[nits] 코드리뷰 정리 항목 모음 (가독성·저위험 정확성·defense-in-depth)

[Ps-Neko]

출처: 다중 에이전트 5축 코드리뷰. 2026-06-15. (저위험·정리 항목 트래킹)

• [정확성·낮] diff-parser.js:168-173 parseDiff 가 hunk 내부 진짜 빈 줄을 컨텍스트로 오인 → 이후 added 라인 번호 +1 밀림(비정상 patch 입력).
• [정확성·낮] secret-fallback.js:413-445·_helpers.js:192-221 scanAddedLines 가 비연속 added 라인을 분리 → 멀티라인 secret-fallback 패턴 미탐 가능.
• [가독성·중] 세션 상태머신(deriveStatus/nextStep) decision.js·report.js·gate.js 3중 중복 → 단일출처화.
• [가독성·낮] 헤비 cli.js 1793줄 — verb별 출력 포매팅이 switch 인라인(10개 인라인 JSON.stringify).
• [가독성·nit] hardcoded-credential.js:176-192 supabase JWT 주석↔코드 불일치('pickSeverity 격상'이라지만 실제 별도 패턴 2개).
• [가독성·nit] project-detector.js:247/277 detectRust(root)·detectGo(_root) 미사용 파라미터 표기 불일치.
• [보안·낮] subprocess.js:95-101 헤비 spawnCapture shell:true(설계상 신뢰모델 — 문서화 권고).
• [보안·낮] ast/analyze.js:871-887 acorn 워커 비-꼬리 재귀 → 깊은 중첩 입력 스택오버플로 가능성.
• ✅ [긍정] 발행본 신뢰경계 설계는 견고(검출 전용·결정론적 verdict·content-hash 결박·세션ID 탈출 가드·Action 스크립트인젝션 방어, verify-pr.js:84-88).