         "en": "G7 template (sirsoft-admin_basic) Japanese language pack (bundled)",
         "ja": "G7 テンプレート (sirsoft-admin_basic) 日本語 言語パック(バンドル)"
     },
-    "version": "1.0.0",
+    "version": "1.0.1",
     "license": "MIT",
     "scope": "template",
     "target_identifier": "sirsoft-admin_basic",

lang-packs/_bundled/g7-template-sirsoft-basic-ja/CHANGELOG.md

@@ -4,6 +4,14 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.0.1] - 2026-07-08
+
+### Added
+
+- 미발행 페이지 관리자 미리보기 안내 배너(`user.page.preview_banner`) 일본어 번역 추가 — 관리자가 발행 전 페이지를 사용자 화면에서 미리 볼 때의 안내 문구가 일본어 로케일에서 자연스럽게 표시됩니다.
+- 첨부 개수 초과 안내 문구(`attachment.upload_limit_exceeded`) 일본어 번역 추가 — 게시글 첨부를 허용 개수보다 많이 선택했을 때의 안내가 일본어 로케일에서 자연스럽게 표시됩니다.
+- 게시판·상품 사용자 화면의 관리자 이동 링크 라벨(`admin_links.posts`·`admin_links.manage`·상품 `admin_edit`) 일본어 번역 추가 — 관리자가 사용자 화면에서 관리자 게시글 목록·게시판 관리·상품 편집으로 이동하는 링크가 일본어 로케일에서 자연스럽게 표시됩니다.
+
 ## [1.0.0] - 2026-07-01
 
 ### Added

lang-packs/_bundled/g7-template-sirsoft-basic-ja/frontend/partial/attachment.json

@@ -9,5 +9,6 @@
   "reorder_failed": "ファイルの順序変更に失敗しました",
   "drag_to_reorder": "ドラッグして順序を変更",
   "primary_image": "代表画像",
-  "set_as_primary": "代表画像に設定"
+  "set_as_primary": "代表画像に設定",
+  "upload_limit_exceeded": "最大{{max}}個まで添付できます。"
 }

lang-packs/_bundled/g7-template-sirsoft-basic-ja/frontend/partial/board.json

@@ -227,5 +227,9 @@
       "confirm_remove_attachment_title": "添付ファイル削除",
       "confirm_remove_attachment_message": "ファイルが即座に削除されます。投稿保存と無関係に取り戻せません。"
     }
+  },
+  "admin_links": {
+    "posts": "管理者投稿閲覧",
+    "manage": "掲示板管理"
   }
 }

lang-packs/_bundled/g7-template-sirsoft-basic-ja/frontend/partial/shop.json

@@ -610,5 +610,6 @@
     "blocks_order": "配送不可商品が含まれているため注文できません。該当商品を削除するか、配送国家を変更してください。",
     "shippable_to": "{country} 配送可能",
     "shipping_fee_summary": "{country} 配送料：{fee}"
-  }
+  },
+  "admin_edit": "管理者で編集"
 }

lang-packs/_bundled/g7-template-sirsoft-basic-ja/frontend/partial/user.json

@@ -51,7 +51,8 @@
     "published_at": "公開日",
     "create_page": "ページ作成",
     "attachments": "添付ファイル",
-    "download": "ダウンロード"
+    "download": "ダウンロード",
+    "preview_banner": "未公開ページをプレビュー中です"
   },
   "mypage": {
     "page_title": "マイページ",

lang-packs/_bundled/g7-template-sirsoft-basic-ja/language-pack.json

@@ -12,7 +12,7 @@
         "en": "G7 template (sirsoft-basic) Japanese language pack (bundled)",
         "ja": "G7 テンプレート (sirsoft-basic) 日本語 言語パック(バンドル)"
     },
-    "version": "1.0.0",
+    "version": "1.0.1",
     "license": "MIT",
     "scope": "template",
     "target_identifier": "sirsoft-basic",

lang/en/hooks.php

@@ -0,0 +1,8 @@
+<?php
+
+return [
+    // Static hook mapping cache (hooks:cache / hooks:clear)
+    'cache_generated' => 'Static hook mapping cache generated. (core :core / modules :modules / plugins :plugins) → :path',
+    'cache_cleared' => 'Static hook mapping cache cleared.',
+    'cache_absent' => 'No static hook mapping cache to clear.',
+];

lang/en/settings.php

@@ -21,6 +21,10 @@ return [
     'backup_success' => 'Database backup started successfully.',
     'backup_failed' => 'Failed to start database backup.',
     'backup_error' => 'An error occurred while backing up database.',
+    'backup_path_required' => 'Please enter a backup path.',
+    'restore_success' => 'Settings restored successfully.',
+    'restore_failed' => 'Failed to restore settings.',
+    'restore_error' => 'An error occurred while restoring settings.',
     'save_individual_failed' => 'Settings save failed: :error',
 
     // App key related messages
@@ -140,6 +144,12 @@ return [
         'step_composer_prod' => 'Running composer install in production directory...',
         'step_cleanup' => 'Cleaning up...',
 
+        // File apply mode summary (Step 7)
+        'apply_mode_incremental' => 'File apply: only files actually changed by the core were applied (:added new, :changed changed). All other files were left untouched as-is.',
+        'apply_mode_incremental_prune_hint' => 'To also remove files deleted in the new version, re-run with the `--prune` option or use `php artisan hotfix:rollback-stale-files --prune`.',
+        'apply_mode_prune' => 'File apply: full overwrite plus cleanup of removed files was performed (--prune).',
+        'apply_mode_fallback' => 'File apply: no backup available, so incremental apply was skipped and a full overwrite was performed. To preserve custom files, keep the backup enabled on future updates.',
+
         // GitHub API error messages
         'github_url_not_configured' => 'GitHub repository URL is not configured.',
         'github_api_failed' => 'Unable to connect to GitHub API.',

lang/ko/hooks.php

@@ -0,0 +1,8 @@
+<?php
+
+return [
+    // 정적 훅 매핑 캐시 (hooks:cache / hooks:clear)
+    'cache_generated' => '정적 훅 매핑 캐시를 생성했습니다. (코어 :core / 모듈 :modules / 플러그인 :plugins) → :path',
+    'cache_cleared' => '정적 훅 매핑 캐시를 삭제했습니다.',
+    'cache_absent' => '삭제할 정적 훅 매핑 캐시가 없습니다.',
+];

lang/ko/settings.php

@@ -21,6 +21,10 @@ return [
     'backup_success' => '데이터베이스 백업이 성공적으로 시작되었습니다.',
     'backup_failed' => '데이터베이스 백업에 실패했습니다.',
     'backup_error' => '데이터베이스 백업 중 오류가 발생했습니다.',
+    'backup_path_required' => '백업 경로를 입력해주세요.',
+    'restore_success' => '설정이 성공적으로 복원되었습니다.',
+    'restore_failed' => '설정 복원에 실패했습니다.',
+    'restore_error' => '설정 복원 중 오류가 발생했습니다.',
     'save_individual_failed' => '설정 저장에 실패했습니다: :error',
 
     // 앱 키 관련 메시지
@@ -140,6 +144,12 @@ return [
         'step_composer_prod' => '운영 디렉토리 composer install 중...',
         'step_cleanup' => '정리 중...',
 
+        // 파일 적용 방식 요약 (Step 7)
+        'apply_mode_incremental' => '파일 적용: 코어가 실제 변경한 파일만 적용했습니다 (신규 :added개, 변경 :changed개). 그 외 파일은 현재 상태 그대로 보존되었습니다.',
+        'apply_mode_incremental_prune_hint' => '신 버전에서 제거된 파일을 함께 정리하려면 `--prune` 옵션으로 다시 실행하거나 `php artisan hotfix:rollback-stale-files --prune` 을 사용하세요.',
+        'apply_mode_prune' => '파일 적용: 전체 덮어쓰기 + 제거된 파일 정리를 수행했습니다 (--prune).',
+        'apply_mode_fallback' => '파일 적용: 백업이 없어 증분 적용을 건너뛰고 전체 덮어쓰기를 수행했습니다. 사용자 커스텀 파일 보존을 원하면 다음부터는 백업을 유지한 채 업데이트하세요.',
+
         // GitHub API 에러 메시지
         'github_url_not_configured' => 'GitHub 저장소 URL이 설정되지 않았습니다.',
         'github_api_failed' => 'GitHub API에 연결할 수 없습니다.',

modules/_bundled/sirsoft-board/CHANGELOG.md

@@ -4,6 +4,17 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
+## [1.0.1] - 2026-07-08
+
+### Added
+
+- 관리자 게시물 조회 화면(목록·상세)에 "유저 화면 보기" 버튼을 추가했습니다. 클릭하면 해당 게시판/게시글의 실제 사용자 화면이 새 탭으로 열립니다.
+- 사용자 게시판 화면(목록·상세)에 관리자 진입 버튼을 추가했습니다. 게시판 관리 권한이 있는 사용자에게만 "관리자 게시물 조회"·"게시판 관리" 버튼이 보이며, 클릭하면 관리자 화면이 새 탭으로 열립니다.
+
+### Changed
+
+- 관리자 게시판 설정 화면의 주소가 게시판 번호 대신 게시판 아이디(슬러그) 기준으로 바뀌었습니다 (예: /admin/boards/free/edit). 새 게시판을 만든 직후 이동하는 편집 화면, 목록의 활성화 토글·삭제, 목록에서 여는 수정 화면, 상품 문의 설정의 "관리자 메뉴에 추가"까지 모두 게시판 아이디 기준으로 통일되었습니다. 기존 번호 기반 주소도 계속 동작합니다.
+
 ## [1.0.0] - 2026-07-01
 
 ### Added

modules/_bundled/sirsoft-board/composer.json

@@ -2,7 +2,7 @@
     "name": "modules/sirsoft-board",
     "description": "Board module for Gnuboard7",
     "type": "library",
-    "version": "1.0.0",
+    "version": "1.0.1",
     "license": "MIT",
     "autoload": {
         "psr-4": {

modules/_bundled/sirsoft-board/editor-spec.json

@@ -2170,10 +2170,10 @@
         ]
       },
       {
-        "comment": "admin 게시판 폼 — route.id 유무로 수정/신규(본문 line 9), _local.activeTab 으로 탭 분기(본문 line 161). 검증 오류는 _local.errors.",
+        "comment": "admin 게시판 폼 — route.slug 유무로 수정/신규(본문 line 9), _local.activeTab 으로 탭 분기(본문 line 161). 검증 오류는 _local.errors.",
         "scope": {
           "kind": "route",
-          "match": "*/admin/boards/:id/edit"
+          "match": "*/admin/boards/:slug/edit"
         },
         "items": [
           {

modules/_bundled/sirsoft-board/module.json

@@ -5,7 +5,7 @@
         "ko": "게시판",
         "en": "Board"
     },
-    "version": "1.0.0",
+    "version": "1.0.1",
     "license": "MIT",
     "description": {
         "ko": "게시판 관리를 위한 모듈",

modules/_bundled/sirsoft-board/package-lock.json

@@ -1,12 +1,12 @@
 {
     "name": "@g7/sirsoft-board",
-    "version": "1.0.0",
+    "version": "1.0.1",
     "lockfileVersion": 3,
     "requires": true,
     "packages": {
         "": {
             "name": "@g7/sirsoft-board",
-            "version": "1.0.0",
+            "version": "1.0.1",
             "devDependencies": {
                 "jsdom": "^27.4.0",
                 "typescript": "^5.3.3",