[KO] 실제 사례: whip으로 이슈 스윕, stacked PR 리뷰, fix-forward hotfix 처리

[bang9]

사용한 도구

• whip
  태스크 오케스트레이션
• codex
  구현/리뷰 worker backend
• claude-irc
  master/agent coordination, review escalation
• git worktree
  현재 작업 중인 worktree와 분리된 실행
• gh
  PR, issue, merge 처리

실제 유저가 쳤던 프롬프트

아래는 실제로 입력된 문구입니다.

$whip-plan 영향을 받지 않도록 새로운 워크트리를 생성하고 작업하세요. https://github.com/bang9/ai-tools/issues 의 모든 이슈들을 읽고, 이슈의 유효성을 체크합니다. 태스크는 이슈별로 처리를 하도록 하고, 유효한 이슈들에 한해서는 작업을 진행하고 유효하지 않다면 코멘트를 남기고 이슈를 닫습니다. 유효한지 체크한 이후에는, 이슈에 제기된 방향과는 다르더라도 실제로 올바른 방향으로 수정을 진행해야 합니다. 이후에는 각 작업들에 대해서 개별 브랜치를 생성하고 수정을 진행한 뒤, PR을 생성합니다.

이후 구현이 끝난 뒤 stacked PR 리뷰/머지 요청도 실제로 이어졌습니다.

$whip-start https://github.com/bang9/ai-tools/pulls 의 stacked PR 들을 이슈와 해결 방법들에 대해서 리뷰한 뒤, 문제가 없다면 순차적으로 PR 을 머지하도록 합니다. (stacked 순서는 마스터가 알려주도록)

AI 가 판단하고 실행한 영역

• 열린 이슈 전부를 실제 코드와 대조해서 먼저 판정했습니다.
• Security: Add SHA256 checksum verification for binary downloads #2, Security: Bind claude-irc HTTP server to localhost by default #4, Security: Fix shell injection in release workflows #6, #7은 Valid로 봤습니다.
• Security: Fix path traversal vulnerability in claude-irc HTTP API #3, #5는 Partially valid로 보고, 이슈 본문이 아니라 실제 root cause 기준으로 수정 방향을 재정의했습니다.
• 작업은 두 lane으로 나눴습니다.
  release lane: Security: Fix shell injection in release workflows #6 -> Security: Add SHA256 checksum verification for binary downloads #2
  claude-irc lane: Security: Bind claude-irc HTTP server to localhost by default #4 -> Security: Fix path traversal vulnerability in claude-irc HTTP API #3 -> Security: Apply MaxBytesReader to all HTTP JSON endpoints #7 -> Security: Add input restrictions to master keys HTTP endpoint #5
• 각 이슈는 별도 worktree, branch, PR로 진행했습니다.
• stacked PR 리뷰 중에 reviewer finding이 기존 판단을 뒤집으면, 그 시점에서 merge를 멈추고 hotfix / restack으로 전환했습니다.
• review approval이 IRC 경로에서 commit 단계로 깔끔하게 이어지지 않아, 마지막에는 master가 직접 takeover해서 commit/push/merge를 마무리했습니다.

실제로 진행한 방향

1. 처음 생성된 PR

처음 구현 결과로 아래 PR들이 만들어졌습니다.

• Bind claude-irc HTTP server to localhost by default #8 Bind claude-irc HTTP server to localhost by default
• Fix shell injection risk in release workflows #9 Fix shell injection risk in release workflows
• Validate claude-irc HTTP-controlled identifiers before filesystem access #10 Validate claude-irc HTTP-controlled identifiers before filesystem access
• Verify checksums before installing released binaries #11 Verify checksums before installing released binaries
• Limit claude-irc HTTP JSON request bodies #12 Limit claude-irc HTTP JSON request bodies
• Harden claude-irc auth and connect URL handling #13 Harden claude-irc auth and connect URL handling

2. release lane은 리뷰 후 방향이 바뀌었습니다

처음에는 release lane이 merge 가능해 보였지만, 재검증 후 판단이 바뀌었습니다.

• #9는 multiline version input을 완전히 막지 못해서 GITHUB_ENV 주입이 가능했습니다.
• #11은 최신 릴리스 v1.36.0에 checksum manifest asset이 없는 현실과 충돌해서 fresh install을 깨뜨렸습니다.

그래서 release lane은 그대로 끝난 게 아니라, fix-forward hotfix PR이 추가로 필요했습니다.

• Fix post-merge release regressions #14 Fix post-merge release regressions

3. claude-irc lane도 stack base부터 다시 잡아야 했습니다

reviewer가 base branch blocker를 잡았습니다.

• explicit non-loopback bind인데도 advertised URL이 계속 localhost를 가리켰습니다.

즉 실제 listen과 CLI가 광고하는 connect URL이 어긋날 수 있었습니다.

그래서 실제 방향은 아래처럼 바뀌었습니다.

• Bind claude-irc HTTP server to localhost by default #8 base에서 explicit bind advertised URL 문제 수정
• 이후 Validate claude-irc HTTP-controlled identifiers before filesystem access #10 -> Limit claude-irc HTTP JSON request bodies #12 -> #13를 다시 restack
• 마지막 server.go, server_test.go 충돌은 수동으로 merge resolve

IRC 로 실제로 중요했던 대화

전체 transcript를 그대로 덤프하는 대신, 실제 의사결정에 영향을 준 메시지만 추렸습니다.

• stacked server lane reviewer:
  found one blocker in the server-side stack ... always advertises localhost
  이 메시지가 claude-irc lane merge를 멈추게 만든 핵심 escalation이었습니다.

• release lane reviewer:
  PR #9’s version/tag validation still accepts multiline input ... PR #11 independently breaks fresh installs
  이 메시지가 release hotfix #14로 이어졌습니다.

• bind fix worker:
  advertised LocalURL/connect URL now follows explicit non-loopback binds
  원래 blocker가 실제로 해소됐는지 확인하는 기준이 됐습니다.

• 운영상 wrinkle:
  review approve 이후 agent가 commit 단계로 자연스럽게 넘어가지 않았고, 결국 master가 최종 커밋/푸시/머지를 takeover했습니다.

결과와 레슨런

최종 머지 순서

1. Fix post-merge release regressions #14
2. Bind claude-irc HTTP server to localhost by default #8
3. Validate claude-irc HTTP-controlled identifiers before filesystem access #10
4. Limit claude-irc HTTP JSON request bodies #12
5. Harden claude-irc auth and connect URL handling #13

메모:

• #10은 branch 상태는 clean이었지만 GitHub가 rebase merge를 거부해서 merge commit으로 처리했습니다.
• stacked PR은 선행 PR 머지 후마다 downstream PR의 base를 main으로 retarget 해야 했습니다.

이슈 close 처리

이번 실행에서는 PR body 일부에 Refs #N을 써서 issue auto-close가 되지 않았습니다.

이건 operator mistake였고, merge 후 issue에 코멘트를 남기고 수동으로 닫았습니다.

배운 점

• 이슈 본문은 단서이지 스펙이 아닙니다. 반드시 실제 코드와 다시 대조해야 합니다.
• source patch만 보면 충분하지 않을 수 있습니다. release asset 현실과 설치 경로까지 같이 봐야 합니다.
• stacked PR에서는 base branch의 작은 회귀 하나가 전체 lane merge를 막을 수 있습니다.
• mergeable = CLEAN이어도 GitHub rebase merge가 실제로는 실패할 수 있습니다.
• issue를 자동으로 닫고 싶다면 PR body에 Refs #N이 아니라 Closes #N 또는 Fixes #N을 써야 합니다.