대시보드 폴드아웃/드릴다운 정리 + 페르소나 역린·misconduct 반응 + 게이트웨이 격리·RAG 비차단 수정

SSOT 대시보드:
- 한신대 기술분석 PDF(19쪽) 정합성 분석 + 이번 세션 발견 섹션 추가
- 섹션 폴드아웃(접기)·상단 목차(드릴다운)·모두 펼치기/접기 — 내용 보존, 레이아웃만 정리

페르소나 반응 강화('저항·반응 조절' 핵심 차별):
- PersonaCard.triggers(역린) 필드 + CCD 핵심상처 파생 역린 블록
- L0에 무례·모욕·조롱 시 현실적 동맹 균열 반응 지침

버그·성능 수정(라이브/E2E로 포착):
- 게이트웨이 페르소나 격리: --append-system-prompt를 --system-prompt(교체)로 + --exclude-dynamic-system-prompt-sections (내담자 캐릭터 붕괴·개발맥락 누출 차단)
- RAG: 임베더 동기 로드(약 7-13초)를 _warm_rag_caches 백그라운드 warm으로(세션 생성 블로킹 회귀 수정)
- voice TTS RMS 데드힌트 제거, init_state OpennessParams 파라미터객체화
- 한국어 PII(날짜·금액·주소) 마스킹 보강
- 레이아웃 시각 게이트: 폼 컨트롤 값 스크롤 오탐 제외(7/7)

검증: 백엔드 84/84, E2E 42(데스크톱 27·모바일 11·아바타 4), 시각 게이트 7/7

apps/api/app/test_runtime_policy.py

@@ -264,6 +264,42 @@ class RuntimeFallbackPolicyTest(unittest.IsolatedAsyncioTestCase):
         self.assertEqual(cfg.environment, "staging")
         self.assertEqual(cfg.cors_origins, ["https://vignette.chanpaca.net"])
 
+    def test_non_dev_accepts_explicit_local_vite_cors_ports(self) -> None:
+        cfg = Settings(
+            environment="prod",
+            auth_dev_login_enabled=False,
+            auto_seed_personas=False,
+            allow_seed_persona_fallback=False,
+            session_secret="prod-secret-change-me",
+            oauth_google_client_id="google-client-id",
+            oauth_google_client_secret="google-client-secret",
+            frontend_base_url="https://vignette.chanpaca.net",
+            cors_origins=[
+                "https://vignette.chanpaca.net",
+                "http://localhost:5170",
+                "http://127.0.0.1:5180",
+            ],
+        )
+
+        self.assertIn("http://localhost:5170", cfg.cors_origins)
+        self.assertIn("http://127.0.0.1:5180", cfg.cors_origins)
+
+    def test_non_dev_rejects_unscoped_local_cors_ports(self) -> None:
+        with self.assertRaises(ValueError) as caught:
+            Settings(
+                environment="prod",
+                auth_dev_login_enabled=False,
+                auto_seed_personas=False,
+                allow_seed_persona_fallback=False,
+                session_secret="prod-secret-change-me",
+                oauth_google_client_id="google-client-id",
+                oauth_google_client_secret="google-client-secret",
+                frontend_base_url="https://vignette.chanpaca.net",
+                cors_origins=["http://localhost:5181"],
+            )
+
+        self.assertIn("CORS_ORIGINS", str(caught.exception))
+
 
 if __name__ == "__main__":
     unittest.main()