QA: SPRINT-005 review iteration 1 — PASSED (final sprint)

.qa/SPRINT-005-review-1.md

@@ -0,0 +1,67 @@
+# SPRINT-005 QA Review — Iteration 1 (최종 Sprint)
+
+- **검증일시:** 2026-04-04 03:33 UTC
+- **검증자:** 다랑이 (Evaluator)
+- **결과:** ✅ PASSED
+
+## 검증 항목
+
+| 항목 | 결과 |
+|------|------|
+| git clone + checkout | ✅ |
+| npm install (BE/FE) | ✅ |
+| prisma generate | ✅ |
+| npm test (backend) | ✅ 22/22 pass |
+| npm run build (backend) | ✅ |
+| npm run build (frontend) | ✅ 12 routes |
+
+## 설계 대조
+
+| 설계 항목 | 일치 |
+|-----------|------|
+| CostLog 모델 + 인덱스 | ✅ |
+| GET /api/admin/costs (period=day/week/month) | ✅ |
+| POST /api/admin/costs/record/:name | ✅ |
+| @UseGuards(ApiKeyGuard) on costs API | ✅ |
+| WebSocket Gateway (/ws namespace) | ✅ |
+| EventsScheduler 30초 브로드캐스트 | ✅ |
+| sisters:update + activity:new 이벤트 | ✅ |
+| ActivityService 실시간 연동 | ✅ |
+| /admin/costs 비용 대시보드 (BarChart+요약) | ✅ |
+| 기간 필터 (day/week/month) | ✅ |
+| FE useSocket 훅 | ✅ |
+| 메인 대시보드 실시간 반영 | ✅ |
+
+## Sprint 004 non-blocking 수정 확인
+
+| 항목 | 상태 |
+|------|------|
+| null byte 방지 (셸 escape) | ✅ |
+
+## Non-blocking 이슈
+
+### 코드 품질 (code-reviewer)
+| ID | 이슈 | 심각도 |
+|----|------|--------|
+| N1 | WebSocket Gateway 인증 없음 — handleConnection에 token 검증 추가 권장 | Medium |
+| N2 | useSocket stale closure — useRef 패턴으로 개선 권장 | Low |
+| N3 | recordCosts python3 의존 — jq 또는 Node.js 대안 권장 | Low |
+| N4 | estimatedUsd Float 정밀도 — Decimal 또는 정수(cents) 저장 권장 | Low |
+| N5 | MODEL_PRICING 하드코딩 — config/DB 분리 권장 | Low |
+| N6 | recordAll Promise.all → Promise.allSettled 권장 | Low |
+| N7 | EventsScheduler setInterval → setTimeout 재스케줄링 권장 | Low |
+| N8 | WebSocket + REST 이중 폴링 — connected 시 간격 조절 권장 | Low |
+| N9 | POST record/:name 응답 body 없음 — {recorded: true} 반환 권장 | Low |
+
+### 보안 감사 (security-auditor)
+| ID | 이슈 | 심각도 |
+|----|------|--------|
+| SEC-001 | WebSocket Gateway 무인증 — origin/token 검증 추가 권장 | Medium |
+| SEC-002 | lodash 의존성 취약점 (Prototype Pollution) — @nestjs/config 업그레이드 권고 | High (실제 악용 Low) |
+
+## 판정 근거
+- 테스트/빌드 전부 통과
+- 설계 문서와 코드 일치
+- blocking 0건 (code-reviewer B1~B3 재검증 후 non-blocking 하향)
+- CostLog API 인증 적용, CORS 일관, Helmet, ValidationPipe 등 보안 기반 양호
+- WebSocket 인증은 내부망 대시보드 특성상 non-blocking으로 판정