클로드 코드 쓰면 무조건 깔아야 할 3개

---
description: 바이브코딩 결과물 점검 — 구식 문법(Context7 최신 문서 대조)과 보안 구멍을 한 번에 훑어 vibe-report.md 로 남긴다. 깃허브 원격이 없어도 된다.
allowed-tools: Bash(git status:*), Bash(git ls-files:*), Bash(git diff:*), Read, Glob, Grep, Write, mcp__context7__resolve-library-id, mcp__context7__query-docs
---

너는 바이브코딩 결과물을 출시 전에 점검하는 시니어 리뷰어다. 코드는 고치지 않는다. 리포트만 쓴다.

지금 폴더 상태:
```
!`git status --short | head -40`
```

## 1단계 — 구식 문법 (최신 문서와 대조)
- `package.json` / `requirements.txt` / `pyproject.toml` 을 읽고 핵심 라이브러리를 최대 3개 고른다.
- 각 라이브러리마다 Context7 로 `resolve-library-id` → `query-docs` 를 호출해 **최신 안정 버전**과 **바뀐 사용법**을 확인한다. 기억으로 답하지 않는다.
- 코드에서 옛날 방식을 쓰는 곳을 Grep 으로 찾는다(예: Next.js `pages/api` → App Router `app/**/route.ts`, React 클래스 컴포넌트, deprecated API).

## 2단계 — 보안 구멍
- `git ls-files` 와 새 파일(untracked)까지 코드 파일을 읽는다.
- 아래 8종만 본다. 확실한 것만 적고 `파일:줄` 을 붙인다.
  1. SQL·쉘 명령 문자열 이어붙이기(인젝션)
  2. 하드코딩된 비밀번호·API 키
  3. 평문 비밀번호 저장·비교
  4. 인증 없는 관리자/삭제 라우트
  5. XSS(`innerHTML`, `dangerouslySetInnerHTML`, 이스케이프 없는 출력)
  6. 경로 조작(사용자 입력으로 파일 경로)
  7. CORS `*` + 인증 쿠키
  8. 만료 없는 토큰·약한 토큰(base64 등)

## 3단계 — 리포트
`vibe-report.md` 를 폴더 맨 위에 만든다. 형식:

```
# vibe-report — YYYY-MM-DD
요약: 구식 문법 N곳 · 보안 구멍 N곳 (심각 N)

## 구식 문법
| 파일 | 지금 방식 | 최신 방식 | 근거(라이브러리 ID · 버전) |

## 보안
| 심각도 | 파일:줄 | 문제 | 고치는 법(한 줄) |
```
표 아래에 "먼저 고칠 것 3가지"를 번호로 적는다. 끝나면 요약 한 줄만 답한다.

# vibe-report — 2026-09-08
요약: 구식 문법 2곳 · 보안 구멍 6곳 (심각 5)

## 구식 문법
| 파일 | 지금 방식 | 최신 방식 | 근거(라이브러리 ID · 버전) |
|---|---|---|---|
| package.json:5 | Next.js 13.4.0, `pages/api/*.js` 로 API 라우트 작성 | App Router `app/**/route.ts` + `export async function GET(request)` (Web 표준 Request/Response 사용). `pages/api` 는 계속 동작은 하지만 신규 프로젝트엔 권장되지 않음 | Context7 `/vercel/next.js` (최신 안정 v16.x, pages/api 마이그레이션 가이드) |
| package.json:7 | `mysql` 2.18.1 (콜백 전용, 오래 유지보수 안 됨) | `mysql2` (Promise/async-await 지원, 드롭인 대체) | Context7 `/mysqljs/mysql` — 문서상 파라미터 바인딩(`?`)은 지원하지만 콜백 API만 제공, 커뮤니티는 mysql2로 이동 |

## 보안
| 심각도 | 파일:줄 | 문제 | 고치는 법(한 줄) |
|---|---|---|---|
| 심각 | pages/api/user.js:8 | `"SELECT * FROM users WHERE id = " + id` — 문자열 이어붙이기 SQL 인젝션 | `db.query("SELECT * FROM users WHERE id = ?", [id], ...)` 로 파라미터 바인딩 |
| 심각 | pages/api/user.js:17 | 로그인 쿼리도 email/password 를 문자열로 이어붙임 — SQL 인젝션 | 위와 동일하게 `?` 플레이스홀더 사용 |
| 심각 | pages/api/user.js:4 | DB 접속 정보(`root` / `root1234`)가 코드에 하드코딩 | 환경변수(`process.env.DB_PASSWORD`)로 분리 |
| 심각 | pages/api/user.js:17-19 | 비밀번호를 평문으로 저장·비교(`password = '...'`) | bcrypt 등으로 해시 저장 후 `bcrypt.compare` 로 비교 |
| 심각 | pages/api/user.js:6-11 | 인증 없이 `id` 파라미터만으로 회원 레코드 전체(`rows[0]`, 비밀번호 컬럼 포함 가능성)를 반환 | 인증 체크 추가 + 응답에서 비밀번호 등 민감 컬럼 제외(SELECT 컬럼 명시) |
| 중간 | pages/api/user.js:18 | 토큰이 `base64(email)` — 서명·만료 없는 약한 토큰 | JWT(만료 포함) 등 서명된 토큰으로 교체 |

## 먼저 고칠 것 3가지
1. `pages/api/user.js:8, 17` — SQL 인젝션부터 막기 (파라미터 바인딩으로 교체). 지금 상태면 URL 에 `?id=1 OR 1=1` 만 넣어도 전체 회원 정보가 털림.
2. `pages/api/user.js:4` — 하드코딩된 DB 비밀번호를 환경변수로 이동. 저장소가 공개되거나 유출되면 DB 가 즉시 뚫림.
3. `pages/api/user.js:17-19` — 평문 비밀번호 비교 + 약한 토큰 문제를 함께 해결 (해시 저장, 서명된 토큰 발급). 지금 구조면 DB 유출 시 전체 비밀번호가 그대로 노출됨.