From 45ec51e7f5693feeb34298854d366af8018f4a5e Mon Sep 17 00:00:00 2001
From: Dale Seo <5466341+DaleSeo@users.noreply.github.com>
Date: Sun, 11 Oct 2026 18:20:20 -0400
Subject: [PATCH 1/4] ci: deploy with github actions

---
 .github/workflows/deploy.yml | 41 ++++++++++++++++++++++++++++++++++++
 AGENTS.md                    | 35 ++++++++----------------------
 README.md                    | 23 ++++----------------
 wrangler.jsonc               |  2 ++
 4 files changed, 56 insertions(+), 45 deletions(-)
 create mode 100644 .github/workflows/deploy.yml

diff --git a/.github/workflows/deploy.yml b/.github/workflows/deploy.yml
new file mode 100644
index 0000000..3b28cff
--- /dev/null
+++ b/.github/workflows/deploy.yml
@@ -0,0 +1,41 @@
+name: Deploy 🚀
+
+on:
+  push:
+    branches: [main]
+  workflow_dispatch:
+
+concurrency:
+  group: deploy-production
+  cancel-in-progress: false
+
+jobs:
+  deploy:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v7
+
+      - uses: oven-sh/setup-bun@v2
+
+      - run: bun install --frozen-lockfile
+
+      - run: bun run test
+
+      # PRIVATE_KEY 는 여러 줄짜리 PEM 이라 JSON 으로 쓴다
+      - name: Write secrets file
+        env:
+          PRIVATE_KEY: ${{ secrets.APP_PRIVATE_KEY }}
+          AI_GATEWAY_TOKEN: ${{ secrets.AI_GATEWAY_TOKEN }}
+          INTERNAL_SECRET: ${{ secrets.INTERNAL_SECRET }}
+        run: |
+          jq -n --arg private_key "$PRIVATE_KEY" --arg ai "$AI_GATEWAY_TOKEN" --arg internal "$INTERNAL_SECRET" \
+            '{PRIVATE_KEY: $private_key, AI_GATEWAY_TOKEN: $ai, INTERNAL_SECRET: $internal}' > "$RUNNER_TEMP/secrets.json"
+
+      - name: Deploy
+        uses: cloudflare/wrangler-action@v4
+        with:
+          apiToken: ${{ secrets.CLOUDFLARE_API_TOKEN }}
+          packageManager: bun
+          command: deploy --secrets-file ${{ runner.temp }}/secrets.json
diff --git a/AGENTS.md b/AGENTS.md
index 0b6ad98..effa62c 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -95,13 +95,9 @@ curl -X POST http://localhost:8787/check-weeks \
 ### 배포
 
 ```bash
-# Worker 배포
+# Worker 수동 배포 (보통은 main 머지 시 GitHub Actions 가 한다)
 wrangler deploy
 
-# Secrets 설정
-wrangler secret put APP_ID        # GitHub App ID (숫자)
-wrangler secret put PRIVATE_KEY   # GitHub App Private Key (PEM 전체)
-
 # Secrets 확인
 wrangler secret list
 
@@ -316,12 +312,9 @@ GitHub webhook
 
 **절대 커밋 금지**: `.env`, `.dev.vars`, `*.pem`, `*.key`
 
-#### Cloudflare Workers Secrets (프로덕션)
+#### Secrets (프로덕션)
 
-```bash
-wrangler secret put APP_ID        # GitHub App ID
-wrangler secret put PRIVATE_KEY   # GitHub App Private Key (PEM)
-```
+`main` 에 머지되면 GitHub Actions(`.github/workflows/deploy.yml`)가 테스트 후 `wrangler deploy --secrets-file` 로 배포한다. Worker secret(`PRIVATE_KEY`, `AI_GATEWAY_TOKEN`, `INTERNAL_SECRET`)은 GitHub secret(`APP_PRIVATE_KEY`, `AI_GATEWAY_TOKEN`, `INTERNAL_SECRET`)에서 배포와 함께 넣으므로 `wrangler secret put` 으로 따로 바꾸지 않는다 — 다음 배포 때 GitHub 값으로 덮인다. `APP_ID` 는 공개 값이라 `wrangler.jsonc` 의 `vars` 에 있다.
 
 #### 로컬 개발 (.dev.vars)
 
@@ -334,16 +327,13 @@ PRIVATE_KEY="-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----"
 
 ### Cloudflare Workers
 
-```bash
-wrangler deploy
-```
+`main` 에 머지되면 GitHub Actions 가 배포한다. 시크릿은 위 "Secrets (프로덕션)" 참고.
 
 ### 커스텀 도메인
 
 - Production: https://github.dalestudy.com
 - Worker.dev: https://github.dalestudy.workers.dev
 
-자세한 배포 가이드는 `DEPLOYMENT.md` 참고.
 
 ## GitHub App Webhook 설정
 
@@ -377,19 +367,12 @@ https://github.com/settings/apps/dalestudy
 
 ### 4. Worker Secrets 설정
 
-```bash
-# AI Gateway 인증 토큰 (AI 코드 리뷰용, 필수)
-wrangler secret put AI_GATEWAY_TOKEN
-
-# Webhook Secret (선택사항)
-wrangler secret put WEBHOOK_SECRET
+GitHub secret 에 넣으면 배포할 때 Worker 로 들어간다 (`.github/workflows/deploy.yml`).
 
-# Internal Dispatch Secret (AI 핸들러 Worker 분리용, 권장)
-# 설정하면 tagPatterns, learningStatus가 별도 Worker 호출로
-# 디스패치되어 각각 독립적인 subrequest 예산을 가짐.
-# WORKER_URL과 함께 설정되어야 활성화된다.
-wrangler secret put INTERNAL_SECRET
-```
+- `APP_PRIVATE_KEY` (org secret): GitHub App Private Key → Worker `PRIVATE_KEY`
+- `AI_GATEWAY_TOKEN` (org secret): AI Gateway 인증 토큰 (AI 코드 리뷰용, 필수)
+- `INTERNAL_SECRET` (저장소 secret): AI 핸들러 Worker 분리용. 설정하면 tagPatterns, learningStatus가 별도 Worker 호출로 디스패치되어 각각 독립적인 subrequest 예산을 가진다. `WORKER_URL`과 함께 있어야 활성화된다.
+- `WEBHOOK_SECRET` (선택): 설정하면 webhook 서명을 검증한다. 쓰려면 GitHub secret 을 만들고 `deploy.yml` 의 secrets 파일에 추가한다.
 
 `WORKER_URL`은 `wrangler.jsonc`의 `vars`에 정의되어 있어 기본 배포에는 추가 설정이 필요 없다. 스테이징/다른 계정 등으로 배포할 때만 덮어쓰면 된다.
 
diff --git a/README.md b/README.md
index 6f446fb..4830536 100644
--- a/README.md
+++ b/README.md
@@ -38,26 +38,11 @@ npm install -g wrangler
 wrangler login
 ```
 
-### 3. Secrets 설정
+### 3. 배포
 
-GitHub App의 credentials를 Worker secrets에 저장:
+`main` 에 머지되면 GitHub Actions(`.github/workflows/deploy.yml`)가 테스트 후 `wrangler deploy --secrets-file` 로 배포한다. Worker secret(`PRIVATE_KEY`, `AI_GATEWAY_TOKEN`, `INTERNAL_SECRET`)은 GitHub secret(`APP_PRIVATE_KEY`, `AI_GATEWAY_TOKEN`, `INTERNAL_SECRET`)에서 배포와 함께 넣으므로 `wrangler secret put` 으로 따로 바꾸지 않는다 — 다음 배포 때 GitHub 값으로 덮인다. `APP_ID` 는 공개 값이라 `wrangler.jsonc` 의 `vars` 에 있다.
 
-```bash
-# APP_ID 설정
-wrangler secret put APP_ID
-# 프롬프트에서 GitHub App ID 입력
-
-# PRIVATE_KEY 설정
-wrangler secret put PRIVATE_KEY
-# 프롬프트에서 GitHub App Private Key 전체 내용 입력
-# (-----BEGIN RSA PRIVATE KEY----- 부터 -----END RSA PRIVATE KEY----- 까지)
-```
-
-### 4. Worker 배포
-
-```bash
-wrangler deploy
-```
+수동으로 배포해야 할 때만 `wrangler deploy` 를 쓴다.
 
 배포 완료 후 Custom Domain을 통해 접근 가능합니다:
 
@@ -256,7 +241,7 @@ GitHub App credentials 확인:
 wrangler secret list
 ```
 
-APP_ID와 PRIVATE_KEY가 모두 설정되어 있어야 합니다.
+`APP_ID`(`wrangler.jsonc`)와 `PRIVATE_KEY`(GitHub secret `APP_PRIVATE_KEY`)가 모두 있어야 합니다.
 
 ### Worker가 403 에러 반환
 
diff --git a/wrangler.jsonc b/wrangler.jsonc
index 9864b1b..be8c081 100644
--- a/wrangler.jsonc
+++ b/wrangler.jsonc
@@ -5,6 +5,8 @@
   "compatibility_flags": ["global_fetch_strictly_public"],
   "account_id": "94480614a6df7731f1e4491bdac5c440",
   "vars": {
+    // GitHub App(dalestudy)의 ID. 공개 값이다.
+    "APP_ID": "1067270",
     "WORKER_URL": "https://github.dalestudy.workers.dev",
   },
   "observability": {

From 38bd43d0bc5e9868d1ae937574a24d9240b3062a Mon Sep 17 00:00:00 2001
From: Dale Seo <5466341+DaleSeo@users.noreply.github.com>
Date: Sun, 11 Oct 2026 19:25:45 -0400
Subject: [PATCH 2/4] docs: simplify AGENTS.md and align README with other
 repos

---
 .all-contributorsrc |  77 +++++++
 AGENTS.md           | 541 ++++++--------------------------------------
 README.md           | 277 +++--------------------
 3 files changed, 179 insertions(+), 716 deletions(-)
 create mode 100644 .all-contributorsrc

diff --git a/.all-contributorsrc b/.all-contributorsrc
new file mode 100644
index 0000000..ccfc040
--- /dev/null
+++ b/.all-contributorsrc
@@ -0,0 +1,77 @@
+{
+  "projectName": "github",
+  "projectOwner": "DaleStudy",
+  "commit": true,
+  "repoType": "github",
+  "commitConvention": "angular",
+  "contributors": [
+    {
+      "login": "DaleSeo",
+      "name": "Dale Seo",
+      "avatar_url": "https://avatars.githubusercontent.com/u/5466341?v=4",
+      "profile": "https://daleseo.com",
+      "contributions": [
+        "code"
+      ]
+    },
+    {
+      "login": "soobing",
+      "name": "Soobin Bak",
+      "avatar_url": "https://avatars.githubusercontent.com/u/16860535?v=4",
+      "profile": "https://soobing.github.io/",
+      "contributions": [
+        "code"
+      ]
+    },
+    {
+      "login": "sounmind",
+      "name": "Evan Suhyeong Lee",
+      "avatar_url": "https://avatars.githubusercontent.com/u/37020415?v=4",
+      "profile": "https://blog.evanshlee.com",
+      "contributions": [
+        "code"
+      ]
+    },
+    {
+      "login": "devchanki",
+      "name": "Gichan Kim",
+      "avatar_url": "https://avatars.githubusercontent.com/u/31515116?v=4",
+      "profile": "https://github.com/devchanki",
+      "contributions": [
+        "code"
+      ]
+    },
+    {
+      "login": "lkhoony",
+      "name": "KwangHun Lee",
+      "avatar_url": "https://avatars.githubusercontent.com/u/66773320?v=4",
+      "profile": "https://lkhoony.notion.site/Front-End-1a3f0e5e085480668ba0ebc54986f6bc",
+      "contributions": [
+        "code"
+      ]
+    },
+    {
+      "login": "parkhojeong",
+      "name": "Hojeong Park",
+      "avatar_url": "https://avatars.githubusercontent.com/u/34734102?v=4",
+      "profile": "https://github.com/parkhojeong",
+      "contributions": [
+        "code"
+      ]
+    },
+    {
+      "login": "jylee2033",
+      "name": "Jooyoung Julia Lee",
+      "avatar_url": "https://avatars.githubusercontent.com/u/85793553?v=4",
+      "profile": "https://github.com/jylee2033",
+      "contributions": [
+        "code"
+      ]
+    }
+  ],
+  "contributorsPerLine": 7,
+  "linkToUsage": false,
+  "files": [
+    "README.md"
+  ]
+}
diff --git a/AGENTS.md b/AGENTS.md
index effa62c..703dc2f 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -1,519 +1,114 @@
-# AI Agents Guide
+# AGENTS.md
 
-이 문서는 AI 에이전트가 프로젝트를 이해하고 작업할 수 있도록 돕는 가이드입니다.
+DaleStudy 조직의 [GitHub App](https://github.com/apps/dalestudy)이 받는 웹훅과 자동화 요청을 처리하는 Cloudflare Worker. 주 대상은 [leetcode-study](https://github.com/DaleStudy/leetcode-study) 저장소다.
 
-## 프로젝트 개요
+- 운영: https://github.dalestudy.com (workers.dev: https://github.dalestudy.workers.dev)
+- 스택: Cloudflare Workers, JavaScript(ES Modules), Vitest, Bun
 
-DaleStudy 조직의 GitHub App(https://github.com/apps/dalestudy)
-
-### 현재 구현된 기능
-
-#### 1. PR Week 설정 자동 검사 (리트코드 스터디)
-
-Fork PR에서도 작동하도록 GitHub Projects v2의 Week 필드를 조회하고, Week 설정이 누락된 PR에 자동으로 경고 댓글을 작성하며, Week 설정이 완료되면 경고 댓글을 자동으로 삭제한다.
-
-- **대상 Repository**: https://github.com/DaleStudy/leetcode-study
-- **트리거 방식**:
-  - **실시간**: GitHub Organization Webhook (`projects_v2_item`, `pull_request` 이벤트)
-  - **수동**: `POST /check-weeks` 엔드포인트 직접 호출
-
-### 기술 스택
-
-- **Runtime**: Cloudflare Workers
-- **Language**: JavaScript (ES Modules)
-- **Authentication**: GitHub App (JWT + Installation Token)
-- **APIs**: GitHub REST API, GitHub GraphQL API
-
-## 프로젝트 구조
-
-```
-~/work/github/
-├── index.js              # Worker 메인 코드 (엔드포인트 라우팅)
-├── wrangler.jsonc        # Cloudflare Workers 설정과 vars
-├── package.json          # Vitest 테스트 스크립트 및 devDependencies
-├── bun.lock              # Bun 의존성 lockfile
-├── vitest.config.js      # Cloudflare Workers Vitest integration 설정
-├── .github/workflows/    # CI 워크플로우 (bun install → bun run test)
-├── handlers/             # 기능별 핸들러와 핸들러 단위 테스트
-├── utils/                # 공통 유틸리티와 유틸리티 단위 테스트
-├── tests/                # Worker runtime smoke test와 교차 모듈 테스트
-├── README.md             # 프로젝트 설명
-├── AGENTS.md             # 이 파일 (AI 에이전트 가이드)
-├── CLAUDE.md             # Claude Code 참조 파일 (AGENTS.md로 리다이렉트)
-└── *.pem                 # GitHub App Private Keys (커밋 제외)
-```
-
-### 코드 구조 설명
-
-- **index.js**: 엔드포인트 라우팅만 담당. pathname별 핸들러 호출
-- **handlers/**: 기능별 핸들러와 `*.test.js` 핸들러 단위 테스트
-  - `check-weeks.js`: PR Week 설정 검사, 댓글 작성/삭제
-  - `webhooks.js`: GitHub webhook 이벤트 처리
-  - `internal-dispatch.js`: self-fetch 내부 AI 핸들러 디스패치
-  - `approve_prs.js`, `merge_prs.js`: PR 일괄 승인/병합
-- **utils/**: 여러 핸들러에서 공통으로 사용하는 유틸리티와 `*.test.js` 유틸리티 단위 테스트
-  - `cors.js`: CORS 헤더 관리 및 응답 생성 (`corsResponse`, `errorResponse`)
-  - `github.js`: GitHub App 인증 (JWT, Installation Token), RSA 서명
-  - `webhook.js`: Webhook signature 검증
-- **tests/**: Worker runtime smoke test, subrequest budget, cross-module 테스트
-- **vitest.config.js**: `@cloudflare/vitest-pool-workers`가 `wrangler.jsonc`를 읽도록 설정
-
-### 새 기능 추가 시
-
-1. 기능별 핸들러 파일 생성 (예: `handlers/new-feature.js`)
-2. `index.js`에 pathname 라우팅 추가
-
-```javascript
-// handlers/new-feature.js 생성
-export async function newFeature(request, env) {
-  // 비즈니스 로직
-  return corsResponse({ success: true });
-}
-
-// index.js에 라우팅 추가
-import { newFeature } from "./handlers/new-feature.js";
-
-if (url.pathname === "/new-feature") {
-  return newFeature(request, env);
-}
-```
-
-## 주요 명령어
-
-### 로컬 개발
-
-```bash
-# 로컬 개발 서버 실행 (포트 8787)
-wrangler dev
-
-# 로컬 테스트 (별도 터미널)
-curl -X POST http://localhost:8787/check-weeks \
-  -H "Content-Type: application/json" \
-  -d '{"repo_owner": "DaleStudy", "repo_name": "leetcode-study"}'
-```
-
-### 배포
-
-```bash
-# Worker 수동 배포 (보통은 main 머지 시 GitHub Actions 가 한다)
-wrangler deploy
-
-# Secrets 확인
-wrangler secret list
-
-# 실시간 로그 확인
-wrangler tail
-```
-
-### 프로덕션 테스트
+## 명령어
 
 ```bash
-# 배포된 Worker 테스트
-curl -X POST https://github.dalestudy.com/check-weeks \
-  -H "Content-Type: application/json" \
-  -d '{"repo_owner": "DaleStudy", "repo_name": "leetcode-study"}'
-```
-
-## 핵심 기능
-
-### 1. GitHub App 인증
-
-인증 흐름:
-
-1. RS256 알고리즘으로 JWT 생성 (Web Crypto API 사용)
-2. JWT로 Installation ID 조회
-3. Installation Token 발급 (10분 유효)
-4. 모든 API 요청에 Installation Token 사용
-
-인증 관련 함수:
-
-- `generateGitHubAppToken()`: GitHub App Installation Token 발급 (전체 흐름 관리)
-- `createJWT()`: RS256 JWT 생성 (GitHub App 인증용, 10분 유효)
-- `importPrivateKey()`: PEM 형식 Private Key를 Web Crypto API용으로 변환 (PKCS8/PKCS1 모두 지원)
-- `sign()`: RS256 서명 생성
-- `base64UrlEncode()`: Base64 URL-safe 인코딩
-
-### 2. API 엔드포인트 구조
-
-현재 구현된 엔드포인트:
-
-#### `POST /webhooks`
-
-GitHub Organization webhook 수신용 엔드포인트
-
-- **이벤트**: `projects_v2_item`, `pull_request`
-- **실시간 처리**: Week 설정 변경 즉시 감지 및 댓글 작성/삭제
-
-#### `POST /check-weeks`
-
-모든 Open PR에서 Week 설정을 검사하고 자동으로 댓글 작성/삭제 (수동 호출용)
-
-**Request:**
-
-`repo_owner` 생략 시 기본값으로 `DaleStudy`가 사용됩니다.
-
-```json
-{
-  "repo_name": "leetcode-study"
-}
-```
-
-**Response:**
-
-```json
-{
-  "success": true,
-  "total_prs": 3,
-  "checked": 3,
-  "commented": 1,
-  "deleted": 1,
-  "results": [
-    { "pr": 1970, "week": null, "commented": true },
-    { "pr": 1969, "week": "Week 8", "commented": false, "deleted": true }
-  ]
-}
+bun install
+bun run test                # 전체 테스트 (CI 와 배포 전에 같은 명령을 돈다)
+bun run test -- handlers/webhooks.test.js
+wrangler dev                # http://localhost:8787
+wrangler tail               # 운영 로그
 ```
 
-#### `POST /approve-prs`
-
-열려있는 답안 제출 PR을 일괄 승인합니다. `excludes` 배열로 특정 PR을 제외합니다. 이미 승인된 PR과 Draft 상태의 PR은 자동으로 스킵됩니다. CI가 통과하지 않은 PR(`statusCheckRollup.state !== "SUCCESS"`)도 스킵되어, 체크가 깨진 PR에는 승인 리뷰를 남기지 않습니다.
-
-**Request:**
-
-```json
-{ "repo_name": "leetcode-study", "excludes": [1972] }
-```
+## 구조
 
-**Response:**
-
-```json
-{
-  "success": true,
-  "action": "approve",
-  "repo": "DaleStudy/leetcode-study",
-  "total_open_prs": 5,
-  "processed": 2,
-  "approved": 2,
-  "skipped": 0,
-  "results": [
-    { "pr": 1970, "title": "week8 solutions", "approved": true },
-    { "pr": 1971, "title": "week8 extras", "approved": true }
-  ]
-}
 ```
-
-#### `POST /merge-prs`
-
-열려있는 PR을 일괄 병합합니다. 기본 병합 방식은 `squash`이며 `merge_method` 값으로 `merge | squash | rebase` 중 선택할 수 있습니다. `excludes`로 특정 PR을 제외할 수 있습니다. 승인 리뷰가 없는 PR, Draft PR, GitHub `mergeable_state !== "clean"` PR은 스킵되며 `unknown`/`behind` 상태는 최대 1초 후 한 번 더 확인합니다.
-
-**Request:**
-
-```json
-{
-  "repo_name": "leetcode-study",
-  "merge_method": "squash",
-  "excludes": [1972]
-}
+index.js        엔드포인트 라우팅만 한다 (POST 만 받는다)
+handlers/       기능별 핸들러와 단위 테스트(*.test.js)
+utils/          공통 유틸리티와 단위 테스트 (github.js: App 인증, prActions.js: 승인·병합 공통 로직)
+tests/          Worker runtime smoke test, subrequest 예산, 교차 모듈 테스트
+wrangler.jsonc  Worker 설정과 공개 값(vars)
 ```
 
-**Response:**
-
-```json
-{
-  "success": true,
-  "action": "merge",
-  "repo": "DaleStudy/leetcode-study",
-  "merge_method": "squash",
-  "total_open_prs": 5,
-  "processed": 2,
-  "merged": 2,
-  "skipped": 0,
-  "results": [
-    { "pr": 1970, "title": "week8 solutions", "merged": true, "sha": "abc123" },
-    { "pr": 1971, "title": "week8 extras", "merged": true, "sha": "def456" }
-  ]
-}
-```
+새 기능은 `handlers/` 에 핸들러를 만들고 `index.js` 에 경로를 추가한다. 필요한 GitHub App 권한이 있는지 확인하고, 핸들러 옆에 테스트를 둔다.
 
-#### `POST /resolve-iteration`
+## 엔드포인트
 
-주어진 날짜가 어느 기수의 몇 주차인지 조회합니다. 리트코드 스터디는 기수마다 프로젝트 보드를 새로 만들고 보드의 Week 필드(Iteration)가 주차 일정을 관리하므로, 주차 번호를 하드코딩하지 않고 여기서 읽습니다.
+`repo_owner` 를 받는 엔드포인트는 `DaleStudy` 가 아니면 403 이다 (생략하면 `DaleStudy`). `/check-weeks` 는 저장소도 leetcode-study 만 받는다.
 
-Actions의 기본 `GITHUB_TOKEN`으로는 org 프로젝트 보드를 읽을 수 없어(`read:project` 스코프 부재) App 토큰을 가진 이 워커가 조회를 대신합니다. 완료된 주차는 `completedIterations`로 옮겨가므로 두 배열을 모두 확인합니다.
+| 경로                      | 하는 일                                                                                                         |
+| ------------------------- | --------------------------------------------------------------------------------------------------------------- |
+| `POST /webhooks`          | GitHub App 웹훅 수신 (아래 "웹훅")                                                                              |
+| `POST /check-weeks`       | 열린 PR 전체의 Week 설정을 검사해 경고 댓글을 달거나 지운다. `{ "repo_name" }`                                  |
+| `POST /approve-prs`       | 해당 주차 풀이 PR 을 일괄 승인한다. `{ "repo_name", "week": "Week 8", "excludes"? }`                            |
+| `POST /merge-prs`         | 해당 주차의 승인된 PR 을 일괄 병합한다. `{ "repo_name", "week", "excludes"?, "merge_method"? }` (기본 `squash`) |
+| `POST /resolve-iteration` | 날짜가 몇 기 몇 주차인지 프로젝트 보드에서 읽는다. `{ "date": "2026-08-08" }`                                   |
+| `POST /internal/*`        | 웹훅 핸들러가 AI 작업을 별도 invocation 으로 넘길 때 쓴다 (`X-Internal-Secret` 인증)                            |
 
-**Request:**
+승인·병합의 공통 규칙은 `utils/prActions.js` 에 있다. 요약하면 Week 가 다르거나 Status 가 `Solving` 인 PR, Draft PR 은 건너뛰고, 승인은 CI 가 통과한 PR 에만, 병합은 승인 리뷰가 있고 `mergeable_state` 가 `clean` 인 PR 에만 한다.
 
-```json
-{ "date": "2026-08-08" }
-```
+`/resolve-iteration` 이 있는 이유: Actions 의 기본 `GITHUB_TOKEN` 은 org 프로젝트 보드를 읽지 못해서(`read:project` 없음) App 토큰을 가진 이 Worker 가 대신 읽는다. 주차는 보드의 Week(Iteration) 필드에서 오므로 하드코딩하지 않는다.
 
-**Response:**
-
-```json
-{
-  "success": true,
-  "date": "2026-08-08",
-  "found": true,
-  "cohort": 8,
-  "week": 7,
-  "week_label": "Week 7",
-  "project_number": 29,
-  "project_title": "리트코드 스터디 8기",
-  "start_date": "2026-08-02",
-  "end_date": "2026-08-08"
-}
-```
+## 웹훅
 
-해당 날짜를 포함하는 주차가 없으면(기수 사이 휴식기 등) `{ "success": true, "date": "...", "found": false }`를 돌려줍니다.
+`handlers/webhooks.js` 가 leetcode-study 저장소의 이벤트만 처리한다.
 
-### 3. 워크플로우
+| 이벤트                                                     | 하는 일                                                                                      |
+| ---------------------------------------------------------- | -------------------------------------------------------------------------------------------- |
+| `projects_v2_item`                                         | Week 설정이 바뀌면 경고 댓글을 달거나 지운다                                                 |
+| `pull_request` (`opened`, `reopened`, `synchronize`)       | Week 검사, 풀이 패턴 태깅(`tagPatterns`), 학습 현황 댓글(`postLearningStatus`)               |
+| `issue_comment`, `pull_request_review_comment` (`created`) | `@dalestudy` 멘션에 응답한다. `approve`·`승인` 이면 PR 을 승인하고, 그 밖에는 AI 리뷰를 단다 |
 
-1. Open PR 목록 조회 (GitHub REST API)
-2. 풀이 제출 PR이 아닌 PR 스킵 (제목이 `WEEK NN Solutions` 형태가 아니면 봇 테스트·저장소 정리 PR로 간주)
-3. 각 PR의 Week 설정 확인 (GitHub GraphQL API - Projects v2 접근 필요)
-4. Week 없음 → 경고 댓글 작성 (중복 방지: Bot이 작성한 경고 댓글이 이미 있으면 스킵)
-5. Week 있음 → 기존 경고 댓글 삭제 (Bot이 작성한 Week 경고 댓글만)
+Week 검사는 제목이 `WEEK NN Solutions` 형태인 풀이 PR 만 대상으로 하고, 경고 댓글은 봇이 단 것만 지운다.
 
-### 4. AI 핸들러 Worker 분리 아키텍처
+### AI 작업을 별도 invocation 으로 나누기
 
-PR 이벤트를 받으면 webhook 핸들러가 두 AI 핸들러(`tagPatterns`, `postLearningStatus`)를 **별도 Worker invocation**으로 분리 디스패치한다. 각 invocation은 독립적인 Cloudflare subrequest 예산(50)을 가지므로 파일이 많은 PR에서도 예산 초과를 방지한다.
+Worker 한 번의 실행(invocation)은 subrequest 를 50 개까지 쓸 수 있다. 파일이 많은 PR 에서 넘치지 않도록, 웹훅 핸들러는 두 AI 작업을 자기 자신에게 다시 요청해 따로 실행한다.
 
 ```
 GitHub webhook
-   │
    ▼
-[Invocation #1] webhook 핸들러           ← 50 subrequest 예산
-   │  ctx.waitUntil(fetch("/internal/tag-patterns"))      ─┐  self-fetch는
-   │  ctx.waitUntil(fetch("/internal/learning-status"))   ─┤  외부 요청이라
-   │                                                       │  새 invocation 트리거
-   ├──────────────▶ [Invocation #2] tagPatterns          ◀─┘  ← 독립 50 예산
-   │
-   └──────────────▶ [Invocation #3] postLearningStatus      ← 독립 50 예산
-```
-
-- `INTERNAL_SECRET`과 `WORKER_URL`이 모두 설정되어야 활성화된다. 둘 중 하나라도 없으면 기존처럼 같은 invocation에서 순차 실행(subrequest 예산 공유)되어 파일이 많은 PR에서 예산을 초과할 수 있다.
-- 내부 엔드포인트는 `/internal/tag-patterns`, `/internal/learning-status`이며 `X-Internal-Secret` 헤더로 인증한다.
-- 참고: `tests/subrequest-budget.test.js`가 5개 파일 변경 시나리오에서 각 핸들러의 fetch 호출 수(`tagPatterns` 20회, `postLearningStatus` 31회)를 회귀 테스트로 박아둔다.
-
-## 보안 및 권한
-
-### DaleStudy Organization 전용
-
-`repo_owner !== 'DaleStudy'` 요청은 403 Forbidden 반환.
-
-### GitHub App 필수 권한
-
-- `contents: read`: PR 정보 조회
-- `issues: write`: 댓글 작성 및 삭제
-- `pull_requests: read & write`: PR 목록/상태 조회, 리뷰 생성, 병합 수행
-- `organization_projects: read`: Projects v2의 Week 필드 접근 (GraphQL API)
-
-### Secrets 관리
-
-**절대 커밋 금지**: `.env`, `.dev.vars`, `*.pem`, `*.key`
-
-#### Secrets (프로덕션)
-
-`main` 에 머지되면 GitHub Actions(`.github/workflows/deploy.yml`)가 테스트 후 `wrangler deploy --secrets-file` 로 배포한다. Worker secret(`PRIVATE_KEY`, `AI_GATEWAY_TOKEN`, `INTERNAL_SECRET`)은 GitHub secret(`APP_PRIVATE_KEY`, `AI_GATEWAY_TOKEN`, `INTERNAL_SECRET`)에서 배포와 함께 넣으므로 `wrangler secret put` 으로 따로 바꾸지 않는다 — 다음 배포 때 GitHub 값으로 덮인다. `APP_ID` 는 공개 값이라 `wrangler.jsonc` 의 `vars` 에 있다.
-
-#### 로컬 개발 (.dev.vars)
-
+[#1] webhook 핸들러                       ← 50 예산
+   ├─ ctx.waitUntil(fetch("/internal/tag-patterns"))     → [#2] tagPatterns          ← 독립 50 예산
+   └─ ctx.waitUntil(fetch("/internal/learning-status"))  → [#3] postLearningStatus   ← 독립 50 예산
 ```
-APP_ID=123456
-PRIVATE_KEY="-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----"
-```
-
-## 배포
-
-### Cloudflare Workers
-
-`main` 에 머지되면 GitHub Actions 가 배포한다. 시크릿은 위 "Secrets (프로덕션)" 참고.
-
-### 커스텀 도메인
-
-- Production: https://github.dalestudy.com
-- Worker.dev: https://github.dalestudy.workers.dev
-
-
-## GitHub App Webhook 설정
-
-### 1. GitHub App 설정 페이지 접근
-
-```
-https://github.com/settings/apps/dalestudy
-```
-
-### 2. General 탭 - Webhook 설정
-
-- **Webhook URL**: `https://github.dalestudy.com/webhooks`
-- **Webhook Secret**: (선택사항) 안전한 랜덤 문자열
-- **✅ Active**: 체크
-
-### 3. Permissions & events 탭 - 권한 설정
-
-**Repository permissions:**
-
-- **Contents**: Read
-- **Issues**: Read & write (issue_comment 이벤트용)
-- **Metadata**: Read
-- **Pull requests**: Read & write
-- **Projects**: Read & write (Projects V2)
-
-**Subscribe to events:**
-
-- ☑️ **Issue comments** (`issue_comment` - AI 코드 리뷰)
-- ☑️ **Projects v2 item** (`projects_v2_item` - Week 체크)
-- ☑️ **Pull requests** (`pull_request` - Week 체크)
-
-### 4. Worker Secrets 설정
-
-GitHub secret 에 넣으면 배포할 때 Worker 로 들어간다 (`.github/workflows/deploy.yml`).
-
-- `APP_PRIVATE_KEY` (org secret): GitHub App Private Key → Worker `PRIVATE_KEY`
-- `AI_GATEWAY_TOKEN` (org secret): AI Gateway 인증 토큰 (AI 코드 리뷰용, 필수)
-- `INTERNAL_SECRET` (저장소 secret): AI 핸들러 Worker 분리용. 설정하면 tagPatterns, learningStatus가 별도 Worker 호출로 디스패치되어 각각 독립적인 subrequest 예산을 가진다. `WORKER_URL`과 함께 있어야 활성화된다.
-- `WEBHOOK_SECRET` (선택): 설정하면 webhook 서명을 검증한다. 쓰려면 GitHub secret 을 만들고 `deploy.yml` 의 secrets 파일에 추가한다.
-
-`WORKER_URL`은 `wrangler.jsonc`의 `vars`에 정의되어 있어 기본 배포에는 추가 설정이 필요 없다. 스테이징/다른 계정 등으로 배포할 때만 덮어쓰면 된다.
-
-### 5. GitHub App 설치
 
-저장소에 App이 설치되어 있는지 확인:
+`INTERNAL_SECRET` 과 `WORKER_URL` 이 둘 다 있어야 켜진다. 하나라도 없으면 같은 invocation 에서 차례로 실행된다.
+`tests/subrequest-budget.test.js` 가 파일 5 개 시나리오의 fetch 횟수(`tagPatterns` 20, `postLearningStatus` 31)를 회귀 테스트로 고정한다.
 
-```
-https://github.com/apps/dalestudy/installations
-```
-
-**DaleStudy organization에 설치**되어 있어야 하며, **leetcode-study 저장소 접근 권한** 필요
+## 배포와 시크릿
 
-## 수동 호출 (선택사항)
+`main` 에 머지되면 GitHub Actions(`.github/workflows/deploy.yml`)가 테스트 후 `wrangler deploy --secrets-file` 로 배포한다. PR 에서는 `integration.yaml` 이 테스트만 돈다. 웹훅을 받는 서버라 PR 미리보기는 두지 않는다.
 
-전체 PR을 한 번에 검사하고 싶을 때:
+| Worker 에서 읽는 이름  | 어디서 오나                                                 |
+| ---------------------- | ----------------------------------------------------------- |
+| `APP_ID`, `WORKER_URL` | `wrangler.jsonc` 의 `vars` (공개 값)                        |
+| `PRIVATE_KEY`          | GitHub org secret `APP_PRIVATE_KEY`                         |
+| `AI_GATEWAY_TOKEN`     | GitHub org secret `AI_GATEWAY_TOKEN`                        |
+| `INTERNAL_SECRET`      | GitHub 저장소 secret `INTERNAL_SECRET`                      |
+| `WEBHOOK_SECRET`       | (선택) 있으면 웹훅 서명을 검증한다. 지금은 설정돼 있지 않다 |
 
-```bash
-curl -X POST https://github.dalestudy.com/check-weeks \
-  -H "Content-Type: application/json" \
-  -d '{"repo_owner": "DaleStudy", "repo_name": "leetcode-study"}'
-```
+GitHub secret 은 배포할 때마다 Worker secret 으로 들어가므로 `wrangler secret put` 으로 따로 바꾸지 않는다. 다음 배포 때 GitHub 값으로 덮인다.
+로컬에서는 `.dev.vars` 에 같은 이름으로 넣는다. `.dev.vars`, `*.pem` 은 커밋하지 않는다.
 
-## 중요한 제약사항
+## GitHub App 설정
 
-### Cloudflare Workers 환경
+https://github.com/organizations/DaleStudy/settings/apps/dalestudy
 
-- ❌ Node.js 모듈 사용 불가 (crypto, buffer 등)
-- ✅ Web 표준 API만 사용 (fetch, Web Crypto API)
-- ❌ npm 패키지 대부분 호환 안 됨 (@octokit/app 등)
-- ✅ 순수 JavaScript + Web APIs로 구현
+- Webhook URL: `https://github.dalestudy.com/webhooks`
+- Repository permissions: Contents(Read), Issues(Read & write), Metadata(Read), Pull requests(Read & write), Projects(Read & write)
+- 이벤트: Issue comments, Pull request review comments, Projects v2 item, Pull requests
+- DaleStudy 조직에 설치돼 있고 leetcode-study 에 접근할 수 있어야 한다
 
 ## 테스트
 
-이 프로젝트는 Cloudflare Workers Vitest integration을 사용합니다. Vitest로 테스트를 실행하고, Worker 런타임과 바인딩이 필요한 테스트는 Cloudflare 테스트 도구를 사용합니다.
-
-### 테스트 실행
-
-테스트는 `handlers/`(핸들러 단위 테스트), `utils/`(유틸리티 단위 테스트), `tests/`(Worker runtime smoke test와 교차 모듈 테스트)로 나뉜다. 모듈 모킹은 Vitest의 `vi.mock()`을 사용하고, Worker runtime과 bindings가 필요한 테스트는 `cloudflare:test`와 `cloudflare:workers`를 사용한다.
-
-```bash
-# 의존성 설치
-bun install
-
-# 전체 테스트 실행
-bun run test
-
-# 감시 모드
-bun run test:watch
-
-# 특정 파일만 실행
-bun run test -- handlers/webhooks.test.js
-```
-
-Bun 설치: https://bun.sh/docs/installation
-
-### 테스트 파일 작성 규칙
-
-- 테스트 파일은 대상 파일과 같은 디렉토리에 `*.test.js` 이름으로 배치합니다.
-  - 예: `handlers/webhooks.js` → `handlers/webhooks.test.js`
-- `vitest`에서 제공하는 API(`describe`, `it`, `expect`, `vi`, `beforeEach`)를 사용합니다.
-- 외부 의존성(`utils/github.js` 등)은 `vi.mock()`으로 대체하고, `fetch`는 `globalThis.fetch = vi.fn()...`로 스텁합니다.
+테스트는 대상 파일 옆에 `*.test.js` 로 둔다. `vitest` 의 `describe`·`it`·`expect`·`vi` 를 쓰고, 외부 모듈은 `vi.mock()`, `fetch` 는 `globalThis.fetch = vi.fn()` 으로 바꾼다. Worker runtime 과 바인딩이 필요한 테스트는 `cloudflare:test`, `cloudflare:workers` 를 쓴다 (`@cloudflare/vitest-pool-workers` 가 `wrangler.jsonc` 를 읽는다).
 
 ```javascript
-import { describe, it, expect, vi, beforeEach } from "vitest";
-
 vi.mock("../utils/github.js", () => ({
   generateGitHubAppToken: vi.fn().mockResolvedValue("fake-token"),
 }));
-
-import { checkWeeks } from "./check-weeks.js";
-
-describe("checkWeeks", () => {
-  beforeEach(() => {
-    vi.clearAllMocks();
-    globalThis.fetch = vi.fn().mockResolvedValue({
-      ok: true,
-      json: () => Promise.resolve([]),
-    });
-  });
-
-  it("returns 403 for non-DaleStudy organization", async () => {
-    const request = new Request("https://example.com/check-weeks", {
-      method: "POST",
-      headers: { "Content-Type": "application/json" },
-      body: JSON.stringify({ repo_owner: "OtherOrg", repo_name: "leetcode-study" }),
-    });
-
-    const response = await checkWeeks(request, {});
-    expect(response.status).toBe(403);
-  });
-});
 ```
 
-### CI 자동 실행
-
-`.github/workflows/integration.yaml`이 모든 Pull Request와 `main` 브랜치 푸시에서 `bun install` 다음 `bun run test`를 자동 실행합니다. 테스트가 실패하면 PR 체크가 실패하므로, 머지 전에 반드시 통과시켜야 합니다.
-
-## 새 기능 추가 가이드
-
-새로운 자동화 기능을 추가할 때 다음 단계를 따르세요:
-
-1. **엔드포인트 추가**: `index.js`의 `fetch()` 함수에 새로운 pathname 라우팅 추가
-2. **핸들러 함수 작성**: 비즈니스 로직을 별도 함수로 분리 (예: `handleCheckAllPrs`)
-3. **GitHub App 권한 확인**: 필요한 권한이 있는지 확인하고 없으면 추가
-4. **테스트 작성**: 핸들러 옆에 `*.test.js`를 추가하고 `bun run test`로 통과 확인 (위 "테스트" 섹션 참고)
-5. **문서 업데이트**: AGENTS.md, README.md에 새 기능 문서화
-6. **로컬 실행 테스트**: `wrangler dev`로 실제 엔드포인트 동작 확인 후 배포
-
-## 코드 수정 시 주의사항
-
-1. **Octokit 사용 금지**
-   - Cloudflare Workers에서 작동하지 않음
-   - fetch API 직접 사용
-
-2. **Private Key 처리**
-   - PKCS8 또는 PKCS1 형식 지원
-   - Web Crypto API로 import
-
-3. **GraphQL 쿼리 주의**
-   - GraphQL 쿼리에서 변수를 문자열 템플릿으로 직접 삽입 (GraphQL 변수 문법 사용 안 함)
-   - 입력값 검증이 중요 (SQL Injection 스타일 취약점 방지)
-
-4. **에러 핸들링**
-   - Worker는 에러 발생 시 500 반환
-   - 로그는 `wrangler tail`로 확인
-
-5. **CORS 헤더**
-   - 모든 응답에 CORS 헤더 포함 (`Access-Control-Allow-Origin: *`)
-
-6. **코드 재사용**
-   - GitHub 인증 로직 (`generateGitHubAppToken`, `createJWT` 등)은 모든 기능에서 공통으로 사용
-   - 새 기능 추가 시 기존 유틸리티 함수 활용
-
-7. **코멘트 숨김 마커 직렬화 포맷 변경**
-   - 코멘트에 `<!-- xxx-data: ... -->` 형태로 숨겨 저장하는 데이터의 직렬화 포맷(객체↔배열 등)을 바꿀 때는 **정규식·문서 주석·테스트를 같은 PR에서 함께 갱신**
-   - 파싱이 `Array.isArray` 같은 방어 코드로 빈 값에 fallback하면 회귀가 조용히 묻혀 디버깅이 어려워짐
-
-## 관련 문서
+## 주의사항
 
-- [Cloudflare Workers Docs](https://developers.cloudflare.com/workers/)
-- [GitHub Apps API](https://docs.github.com/en/apps)
-- [GitHub GraphQL API](https://docs.github.com/en/graphql)
-- [Web Crypto API](https://developer.mozilla.org/en-US/docs/Web/API/Web_Crypto_API)
+- **Workers 런타임이다.** Node.js 모듈과 Octokit 같은 npm 패키지는 대부분 동작하지 않는다. `fetch` 와 Web Crypto API 로 직접 구현한다. Private Key 는 PKCS8, PKCS1 모두 받는다 (`utils/github.js`).
+- **GraphQL 쿼리에 값을 문자열로 직접 끼워 넣는다.** GraphQL 변수 문법을 쓰지 않으므로 입력값 검증을 빠뜨리지 않는다.
+- **댓글 숨김 마커(`<!-- xxx-data: ... -->`)의 직렬화 형식을 바꿀 때는** 정규식, 문서 주석, 테스트를 같은 PR 에서 함께 고친다. 파싱이 빈 값으로 fallback 하면 회귀가 조용히 묻힌다.
+- 응답에는 CORS 헤더(`Access-Control-Allow-Origin: *`)가 붙고, 에러는 500 으로 돌려준다. 원인은 `wrangler tail` 로 본다.
+- 401 이 나면 `APP_ID` 와 `PRIVATE_KEY` 가 같은 App 의 것인지 확인한다.
diff --git a/README.md b/README.md
index 4830536..36af14a 100644
--- a/README.md
+++ b/README.md
@@ -1,254 +1,45 @@
-# DaleStudy GitHub App
+# github
 
-DaleStudy 조직의 자동화 작업을 처리하는 GitHub App (https://github.com/apps/dalestudy)
+[![All Contributors](https://img.shields.io/github/all-contributors/DaleStudy/github?color=ee8449&style=flat-square)](#contributors)
 
-## 프로젝트 비전
+달레 스터디 조직의 [GitHub App](https://github.com/apps/dalestudy)이 받는 웹훅과 자동화 요청을 처리하는 Cloudflare Worker. 리트코드 스터디의 Week 설정 검사, 풀이 PR 일괄 승인·병합, AI 코드 리뷰를 맡고 있습니다.
 
-DaleStudy 조직의 여러 repository에서 반복적인 작업들을 자동화하는 확장 가능한 플랫폼입니다.
+개발에 필요한 내용은 [AGENTS.md](AGENTS.md)에 있습니다.
 
-## 현재 구현된 기능
+## 기여 (Contribution)
 
-### 1. PR Week 설정 자동 검사 (리트코드 스터디)
+본 프로젝트는 [All Contributors](https://github.com/all-contributors/all-contributors) 관례에 따라 기여자분들의 공헌을 인정하고 감사를 표현하고 있습니다.
 
-Fork PR에서도 작동하도록 GitHub Projects v2의 Week 필드를 조회하고, Week 설정이 누락된 PR에 자동으로 경고 댓글을 작성합니다.
+<!-- ALL-CONTRIBUTORS-LIST:START - Do not remove or modify this section -->
+<!-- prettier-ignore-start -->
+<!-- markdownlint-disable -->
+<table>
+  <tbody>
+    <tr>
+      <td align="center" valign="top" width="14.28%"><a href="https://daleseo.com"><img src="https://avatars.githubusercontent.com/u/5466341?v=4?s=100" width="100px;" alt="Dale Seo"/><br /><sub><b>Dale Seo</b></sub></a><br /><a href="https://github.com/DaleStudy/github/commits?author=DaleSeo" title="Code">💻</a></td>
+      <td align="center" valign="top" width="14.28%"><a href="https://soobing.github.io/"><img src="https://avatars.githubusercontent.com/u/16860535?v=4?s=100" width="100px;" alt="Soobin Bak"/><br /><sub><b>Soobin Bak</b></sub></a><br /><a href="https://github.com/DaleStudy/github/commits?author=soobing" title="Code">💻</a></td>
+      <td align="center" valign="top" width="14.28%"><a href="https://blog.evanshlee.com"><img src="https://avatars.githubusercontent.com/u/37020415?v=4?s=100" width="100px;" alt="Evan Suhyeong Lee"/><br /><sub><b>Evan Suhyeong Lee</b></sub></a><br /><a href="https://github.com/DaleStudy/github/commits?author=sounmind" title="Code">💻</a></td>
+      <td align="center" valign="top" width="14.28%"><a href="https://github.com/devchanki"><img src="https://avatars.githubusercontent.com/u/31515116?v=4?s=100" width="100px;" alt="Gichan Kim"/><br /><sub><b>Gichan Kim</b></sub></a><br /><a href="https://github.com/DaleStudy/github/commits?author=devchanki" title="Code">💻</a></td>
+      <td align="center" valign="top" width="14.28%"><a href="https://lkhoony.notion.site/Front-End-1a3f0e5e085480668ba0ebc54986f6bc"><img src="https://avatars.githubusercontent.com/u/66773320?v=4?s=100" width="100px;" alt="KwangHun Lee"/><br /><sub><b>KwangHun Lee</b></sub></a><br /><a href="https://github.com/DaleStudy/github/commits?author=lkhoony" title="Code">💻</a></td>
+      <td align="center" valign="top" width="14.28%"><a href="https://github.com/parkhojeong"><img src="https://avatars.githubusercontent.com/u/34734102?v=4?s=100" width="100px;" alt="Hojeong Park"/><br /><sub><b>Hojeong Park</b></sub></a><br /><a href="https://github.com/DaleStudy/github/commits?author=parkhojeong" title="Code">💻</a></td>
+      <td align="center" valign="top" width="14.28%"><a href="https://github.com/jylee2033"><img src="https://avatars.githubusercontent.com/u/85793553?v=4?s=100" width="100px;" alt="Jooyoung Julia Lee"/><br /><sub><b>Jooyoung Julia Lee</b></sub></a><br /><a href="https://github.com/DaleStudy/github/commits?author=jylee2033" title="Code">💻</a></td>
+    </tr>
+  </tbody>
+</table>
 
-**트리거 방식:**
-- **실시간**: GitHub Organization Webhook (Week 설정 변경 즉시 반응)
-- **수동**: REST API 직접 호출
+<!-- markdownlint-restore -->
+<!-- prettier-ignore-end -->
 
-**대상**: https://github.com/DaleStudy/leetcode-study
+<!-- ALL-CONTRIBUTORS-LIST:END -->
 
-**설정 가이드**: `AGENTS.md`의 "GitHub Organization Webhook 설정" 섹션 참고
+## 응원 (Support)
 
-## 향후 확장 계획
+달레 스터디로 부터 받은 도움을 후원을 통해서 더 많은 분들에게 나눠주세요. 💝
+후원은 달레 스터디가 커뮤니티로서 지속 가능할 수 있는 중요한 기반이 됩니다. 🙏
+저장소에 스타를 주시는 것도 더 많은 분들이 저희 커뮤니티를 찾는데 도움이 됩니다. ⭐
 
-단일 Worker에 여러 엔드포인트를 추가하여 다양한 자동화 요구사항을 처리할 예정입니다.
-
-## 배포 방법
-
-### 1. Cloudflare 계정 설정
-
-1. https://dash.cloudflare.com 회원가입
-2. Workers 섹션으로 이동
-
-### 2. Wrangler CLI 설치
-
-```bash
-npm install -g wrangler
-wrangler login
-```
-
-### 3. 배포
-
-`main` 에 머지되면 GitHub Actions(`.github/workflows/deploy.yml`)가 테스트 후 `wrangler deploy --secrets-file` 로 배포한다. Worker secret(`PRIVATE_KEY`, `AI_GATEWAY_TOKEN`, `INTERNAL_SECRET`)은 GitHub secret(`APP_PRIVATE_KEY`, `AI_GATEWAY_TOKEN`, `INTERNAL_SECRET`)에서 배포와 함께 넣으므로 `wrangler secret put` 으로 따로 바꾸지 않는다 — 다음 배포 때 GitHub 값으로 덮인다. `APP_ID` 는 공개 값이라 `wrangler.jsonc` 의 `vars` 에 있다.
-
-수동으로 배포해야 할 때만 `wrangler deploy` 를 쓴다.
-
-배포 완료 후 Custom Domain을 통해 접근 가능합니다:
-
-```
-https://github.dalestudy.com
-```
-
-## API 엔드포인트
-
-**Base URL**: https://github.dalestudy.com
-
-### `POST /check-weeks`
-
-모든 Open PR에서 Week 설정을 검사하고 자동으로 댓글 작성/삭제
-
-**Request:**
-
-요청 바디에서 `repo_owner`를 생략하면 자동으로 `DaleStudy`가 사용됩니다.
-
-```json
-{
-  "repo_name": "leetcode-study"
-}
-```
-
-**Response:**
-
-```json
-{
-  "success": true,
-  "total_prs": 3,
-  "checked": 3,
-  "commented": 1,
-  "deleted": 1,
-  "results": [
-    { "pr": 1970, "week": null, "commented": true },
-    { "pr": 1969, "week": "Week 8", "commented": false, "deleted": true }
-  ]
-}
-```
-
-### `POST /approve-prs`
-
-열려있는 답안 제출 PR을 일괄 승인합니다. `excludes` 배열을 사용해 특정 PR 번호를 제외할 수 있습니다. 이미 승인되었거나 Draft/`maintenance` 라벨이 붙은 PR은 자동으로 스킵됩니다.
-
-**Request:**
-
-```json
-{ "repo_name": "leetcode-study", "excludes": [1972] }
-```
-
-**Response:**
-
-```json
-{
-  "success": true,
-  "action": "approve",
-  "repo": "DaleStudy/leetcode-study",
-  "total_open_prs": 5,
-  "processed": 2,
-  "approved": 2,
-  "skipped": 0,
-  "results": [
-    { "pr": 1970, "title": "week8 solutions", "approved": true },
-    { "pr": 1971, "title": "week8 extras", "approved": true }
-  ]
-}
-```
-
-### `POST /merge-prs`
-
-열려있는 PR을 일괄 병합합니다. 기본 병합 방식은 `squash`이며, `merge_method`로 `merge | squash | rebase` 중 선택할 수 있습니다. `excludes` 배열로 특정 PR을 제외할 수 있습니다. 최소 1개의 승인 리뷰가 없거나 Draft/`maintenance` 라벨이 붙은 PR은 스킵되며, GitHub에서 `mergeable_state === "clean"`인 PR만 병합됩니다(`behind`, `dirty`, `unknown` 등은 스킵). `unknown`/`behind` 상태는 최대 1초 후 한 차례 재확인합니다.
-
-**Request:**
-
-```json
-{
-  "repo_name": "leetcode-study",
-  "excludes": [1972],
-  "merge_method": "squash"
-}
-```
-
-**Response:**
-
-```json
-{
-  "success": true,
-  "action": "merge",
-  "repo": "DaleStudy/leetcode-study",
-  "merge_method": "squash",
-  "total_open_prs": 5,
-  "processed": 2,
-  "merged": 2,
-  "skipped": 0,
-  "results": [
-    { "pr": 1970, "title": "week8 solutions", "merged": true, "sha": "abc123" },
-    { "pr": 1971, "title": "week8 extras", "merged": true, "sha": "def456" }
-  ]
-}
-```
-
-## 개발 및 테스트
-
-### 로컬 개발
-
-```bash
-# 개발 서버 시작
-wrangler dev
-
-# 로컬 엔드포인트 호출 (별도 터미널)
-curl -X POST http://localhost:8787/check-weeks \
-  -H "Content-Type: application/json" \
-  -d '{"repo_owner": "DaleStudy", "repo_name": "leetcode-study"}'
-```
-
-### 테스트 코드 실행
-
-이 프로젝트는 **Cloudflare Workers Vitest integration**을 사용합니다. 테스트는 Vitest로 실행하고, Worker 런타임과 바인딩이 필요한 테스트는 Cloudflare 테스트 도구를 사용합니다.
-
-```bash
-# 의존성 설치
-bun install
-
-# 전체 테스트 실행
-bun run test
-
-# 감시 모드
-bun run test:watch
-
-# 특정 파일만 실행
-bun run test -- handlers/webhooks.test.js
-```
-
-테스트는 세 디렉토리로 나뉘어 있습니다:
-
-- `handlers/*.test.js`: 핸들러 단위 테스트
-- `utils/*.test.js`: 유틸리티 단위 테스트
-- `tests/*.test.js`: Worker runtime smoke test와 교차 모듈 테스트
-
-모듈 모킹은 Vitest의 `vi.mock()`을 사용합니다. Worker runtime과 bindings가 필요한 테스트는 `cloudflare:test`와 `cloudflare:workers`를 사용합니다.
-
-자세한 작성 규칙과 예제는 `AGENTS.md`의 "테스트" 섹션을 참고하세요.
-
-모든 Pull Request와 `main` 브랜치 푸시에서 `.github/workflows/integration.yaml`이 `bun install` 다음 `bun run test`를 실행합니다.
-
-### 프로덕션 엔드포인트 호출
-
-```bash
-curl -X POST https://github.dalestudy.com/check-weeks \
-  -H "Content-Type: application/json" \
-  -d '{"repo_owner": "DaleStudy", "repo_name": "leetcode-study"}'
-```
-
-### 로그 확인
-
-```bash
-wrangler tail
-```
-
-## 보안
-
-- DaleStudy organization만 허용
-- CORS 헤더 설정 (모든 origin 허용)
-- GitHub App credentials는 Worker secrets에 안전하게 저장
-- Rate limiting은 Cloudflare에서 자동 처리
-
-## 비용
-
-Cloudflare Workers 무료 티어:
-
-- 100,000 requests/day
-- 10ms CPU time per request
-
-리트코드 스터디 PR 수준이면 무료 티어로 충분합니다.
-
-## 새 기능 추가하기
-
-새로운 자동화 기능을 추가하려면:
-
-1. `index.js`에 새 엔드포인트 라우팅 추가
-2. 핸들러 함수 구현 (기존 `handleCheckAllPrs` 참고)
-3. GitHub App 권한 확인 및 필요시 추가
-4. 문서(AGENTS.md, README.md) 업데이트
-5. 로컬 테스트 후 배포 (`wrangler deploy`)
-
-자세한 가이드는 `AGENTS.md`를 참고하세요.
-
-## 문제 해결
-
-### Worker가 401 에러 반환
-
-GitHub App credentials 확인:
-
-```bash
-wrangler secret list
-```
-
-`APP_ID`(`wrangler.jsonc`)와 `PRIVATE_KEY`(GitHub secret `APP_PRIVATE_KEY`)가 모두 있어야 합니다.
-
-### Worker가 403 에러 반환
-
-DaleStudy organization이 아닌 경우 차단됩니다.
-
-## 관련 문서
-
-- **AGENTS.md**: AI 에이전트를 위한 상세 가이드 (개발자도 필독!)
-- **DEPLOYMENT.md**: 처음부터 배포하는 전체 가이드
-- **GitHub App**: https://github.com/organizations/DaleStudy/settings/apps/dalestudy
+<p align="center">
+  <a href="https://github.com/sponsors/DaleStudy">
+    <img src="https://raw.githubusercontent.com/DaleStudy/.github/main/sponsorkit/sponsors.svg" alt="Sponsors" />
+  </a>
+</p>

From f6fc3ab66cda2a35ef6bf6c0f32aa10600c8cfdf Mon Sep 17 00:00:00 2001
From: Dale Seo <5466341+DaleSeo@users.noreply.github.com>
Date: Sun, 11 Oct 2026 19:33:02 -0400
Subject: [PATCH 3/4] docs: add MIT license

---
 LICENSE   | 21 +++++++++++++++++++++
 README.md |  6 ++++++
 2 files changed, 27 insertions(+)
 create mode 100644 LICENSE

diff --git a/LICENSE b/LICENSE
new file mode 100644
index 0000000..f4741fc
--- /dev/null
+++ b/LICENSE
@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2025 DaleStudy
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.
diff --git a/README.md b/README.md
index 36af14a..acdda5d 100644
--- a/README.md
+++ b/README.md
@@ -43,3 +43,9 @@
     <img src="https://raw.githubusercontent.com/DaleStudy/.github/main/sponsorkit/sponsors.svg" alt="Sponsors" />
   </a>
 </p>
+
+## 라이선스 (License)
+
+이 저장소의 소스 코드는 [MIT 라이선스](LICENSE)를 따릅니다.
+
+다만 달레 스터디의 이름과 로고를 비롯한 브랜드 자산은 라이선스 범위에 포함되지 않습니다.

From b35e0c4175e9c4d13c96e3e3a12cc6d20f7df92c Mon Sep 17 00:00:00 2001
From: Dale Seo <5466341+DaleSeo@users.noreply.github.com>
Date: Sun, 11 Oct 2026 19:34:35 -0400
Subject: [PATCH 4/4] fix: require webhook signatures

---
 .github/workflows/deploy.yml |  5 ++--
 AGENTS.md                    | 16 ++++++------
 index.js                     | 27 ++++++++++++---------
 tests/worker-runtime.test.js | 47 ++++++++++++++++++++++++++++++++++--
 4 files changed, 71 insertions(+), 24 deletions(-)

diff --git a/.github/workflows/deploy.yml b/.github/workflows/deploy.yml
index 3b28cff..f7cff37 100644
--- a/.github/workflows/deploy.yml
+++ b/.github/workflows/deploy.yml
@@ -29,9 +29,10 @@ jobs:
           PRIVATE_KEY: ${{ secrets.APP_PRIVATE_KEY }}
           AI_GATEWAY_TOKEN: ${{ secrets.AI_GATEWAY_TOKEN }}
           INTERNAL_SECRET: ${{ secrets.INTERNAL_SECRET }}
+          WEBHOOK_SECRET: ${{ secrets.WEBHOOK_SECRET }}
         run: |
-          jq -n --arg private_key "$PRIVATE_KEY" --arg ai "$AI_GATEWAY_TOKEN" --arg internal "$INTERNAL_SECRET" \
-            '{PRIVATE_KEY: $private_key, AI_GATEWAY_TOKEN: $ai, INTERNAL_SECRET: $internal}' > "$RUNNER_TEMP/secrets.json"
+          jq -n --arg private_key "$PRIVATE_KEY" --arg ai "$AI_GATEWAY_TOKEN" --arg internal "$INTERNAL_SECRET" --arg webhook "$WEBHOOK_SECRET" \
+            '{PRIVATE_KEY: $private_key, AI_GATEWAY_TOKEN: $ai, INTERNAL_SECRET: $internal, WEBHOOK_SECRET: $webhook}' > "$RUNNER_TEMP/secrets.json"
 
       - name: Deploy
         uses: cloudflare/wrangler-action@v4
diff --git a/AGENTS.md b/AGENTS.md
index 703dc2f..3d847fc 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -75,13 +75,13 @@ GitHub webhook
 
 `main` 에 머지되면 GitHub Actions(`.github/workflows/deploy.yml`)가 테스트 후 `wrangler deploy --secrets-file` 로 배포한다. PR 에서는 `integration.yaml` 이 테스트만 돈다. 웹훅을 받는 서버라 PR 미리보기는 두지 않는다.
 
-| Worker 에서 읽는 이름  | 어디서 오나                                                 |
-| ---------------------- | ----------------------------------------------------------- |
-| `APP_ID`, `WORKER_URL` | `wrangler.jsonc` 의 `vars` (공개 값)                        |
-| `PRIVATE_KEY`          | GitHub org secret `APP_PRIVATE_KEY`                         |
-| `AI_GATEWAY_TOKEN`     | GitHub org secret `AI_GATEWAY_TOKEN`                        |
-| `INTERNAL_SECRET`      | GitHub 저장소 secret `INTERNAL_SECRET`                      |
-| `WEBHOOK_SECRET`       | (선택) 있으면 웹훅 서명을 검증한다. 지금은 설정돼 있지 않다 |
+| Worker 에서 읽는 이름  | 어디서 오나                                                                         |
+| ---------------------- | ----------------------------------------------------------------------------------- |
+| `APP_ID`, `WORKER_URL` | `wrangler.jsonc` 의 `vars` (공개 값)                                                |
+| `PRIVATE_KEY`          | GitHub org secret `APP_PRIVATE_KEY`                                                 |
+| `AI_GATEWAY_TOKEN`     | GitHub org secret `AI_GATEWAY_TOKEN`                                                |
+| `INTERNAL_SECRET`      | GitHub 저장소 secret `INTERNAL_SECRET`                                              |
+| `WEBHOOK_SECRET`       | GitHub 저장소 secret `WEBHOOK_SECRET`. GitHub App 웹훅 설정의 secret 과 같은 값이다 |
 
 GitHub secret 은 배포할 때마다 Worker secret 으로 들어가므로 `wrangler secret put` 으로 따로 바꾸지 않는다. 다음 배포 때 GitHub 값으로 덮인다.
 로컬에서는 `.dev.vars` 에 같은 이름으로 넣는다. `.dev.vars`, `*.pem` 은 커밋하지 않는다.
@@ -90,7 +90,7 @@ GitHub secret 은 배포할 때마다 Worker secret 으로 들어가므로 `wran
 
 https://github.com/organizations/DaleStudy/settings/apps/dalestudy
 
-- Webhook URL: `https://github.dalestudy.com/webhooks`
+- Webhook URL: `https://github.dalestudy.com/webhooks`, Webhook secret 은 저장소 secret `WEBHOOK_SECRET` 과 같은 값. `/webhooks` 는 서명(`X-Hub-Signature-256`)이 맞지 않거나 `WEBHOOK_SECRET` 이 없으면 받지 않는다
 - Repository permissions: Contents(Read), Issues(Read & write), Metadata(Read), Pull requests(Read & write), Projects(Read & write)
 - 이벤트: Issue comments, Pull request review comments, Projects v2 item, Pull requests
 - DaleStudy 조직에 설치돼 있고 leetcode-study 에 접근할 수 있어야 한다
diff --git a/index.js b/index.js
index ce4ad56..810e166 100644
--- a/index.js
+++ b/index.js
@@ -37,18 +37,21 @@ export default {
       const signature = request.headers.get("X-Hub-Signature-256");
       const rawBody = await request.text();
 
-      // Secret이 설정되어 있으면 검증
-      if (env.WEBHOOK_SECRET) {
-        const isValid = await verifyWebhookSignature(
-          rawBody,
-          signature,
-          env.WEBHOOK_SECRET
-        );
-
-        if (!isValid) {
-          console.error("Invalid webhook signature");
-          return errorResponse("Invalid signature", 401);
-        }
+      // Secret이 없으면 서명을 검증할 수 없으므로 받지 않는다
+      if (!env.WEBHOOK_SECRET) {
+        console.error("WEBHOOK_SECRET is not configured");
+        return errorResponse("Webhook secret is not configured", 500);
+      }
+
+      const isValid = await verifyWebhookSignature(
+        rawBody,
+        signature,
+        env.WEBHOOK_SECRET
+      );
+
+      if (!isValid) {
+        console.error("Invalid webhook signature");
+        return errorResponse("Invalid signature", 401);
       }
 
       // Request 객체 재생성 (body를 다시 읽을 수 있도록)
diff --git a/tests/worker-runtime.test.js b/tests/worker-runtime.test.js
index f323249..d33a6de 100644
--- a/tests/worker-runtime.test.js
+++ b/tests/worker-runtime.test.js
@@ -4,10 +4,10 @@ import { describe, expect, it } from "vitest";
 
 import worker from "../index.js";
 
-async function fetchWorker(input, init = {}) {
+async function fetchWorker(input, init = {}, bindings = env) {
   const request = input instanceof Request ? input : new Request(input, init);
   const ctx = createExecutionContext();
-  const response = await worker.fetch(request, env, ctx);
+  const response = await worker.fetch(request, bindings, ctx);
 
   await waitOnExecutionContext(ctx);
 
@@ -59,4 +59,47 @@ describe("Worker runtime smoke test", () => {
   it("exposes WORKER_URL from wrangler config in env", () => {
     expect(env.WORKER_URL).toBe("https://github.dalestudy.workers.dev");
   });
+
+  describe("/webhooks signature", () => {
+    const secret = "test-webhook-secret";
+    const body = JSON.stringify({ zen: "ping", repository: { name: "other-repo" } });
+
+    async function sign(payload) {
+      const key = await crypto.subtle.importKey(
+        "raw",
+        new TextEncoder().encode(secret),
+        { name: "HMAC", hash: "SHA-256" },
+        false,
+        ["sign"],
+      );
+      const bytes = await crypto.subtle.sign("HMAC", key, new TextEncoder().encode(payload));
+      return "sha256=" + [...new Uint8Array(bytes)].map((b) => b.toString(16).padStart(2, "0")).join("");
+    }
+
+    function webhookRequest(signature) {
+      const headers = { "Content-Type": "application/json", "X-GitHub-Event": "ping" };
+      if (signature) headers["X-Hub-Signature-256"] = signature;
+      return new Request("https://example.com/webhooks", { method: "POST", headers, body });
+    }
+
+    it("rejects webhooks when WEBHOOK_SECRET is not configured", async () => {
+      const response = await fetchWorker(webhookRequest(await sign(body)), {}, { ...env, WEBHOOK_SECRET: undefined });
+
+      expect(response.status).toBe(500);
+    });
+
+    it("rejects webhooks with a missing or wrong signature", async () => {
+      const bindings = { ...env, WEBHOOK_SECRET: secret };
+
+      expect((await fetchWorker(webhookRequest(), {}, bindings)).status).toBe(401);
+      expect((await fetchWorker(webhookRequest("sha256=" + "0".repeat(64)), {}, bindings)).status).toBe(401);
+    });
+
+    it("accepts webhooks signed with WEBHOOK_SECRET", async () => {
+      const response = await fetchWorker(webhookRequest(await sign(body)), {}, { ...env, WEBHOOK_SECRET: secret });
+
+      expect(response.status).toBe(200);
+    });
+  });
 });
+