v2.38 변경 기록의 이어지는 부분이다. 같은 검증 ID 

71b00f11cf3a33de38428dc687299e367b8dd68be1e9712bb01ad0e75be6aaa9

커밋 3727cd1 — chore(저장소): 로컬 전용 문서와 스크린샷 추적 해제

사람이 읽는 설명과 운영 기준을 기록한 문서이다.

  - 순위 번호는 `(idx+1).padStart(2,"0")`, 상위 3개만 라임색 강조(`AllTrendingModal.tsx:71-77`).
  - 각 항목: 이름/위치 + `viewCount`(없으면 0) + `status` Badge(`혼잡`이면 hot tone, 아니면 lime, 없으면 "영업중")(`AllTrendingModal.tsx:87-97`). 클릭 시 `/popup/{id}` 이동 + 모달 닫기(`AllTrendingModal.tsx:64-67`).
- **연결**: `@/components/ui`(Dialog/Badge), `@/types/popup`의 `PopupStore`, `next/link`. props `popups`는 부모(메인 페이지)가 이미 정렬된 목록으로 주입.
- **특이사항**: 정렬/랭킹 로직 없음 — 받은 `popups` 순서를 그대로 순위로 표시(정렬 책임은 부모).

#### `popspot-frontend/src/features/popup/TakedownModal.tsx` — 권리자 정보 삭제·수정 요청 모달
- **책임**: 자동수집된 팝업에 대해 권리자/오류 발견자가 `POST /api/popups/{id}/takedown`으로 삭제·수정 요청. 접수 시 즉시 `reviewStatus='TAKEDOWN'` + 24h 내 검토(이용약관 §11)(`TakedownModal.tsx:32-38`).
- **핵심 로직**:
  - 신고 사유 4종(COPYRIGHT/INACCURATE/OWNER_REQUEST/OTHER) select(`TakedownModal.tsx:25-30`).
  - `handleSubmit` — 선택 사유 라벨 + 상세를 `[라벨] 상세` 형태로 합쳐 **500자로 slice**(`TakedownModal.tsx:55-57`), POST에 `{requesterEmail, reason}` 전송(`TakedownModal.tsx:59-65`). 성공 시 `notifySuccess` + 모달 닫기 + 입력 초기화(`TakedownModal.tsx:67-75`).
  - 허위/악성 신고 손해배상 경고 박스(`TakedownModal.tsx:146-148`).
- **연결**: `@/lib/api`, `@/lib/notify`, `@/components/ui`(Dialog/Button/Input/Field). props `popupId`/`popupName`은 상세페이지가 주입.
- **특이사항**: `reason` 클라 측 500자 절단으로 서버 길이 제한 선제 방어. 성공 후 caller 새로고침은 주석상 미구현(`TakedownModal.tsx:73`) — 호출부가 별도 처리 필요. `requesterEmail`은 인증과 무관한 자가신고 입력값이라 서버 검증 의존.

## F5 — 프론트 · lib / store / types / firebase / 설정

#### `popspot-frontend/src/lib/env.ts` — 환경변수 단일 진입점 (검증 + 폴백)

: 사람이 읽는 설명과 운영 기준을 기록한 문서이다. 변경 전 코드는 

 같은 값과 기능을 사용해 처리했다. 변경 후에는 이 구간의 코드를 제거했다.

- **책임**: 모든 `NEXT_PUBLIC_*` 환경변수를 한 곳에서 읽어 형 검사·빈 문자열 정규화·폴백·사용 가능 플래그를 붙여 `env` 객체로 노출. 호출부의 `process.env.X!` non-null assertion 패턴(런타임에서야 깨짐)을 제거하는 게 목적.
- **핵심 로직**:
  - `trim()` (`env.ts:19`) — `undefined`/공백/빈 문자열을 모두 `undefined`로 정규화 (`.env`에 `KEY=`만 있는 경우 대비).
  - 5개 변수를 **리터럴 키**로 읽음 (`env.ts:25-29`). 주석(`env.ts:10-12`)이 명시 — Next는 빌드 시 `NEXT_PUBLIC_*`만 인라인 치환하므로 동적 키(`process.env[name]`) 접근은 치환 안 됨.
  - `isAlgoliaValid` (`env.ts:35-40`) — App ID가 영문대문자+숫자(`/^[A-Z0-9]+$/`), 길이 6 이상, search key 길이 10 이상일 때만 유효. 더미값으로 Algolia 클라이언트가 런타임 폭발하는 것을 차단.
  - `env` 객체 (`env.ts:42-53`): `apiUrl`(미지정 시 `http://localhost:8080`), `socketUrl`(SOCKET→API→로컬 순 폴백, `env.ts:46`), `kakaoMapKey`(부재 시 빈 문자열), `algolia`(검증 통과 시에만 객체, 아니면 `null` → 호출부 fallback UI).
- **연결**: 의존 없음(순수 `process.env` 읽기). `api.ts`가 `env.apiUrl`/`env.socketUrl`을 re-export하고, Algolia/Kakao Map/Spotify 관련 컴포넌트가 `env.algolia`/`env.kakaoMapKey`를 직접 참조할 것으로 보임.
- **특이사항**: 폴백 URL이 하드코딩(`localhost:8080`)이라 프로덕션에서 `NEXT_PUBLIC_API_URL` 누락 시 조용히 로컬을 가리킴 — 빌드 시점에 경고 없음.

#### `popspot-frontend/src/lib/api.ts` — 인증 토큰 자동 부착 fetch 래퍼
- **책임**: 상대 경로에 API 도메인 prefix를 붙이고 localStorage 토큰을 `Authorization: Bearer`로 자동 부착하는 `apiFetch` 제공. `env`의 URL을 legacy 호환용으로 re-export.
- **핵심 로직**:
  - `apiFetch` (`api.ts:29-48`) — `buildUrl`+`buildHeaders` 후 `credentials: 'include'`로 fetch. `!response.ok`면 콘솔 에러만 찍고 **응답 객체를 그대로 반환**(throw 안 함); 네트워크 예외만 re-throw.
  - `buildUrl` (`api.ts:52-53`) — `http`로 시작하면 절대 URL 그대로, 아니면 `API_BASE_URL` prefix.

  - `isSameOrigin` (`api.ts:61-62`) — 상대 경로이거나 `API_BASE_URL`로 시작할 때만 `true`. **보안 핵심**: 외부 절대 URL에는 토큰을 싣지 않아 Authorization 헤더가 서드파티로 새는 것을 차단.
  - `buildHeaders` (`api.ts:64-77`) — 기본 `Content-Type: application/json` → 토큰 부착(same-origin일 때만, `api.ts:68`) → 호출자 헤더 병합 → **body가 FormData면 Content-Type 삭제**(`api.ts:73-75`, 브라우저가 multipart boundary 자동 생성하도록).
  - `readToken` (`api.ts:79-82`) — SSR 가드(`window === undefined` → null) 후 `localStorage.getItem('token')`.
- **연결**: 의존 = `./env`. 피호출 = 거의 모든 데이터 페칭 컴포넌트/페이지(인증 필요 API 호출 표준 경로).
- **특이사항**: `!response.ok`여도 반환만 하므로 호출자가 직접 status 체크 필요. `isSameOrigin`의 `startsWith(API_BASE_URL)` 판정은 prefix 매칭이라 `https://api.evil.com.attacker.com`처럼 `API_BASE_URL`을 prefix로 갖는 악성 도메인엔 이론상 토큰이 새지만, `API_BASE_URL`이 자체 운영 도메인이라 실질 위험은 낮음.

#### `popspot-frontend/src/lib/utils.ts` — Tailwind 클래스 병합 + 포맷 헬퍼
- **책임**: `cn`(clsx + tailwind-merge), `formatCompactNumber`(K/M 표기), `getDaysUntil`(D-day) 세 가지 범용 유틸.
- **핵심 로직**:
  - `cn` (`utils.ts:11-13`) — `twMerge(clsx(inputs))`. 충돌 클래스는 뒤쪽 우선.
  - `formatCompactNumber` (`utils.ts:19-23`) — 1000 미만 그대로, 백만 미만 `K`, 그 이상 `M`. `.toFixed(1).replace(/\.0$/, "")`로 `1.0K` → `1K` 정리.
  - `getDaysUntil` (`utils.ts:26-31`) — `Math.max(0, Math.ceil(diff/일))` — 만료 시 음수 대신 0.
- **연결**: 의존 = `clsx`, `tailwind-merge`. 피호출 = 거의 모든 UI 컴포넌트(`cn`), 조회수/카운트 표시(`formatCompactNumber`), 위시/팝업 D-day 배지(`getDaysUntil`).

#### `popspot-frontend/src/lib/notify.ts` — sweetalert2 기반 공통 알림 헬퍼

- **책임**: sweetalert2를 한 겹 감싸 토스트(`notify`)·성공/에러/경고 변형·확인 다이얼로그(`confirmAction`)를 브랜드 톤(라임 `#C2F970`, 잉크 `#0A0A0A`, 위험 `#EE1A64`)으로 통일. `'use client'`.
- **핵심 로직**:
  - `normalize` (`notify.ts:35-36`) — 문자열 인자를 `{ text }`로 변환해 string/객체 두 형태 모두 수용.
  - `notify` (`notify.ts:39-49`) — 기본 `info`, 1.4초 타이머 토스트(`showConfirmButton: false`).
  - `notifyError` (`notify.ts:55-64`) — 타이머 없는 모달, 확인 버튼 잉크색, 기본 제목 '오류'.
  - `confirmAction` (`notify.ts:92-105`) — 예/아니오, `destructive`면 확인 버튼 빨강(`notify.ts:100`), `reverseButtons: true`, `result.isConfirmed`(boolean) 반환.
- **연결**: 의존 = `sweetalert2`. 피호출 = `share.ts`(복사 성공/실패 토스트), 그리고 task 이력상 페이지/admin 전반이 직접 Swal 결합을 걷어내고 이 모듈로 단일화됨.

#### `popspot-frontend/src/lib/rank.ts` — 스탬프 누적 수 → 사용자 등급 결정
- **책임**: 스탬프 개수로 4단계 등급(NONE/BEGINNER/HUNTER/MASTER)을 산출하고, 각 등급의 라벨·Tailwind ring/text/bg/accent 클래스·다음 등급까지 남은 수까지 한 객체(`UserRank`)로 반환.
- **핵심 로직**:
  - 임계값 (`rank.ts:35-37`) — BEGINNER 3, HUNTER 6, MASTER 12.
  - `getUserRank` (`rank.ts:64-71`) — `stampCount ?? 0`으로 null 흡수 후 높은 임계값부터 분기.
  - `buildHunter`/`buildBeginner`/`buildNone` (`rank.ts:75-106`) — `toNext`를 `다음임계값 - stamps`로 계산(예: HUNTER는 `MASTER_MIN - stamps`). MASTER는 상수 객체로 `toNext: 0`.
- **연결**: 의존 없음(`RankKey` 타입만 export). 피호출 = `boost.ts`(`RankKey`로 부스트 한도 매핑), 프로필 아바타/등급 카드/진행도 미터 컴포넌트.
- **특이사항**: 색/라벨이 데이터에 박혀 있어 등급 UI가 이 파일 단일 출처에 의존. 백엔드 등급 임계값과 어긋나면 표시-실제 불일치 발생(주석상 `boost.ts`가 백엔드 정합성 경고를 가짐).

#### `popspot-frontend/src/lib/boost.ts` — 동행 게시판 부스트 등급별 월 한도 정의

- **책임**: 등급별 월 부스트 한도 숫자(`BOOST_LIMIT_BY_RANK`)와 사용자 안내 라벨(`BOOST_LIMIT_HINT`), 그리고 `GET /api/mates/boost-status` 응답 타입(`BoostStatus`) 선언.
- **핵심 로직**: MASTER 5 / HUNTER 3 / BEGINNER 1 / NONE 0 (`boost.ts:10-15`). `BoostStatus`는 rank/monthlyLimit/used/remaining 4필드(`boost.ts:26-32`).
- **연결**: 의존 = `./rank`의 `RankKey`. 피호출 = 동행 글쓰기 모달(한도 표시), 부스트 상태 조회 컴포넌트.
- **특이사항**: 주석(`boost.ts:5-6`)이 명시 — 백엔드 `BoostPolicy.java`와 임계값/한도가 **반드시 일치**해야 함. 한쪽만 바꾸면 사용자 잔여 표시와 서버 차감이 어긋남.

#### `popspot-frontend/src/lib/guestMode.ts` — 7일 게스트 모드 localStorage 정책
- **책임**: 비회원이 7일간 둘러보기/검색/지도/캘린더를 쓸 수 있는 게스트 모드의 시작·만료·잔여일·리셋을 localStorage(`popspot:guest:firstVisit`)만으로 관리. 서버 저장 없음(PIPA 부담 최소).
- **핵심 로직**:
  - `startGuestMode` (`guestMode.ts:28-35`) — **명시적 시작 전용**. 이미 시작돼 있으면 기존 timestamp 유지, 없으면 `Date.now()` 기록 후 반환. (v2.7 재설계: 이전엔 메인 진입만으로 자동 시작돼 사용자 모르게 카운터가 돌았음 — `guestMode.ts:6-7`.)
  - `getGuestFirstVisit` (`guestMode.ts:38-44`) — SSR 가드 + `Number.isNaN` 방어로 미설정/손상 시 null.
  - `isGuestExpired` (`guestMode.ts:58-61`) — 기본 인자로 localStorage 값을 읽되, `null`(미시작)이면 `false`("만료"가 아니라 "아직 시작 안 함").
  - `getRemainingGuestDays` (`guestMode.ts:69-75`) — **미시작 시 의도적으로 7 반환**(`guestMode.ts:70`) → "7일 무료 체험" 카피에 그대로 사용. 만료 시 0.
  - `clearGuestMode` (`guestMode.ts:78-81`) — 가입 완료/로그아웃 시 키 제거.
- **연결**: 의존 없음. 피호출 = `useGuestMode.ts`(읽기 전용 래퍼), 로그인 페이지의 "게스트로 로그인하기" 버튼(`startGuestMode`).
- **특이사항**: localStorage를 지우면 7일이 재갱신되는 우회가 가능하나 주석상(`guestMode.ts:14`) 비즈니스 임팩트가 작아 의도적으로 무시.

#### `popspot-frontend/src/lib/useGuestMode.ts` — 게스트 상태 read-only React 훅

- **책임**: `guestMode.ts`의 상태를 컴포넌트가 SSR-safe하게 읽도록 감싼 훅. **카운터를 시작하지 않음**(v2.7 read-only화).
- **핵심 로직**:
  - `useGuestMode(isLoggedIn)` (`useGuestMode.ts:22-53`) — 초기값을 SSR 기본값(`active:false, remainingDays:7, expired:false`)으로 두어 hydration mismatch 회피.
  - `useEffect` (`useGuestMode.ts:28-41`) — mount 후 `isLoggedIn`이면 `clearGuestMode()` 호출 후 게스트 상태 초기화(로그인 사용자는 잔재 정리, `useGuestMode.ts:31-36`); 비로그인이면 `getGuestFirstVisit`/`getRemainingGuestDays`/`isGuestExpired`로 실제 값 세팅. deps = `[isLoggedIn]`.
  - 반환: `mounted`(SSR 가드용), `active`, `remainingDays`, `expired`.
- **연결**: 의존 = `./guestMode` 4함수. 피호출 = 헤더/AuthGuard/메인 등 게스트 D-N pill·만료 강제 리다이렉트를 다루는 컴포넌트. `'use client'`.
- **특이사항**: 시작 책임은 오로지 로그인 페이지 버튼 → `startGuestMode`에 있고, 이 훅은 결과만 읽음 — 자동 시작 방지 설계가 훅/모듈 분리로 강제됨.

#### `popspot-frontend/src/lib/recentVisits.ts` — 최근 본 팝업 localStorage 헬퍼 (v2.18)
- **책임**: 방문한 팝업을 클라이언트 localStorage(`popspot:recent-visits`)에 최대 10개 FIFO로 저장. 서버 저장 없음.
- **핵심 로직**:
  - `recordVisit` (`recentVisits.ts:25-38`) — 같은 `popupId` 제거 후 맨 앞에 새 항목(`visitedAt` = 현재 ISO) 추가, `.slice(0, 10)`으로 중복 제거 + 최신순 유지. setItem은 try/catch로 quota 초과 시 조용히 무시.
  - `readVisits` (`recentVisits.ts:40-51`) — SSR 가드 + JSON.parse + `Array.isArray` 방어, 손상 시 `[]`.
- **연결**: 의존 없음. 피호출 = 팝업 상세 페이지(방문 기록), 메인의 "최근 본 팝업" 섹션.

#### `popspot-frontend/src/lib/notifications.ts` — 클라이언트 로컬 알림 큐 (v2.18.1)
- **책임**: 의견 답변/동행 채팅/위시 만료/시스템 알림을 localStorage(`popspot:notifications`)에 최대 30개 FIFO로 통합 보관. 헤더 종 아이콘이 이걸 구독.
- **핵심 로직**:

  - `pushNotification` (`notifications.ts:37-52`) — `id`를 `${Date.now()}-${random36}`로 생성, `read:false`/`createdAt` 부여 후 맨 앞 삽입+`slice(0,30)`. **저장 후 `popspot:notifications-changed` CustomEvent dispatch**(`notifications.ts:51`) — 같은 탭 내 다른 구독자에게 즉시 알림.
  - `unreadCount` (`notifications.ts:66-68`) — `read`가 false인 것만 카운트 → 뱃지 숫자.
  - `markAsRead`/`markAllAsRead`/`clearAll` (`notifications.ts:70-88`) — 모두 write 후 `notifyChange()`로 같은 이벤트 dispatch.
  - `writeNotifications` (`notifications.ts:90-97`) — setItem try/catch 무시.
- **연결**: 의존 없음. 피호출 = 알림 센터 모달/헤더 종 아이콘(구독 = `window.addEventListener('popspot:notifications-changed')`), 의견 답변/위시 만료/채팅 발생 지점(push).
- **특이사항**: `CustomEvent`는 **같은 탭** 내 동기화만 보장. 다른 탭은 storage 이벤트가 아니라 이 커스텀 이벤트를 쓰므로 멀티탭 실시간 동기화는 안 됨(설계상 단일 탭 가정).

#### `popspot-frontend/src/lib/share.ts` — Web Share API + 클립보드 fallback 공유 (v2.18)
- **책임**: Web Share API 지원 시 네이티브 공유 시트, 미지원이면 클립보드 복사로 fallback. 외부 라이브러리 없이 표준 API만 사용.
- **핵심 로직**:
  - `share` (`share.ts:19-42`) — `navigator.share`가 함수면 시도; **`AbortError`(사용자 취소)는 `false` 반환하되 에러 토스트 안 띄움**(`share.ts:33-35`), 그 외 실패만 클립보드 fallback.
  - `copyToClipboard` (`share.ts:44-70`) — `navigator.clipboard && window.isSecureContext`면 `writeText` + 성공 토스트(`share.ts:46-49`); 비HTTPS/옛 브라우저는 임시 textarea + `document.execCommand('copy')` 레거시 경로(`share.ts:52-63`). 실패 시 에러 토스트.
- **연결**: 의존 = `./notify`(`notifySuccess`/`notifyError`). 피호출 = 팝업 카드/상세의 공유 버튼.

- **특이사항**: `execCommand('copy')`는 deprecated지만 비보안 컨텍스트 대비 의도적 fallback. `navigator`/`window` 직접 접근하나 SSR 가드는 `share` 진입부의 `navigator === "undefined"` 체크에 의존(`copyToClipboard`는 별도 가드 없음 — 항상 `share` 통해 호출되는 전제).

#### `popspot-frontend/src/lib/regions.ts` — 주소 문자열 → 서울 동네(region) 분류 (v2.21)
- **책임**: 팝업 위치 텍스트를 12개 region(성수/한남/압구정/홍대/강남/이태원/잠실/여의도/명동/성북/마포/기타)으로 정확히 하나만 분류. "성수인데 한남으로 새면 안 됨"이 핵심 요구.
- **핵심 로직**:
  - `REGIONS` (`regions.ts:48-153`) — 각 region에 `keywords`(substring 매칭, 더 긴 키워드 우선 배치)와 `priority`(낮을수록 더 좁고 구체적) 부여. 강남/성북 priority 2, 마포 3, 나머지 1.
  - `classifyRegion` (`regions.ts:159-186`) — **모든 region을 순회**해 첫 매치가 아니라 "가장 정확한 한 곳"을 고름. 동률 규칙(`regions.ts:175-178`): priority 낮은 쪽 우선, 같으면 keyword 길이가 긴(더 구체적) 쪽. 예: "성수동 한남대로" → priority 동률(둘 다 1)이면 키워드 길이로 "성수동"(3) vs "한남대로"(4) 비교.
  - `regionLabel`/`regionBySlug` (`regions.ts:189-195`) — code↔label/slug 조회 헬퍼.
- **연결**: 의존 없음. 피호출 = 메인 BROWSE 동네 슬라이스, SEO 동네 랜딩 페이지(slug 라우팅), 지도 필터.
- **특이사항**: 행정구역 단독("성동구")은 키워드에 없어 매칭 안 됨 — 동네명이 명시돼야 카운트(`regions.ts:10`). 약관 §10-2 일관성: 외부 검색 API 없이 자체 보관 텍스트만 사용(`regions.ts:12`). "성수동 한남대로" 예시는 키워드 길이 규칙상 한남(4)이 더 길어 실제로는 한남으로 갈 수 있는 모서리 케이스 — 주석의 의도(성수 우선)와 길이 규칙이 미묘하게 충돌할 여지.

#### `popspot-frontend/src/lib/popupSlices.ts` — 시점/카테고리 슬라이싱 순수 유틸 (v2.21)
- **책임**: 팝업을 시점(오늘/내일/이번 주/주말/이번 달)과 카테고리(패션/뷰티/캐릭터/디저트/라이프/아트/테크)로 분류. 메인 BROWSE와 SEO 랜딩이 공유. 모든 함수 순수, 외부 호출 없음.
- **핵심 로직**:
  - `getPeriods(now)` (`popupSlices.ts:33-68`) — 호출 시점 날짜로 **동적 라벨** 생성. 주 범위는 월~일(`offsetToMon = (day+6)%7`, `popupSlices.ts:42`), 주말은 토요일 기준이되 **일요일이면 "다음 주말"**(`popupSlices.ts:52-55`).

  - `PERIODS` (`popupSlices.ts:74`) — `getPeriods()` 빌드 타임 스냅샷. 주석상 slug/code만 필요한 `generateStaticParams`용, 사용자 표시엔 `getPeriods()` 권장(라벨 stale 방지).
  - `parseDate` (`popupSlices.ts:142-150`) — `yyyy-MM-dd`/`yyyy.MM.dd` 모두 `.`→`-` 정규화 후 `slice(0,10)`, 파트 3개 + truthy 검사.
  - `matchesPeriod` (`popupSlices.ts:164-208`) — 시점별 범위 겹침 판정. `this-week`/`this-weekend`/`this-month`는 "단 하루라도 겹치면" 매치(`start <= rangeEnd && end >= rangeStart`). 한 팝업이 여러 슬라이스에 동시 포함 가능(`popupSlices.ts:163`).
  - `classifyCategory` (`popupSlices.ts:213-224`) — `toLowerCase` 후 keyword substring 첫 매치 반환. 백엔드 category가 자유 텍스트라 한/영 키워드 혼재.
- **연결**: 의존 없음. 피호출 = 메인 BROWSE 시점/카테고리 탭, `/popups/[period]`·`[category]` SEO 랜딩 + 그 `generateStaticParams`.
- **특이사항**: 시점 판정은 클라이언트 로컬 시간(KST 사용자 가정, `popupSlices.ts:5-6`) — 타임존 다른 사용자는 경계일이 어긋날 수 있음. `getPeriods`의 `switch`는 모든 케이스 반환이라 default 없음(타입상 망라).

#### `popspot-frontend/src/lib/escapeHtml.ts` — raw HTML 삽입용 XSS escape
- **책임**: 신뢰 불가 문자열을 raw HTML(외부 SDK의 `content` 문자열, innerHTML)에 넣기 전 5개 특수문자(`& < > " '`)를 엔티티로 치환.
- **핵심 로직**: `escapeHtml` (`escapeHtml.ts:12-20`) — null/undefined → `""`, 이후 `&`를 **가장 먼저** 치환(이중 escape 방지)하고 `<`,`>`,`"`,`'` 순서로 replace.
- **연결**: 의존 없음. 피호출 = Kakao Map/Roadview의 `CustomOverlay({ content })`처럼 문자열을 DOM에 직접 꽂는 지점.
- **특이사항**: 주석(`escapeHtml.ts:7-9`)이 위협 모델을 명시 — 팝업 이름은 자동수집 크롤러가 외부 검색결과에서 가져온 비신뢰 데이터라 `<img src=x onerror=...>` 페이로드로 저장형 XSS 가능. React 일반 텍스트 렌더(`{value}`)는 자동 escape되니 이 함수는 **오직 raw HTML 직조 시에만** 써야 함(과용 시 이중 escape).

#### `popspot-frontend/src/store/useChatStore.ts` — 동행 채팅방 전역 상태 (Zustand + persist)

POP-SPOT v2.38 (4/9) — 스톡 이미지 제거·크롤 근거 검증 보강

Public

v2.38에 묶인 22개 커밋과 143개 파일 변경을 Git에서 전수 대조했다. 모든 변경 줄을 Before→After와 쉬운 해석으로 기록했다.

POP-SPOT v2.38 (3/9) — 스톡 이미지 제거·크롤 근거 검증 보강

이어 읽을 기록

댓글