1) `_result_host` 가 자기가 만든 host 를 안 읽어 재직렬화 시 퇴행 (잠재)
라운드트립은 provider 를 버리고 domain(= provider 이름)만 남긴다. 그래서
복구된 행을 다시 직렬화하면 `explicit != provider` 가 성립해 호스트가
"google_custom_search" / "google" / "internal" 로 되돌아갔다 — 847f7a8 이
고친 바로 그 버그가, 테스트 전부 초록인 채로. host 우선 반환으로 고쳤고
3회 왕복 안정성을 테스트로 고정했다. 현재 `_evidence_payload` 호출부는
모두 신선한 증거라 잠재였지만, 증거 편집 엔드포인트나 마이그레이션이
하나 생기면 바로 라이브가 된다.
`_hostname_of` 도 함께 고쳤다: urlparse("//google") 이 "google" 을 호스트로
보고하므로 점 없는 토큰은 거부한다. 잘못 저장된 host="google" 행은 URL
파싱으로 자동 복구된다.
2) 복구가 남긴 고아 faceCrops 참조
백업 복구는 보존기간 대상 미디어를 의도적으로 스킵하는데 DB 는 그대로
복사되므로, 행은 존재하지 않는 크롭 썸네일을 계속 광고한다. 재생성 게이트가
`"faceCrops" not in submission` 이라 복구된 행은 리로드에서도 건너뛰고,
purge 는 존재하는 파일만 순회하므로 참조도 못 지운다 — 영구히 깨진 생체
썸네일에 회수 경로가 없었다. 게이트를 파일 존재 확인으로 바꾸고(원본이
있으면 재생성), 원본까지 없으면 참조를 정리하고 감사 이벤트를 남긴다.
3) assetMissing 이 한 번 켜지면 안 꺼졌다
파일이 돌아와도 486행에서 조기 continue 하므로 플래그가 영구 거짓이 되고,
1회 마킹 가드가 이후의 진짜 소실에 대한 감사 이벤트까지 막았다. 복귀 시
해제 + "Submission asset restored" 이벤트를 추가해, 두 번째 소실도 감사에
남는다.
4) 플래그와 감사 이벤트가 트랜잭션 밖 2회 쓰기였다
사이에서 죽으면 플래그만 남고 이벤트는 없으며, 가드 때문에 이후 어떤
리로드도 이벤트를 쓰지 않는다 — 감사 로그가 유일한 기록인 납품에서 판정
보존의 근거가 사라진다. purge_expired_face_crops / set_provider_enabled 와
같은 방식으로 한 트랜잭션에 묶었다.
5) 스코어러 마이그레이션이 감사 흔적 없이 밴드를 바꿨다
가중치 변경은 다음 리로드에서 전 행을 리스코어한다. 운영자가 high 로
반려한 케이스가 medium 으로 표시되는데 "새 근거" 와 "스코어러 교체" 를
구분할 방법이 없었다. 라이브 스탬프 `scoredVersion` 을 도입해 버전이
바뀌면서 밴드가 움직인 행에만 "Risk rescored" 이벤트를 1회 남긴다 —
동일 버전의 일상 리스코어는 조용하므로 500행 감사 캡을 쓰지 않는다.
as-created 스탬프(scorerVersion)는 그대로 보존된다.
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BStHFrjQj2VypecSG9ex1V
4ba83ebc65