feat: finding evidence 메타데이터 채우기

[JeremyDev87]

배경

• PR-FIT-001B 범위에서 core analysis finding에 structured evidence를 실제로 채우는 작업이 필요했습니다.
• 기존 Rust analyzer는 finding metadata seam은 있었지만 heavy dependency, lazy-load candidate, tree-shaking warning 결과에 findingId, analysisSource, evidence가 비어 있었습니다.

변경 사항

• crates/legolas-core/src/analyze.rs
  • heavy dependency finding에 import source 기반 evidence를 채우도록 추가했습니다.
  • lazy-load candidate finding에 route-like candidate 파일 기준 evidence를 채우도록 추가했습니다.
• crates/legolas-core/src/import_scanner.rs
  • tree-shaking warning에 file/specifier/detail 기반 evidence를 채우도록 추가했습니다.
• crates/legolas-core/tests/finding_evidence.rs
  • heavy dependency / lazy-load / tree-shaking evidence shape 전용 회귀 테스트를 추가했습니다.
  • route-like 파일과 helper 파일이 섞인 경우 lazy-load evidence가 candidate 파일 subset만 반영하는 회귀 테스트를 추가했습니다.
• tests/fixtures/findings/evidence-app/*
  • finding evidence fixture를 추가했습니다.
• tests/oracles/basic-app/scan.json
  • additive JSON contract로 findingId, analysisSource, evidence를 반영했습니다.

검증

• cargo fmt --all --check
• cargo clippy --workspace --all-targets -- -D warnings
• cargo test --workspace
• cargo test -p legolas-core --test finding_evidence --test analyze_parity
• mixed import CLI repro
  • Dashboard.tsx와 src/utils/shared.ts가 함께 chart.js를 import하는 임시 프로젝트에서 scan --json 실행
  • lazy-load candidate evidence가 src/Dashboard.tsx만 포함하는 것 확인

브랜치 / 워크트리

• 대상 브랜치: codex/fit-finding-evidence
• 기준 브랜치: master
• 현재 워크트리: /Users/pjw/workspace/legolas
• 포함된 소스 워크트리/브랜치: 없음

리뷰 루프

• Devil's Advocate Round 1 독립 리뷰: APPROVE
• 추가 실행 repro에서 lazy-load evidence 범위 불일치(Medium) 확인 후 수정
• Devil's Advocate Round 2 delta review: APPROVE
• 최종 Critical / High: 0

[JeremyDev87]

독립 fresh-session 리뷰 결과

• Verdict: APPROVE
• Findings: 없음
• Rationale: 새로 추가된 finding evidence 생성과 직렬화 오라클이 서로 맞고, cargo fmt --all --check, cargo clippy --workspace --all-targets -- -D warnings, cargo test --workspace까지 통과해서 이번 변경에서 바로 보이는 회귀나 검증 누락을 찾지 못했습니다.

참고: GitHub 정책상 self-authored PR에는 공식 approve review를 제출할 수 없어 동일한 verdict를 PR comment로 남깁니다.