G0~G8 성과·동맹 측정 OS 작업 일괄 고정

8월 7일까지 워킹트리에만 남아 있던 미커밋 작업을 커밋한다. 여러 사본
폴더(worktree·clone)에 흩어져 있던 중간 스냅샷을 정리하기 전에 원본을
git 이력으로 고정하는 것이 목적이다.

- contracts/routes/services: measurement, outcome_trajectory, rupture_repair,
  deliberate_practice, calibration_transfer, supervision_research,
  multimodal_alliance, continuous_improvement 계열 신규 모듈과 테스트
- infra/db/init: 07~16 마이그레이션(측정 기반~calibration transfer 실행)
- apps/web: 세션 리뷰 카드·관리 화면·E2E 스펙 추가
- docs/ops: G0~G8 라이브 통합·배포·롤백 증거 문서와 evidence JSON/PNG
- scripts: smoke·ledger·릴리스 에이전트·NAS 프리뷰 운영 스크립트

engine.public 로그 .bak과 apps/web/test-results 산출물은 커밋에서 제외했다.

scripts/test_provision_nas_preview_env.py

@@ -0,0 +1,87 @@
+from __future__ import annotations
+
+import importlib.util
+import unittest
+from pathlib import Path
+
+
+SCRIPT = Path(__file__).with_name("provision-nas-preview-env.py")
+SPEC = importlib.util.spec_from_file_location("nas_preview_env", SCRIPT)
+assert SPEC and SPEC.loader
+MODULE = importlib.util.module_from_spec(SPEC)
+SPEC.loader.exec_module(MODULE)
+
+
+def parse_rendered(text: str) -> dict[str, str]:
+    return dict(line.split("=", 1) for line in text.splitlines())
+
+
+class NasPreviewEnvProvisionerTest(unittest.TestCase):
+    def test_render_generates_isolated_preview_configuration(self) -> None:
+        rendered = MODULE.render_env(
+            source_values={
+                "OPENAI_API_KEY": "source-openai-secret",
+                "ANTHROPIC_API_KEY": "source-anthropic-secret",
+            },
+            tailnet_base_url="http://100.116.83.60:8088/",
+            lan_base_url="http://192.168.0.39:8088",
+            engine_url="http://192.168.0.223:9100",
+            http_port=8088,
+            https_port=8444,
+        )
+        values = parse_rendered(rendered)
+
+        self.assertEqual("dev", values["ENVIRONMENT"])
+        self.assertEqual("vignette_preview", values["POSTGRES_DB"])
+        self.assertEqual("true", values["AUTH_DEV_LOGIN_ENABLED"])
+        self.assertEqual(
+            '["hs.ac.kr","twentyoz.kr"]',
+            values["AUTH_ALLOWED_EMAIL_DOMAINS"],
+        )
+        self.assertEqual("true", values["AUTO_SEED_PERSONAS"])
+        self.assertEqual("http://100.116.83.60:8088", values["FRONTEND_BASE_URL"])
+        self.assertEqual("http://192.168.0.223:9100", values["ENGINE_URL"])
+        self.assertEqual("8088", values["HTTP_PORT"])
+        self.assertEqual("8444", values["HTTPS_PORT"])
+        self.assertEqual("source-openai-secret", values["OPENAI_API_KEY"])
+        self.assertEqual(
+            "false",
+            values["VIGNETTE_CONTINUOUS_IMPROVEMENT_PRODUCER_ENABLED"],
+        )
+        self.assertEqual(
+            "false",
+            values["VIGNETTE_CONTINUOUS_IMPROVEMENT_DRIFT_TRIGGER_ENABLED"],
+        )
+
+        generated_secret_keys = (
+            "POSTGRES_PASSWORD",
+            "APP_DB_PASSWORD",
+            "SESSION_SECRET",
+            "OAUTH_GOOGLE_CLIENT_SECRET",
+            "ENGINE_GATEWAY_SHARED_SECRET",
+            *MODULE.INTERNAL_TOKEN_KEYS,
+        )
+        generated = [values[key] for key in generated_secret_keys]
+        self.assertTrue(all(len(value) >= MODULE.MIN_SECRET_LENGTH for value in generated))
+        self.assertEqual(len(generated), len(set(generated)))
+
+    def test_render_requires_openai_key_and_valid_origins(self) -> None:
+        base_kwargs = {
+            "source_values": {},
+            "tailnet_base_url": "http://100.116.83.60:8088",
+            "lan_base_url": "http://192.168.0.39:8088",
+            "engine_url": "http://192.168.0.223:9100",
+            "http_port": 8088,
+            "https_port": 8444,
+        }
+        with self.assertRaisesRegex(ValueError, "OPENAI_API_KEY"):
+            MODULE.render_env(**base_kwargs)
+
+        base_kwargs["source_values"] = {"OPENAI_API_KEY": "key"}
+        base_kwargs["engine_url"] = "https://192.168.0.223:9100/path"
+        with self.assertRaisesRegex(ValueError, "engine URL"):
+            MODULE.render_env(**base_kwargs)
+
+
+if __name__ == "__main__":
+    unittest.main()