[FEAT] 아이디·비밀번호 회원가입·로그인 연동 및 주문표 서버 동기화

[Yena07]

무엇을

modules/member 의 네 경로에 프론트를 붙였습니다. 개인 레포에서 코드래빗 리뷰를 두 번(#7 · #8) 받고 머지한 것을 그대로 옮겼습니다.

frontend/ 18개 파일만 바뀝니다. backend/ 는 건드리지 않았습니다.

POST /api/v1/auth/signup          { loginId, password } → { userId, loginId }
POST /api/v1/auth/login           { loginId, password } → { userId, loginId }
GET  /api/v1/users/{userId}/profiles                    → [ UserProfileResponse ]
POST /api/v1/users/{userId}/profiles                    →   UserProfileResponse

로그인은 끝까지 선택입니다

심사 항목이 "로그인하지 않아도 추천부터 최종 확인까지 전 과정이 동작하는지" 라, 이 변경의 어떤 것도 주 흐름을 막지 않습니다. 로그인해서 얻는 것은 하나뿐입니다 — 저장해 둔 주문표를 다음에 열었을 때도 불러오는 것.

실명·전화번호는 받지 않습니다. 아이디는 사용자가 지어낸 문자열입니다.

'프로필' 을 '주문표' 로 바꿨습니다 (화면 말만)

사람을 가리키는 말로 읽혔는데 실제로는 저장해 둔 주문 하나입니다(닭강정 · 매운맛 · 순살 · 종이컵 · 1개). 백엔드는 계속 profile 이라 부르고, 그 이름은 계약이라 그대로 뒀습니다 — 요청·응답 필드명은 하나도 안 바뀝니다.

백엔드 쪽에 부탁드릴 것 셋

붙이면서 확인한 것 중 프론트에서 고칠 수 없는 것입니다. frontend/docs/BACKEND_INTEGRATION.md 에 같은 무게로 적어 두었습니다.

	지금	왜 문제인지
① 토큰이 없습니다	응답이 { userId, loginId } 뿐	이후 주문표 요청이 userId 를 경로에 넣어 나갑니다. 인증이 아니라 식별입니다.
② 주문표 경로가 누구에게나 열려 있습니다	GET·POST /api/v1/users/{userId}/profiles 에 인증 검사 없음	userId 가 1부터 올라가는 숫자라, 숫자만 바꾸면 남의 주문표를 읽고 씁니다
③ 로그인 시도 횟수 제한이 없습니다	POST /api/v1/auth/login	무차별 대입을 막는 것이 없습니다

②가 가장 급합니다. BFF(frontend/api/bff.ts)를 닫아도 해결되지 않습니다 — 백엔드가 열려 있는 한 누구든 직접 부를 수 있고, 닫으면 우리 화면만 못 쓰게 됩니다. 막는 자리는 서버입니다.

세션 토큰(또는 Authorization 헤더)을 발급해 주시고, 주문표 경로에서 토큰의 주인과 {userId} 가 같은지 확인해 주세요. 발급해 주시면 프론트는 src/api/account.ts 의 부르기 한 곳에 헤더를 붙이면 끝입니다. ①이 풀리면 ②도 같이 풀립니다.

그때까지 열어 두는 기준도 문서에 적었습니다 — 이 경로로 오가는 것은 전부 합성 데이터입니다(dataClassification 은 항상 SYNTHETIC_PROFILE, 테스트로 잠갔습니다). 실제 개인정보를 받는 칸이 하나라도 생기면 그 순간 이 경로는 닫아야 합니다.

그 외 두 가지

• 주문표 삭제 경로가 없습니다. 화면에서 지워도 서버에는 남습니다. 그래서 '이 기기에서 정보 지우기' 문구를 "이 기기에 있는 내용이 사라지고 로그아웃돼요. 서버에 올라간 주문표는 남아 있어요" 로 고쳤습니다 — 지운 척하지 않으려고요. DELETE /api/v1/users/{userId}/profiles/{profileId} 가 생기면 바로 부르겠습니다.
• place 가 @NotBlank 라 장소 없는 주문표는 400 입니다. 그 400 에 code 도 message 도 없어서(@Valid 실패는 GlobalExceptionHandler 를 안 탑니다) 사용자에게 이유를 말해 줄 수 없습니다. 지금은 프론트가 올리기 전에 거르고 화면이 먼저 알립니다. place 를 선택 항목으로 완화해 주시거나, 어렵다면 MethodArgumentNotValidException 핸들러를 추가해 주세요 — 후자는 다른 모든 @Valid 경로에도 도움이 됩니다.

그 사이 개인 레포에서 머지한 것도 함께 옵니다

• 승인 전에 거절할 수 있습니다. 거절도 서버에 기록합니다(approved:false → ExecutionPlan.empty() 라 키오스크를 건드리지 않습니다). 거절한 세션으로는 다시 승인할 수 없습니다.
• npm run check:backend — 앱이 부르는 경로를 앱이 부르는 순서로 불러 보고, 200 인지만이 아니라 후보에 이름이 있는지 · 품절이 섞였는지 · 실제로 담기는지까지 봅니다.
• 시연용 시나리오 패널을 기본으로 감췄습니다(?demo=1 로만 보입니다).
• [FEAT] ExecuteResult evidence(JsonNode) → Evidence 타입 파싱 연결 #48 의 summary 를 결과 화면에 한 줄로 붙였습니다({ valid, summary, raw } 와 옛 모양 둘 다 받습니다).

확인

tsc 0 · 182 tests 통과 · build ok

README.md 세 줄은 팀 레포 기준으로 고쳤습니다 — 백엔드가 여기서는 저장소 루트에 있고(../backend), 시나리오 패널 설명이 낡아 있었습니다.

Summary by CodeRabbit

• 새 기능

  • 아이디·비밀번호로 가입하고 로그인할 수 있습니다.
  • 로그인 없이 주문표를 작성하고, 로그인 후 저장·불러오기·삭제할 수 있습니다.
  • 주문표 기반 추천·승인·거절 및 거절 사유 기록을 지원합니다.
  • 백엔드 연결 상태를 단계별로 확인할 수 있습니다.

• 개선

  • 입력값과 개인정보 포함 메모를 검증하고 오류를 안내합니다.
  • 승인 결과에 서버 설명이 표시됩니다.
  • 계정·주문표 및 개인정보 안내 문구를 실제 동작에 맞게 갱신했습니다.

• 문서

  • 계정 API, 백엔드 연동 절차와 보안·삭제 제한 사항을 문서화했습니다.

[coderabbitai]

Warning

Review limit reached

@Yena07, you've reached your PR review limit, so we couldn't start this review.

Next review available in: 21 minutes

Enable usage-based reviews in Billing to review now. Otherwise, wait until the next included review is available.
You're only billed for reviews past your plan's rate limits ($0.25/file).

How can I continue?

After more reviews become available, a review can be triggered using the @coderabbitai review command as a PR comment. Alternatively, push new commits to this PR.

To avoid repeated limits, reduce automatic review volume by pausing incremental auto-reviews earlier, using label-based review opt-in, excluding WIP or generated PR titles, or requesting reviews manually when the PR is ready. If your team needs uninterrupted high-volume reviews, an organization admin can enable usage-based reviews.

How do review limits work?

CodeRabbit enforces per-developer PR review limits for each organization. Most developers receive the normal plan review availability.

For paid Pro and Pro+ PR reviews, CodeRabbit uses adaptive limits for sustained high-volume activity. When a developer's recent PR review activity reaches the 95th percentile or higher among CodeRabbit users, additional reviews become available more gradually as earlier reviews age out of the rolling window.

Please refer docs for additional details.

Review details

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: CHILL

Plan: Pro Plus

Run ID: 42d8cd0d-87fc-455f-b154-8da37b05bb66

📥 Commits

Reviewing files that changed from the base of the PR and between 1433f4d and 0d9ab3d.

📒 Files selected for processing (1)

• frontend/README.md

Walkthrough

ProfileData 기반 흐름을 OrderSheet 기반 흐름으로 전환했습니다. 아이디·비밀번호 인증, 게스트 사용, 주문표 저장·동기화, 주문 승인·거절, 백엔드 연결 점검을 추가했습니다.

Changes

주문표 기반 애플리케이션 전환

Layer / File(s)	Summary
도메인 계약과 목 매핑 frontend/src/domain/types.ts, frontend/src/domain/catalog.tsx, frontend/src/api/canonical.ts, frontend/src/api/mock.ts, frontend/src/api/*test.ts	ProfileData를 OrderSheet로 변경했습니다. sheetId, sheetOptions, RejectInput, PlanStatus.note를 추가했습니다. 주문표의 장소와 선택값으로 후보 필터링, 추천, clarification, not_found, changed 응답을 생성합니다.
계정 API와 저장소 frontend/src/api/account.ts, frontend/src/api/account.test.ts, frontend/api/bff.ts	회원가입, 로그인, 주문표 조회·저장을 목 API와 BFF API로 제공합니다. 입력 검증, 개인정보 유사 메모 차단, 응답 정규화, 오류 변환, 20초 타임아웃을 처리합니다.
매핑·승인·거절 오케스트레이션 frontend/src/api/client.ts, frontend/src/api/backend.ts, frontend/src/api/*test.ts	매핑 세션과 승인 검증을 sheetId 기준으로 변경했습니다. 주문표 정규화, 후보 추천, 승인·거절 요청, 서버 요약 note, 캐시 정리와 중복 실행 방지를 처리합니다.
계정 및 주문표 화면 흐름 frontend/src/app/App.tsx	전화번호·OTP 화면을 제거했습니다. 아이디·비밀번호 로그인, 회원가입, 게스트 접근, 주문표 작성·저장·동기화, QR 주문, 승인·거절 및 계정 삭제 흐름을 구성했습니다.
백엔드 실행 및 배포 지원 frontend/tools/check-backend.mjs, frontend/package.json, frontend/.claude/launch.json, frontend/vercel.json, frontend/README.md, frontend/docs/BACKEND_INTEGRATION.md	팀 백엔드 실행 구성과 연결 점검 CLI를 추가했습니다. 인증·사용자 경로와 백엔드 계약 요구사항을 문서화하고 Vercel 빌드를 build:team으로 변경했습니다.

Estimated code review effort: 5 (Critical) | ~120 minutes

Sequence Diagram(s)

sequenceDiagram
  participant App
  participant AccountApi
  participant BFF
  participant TeamBackend
  App->>AccountApi: 회원가입 또는 로그인 요청
  AccountApi->>BFF: 계정 요청 전달
  BFF->>TeamBackend: 허용된 인증 요청 전달
  TeamBackend-->>BFF: 계정 응답 반환
  BFF-->>AccountApi: 정규화된 응답 반환
  AccountApi-->>App: Account 반환
  App->>AccountApi: OrderSheet 저장 요청
  AccountApi->>BFF: OrderSheet DTO 전달
  BFF->>TeamBackend: OrderSheet 저장
  TeamBackend-->>App: 저장 결과 반환

Loading

Possibly related PRs

• watTHEBUG/kioBridge#20: 목 매핑과 장소별 카탈로그 변경이 직접 연결됩니다.
• watTHEBUG/kioBridge#23: client.ts와 mock.ts의 매핑 흐름이 직접 연결됩니다.
• watTHEBUG/kioBridge#46: 백엔드 정규화, BFF 및 API 흐름이 직접 연결됩니다.

🚥 Pre-merge checks | ✅ 4 | ❌ 1

❌ Failed checks (1 warning)

Check name	Status	Explanation	Resolution
Docstring Coverage	⚠️ Warning	Docstring coverage is 55.56% which is insufficient. The required threshold is 80.00%.	Write docstrings for the functions missing them to satisfy the coverage threshold.

✅ Passed checks (4 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	아이디·비밀번호 회원가입·로그인 연동과 주문표 서버 동기화라는 변경의 핵심 내용을 정확하고 간결하게 설명합니다.
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch feat/frontend-auth

---

_{Comment @coderabbitai help to get the list of available commands.}

[coderabbitai]

Actionable comments posted: 17

Caution

Some comments are outside the diff and can’t be posted inline due to platform limitations.

⚠️ Outside diff range comments (1)

frontend/src/api/backend.ts (1)

205-221: 🔒 Security & Privacy | 🔴 Critical | 🏗️ Heavy lift

키오스크 상품 ID를 브라우저에 보관하지 마세요.

rec와 후보 Map은 서버의 실제 candidateId를 브라우저 메모리에 저장합니다. 화면에 c1 표식만 노출해도 앱은 상품 ID를 보관하므로 실격 조건을 위반합니다. 서버가 페어링 세션에 실제 후보를 보관하고, 프론트에는 세션 한정 표식만 반환하도록 계약을 변경하세요.

• frontend/src/api/backend.ts#L205-L221: rec 전체 대신 상품 ID가 제거된 화면용 응답만 세션에 보관하세요.
• frontend/src/api/backend.ts#L643-L652: 실제 후보 ID와 추천을 브라우저 Map에 저장하지 마세요. 서버 세션에서 표식을 실제 후보로 해석하세요.

As per path instructions, "키오스크 상품 ID 나 화면 좌표를 앱이 들고 있거나 저장하면 안 됩니다."

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@frontend/src/api/backend.ts` around lines 205 - 221, Update requestMapping in
frontend/src/api/backend.ts:205-221 to store only a display-safe response in the
browser session, removing actual candidate IDs from rec while preserving the
information needed for rendering. Update the logic at
frontend/src/api/backend.ts:643-652 so browser-side Maps do not retain actual
candidate IDs or recommendation data; resolve session-scoped display markers to
real candidates through the server pairing session instead.

Source: Path instructions

🧹 Nitpick comments (2)

frontend/src/api/account.test.ts (1)

404-422: 📐 Maintainability & Code Quality | 🔵 Trivial | 💤 Low value

가짜 타이머 정리를 afterEach 로 옮기면 누수를 막습니다.

vi.useRealTimers() 가 테스트 본문 안에 있습니다. advanceTimersByTimeAsync 가 던지면 이 줄이 실행되지 않습니다. 그러면 가짜 타이머가 다음 테스트로 넘어갑니다. 이 파일의 다른 테스트는 setAccountMockDelay(0) 로도 setTimeout 을 씁니다.

제안 수정

-const 원래fetch = globalThis.fetch;
-afterEach(() => { globalThis.fetch = 원래fetch; });
+const 원래fetch = globalThis.fetch;
+afterEach(() => {
+  globalThis.fetch = 원래fetch;
+  vi.useRealTimers();
+});

그리고 테스트 본문의 vi.useRealTimers(); 는 지웁니다.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@frontend/src/api/account.test.ts` around lines 404 - 422, Move fake-timer
cleanup to this test file’s afterEach hook so vi.useRealTimers() always runs
even when advanceTimersByTimeAsync or the awaited login rejects; remove the
vi.useRealTimers() call from the “응답이 오지 않으면 끊고 사용자에게 말한다” test body while
preserving its timeout assertions.

frontend/src/api/account.ts (1)

354-359: 📐 Maintainability & Code Quality | 🔵 Trivial | ⚡ Quick win

실서버 signup · login 에도 입력 검사를 두면 목과 동작이 같아집니다.

saveSheet 는 못올리는이유 를 이 계층에서 다시 검사합니다. signup 과 login 은 검사하지 않습니다. 목 구현(Line 211-216)은 "한쪽만 막으면 구현을 바꿀 때 샌다"라고 적고 두 검사를 모두 부릅니다.

지금 상태에서 화면 가드를 우회한 값이 실서버로 가면, 사용자는 code 없는 400 에서 온 일반 문구만 받습니다. 목에서는 구체 문구를 받습니다. 같은 입력에 다른 안내가 나갑니다.

제안 수정

+  const 계정입력검사 = (loginId: string, password: string): void => {
+    const 아이디문제 = 아이디검사(loginId);
+    if (아이디문제) throw new KioBridgeError("INVALID_REQUEST", 아이디문제, true);
+    const 비번문제 = 비밀번호검사(password);
+    if (비번문제) throw new KioBridgeError("INVALID_REQUEST", 비번문제, true);
+  };
+
   return {
-    signup: (loginId, password) =>
-      부르기<Account>("POST", "/api/v1/auth/signup", { loginId: loginId.trim(), password }),
+    async signup(loginId, password) {
+      계정입력검사(loginId, password);
+      return 부르기<Account>("POST", "/api/v1/auth/signup", { loginId: loginId.trim(), password });
+    },

login 은 기존 계정의 비밀번호 규칙이 바뀔 수 있으므로 아이디 검사만 두는 편이 안전합니다.

이 지적은 경로 지침을 따릅니다: "승인 조건(후보 선택·변경 확인·저확신 확인)을 프론트 가드뿐 아니라 이 계층에서도 다시 검사하는지 봐 주세요."

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@frontend/src/api/account.ts` around lines 354 - 359, 실서버 API 래퍼의 signup과
login에도 목 구현과 동일한 입력 검사를 적용하세요. signup은 아이디와 비밀번호 검사를 모두 수행하고, login은 비밀번호 규칙
변경을 허용하도록 아이디 검사만 수행하며, 기존 목 구현과 동일한 검증 헬퍼를 재사용해 구체적인 오류 안내를 유지하세요.

Source: Path instructions

🤖 Prompt for all review comments with AI agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

Inline comments:
In `@frontend/api/bff.ts`:
- Around line 80-82: Introduce an environment-controlled feature flag for the
unauthenticated users/{id}/profiles route in the route-matching configuration,
defaulting to disabled unless explicitly enabled. Apply the flag only to the
/^api\/v1\/users\/\d+\/profiles$/ pattern and leave the auth signup/login route
and existing profile flow unchanged when enabled.

In `@frontend/docs/BACKEND_INTEGRATION.md`:
- Around line 363-369: 문서의 삭제 안내를 실제 UI 문자열에 맞게 수정하고, 개인정보 화면과 확인창의 문구를 각각 정확히
반영하세요. api.forgetAll()은 로컬 상태와 세션만 정리한다고 명시하고, 계정 초기화 및 프로필 삭제는 App.tsx 확인창 핸들러의
별도 책임으로 구분하세요. 서버 프로필 삭제 경로가 없으면 주문표가 서버에 남는다는 안내는 유지하세요.

In `@frontend/README.md`:
- Around line 41-45: Update the frontend README command block to explicitly
label three separate terminals, keep the backend command rooted at the
repository root, and run dev:team from frontend so each command uses the correct
working directory. Also clarify that the commands at lines 50 and 56, including
node tools/check-backend.mjs, must be run from frontend.

In `@frontend/src/api/account.ts`:
- Around line 361-364: Update frontend/src/api/account.ts lines 361-364 in
listSheets to validate that the response is an array and filter out non-object
elements before mapping with 주문표읽기, throwing BAD_RESPONSE for an invalid
top-level response; also update frontend/src/api/account.ts lines 330-340 to
attach rejection handling to res.text() like res.json(), converting failures to
BAD_RESPONSE.
- Around line 330-340: Wrap the res.text() call in the account request flow with
KioBridgeError handling so stream failures are converted instead of propagating
raw TypeError instances. Update the logic after the !res.ok branch to preserve
the empty-body undefined result while mapping text-read failures to the existing
error code/message contract, reusing the surrounding KioBridgeError and 문구
symbols.

In `@frontend/src/api/backend.ts`:
- Around line 382-390: Track each rejected pairingId in a separate
deletion-target set within reject, rather than relying only on active sessions.
In frontend/src/api/backend.ts lines 382-390, record the pairingId after the
rejection flow; in lines 779-785, have forgetAll invoke the server deletion API
for these recorded targets and propagate success only when deletion succeeds,
treating a missing deletion API as incomplete. Ensure forgetSession does not
falsely report server deletion when it only clears the browser Map.
- Around line 643-652: 매핑 상태를 주문표 ID가 아닌 페어링 세션별로 분리하세요.
frontend/src/api/backend.ts의 후보, 추천, 마지막키 및 정규화됨 상태에 사용할 pairingId 또는 서버
sessionId를 filterCandidates와 recommend에 전달하고, 모든 조회·저장이 동일한 세션 키를 사용하도록 수정하세요.
같은 sheetId를 서로 다른 조건과 환경으로 두 세션에서 매핑한 뒤 각 세션이 자신의 recommendation과
sessionContext를 승인하는 회귀 테스트를 추가하세요.

In `@frontend/src/api/mock.ts`:
- Around line 92-94: Update 메뉴이름 so an empty menuName does not fall back to
MOCK_MENU_NAME; instead, the mock response flow must return a not_found or
input-validation error requiring a menu name. Trace the relevant clarification
and not_found handling around registerSheet so no unsaved fixed menu value is
presented as user input, and add a test covering an OrderSheet with an empty
menuName.

In `@frontend/src/app/App.tsx`:
- Around line 1795-1797: Update the logged-in 안내 문구 in the `body` ternary so it
states that only order sheets with a selected place are uploaded to the server;
preserve the guest message and the existing behavior of `주문표저장` and `못올리는이유`.
- Around line 1019-1026: Update the saved-sheet radio `aria-label` and the
corresponding delete-button `aria-label` near the related sheet controls so
entries sharing the same `menuName` and `place` include an additional
distinguishing attribute, such as the sheet tag or memo, in the spoken label.
Ensure both selection and destructive deletion controls remain uniquely
identifiable without relying on color.
- Around line 535-549: Update the privacy navigation flow around the signup
screen and the onPrivacy handler so opening PrivacyScreen preserves the
originating screen; make its back action return to signup with the entered ID
and password intact instead of always calling setScreen("saved") and
setTab("account").
- Around line 2931-2944: Update the logout and device-information deletion flows
to clear the pending confirmation by calling set확인대기(null) alongside the
account-generation update. Use the existing logout and information-clear
handlers, ensuring stale retry dialogs cannot remain after the active account
changes.
- Around line 475-493: Update the signup `보내기` handler to pass `loginId.trim()`
to `account.signup` instead of the raw value, matching the validation performed
by `아이디검사`. Apply the same normalization in `LoginScreen`’s `보내기` handler so
both signup and login transmit the trimmed identifier while preserving the
existing validation and submission flow.
- Around line 3235-3246: Update the shared createApi().forgetAll()
implementation to clear the local sheets Map with sheets.clear(), matching
mockApi.forgetAll(). Ensure the common deletion path removes locally cached
order sheets in addition to clearing session, expiration, and environment state;
do not rely only on the caller’s setSheets([]).

In `@frontend/src/domain/types.ts`:
- Around line 14-24: OrderSheet and the 주문표복사/saveSheet persistence flow must
not accept or store arbitrary memo text. Remove memo from the OrderSheet and
server synchronization contract, or restrict it to an explicit predefined
non-identifying value set, ensuring names, phone numbers, addresses, resident
numbers, and patient numbers cannot be entered or persisted.

In `@frontend/tools/check-backend.mjs`:
- Around line 114-117: Update the logging branch around cf and
eligibleCandidates so the candidate count uses the same null-safe fallback as
the first-candidate lookup. Preserve the existing message and candidate display
while ensuring missing eligibleCandidates does not throw and allows subsequent
recommendation, approval, and cause guidance output to run.
- Around line 22-37: Update the fetch call inside 확인 to use an AbortSignal
timeout, ensuring requests are cancelled after a finite interval such as 15
seconds. Keep the existing catch handling so timed-out requests increment 실패 and
report the connection failure instead of leaving the script pending.

---

Outside diff comments:
In `@frontend/src/api/backend.ts`:
- Around line 205-221: Update requestMapping in
frontend/src/api/backend.ts:205-221 to store only a display-safe response in the
browser session, removing actual candidate IDs from rec while preserving the
information needed for rendering. Update the logic at
frontend/src/api/backend.ts:643-652 so browser-side Maps do not retain actual
candidate IDs or recommendation data; resolve session-scoped display markers to
real candidates through the server pairing session instead.

---

Nitpick comments:
In `@frontend/src/api/account.test.ts`:
- Around line 404-422: Move fake-timer cleanup to this test file’s afterEach
hook so vi.useRealTimers() always runs even when advanceTimersByTimeAsync or the
awaited login rejects; remove the vi.useRealTimers() call from the “응답이 오지 않으면
끊고 사용자에게 말한다” test body while preserving its timeout assertions.

In `@frontend/src/api/account.ts`:
- Around line 354-359: 실서버 API 래퍼의 signup과 login에도 목 구현과 동일한 입력 검사를 적용하세요.
signup은 아이디와 비밀번호 검사를 모두 수행하고, login은 비밀번호 규칙 변경을 허용하도록 아이디 검사만 수행하며, 기존 목 구현과
동일한 검증 헬퍼를 재사용해 구체적인 오류 안내를 유지하세요.

🪄 Autofix

Fix all unresolved CodeRabbit comments on this PR:

• Push a commit to this branch (recommended)
• Create a new PR with the fixes

---

ℹ️ Review info

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: CHILL

Plan: Pro Plus

Run ID: 717dd20d-2fbf-4b34-8a95-f01ff7fddc8b

📥 Commits

Reviewing files that changed from the base of the PR and between abda0f6 and 01ed243.

📒 Files selected for processing (18)

• frontend/README.md
• frontend/api/bff.ts
• frontend/docs/BACKEND_INTEGRATION.md
• frontend/package.json
• frontend/src/api/account.test.ts
• frontend/src/api/account.ts
• frontend/src/api/backend.test.ts
• frontend/src/api/backend.ts
• frontend/src/api/canonical.test.ts
• frontend/src/api/canonical.ts
• frontend/src/api/client.test.ts
• frontend/src/api/client.ts
• frontend/src/api/mock.test.ts
• frontend/src/api/mock.ts
• frontend/src/app/App.tsx
• frontend/src/domain/catalog.tsx
• frontend/src/domain/types.ts
• frontend/tools/check-backend.mjs

[coderabbitai]

Actionable comments posted: 3

Caution

Some comments are outside the diff and can’t be posted inline due to platform limitations.

⚠️ Outside diff range comments (1)

frontend/README.md (1)

113-115: 🎯 Functional Correctness | 🟡 Minor | ⚡ Quick win

서버 동기화 조건을 문서에 명시하세요.

로그인 상태만으로 모든 주문표가 서버에 올라가지는 않습니다. place가 없는 주문표는 이 기기에만 저장됩니다. Line 114에 이 조건을 추가하세요.

수정 예시

-- 주문표와 로그인 상태는 메모리에만 있습니다. `localStorage` 를 쓰지 않아 새로고침하면 사라집니다. 로그인한 사람의 주문표만 서버에 올라가고, 다시 로그인하면 돌아옵니다.
+- 주문표와 로그인 상태는 메모리에만 있습니다. `localStorage` 를 쓰지 않아 새로고침하면 사라집니다. 로그인한 사람의 주문표 중 장소를 정해 둔 주문표만 서버에 올라가고, 다시 로그인하면 돌아옵니다.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@frontend/README.md` around lines 113 - 115, Update the README statement about
server-synced order lists to specify that synchronization requires both an
authenticated user and a place; order lists without place remain stored only on
the device.

Source: Path instructions

🧹 Nitpick comments (2)

frontend/src/api/backend.test.ts (1)

287-297: 📐 Maintainability & Code Quality | 🔵 Trivial | ⚡ Quick win

거절 가드가 원인인지 오류 코드로 확인하세요.

rejects.toThrow()는 어떤 예외든 통과합니다. sheetId 불일치나 만료 검사가 먼저 걸려도 이 테스트는 초록으로 남습니다. backend.ts의 s.rejected 가드가 동작했는지 구분되지 않습니다.

KioBridgeError의 code를 단언하면 가드가 정확히 잠깁니다.

💚 제안 수정

     await expect(
       api.approve({ pairingId: "s1", sheetId: "p1", mappingResult: "exact" }),
-    ).rejects.toThrow();
+    ).rejects.toMatchObject({ code: "MAPPING_REQUIRED" });

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@frontend/src/api/backend.test.ts` around lines 287 - 297, Update the
rejection test around approve so it asserts the thrown KioBridgeError has the
specific error code produced by the s.rejected guard in backend.ts, rather than
only checking that some exception is thrown. Keep the existing rejected-session
setup and verify the code identifies rejection as the cause.

frontend/src/api/backend.ts (1)

421-432: 🩺 Stability & Availability | 🔵 Trivial | ⚡ Quick win

빈 세션 ID 폴백을 방어적으로 처리하세요.

ids가 비면 forgetSession("")을 호출합니다. 현재 팀 백엔드 구현은 세션 ID를 검증하지 않아서 동작합니다. 다른 Backend 구현이 세션 ID를 검증하거나 네트워크를 부르면 여기서 예외가 던져집니다. 그러면 로컬 정리는 이미 끝났는데 화면은 '정보 지우기' 실패로 표시합니다.

정리 실패가 사용자 화면을 막지 않도록 개별 호출을 감싸는 것이 안전합니다.

♻️ 제안 수정

       if (backend.forgetSession) {
-        await Promise.all((ids.length > 0 ? ids : [""]).map((id) => backend.forgetSession!(id)));
+        await Promise.all(
+          (ids.length > 0 ? ids : [""]).map((id) =>
+            backend.forgetSession!(id).catch(() => {
+              // 지우기는 되돌릴 수 없다. 로컬은 이미 비웠으므로 여기서 멈추지 않는다.
+            }),
+          ),
+        );
       }

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@frontend/src/api/backend.ts` around lines 421 - 432, Update forgetAll so each
backend.forgetSession call is individually guarded against errors, including the
empty-session fallback call, allowing local cleanup to complete without
propagating backend failures to the UI. Preserve the existing session ID
iteration and cleanup behavior.

🤖 Prompt for all review comments with AI agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

Inline comments:
In `@frontend/docs/BACKEND_INTEGRATION.md`:
- Line 384: Update the fenced code block at the reported documentation section
to specify the text language, changing the opening fence to use text while
preserving its contents unchanged.

In `@frontend/src/api/account.ts`:
- Around line 123-126: 개인정보 차단 정책이 전화번호·주민등록번호에만 한정되지 않도록 확장하세요.
frontend/src/api/account.ts 123-126의 개인정보같은메모와 저장 경로에서 이름·전화번호·주소·주민번호·환자번호를
검사하고, frontend/src/app/App.tsx 929-987에서도 동일 정책으로 경고와 저장 차단을 적용하세요.
frontend/src/api/account.test.ts 96-108에는 각 사례와 차단 시 fetch 미호출 검증을 추가하고,
frontend/docs/BACKEND_INTEGRATION.md 356-359 및 frontend/README.md 107-109는 실제 구현
범위와 일치하도록 개인정보 미수집 정책을 수정하세요. memo는 자유 입력 필드로 유지하세요.

In `@frontend/src/api/backend.test.ts`:
- Around line 270-285: Update the test around claimPairing, reject, and
forgetAll to assert that forgetSession was called with the rejected pairing ID,
such as "s1", rather than only checking that it was called. Preserve the
existing setup and verify the specific ID remains available for cleanup after
rejection.

---

Outside diff comments:
In `@frontend/README.md`:
- Around line 113-115: Update the README statement about server-synced order
lists to specify that synchronization requires both an authenticated user and a
place; order lists without place remain stored only on the device.

---

Nitpick comments:
In `@frontend/src/api/backend.test.ts`:
- Around line 287-297: Update the rejection test around approve so it asserts
the thrown KioBridgeError has the specific error code produced by the s.rejected
guard in backend.ts, rather than only checking that some exception is thrown.
Keep the existing rejected-session setup and verify the code identifies
rejection as the cause.

In `@frontend/src/api/backend.ts`:
- Around line 421-432: Update forgetAll so each backend.forgetSession call is
individually guarded against errors, including the empty-session fallback call,
allowing local cleanup to complete without propagating backend failures to the
UI. Preserve the existing session ID iteration and cleanup behavior.

🪄 Autofix

Fix all unresolved CodeRabbit comments on this PR:

• Push a commit to this branch (recommended)
• Create a new PR with the fixes

---

ℹ️ Review info

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: CHILL

Plan: Pro Plus

Run ID: 86c2fb99-5401-492e-b122-c46266c12bd8

📥 Commits

Reviewing files that changed from the base of the PR and between 01ed243 and 341d14c.

📒 Files selected for processing (12)

• frontend/.claude/launch.json
• frontend/README.md
• frontend/api/bff.ts
• frontend/docs/BACKEND_INTEGRATION.md
• frontend/src/api/account.test.ts
• frontend/src/api/account.ts
• frontend/src/api/backend.test.ts
• frontend/src/api/backend.ts
• frontend/src/api/mock.test.ts
• frontend/src/api/mock.ts
• frontend/src/app/App.tsx
• frontend/tools/check-backend.mjs

🚧 Files skipped from review as they are similar to previous changes (3)

• frontend/tools/check-backend.mjs
• frontend/src/api/mock.ts
• frontend/src/api/mock.test.ts

[coderabbitai]

Caution

Some comments are outside the diff and can’t be posted inline due to platform limitations.

⚠️ Outside diff range comments (1)

frontend/src/app/App.tsx (1)

929-956: 🔒 Security & Privacy | 🟠 Major | 🏗️ Heavy lift

자유 입력 memo를 저장·전송하면서 합성 데이터 보장을 문서화하는 것이 공통 원인입니다. 이름과 환자번호는 현재 검사되지 않으므로 코드와 문서의 보장을 함께 수정해야 합니다.

• frontend/src/app/App.tsx#L929-L956: 개인정보가 들어갈 수 있는 자유 입력을 저장 경로에서 제거하거나 강제 검증을 추가하세요.
• frontend/src/app/App.tsx#L983-L987: 검증되지 않은 memo를 OrderSheet로 전달하지 않도록 하세요.
• frontend/docs/BACKEND_INTEGRATION.md#L356-L365: 구현이 보장하지 않는 “전부 합성 데이터” 문구를 제거하세요.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@frontend/src/app/App.tsx` around lines 929 - 956, Update
frontend/src/app/App.tsx lines 929-956 around 개인정보같은메모 and the memo textarea to
prevent unverified free-text personal information from being saved or
transmitted, using removal or mandatory validation that covers names and patient
numbers as well as existing patterns. At frontend/src/app/App.tsx lines 983-987,
ensure unvalidated memo is not passed to OrderSheet. Update
frontend/docs/BACKEND_INTEGRATION.md lines 356-365 to remove the claim that all
data is synthetic unless the implementation enforces that guarantee.

Sources: Path instructions, Learnings

🤖 Prompt for all review comments with AI agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

Outside diff comments:
In `@frontend/src/app/App.tsx`:
- Around line 929-956: Update frontend/src/app/App.tsx lines 929-956 around
개인정보같은메모 and the memo textarea to prevent unverified free-text personal
information from being saved or transmitted, using removal or mandatory
validation that covers names and patient numbers as well as existing patterns.
At frontend/src/app/App.tsx lines 983-987, ensure unvalidated memo is not passed
to OrderSheet. Update frontend/docs/BACKEND_INTEGRATION.md lines 356-365 to
remove the claim that all data is synthetic unless the implementation enforces
that guarantee.

---

ℹ️ Review info

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: CHILL

Plan: Pro Plus

Run ID: bd9e707b-5cb8-4725-9de4-b54cfc909754

📥 Commits

Reviewing files that changed from the base of the PR and between 341d14c and 75b8b67.

📒 Files selected for processing (8)

• frontend/README.md
• frontend/docs/BACKEND_INTEGRATION.md
• frontend/src/api/account.test.ts
• frontend/src/api/account.ts
• frontend/src/api/backend.test.ts
• frontend/src/api/mock.test.ts
• frontend/src/api/mock.ts
• frontend/src/app/App.tsx

🚧 Files skipped from review as they are similar to previous changes (3)

• frontend/src/api/account.test.ts
• frontend/README.md
• frontend/src/api/account.ts

[coderabbitai]

Actionable comments posted: 3

Caution

Some comments are outside the diff and can’t be posted inline due to platform limitations.

⚠️ Outside diff range comments (1)

frontend/README.md (1)

113-116: 🔒 Security & Privacy | 🟠 Major | ⚡ Quick win

실서버와 로컬 저장 경로에 개인정보 검사를 적용하세요.

클라이언트의 목·실서버 API는 못올리는이유를 호출하지만, SaveProfileRequest.memo에는 @Size만 있고 UserProfileService는 메모를 그대로 저장합니다. 따라서 직접 API 요청으로 전화번호·주민등록번호·주소 형식의 메모를 저장할 수 있습니다. 백엔드 저장 경계에 동일한 검증기를 추가하고, 목·실서버 및 로그인·비로그인 경로의 거부 테스트를 작성하세요. App.tsx의 주문표저장도 addSheet(p) 전에 검증해야 합니다.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@frontend/README.md` around lines 113 - 116, 실서버와 로컬 저장 경계 모두에 메모 개인정보 검증을
적용하세요. SaveProfileRequest의 memo 검증을 기존 못올리는이유와 동일한 규칙으로 확장하고 UserProfileService가
검증되지 않은 메모를 저장하지 않도록 하며, App.tsx의 주문표저장에서도 addSheet(p) 전에 검사하세요. 목·실서버 및
로그인·비로그인 API 경로에서 전화번호·주민등록번호·주소 형식 메모가 거부되는 테스트를 추가하세요.

🤖 Prompt for all review comments with AI agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

Inline comments:
In `@frontend/README.md`:
- Line 119: Update the README deployment verification command to pass the URL to
the npm script using the `--` argument separator, changing the `npm run
check:backend` invocation while preserving the existing URL and deployment-order
guidance.
- Line 122: 운영 배포 전에 LoginResponse와 UserProfileController의 주문표 API에 토큰 발급·검증 및
소유자 검사를 추가하세요. BFF가 Authorization: Bearer 헤더를 백엔드로 전달하고, GET/POST
/api/v1/users/{userId}/profiles에서 인증 사용자와 경로의 userId가 일치하는지 검증하도록 수정하세요. 다른 사용자의
조회·저장이 거부되는 교차 사용자 테스트를 작성하고, 완료 전까지 build:team 운영 배포를 차단하세요.

In `@frontend/vercel.json`:
- Line 4: Update the Vercel buildCommand configuration to use npm run build
instead of npm run build:team until the backend is deployed and required
endpoint smoke tests are enforced as a deployment gate.

---

Outside diff comments:
In `@frontend/README.md`:
- Around line 113-116: 실서버와 로컬 저장 경계 모두에 메모 개인정보 검증을 적용하세요. SaveProfileRequest의
memo 검증을 기존 못올리는이유와 동일한 규칙으로 확장하고 UserProfileService가 검증되지 않은 메모를 저장하지 않도록 하며,
App.tsx의 주문표저장에서도 addSheet(p) 전에 검사하세요. 목·실서버 및 로그인·비로그인 API 경로에서 전화번호·주민등록번호·주소
형식 메모가 거부되는 테스트를 추가하세요.

🪄 Autofix

Fix all unresolved CodeRabbit comments on this PR:

• Push a commit to this branch (recommended)
• Create a new PR with the fixes

---

ℹ️ Review info

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: CHILL

Plan: Pro Plus

Run ID: 325817b7-8db1-4eff-b75e-1ea0cf8628f5

📥 Commits

Reviewing files that changed from the base of the PR and between 75b8b67 and 1433f4d.

📒 Files selected for processing (3)

• frontend/README.md
• frontend/package.json
• frontend/vercel.json

🚧 Files skipped from review as they are similar to previous changes (1)

• frontend/package.json