대시보드 폴드아웃/드릴다운 정리 + 페르소나 역린·misconduct 반응 + 게이트웨이 격리·RAG 비차단 수정

SSOT 대시보드:
- 한신대 기술분석 PDF(19쪽) 정합성 분석 + 이번 세션 발견 섹션 추가
- 섹션 폴드아웃(접기)·상단 목차(드릴다운)·모두 펼치기/접기 — 내용 보존, 레이아웃만 정리

페르소나 반응 강화('저항·반응 조절' 핵심 차별):
- PersonaCard.triggers(역린) 필드 + CCD 핵심상처 파생 역린 블록
- L0에 무례·모욕·조롱 시 현실적 동맹 균열 반응 지침

버그·성능 수정(라이브/E2E로 포착):
- 게이트웨이 페르소나 격리: --append-system-prompt를 --system-prompt(교체)로 + --exclude-dynamic-system-prompt-sections (내담자 캐릭터 붕괴·개발맥락 누출 차단)
- RAG: 임베더 동기 로드(약 7-13초)를 _warm_rag_caches 백그라운드 warm으로(세션 생성 블로킹 회귀 수정)
- voice TTS RMS 데드힌트 제거, init_state OpennessParams 파라미터객체화
- 한국어 PII(날짜·금액·주소) 마스킹 보강
- 레이아웃 시각 게이트: 폼 컨트롤 값 스크롤 오탐 제외(7/7)

검증: 백엔드 84/84, E2E 42(데스크톱 27·모바일 11·아바타 4), 시각 게이트 7/7

apps/api/app/config.py

@@ -27,6 +27,19 @@ def _is_local_url(value: str) -> bool:
     return host in {"localhost", "127.0.0.1", "::1"}
 
 
+def _is_allowed_local_dev_cors_origin(value: str) -> bool:
+    parsed = urlsplit(value)
+    host = (parsed.hostname or "").lower()
+    return (
+        parsed.scheme == "http"
+        and host in {"localhost", "127.0.0.1"}
+        and parsed.port in range(5170, 5181)
+        and not parsed.path
+        and not parsed.query
+        and not parsed.fragment
+    )
+
+
 class Settings(BaseSettings):
     model_config = SettingsConfigDict(
         env_file=".env",
@@ -106,6 +119,22 @@ class Settings(BaseSettings):
         default=False,
         validation_alias="AUTH_DEV_LOGIN_ENABLED",
     )
+    auth_saml_enabled: bool = Field(
+        default=False,
+        validation_alias="AUTH_SAML_ENABLED",
+    )
+    saml_sp_entity_id: str = Field(
+        default="",
+        validation_alias="SAML_SP_ENTITY_ID",
+    )
+    saml_sso_url: str = Field(
+        default="",
+        validation_alias="SAML_SSO_URL",
+    )
+    saml_x509_cert_fingerprint: str = Field(
+        default="",
+        validation_alias="SAML_X509_CERT_FINGERPRINT",
+    )
     default_affiliation: str = Field(
         default="",
         validation_alias="DEFAULT_AFFILIATION",
@@ -160,11 +189,23 @@ class Settings(BaseSettings):
                 forbidden.append("SESSION_SECRET")
             if _is_local_url(self.frontend_base_url):
                 forbidden.append("FRONTEND_BASE_URL")
-            if any(_is_local_url(origin) for origin in self.cors_origins):
+            if any(
+                _is_local_url(origin) and not _is_allowed_local_dev_cors_origin(origin)
+                for origin in self.cors_origins
+            ):
                 forbidden.append("CORS_ORIGINS")
             if forbidden:
                 joined = ", ".join(forbidden)
                 raise ValueError(f"{joined} must be production-safe when ENVIRONMENT={self.environment}")
+        if self.auth_saml_enabled:
+            missing_saml: list[str] = []
+            if not self.saml_sp_entity_id.strip():
+                missing_saml.append("SAML_SP_ENTITY_ID")
+            if not self.saml_sso_url.strip():
+                missing_saml.append("SAML_SSO_URL")
+            if missing_saml:
+                joined = ", ".join(missing_saml)
+                raise ValueError(f"{joined} must be configured when AUTH_SAML_ENABLED=true")
         return self