트렌드코어 자료실

> /cheatsheet 연말정산

> /blueprint 전세 계약

> /flashcards 운전면허 필기시험

> /mindmap 국민연금

> /mindmap 국민연금
> /blueprint 국민연금 수령 준비
> /cheatsheet 국민연금
> /flashcards 국민연금 20장

> https://hailuoai.video/tools/minimax-h3

> https://github.com/MiniMax-AI/MiniMax-H3

> /plugin marketplace add https://github.com/affaan-m/ECC

> /plugin install ecc@ecc

$ claude mcp add --transport http context7 https://mcp.context7.com/mcp

$ curl -sSL https://strix.ai/install | bash

$ strix --target ./내앱폴더

.claude/commands/vibe-check.md

---
description: 바이브코딩 결과물 점검 — 구식 문법(Context7 최신 문서 대조)과 보안 구멍을 한 번에 훑어 vibe-report.md 로 남긴다. 깃허브 원격이 없어도 된다.
allowed-tools: Bash(git status:*), Bash(git ls-files:*), Bash(git diff:*), Read, Glob, Grep, Write, mcp__context7__resolve-library-id, mcp__context7__query-docs
---

너는 바이브코딩 결과물을 출시 전에 점검하는 시니어 리뷰어다. 코드는 고치지 않는다. 리포트만 쓴다.

지금 폴더 상태:
```
!`git status --short | head -40`
```

## 1단계 — 구식 문법 (최신 문서와 대조)
- `package.json` / `requirements.txt` / `pyproject.toml` 을 읽고 핵심 라이브러리를 최대 3개 고른다.
- 각 라이브러리마다 Context7 로 `resolve-library-id` → `query-docs` 를 호출해 **최신 안정 버전**과 **바뀐 사용법**을 확인한다. 기억으로 답하지 않는다.
- 코드에서 옛날 방식을 쓰는 곳을 Grep 으로 찾는다(예: Next.js `pages/api` → App Router `app/**/route.ts`, React 클래스 컴포넌트, deprecated API).

## 2단계 — 보안 구멍
- `git ls-files` 와 새 파일(untracked)까지 코드 파일을 읽는다.
- 아래 8종만 본다. 확실한 것만 적고 `파일:줄` 을 붙인다.
  1. SQL·쉘 명령 문자열 이어붙이기(인젝션)
  2. 하드코딩된 비밀번호·API 키
  3. 평문 비밀번호 저장·비교
  4. 인증 없는 관리자/삭제 라우트
  5. XSS(`innerHTML`, `dangerouslySetInnerHTML`, 이스케이프 없는 출력)
  6. 경로 조작(사용자 입력으로 파일 경로)
  7. CORS `*` + 인증 쿠키
  8. 만료 없는 토큰·약한 토큰(base64 등)

## 3단계 — 리포트
`vibe-report.md` 를 폴더 맨 위에 만든다. 형식:

```
# vibe-report — YYYY-MM-DD
요약: 구식 문법 N곳 · 보안 구멍 N곳 (심각 N)

## 구식 문법
| 파일 | 지금 방식 | 최신 방식 | 근거(라이브러리 ID · 버전) |

## 보안
| 심각도 | 파일:줄 | 문제 | 고치는 법(한 줄) |
```
표 아래에 "먼저 고칠 것 3가지"를 번호로 적는다. 끝나면 요약 한 줄만 답한다.

# vibe-report — 2026-09-08
요약: 구식 문법 2곳 · 보안 구멍 6곳 (심각 5)

## 구식 문법
| 파일 | 지금 방식 | 최신 방식 | 근거(라이브러리 ID · 버전) |
|---|---|---|---|
| package.json:5 | Next.js 13.4.0, `pages/api/*.js` 로 API 라우트 작성 | App Router `app/**/route.ts` + `export async function GET(request)` (Web 표준 Request/Response 사용). `pages/api` 는 계속 동작은 하지만 신규 프로젝트엔 권장되지 않음 | Context7 `/vercel/next.js` (최신 안정 v16.x, pages/api 마이그레이션 가이드) |
| package.json:7 | `mysql` 2.18.1 (콜백 전용, 오래 유지보수 안 됨) | `mysql2` (Promise/async-await 지원, 드롭인 대체) | Context7 `/mysqljs/mysql` — 문서상 파라미터 바인딩(`?`)은 지원하지만 콜백 API만 제공, 커뮤니티는 mysql2로 이동 |

## 보안
| 심각도 | 파일:줄 | 문제 | 고치는 법(한 줄) |
|---|---|---|---|
| 심각 | pages/api/user.js:8 | `"SELECT * FROM users WHERE id = " + id` — 문자열 이어붙이기 SQL 인젝션 | `db.query("SELECT * FROM users WHERE id = ?", [id], ...)` 로 파라미터 바인딩 |
| 심각 | pages/api/user.js:17 | 로그인 쿼리도 email/password 를 문자열로 이어붙임 — SQL 인젝션 | 위와 동일하게 `?` 플레이스홀더 사용 |
| 심각 | pages/api/user.js:4 | DB 접속 정보(`root` / `root1234`)가 코드에 하드코딩 | 환경변수(`process.env.DB_PASSWORD`)로 분리 |
| 심각 | pages/api/user.js:17-19 | 비밀번호를 평문으로 저장·비교(`password = '...'`) | bcrypt 등으로 해시 저장 후 `bcrypt.compare` 로 비교 |
| 심각 | pages/api/user.js:6-11 | 인증 없이 `id` 파라미터만으로 회원 레코드 전체(`rows[0]`, 비밀번호 컬럼 포함 가능성)를 반환 | 인증 체크 추가 + 응답에서 비밀번호 등 민감 컬럼 제외(SELECT 컬럼 명시) |
| 중간 | pages/api/user.js:18 | 토큰이 `base64(email)` — 서명·만료 없는 약한 토큰 | JWT(만료 포함) 등 서명된 토큰으로 교체 |

## 먼저 고칠 것 3가지
1. `pages/api/user.js:8, 17` — SQL 인젝션부터 막기 (파라미터 바인딩으로 교체). 지금 상태면 URL 에 `?id=1 OR 1=1` 만 넣어도 전체 회원 정보가 털림.
2. `pages/api/user.js:4` — 하드코딩된 DB 비밀번호를 환경변수로 이동. 저장소가 공개되거나 유출되면 DB 가 즉시 뚫림.
3. `pages/api/user.js:17-19` — 평문 비밀번호 비교 + 약한 토큰 문제를 함께 해결 (해시 저장, 서명된 토큰 발급). 지금 구조면 DB 유출 시 전체 비밀번호가 그대로 노출됨.

.claude/skills/intent/SKILL.md

---
description: "코드를 짜기 전에 무엇을 왜 하는지 내 말 그대로 intent.md 한 장에 적어 두는 스킬. 사용자가 /intent, 인텐트, 또는 새 작업 요청(이거 만들어줘, 고쳐줘)을 던졌을 때 코드보다 먼저 사용. Anthropic AI-Native SDLC 플레이북 1단계(Plan, intent.md)를 그대로 옮긴 것."
---

## 지금 프로젝트 상태 (자동 수집)

폴더 구조:
!`git ls-files 2>/dev/null | head -60`

기존 intent.md (있으면):
!`cat intent.md 2>/dev/null | head -40`

## 원칙 한 줄

**승인된 intent.md 가 없으면 코드를 한 줄도 건드리지 않는다.**
(플레이북 원문: "Nothing is implemented without an accepted plan.")

## 1단계 — intent.md 쓰기

사용자의 요청을 **사용자가 쓴 말 그대로** 살려서 아래 5칸을 채운 `intent.md` 를 프로젝트 루트에 만든다.
형식 언어·전문 용어로 바꾸지 않는다. 모르는 칸은 지어내지 말고 `열린 질문`으로 내린다.

```
# intent — <요청 한 줄 그대로>

승인: 대기

## 문제
지금 무엇이 어떻게 잘못돼 있나. 사용자 말 그대로.

## 원하는 결과
끝났을 때 사용자가 보게 될 것. 한 문장.

## 영향받는 사람·시스템
- 누가 쓰는 화면인지, 어떤 파일/서비스가 얽혀 있는지 (위 폴더 구조에 실제로 있는 것만)

## 제약
- 하지 말아야 할 것, 지켜야 할 것 (예: 기존 로그인 방식 유지, 라이브러리 추가 금지)

## 열린 질문
1. 사용자만 답할 수 있는 것. 최대 2개. 없으면 "없음".
```

파일을 쓴 뒤 화면에는 **열린 질문만** 다시 보여 주고, 이렇게 끝낸다.
"답해 주시면 intent.md 에 반영할게요. 다 맞으면 **승인** 이라고 적어 주세요."

## 2단계 — 승인 도장

사용자가 "승인"(또는 "ㅇㅋ", "맞아", "진행")이라고 하면, **코드보다 먼저** intent.md 의
`승인: 대기` 를 `승인: YYYY-MM-DD` 로 바꾼다. 열린 질문에 답이 왔으면 해당 칸에 반영하고 질문은 지운다.

그 다음 `plan.md` 를 만든다 (플레이북 3단계 Build 의 입력).

```
# plan — <intent 제목>

## 건드릴 파일
- 경로 — 무엇을 바꾸나   (실제로 있는 파일만. 새 파일은 [새 파일])

## 순서
1. …
2. …

## 성공 확인
- 이 명령/화면이 이렇게 나오면 끝: …

## 위험
- 잘못되면 무엇이 깨지는지, 되돌리는 법
```

plan.md 를 보여 주고 "이 계획대로 갈까요?" 라고 묻는다. **여기서도 답을 받기 전엔 코드를 건드리지 않는다.**

## 규칙

- 사용자가 안 한 말을 지어내지 않는다. 모르면 열린 질문.
- intent.md 는 화면 한 장 — 5칸 합쳐 20줄 안쪽.
- 이미 승인된 intent.md 가 있고 같은 주제면 새로 만들지 않고 이어 간다.
- 승인 전에 "일단 고쳐 볼게요" 류의 선행 작업 금지. 읽기(파일 열어보기)는 허용.

> /intent 로그인 가끔 안 돼 고쳐줘

# intent — 로그인 가끔 안 돼 고쳐줘

승인: 2026-09-07

## 문제
크롬에서 새로고침하면 로그인이 안 된다. 안 될 때 화면에 아무 반응이 없다.

## 원하는 결과
크롬에서 새로고침한 뒤에도 로그인이 항상 정상적으로 처리된다.

## 영향받는 사람·시스템
- 로그인 화면을 쓰는 사용자
- src/LoginForm.jsx (로그인 폼 화면)
- src/api/login.js (로그인 처리 API)

## 제약
- 열린 질문 참고 (아직 확인된 제약 없음)

## 열린 질문
없음

> 승인

.claude/skills/prompt-spec/SKILL.md

---
description: 한 줄짜리 요청을 완성된 작업 프롬프트(목표·건드릴 파일·출력 형식·멈출 조건)로 바꿔 준다. 사용자가 "/prompt-spec", "프롬프트로 만들어줘", 또는 짧고 두루뭉술한 요청("로그인 버그 고쳐줘", "이거 빠르게 해줘")을 던졌을 때 사용.
---

## 지금 프로젝트 상태 (자동 수집)

폴더 구조:
!`git ls-files 2>/dev/null | head -80`

최근 커밋:
!`git log --oneline -5 2>/dev/null`

이전에 내린 결정:
!`cat prompt-decisions.md 2>/dev/null | tail -20`

## 할 일

사용자의 한 줄 요청을 아래 6칸이 전부 채워진 **완성 프롬프트**로 다시 쓴다.
비어 있는 칸은 위 프로젝트 상태를 근거로 추정해서 채우고, 추정한 칸에는 `(추정)` 표시를 붙인다.
코드를 고치지 말고, 완성 프롬프트만 보여 준 뒤 "이대로 진행할까요?"라고 묻는다.

```
## 목표
한 문장. 무엇이 어떻게 달라져야 끝인지.

## 건드릴 파일
- 경로 — 이유   (위 폴더 구조에 실제로 있는 파일만. 새로 만들 파일은 [새 파일] 표시)

## 건드리지 않을 것
- 요청과 무관한 파일·기능. 스타일 정리, 리팩터링 금지.

## 출력 형식
결과를 어떤 모양으로 돌려줄지 (diff / 파일 전체 / 표 / 명령어 한 줄 …).

## 멈출 조건
- 이게 확인되면 끝: (테스트 통과 / 화면에서 X가 보임 / 명령 Y가 0으로 종료 …)
- 이 상황이면 멈추고 물어봄: (파일 3개 넘게 건드려야 할 때 / 삭제가 필요할 때 / 두 가지 해석이 갈릴 때)

## 확인 질문
사용자가 답해야만 하는 것만, 최대 2개. 없으면 "없음".
```

## 결정 기록 (진행 답을 받으면 가장 먼저)

사용자가 "진행"(또는 "ㅇㅇ", "고", "해줘")이라고 답하면, **코드를 건드리기 전에 먼저** 아래 한 줄을
`prompt-decisions.md` 맨 아래에 덧붙인다. 파일이 없으면 만든다. 이 단계를 건너뛰지 않는다.

```
YYYY-MM-DD <목표 한 줄> — <건드릴 파일들 쉼표로>
```

기록한 뒤 "결정 기록 1줄 추가했어요" 라고 한 줄 알리고, 그 다음에 작업을 시작한다.
다음에 같은 프로젝트에서 이 스킬이 다시 불리면 위 "이전에 내린 결정"에 그 내용이 올라온다.

## 규칙

- 사용자가 안 한 말을 지어내지 않는다. 모르면 `(추정)` 또는 확인 질문.
- 완성 프롬프트는 화면 한 장에 들어가게. 6칸 합쳐 25줄 안쪽.
- 사용자 요청이 이미 6칸을 다 갖췄으면 그대로 정리만 하고 바로 "진행할까요?"를 묻는다.

> /prompt-spec 로그인 가끔 안 돼 고쳐줘

2026-09-07 정상 계정은 항상 로그인 성공 — src/api/login.js, src/LoginForm.jsx

> /init

# 프로젝트 규칙

## 도구
- 패키지 매니저는 pnpm (npm 쓰지 않기)
- 커밋 전에 반드시 `pnpm test` 실행

## 답변
- 답변은 한국어로, 결론부터
- 파일을 고치기 전에 무엇을 바꿀지 한 줄로 먼저 말하기

## 구조
- API 핸들러는 src/api/ 아래에만

.claude/skills/review/SKILL.md

---
description: 커밋 안 한 변경을 요약하고 위험한 부분을 표시한다. 사용자가 "뭐 바꿨어", "리뷰해줘", 커밋 메시지를 물을 때 사용.
---

## 지금 바뀐 것

!`git diff HEAD`

## 할 일

위 변경을 3줄로 요약한다.
빠진 에러 처리, 하드코딩된 값, 테스트가 필요한 곳은 ⚠ 로 표시한다.
변경이 없으면 "커밋 안 한 변경 없음"이라고만 답한다.

.claude/settings.json

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "if": "Bash(rm -rf *)",
            "command": "echo '삭제 명령은 막혀 있습니다' >&2; exit 2"
          }
        ]
      }
    ]
  }
}

.claude/agents/researcher.md

---
name: researcher
description: 라이브러리·도구 비교, 문서 조사처럼 읽을 게 많은 일. "조사해줘", "비교해줘", "뭐 쓸지 골라줘"라고 하면 위임.
tools: Read, Grep, Glob, WebSearch, WebFetch
model: sonnet
---

너는 조사 전담이다. 후보를 찾고 근거를 비교한 뒤,
**결론 1줄 + 근거 2~3개**만 돌려준다. 과정 로그는 보내지 않는다.
확실하지 않은 건 "확인 못 함"이라고 적는다.

> /context

$ claude

$ npx ruflo@latest init wizard

$ claude mcp add ruflo -- npx ruflo@latest mcp start

$ claude mcp list

$ npx skills add https://github.com/Leonxlnx/taste-skill --skill "image-to-code"

$ npx skills add https://github.com/Leonxlnx/taste-skill --skill "design-taste-frontend"

$ npx skills add vercel-labs/agent-browser

$ npx skills add vercel-labs/agent-skills --skill web-design-guidelines

/init

/plugin marketplace add obra/superpowers-marketplace

/plugin install superpowers@superpowers-marketplace

$ claude mcp add chrome-devtools -- npx -y chrome-devtools-mcp@latest

$ claude mcp list

/memory

/code-review