<!-- task=m-provider-resource-admission-ownership-alignment/08_disconnect_exclusion plan=1 tag=REVIEW_REFACTOR -->

# Code Review Reference - REVIEW_REFACTOR

> **[IMPLEMENTING AGENT — READ FIRST] Filling in this file is the mandatory final step of implementation.**
> The task is NOT complete until every implementation-owned section below is filled in.
> Complete the `구현 체크리스트`; the final checklist item is mandatory before saving.
> Fill implementation-owned sections, keep the active files in place, then immediately switch to the review role and execute the code-review skill in the same loop. Do not stop or report ready for review.
> If implementation is blocked by a selected Milestone `구현 잠금 > 결정 필요` item, fill `사용자 리뷰 요청` with linked evidence and immediately execute code-review; only code-review may materialize `USER_REVIEW.md`. Environment/secret/service blockers, generic scope changes, repeated failures, and evidence gaps become normal follow-ups with blocker evidence, a deterministic release condition, and revalidation commands; they are not stopping states.
> Do not ask the user directly, present choices in chat, call `request_user_input`, or wait for another instruction between implementation and review.
> Finalization (`코드리뷰 결과`, log rename, `complete.log`, archive moves, `코드리뷰 전용 체크리스트`) belongs to the review role, but that ownership boundary does not require a separate agent, thread, turn, or user handoff.
> `USER_REVIEW.md` and `complete.log` are the only terminal states. A filled stub, verdict, archive, or WARN/FAIL follow-up pair is transitional and the loop must continue automatically.
> Follow the ownership table at the bottom of this file for which sections you own.

## 개요

date=2026-07-21
task=m-provider-resource-admission-ownership-alignment/08_disconnect_exclusion, plan=1, tag=REVIEW_REFACTOR

## Roadmap Targets

- Milestone: `agent-roadmap/phase/operational-observability-provider-management/milestones/provider-resource-admission-ownership-alignment.md`
- Milestone link: [Milestone 문서](agent-roadmap/phase/operational-observability-provider-management/milestones/provider-resource-admission-ownership-alignment.md)
- Task ids:
  - `disconnect-exclusion`: current-owner generation fencing과 lease 정확히 한 번 반환
- Completion mode: check-on-pass

## Archive Evidence Snapshot

- 닫히는 이전 pair:
  - `agent-task/m-provider-resource-admission-ownership-alignment/08_disconnect_exclusion/plan_cloud_G08_0.log`
  - `agent-task/m-provider-resource-admission-ownership-alignment/08_disconnect_exclusion/code_review_cloud_G08_0.log`
- 판정: `FAIL`; Required 3, Suggested 0, Nit 0.
- Required 요약:
  - mixed-generation overlap에서 old lease 삭제 후 provider `inFlight`/`longInFlight` counter가 남는다.
  - heartbeat timeout handler generation/ordering과 normalized+tunnel stale pre-send 경계 테스트가 부족하다.
  - 제출된 full race PASS와 달리 reviewer 재실행에서 reconnect request timeout이 1회 발생했고, 해당 테스트 격리 3회는 PASS했다.
- 주요 영향 파일: `apps/edge/internal/service/model_queue_release.go`, `apps/edge/internal/service/queue_reservation_test.go`, `apps/edge/internal/transport/integration_test.go`, `apps/edge/internal/service/run_dispatch_internal_test.go`.
- 이전 검증: gofmt clean, Edge 대상 package PASS, reviewer full race FAIL, 실패 테스트 격리 `-race -count=3` PASS, mock E2E smoke PASS 기록.
- Roadmap carryover: `disconnect-exclusion` 완료 주장은 이 follow-up PASS 전까지 유보한다.
- 정확한 이전 출력이 필요할 때만 위 두 log를 좁게 재열람한다.

## 이 파일을 읽는 리뷰 에이전트에게

> **[REVIEW AGENT ONLY]** 아래 종결 절차는 코드리뷰 에이전트 전용이다. 구현 에이전트는 이 섹션을 실행하지 않는다.

각 항목의 구현을 실제 소스 파일과 대조하고, `검증 결과` 섹션의 출력이 코드와 일치하는지 확인한다.

1. 판정을 append한다.
2. `CODE_REVIEW-local-G09.md` → `code_review_local_G09_1.log`, `PLAN-local-G09.md` → `plan_local_G09_1.log`로 아카이브한다.
3. PASS이면 `complete.log` 작성 후 active task directory를 `agent-task/archive/YYYY/MM/m-provider-resource-admission-ownership-alignment/08_disconnect_exclusion/`로 이동한다. WARN/FAIL이면 user-review gate 확인 후 plan skill로 fresh-routed pair를 메모리에 준비하고, current pair를 archive한 뒤 code-review가 다음 active pair 또는 `USER_REVIEW.md`를 작성한다. 미해결 Required는 plan·finding·review·사용자 요청에 별도 후속 지시가 없어도 반드시 FAIL과 follow-up pair를 만든다. Suggested는 기존 WARN follow-up 규칙을 따르고, Nit-only는 모든 차원이 Pass이면 PASS할 수 있다.
4. PASS Milestone task면 완료 이벤트 메타데이터를 보고하고 roadmap을 직접 수정하지 않는다.
5. 적용 가능한 `코드리뷰 전용 체크리스트`를 최종 log에서 체크한다. 사용자-facing 보고는 `USER_REVIEW.md` 또는 `complete.log`가 생성된 뒤에만 한다.
6. WARN/FAIL follow-up pair가 생성된 경우 사용자에게 보고하거나 묻지 않고 새 pair의 구현과 다음 code-review를 즉시 계속한다. 사용자에게 종료 보고할 수 있는 상태는 `USER_REVIEW.md` 또는 `complete.log`뿐이다.

---

## 구현 항목별 완료 여부

| 항목 | 완료 여부 |
|------|---------|
| REVIEW_REFACTOR-1 Generation-scoped lease settlement | [x] |
| REVIEW_REFACTOR-2 Heartbeat and handoff boundary evidence | [x] |

## 구현 체크리스트

- [x] old/new generation lease가 공존해도 disconnect가 대상 lease별 counter만 정확히 한 번 반환하고 newer lease/resource를 보존하며 최종 counter가 0으로 회복된다.
- [x] heartbeat timeout이 current owner generation을 authoritative handler에 전달하고 cleanup이 disconnected event보다 먼저 실행되는 회귀를 추가한다.
- [x] normalized run과 provider tunnel 모두에서 stale generation을 wire send 전에 fence하고 lease를 한 번 반환하며 전송 0회를 검증한다.
- [x] reconnect transport regression과 full race suite를 fresh cache에서 결정적으로 통과시키고 Edge/전체 회귀·mock entrypoint smoke 실제 출력을 기록한다.
- [x] CODE_REVIEW-*-G??.md의 구현 에이전트 소유 섹션을 실제 구현 내용과 검증 출력으로 채우고 즉시 code-review 스킬을 실행한다. USER_REVIEW.md 또는 complete.log가 생성되기 전에는 루프를 종료하거나 사용자에게 묻지 않는다. 이 항목이 완료되기 전에는 구현이 완료된 것이 아니다.

## 코드리뷰 전용 체크리스트

> **[REVIEW AGENT ONLY]** 이 체크리스트는 코드리뷰 에이전트만 사용한다.
> 구현 에이전트는 이 섹션을 수정하거나 체크하지 않는다.

- [x] `코드리뷰 결과`에 `PASS`, `WARN`, `FAIL` 중 하나의 판정을 append한다.
- [x] 판정과 `차원별 평가`, Required/Suggested/Nit 분류가 서로 일치한다.
- [x] active `CODE_REVIEW-*-G??.md`를 `code_review_local_G09_1.log`로 아카이브한다.
- [x] active `PLAN-*-G??.md`를 `plan_local_G09_1.log`로 아카이브한다.
- [x] `.gitignore`의 Agent-Ops 관리 block이 `agent-task/**/*.md`와 `agent-task/**/*.log`를 unignore하고 `agent-roadmap/current.md`를 ignore하는지 확인한다.
- [x] PASS이면 complete-log template로 `Roadmap Completion: disconnect-exclusion`과 test/race evidence를 기록하고 active `.md`를 남기지 않는다.
- [x] PASS이면 task directory를 `agent-task/archive/YYYY/MM/m-provider-resource-admission-ownership-alignment/08_disconnect_exclusion/`로 이동하고 최종 log에서 체크한다.
- [x] PASS이면 runtime용 Milestone 완료 이벤트 메타데이터를 보고하고 roadmap/update-roadmap은 직접 호출하지 않는다.
- [x] PASS split 이동 후 active parent에 sibling/file이 남아 있어 유지했는지 확인한다.
- [ ] WARN/FAIL이고 user-review gate가 아니면 plan skill/fresh routing follow-up을 만들고 `complete.log`를 쓰지 않는다.
- [x] `USER_REVIEW.md` 또는 `complete.log`가 아직 없으면 사용자에게 질문·준비 완료 보고·종료 응답을 하지 않고 다음 active pair의 구현과 리뷰를 계속한다.
- [ ] USER_REVIEW이면 template으로 `USER_REVIEW.md`를 만들고 active pair와 `complete.log`를 남기지 않는다.
- [ ] USER_REVIEW가 Milestone 결정으로 해소되면 문서를 해소 상태로 갱신하고 `complete.log` 작성 및 archive 이동을 수행한다.

## 계획 대비 변경 사항

- `dropLeasesForNodeLocked` → `settleLeasesForNodeLocked`로 rename했다. 계획의 "심볼 참조"는 이 helper를 "잠재 변경" 대상으로 표시했고, 유일 호출부는 `releaseNode` 하나였다. 함수가 더 이상 "decrement 없이 drop"하지 않고 matching lease id를 모아 `releaseLeaseLocked`(정확히 한 번 decrement)로 정산하므로 옛 이름은 오해를 줬다. symbol scan에서 `dropLeasesForNodeLocked`가 0건인 것은 stale 호출부 부재의 증거다.
- `TestDispatchRejectsStaleGenerationBeforeSend`를 별도 tunnel test를 추가하는 대신 `normalized`/`tunnel` subtest table로 확장했다(계획: "작성/확장"). 공용 `staleGenerationFenceCase` helper가 `RunRequest`/`ProviderTunnelRequest` 두 parser를 stale 연결에 모두 bind해, 어느 타입이든 유출 전송을 직접 잡는다. 최종 검증의 `-run '^...TestDispatchRejectsStaleGenerationBeforeSend$'`는 top-level test를 그대로 매칭한다.
- `TestEdgeServerReconnectAfterUnregisterAccepted`의 test context를 5s→10s, request timeout을 2s→5s로 늘렸다(계획 지시). production heartbeat 상수(`HeartbeatInterval`/`HeartbeatWait`)는 손대지 않았다.
- 환경 blocker(변경 범위 결함 아님):
  - `go test -count=1 ./...`가 `apps/node/internal/adapters/cli`의 3개 test(`TestCLIExecuteOneShot_TimeoutEmitsTimeoutMessage`, `TestCLIExecuteOneShot_UserCancelEmitsUserCancelMessage`, `TestCLIExecutePersistentClaudeTUIReplaysPromptAfterStartupReadyRace`)에서 FAIL했다. 오류는 `start "sh": context deadline exceeded` / `context canceled`로, context cancel과 `exec.Start`가 경합하는 subprocess-spawn 타이밍 결함이다. 이 package는 working tree에서 unmodified(`git status` clean)이고, 본 변경은 전부 `apps/edge/internal/service`·`apps/edge/internal/transport`에 있어 node/cli를 import하지 않는다. `-count=3` 격리 재현에서도 동일하게 FAIL해 baseline 환경 이슈임을 확인했다. 해제 조건: 부하가 낮은 환경에서 `go test -count=1 ./apps/node/internal/adapters/cli` 재실행. 남은 위험: 없음(변경 범위 외).
  - mock smoke 최초 2회는 `edge failed to bind port`로 실패했다. `scripts/dev/edge.sh`가 `go run`으로 cold-compile하는데(직전 디스크 정리로 build cache 삭제됨) `scripts/e2e-smoke.sh:247`의 10초 bind deadline을 초과했다(edge는 이후 실제로 `listening`을 출력함). `go build`로 edge/node 캐시를 warm한 뒤 재실행하니 PASS했다(아래 출력). 변경 범위 결함 아님.
  - 디스크 blocker: race 빌드 중 overlay `/`가 100%(`no space left on device`)가 되어 이전 세션 잔여 `/tmp/iop-go-cache-*`·`/tmp/go-build*` 캐시를 정리해 35G를 확보한 뒤 모든 race/full 스위트를 재실행했다. repo 안에는 임시 cache artifact를 남기지 않았다.

## 주요 설계 결정

- **per-lease 정산으로 exactly-once decrement 유지**: `releaseNode`는 이제 fenced generation(≤) 이하의 lease id를 먼저 수집한 뒤 기존 `releaseLeaseLocked` 경로로 정산한다. wholesale zero가 아니라 lease별 `res.release()`이므로, capacity 2 resource에 gen1·gen2 lease가 공존할 때 gen1 disconnect는 자기 slot(1개)만 반환하고 gen2가 소유한 resource counter는 보존한다. gen2 terminal이 마지막 slot을 반환해 최종 counter가 0으로 회복된다.
- **generation-scoped resource/orphan 처리**: resource loop는 `res.generation ≤ fenced`인 resource만 orphan 처리한다. gen1 fence에서 gen2가 소유(res.generation=2>1)한 resource는 건드리지 않아 orphan/counter가 그대로 유지된다. generation 0(whole-node) fence에서만 residual res counter를 0으로 세팅하고 legacy `group.inflight` slot을 삭제해 lease 없이 seed된 fixture 상태와 호환한다.
- **generation-scoped queued candidate 필터**: 큐 아이템의 candidate는 `c.generation ≤ fenced`(또는 whole-node)일 때만 제거하고 strictly newer reconnect candidate는 보존한다. `c.entry == nil` guard를 추가했다.
- **stale no-op 조기 반환 보존**: generation-scoped callback이 lease도 resource도 fence하지 못하면(이미 superseded된 stale close) 큐/counter를 건드리지 않고 즉시 반환하는 기존 불변식을 그대로 뒀다.
- **pre-send fence는 source 재구현 없이 test로 봉인**: normalized·tunnel dispatch 두 경로 모두 이미 `candidateIsCurrentOwner` fence를 가지므로, source 변경 없이 두 경로를 net.Pipe capture로 검증하는 회귀만 추가했다.
- **heartbeat 경계 회귀**: heartbeat timeout도 normal close와 동일하게 authoritative `onDisconnect(nodeID, generation, heartbeat_timeout)`가 disconnected event보다 먼저 실행됨을 `disconnectRecorder`로 검증한다. generation은 registry가 owner에 부여한 값과 일치해야 한다.

## 사용자 리뷰 요청

_기본값은 `없음`이다. 구현 중 새 결정이 필요해 보여도 직접 질문하거나 선택지를 제시하거나 `request_user_input`을 호출하지 않는다. 이 섹션은 선택된 Milestone `구현 잠금 > 결정 필요` 항목이 실구현을 차단할 때만 채운다. 채운 뒤에도 멈추지 말고 즉시 code-review를 실행하며, code-review가 `USER_REVIEW.md`를 실제로 만들기 전에는 terminal 상태가 아니다. 외부 환경/secret/서비스 준비, 검증 증거 공백, 반복 실패, 일반 범위 조정은 사용자 리뷰 요청이 아니며 blocker evidence·결정적 해제 조건·재검증 명령을 `검증 결과`나 `계획 대비 변경 사항`에 기록한 뒤 code-review의 일반 follow-up plan으로 처리한다._

- 상태: 없음
- 사유 유형: 없음
- 연결 대상: 없음
- 결정 필요: 없음
- 차단 근거: 없음
- 실행한 검증/명령: 없음
- 자동 후속 불가 이유: 없음
- 재개 조건: 없음

## 리뷰어를 위한 체크포인트

- capacity 2에서 gen1/gen2 lease 공존 후 gen1 disconnect가 gen1만 정산하고 gen2 terminal 후 counter가 0인가.
- generation-scoped cleanup이 newer provider resource, legacy group counter, queued candidate를 지우지 않는가.
- heartbeat timeout도 normal close와 동일하게 current generation lifecycle callback → disconnected event 순서를 지키는가.
- normalized/tunnel stale candidate가 모두 wire send 0회, lease 0, 동일 fence error로 수렴하는가.
- full race와 reconnect stress가 timeout/race warning 없이 반복 통과하는가.

## 검증 결과

아래 명령의 실제 stdout/stderr를 구현 에이전트가 붙인다. 명령 변경은 `계획 대비 변경 사항`에 이유를 기록한다. repo 내에 임시 tool/cache artifact를 남기지 않는다.

### gofmt 및 symbol scan

`gofmt -d apps/edge/internal/service/model_queue_release.go apps/edge/internal/service/queue_reservation_test.go apps/edge/internal/transport/integration_test.go apps/edge/internal/service/run_dispatch_internal_test.go`

`rg --sort path -n 'dropLeasesForNodeLocked|releaseNode\(|HandleNodeDisconnect|candidateIsCurrentOwner|UnregisterIfClient' apps/edge --glob '*.go'`

```text
$ gofmt -d apps/edge/internal/service/model_queue_release.go apps/edge/internal/service/queue_reservation_test.go apps/edge/internal/transport/integration_test.go apps/edge/internal/service/run_dispatch_internal_test.go
(출력 없음 — clean)

$ rg --sort path -n 'dropLeasesForNodeLocked|releaseNode\(|HandleNodeDisconnect|candidateIsCurrentOwner|UnregisterIfClient' apps/edge --glob '*.go'
apps/edge/internal/bootstrap/runtime.go:113:	r.Server.SetNodeDisconnectHandler(r.Service.HandleNodeDisconnect)
apps/edge/internal/node/registry.go:148:// UnregisterIfClient removes nodeID only when the currently registered entry
apps/edge/internal/node/registry.go:153:func (r *Registry) UnregisterIfClient(nodeID string, client *toki.TcpClient) (uint64, bool) {
apps/edge/internal/node/registry_test.go:58:func TestRegistryUnregisterIfClientIgnoresStaleConnection(t *testing.T) {
apps/edge/internal/node/registry_test.go:64:	if _, ok := reg.UnregisterIfClient("node-1", stale); ok {
apps/edge/internal/node/registry_test.go:75:	gen, ok := reg.UnregisterIfClient("node-1", live)
apps/edge/internal/node/registry_test.go:118:	if _, ok := reg.UnregisterIfClient("node-gen", first.Client); !ok {
apps/edge/internal/service/model_queue_admission_test.go:286:	m.releaseNode("node-nd1", 0, "disconnected")
apps/edge/internal/service/model_queue_release.go:111:func (m *modelQueueManager) releaseNode(nodeID string, generation uint64, reason string) {
apps/edge/internal/service/provider_pool.go:170:	if !s.candidateIsCurrentOwner(selected) {
apps/edge/internal/service/provider_pool.go:222:	if !s.candidateIsCurrentOwner(selected) {
apps/edge/internal/service/provider_tunnel.go:243:	if !s.candidateIsCurrentOwner(selected) {
apps/edge/internal/service/queue_dispatch_test.go:167:	svc.HandleNodeDisconnect(nd1NodeID, 0, "disconnected")
apps/edge/internal/service/queue_dispatch_test.go:806:	svc.HandleNodeDisconnect("xg-node-1", 0, "disconnected")
apps/edge/internal/service/queue_reservation_test.go:439:						m.releaseNode("node-disconn-primary", 0, "transport-closed")
apps/edge/internal/service/queue_reservation_test.go:575:	m.releaseNode("node-gen", 4, "stale-disconnect")
apps/edge/internal/service/queue_reservation_test.go:587:	m.releaseNode("node-gen", 5, "current-disconnect")
apps/edge/internal/service/queue_reservation_test.go:619:	m.releaseNode("node-gen", 5, "late-stale-disconnect")
apps/edge/internal/service/queue_reservation_test.go:694:			m.releaseNode("node-mix", 1, "gen1-disconnect")
apps/edge/internal/service/run_submit.go:114:	if !s.candidateIsCurrentOwner(selected) {
apps/edge/internal/service/service.go:57:// HandleNodeDisconnect fences the leases held by the disconnecting connection
apps/edge/internal/service/service.go:63:func (s *Service) HandleNodeDisconnect(nodeID string, generation uint64, reason string) {
apps/edge/internal/service/service.go:67:	s.queue.releaseNode(nodeID, generation, reason)
apps/edge/internal/service/service.go:70:// candidateIsCurrentOwner reports whether the selected candidate's connection
apps/edge/internal/service/service.go:76:func (s *Service) candidateIsCurrentOwner(selected *candidateNode) bool {
apps/edge/internal/transport/connection_handlers.go:193:		// UnregisterIfClient is the ownership gate: it succeeds only for the client
apps/edge/internal/transport/connection_handlers.go:198:		generation, ok := s.registry.UnregisterIfClient(rec.ID, client)

# `dropLeasesForNodeLocked` 0건 = stale 호출부 없음(settleLeasesForNodeLocked로 대체됨)
```

### 대상 package

`review_gocache="$(mktemp -d)"`

`GOCACHE="$review_gocache" go test -count=1 ./apps/edge/internal/node ./apps/edge/internal/transport ./apps/edge/internal/bootstrap ./apps/edge/internal/service`

```text
ok  	iop/apps/edge/internal/node	0.033s
ok  	iop/apps/edge/internal/transport	4.600s
ok  	iop/apps/edge/internal/bootstrap	0.736s
ok  	iop/apps/edge/internal/service	6.349s
```

### settlement race stress

`GOCACHE="$review_gocache" go test -race -count=10 ./apps/edge/internal/service -run '^(TestDisconnectSettlesOldLeaseWhenNewGenerationAlreadyReserved|TestDisconnectFencesOnlyMatchingGeneration|TestDispatchRejectsStaleGenerationBeforeSend)$'`

```text
ok  	iop/apps/edge/internal/service	2.381s
```

### transport race stress

`GOCACHE="$review_gocache" go test -race -count=5 ./apps/edge/internal/transport -run '^(TestEdgeServerReconnectAfterUnregisterAccepted|TestHeartbeatTimeoutDisconnectCarriesCurrentGenerationBeforeEvent|TestReconnectDisconnectGenerationsAreMonotonic)$'`

```text
ok  	iop/apps/edge/internal/transport	11.837s
```

### full race

`GOCACHE="$review_gocache" go test -race -count=1 ./apps/edge/internal/node ./apps/edge/internal/transport ./apps/edge/internal/service`

```text
ok  	iop/apps/edge/internal/node	1.082s
ok  	iop/apps/edge/internal/transport	5.424s
ok  	iop/apps/edge/internal/service	7.626s
```

### Edge 및 전체 회귀

`GOCACHE="$review_gocache" go test -count=1 ./apps/edge/...`

`GOCACHE="$review_gocache" go test -count=1 ./...`

```text
$ go test -count=1 ./apps/edge/...
ok  	iop/apps/edge/cmd/edge	0.207s
ok  	iop/apps/edge/internal/bootstrap	0.542s
ok  	iop/apps/edge/internal/configrefresh	0.117s
ok  	iop/apps/edge/internal/controlplane	4.577s
ok  	iop/apps/edge/internal/edgecmd	0.062s
ok  	iop/apps/edge/internal/edgevalidate	0.019s
ok  	iop/apps/edge/internal/events	0.019s
ok  	iop/apps/edge/internal/input	0.052s
ok  	iop/apps/edge/internal/input/a2a	0.054s
ok  	iop/apps/edge/internal/node	0.007s
ok  	iop/apps/edge/internal/openai	7.019s
ok  	iop/apps/edge/internal/opsconsole	0.016s
ok  	iop/apps/edge/internal/service	6.554s
ok  	iop/apps/edge/internal/transport	4.467s

$ go test -count=1 ./...     # (edge/service·transport 발췌 + 유일 FAIL package)
ok  	iop/apps/edge/internal/service	6.201s
ok  	iop/apps/edge/internal/transport	4.389s
...
--- FAIL: TestCLIExecuteOneShot_TimeoutEmitsTimeoutMessage (0.16s)
    oneshot_blackbox_test.go:488: expected ErrRunCancelled, got cli adapter: start "sh": context deadline exceeded
--- FAIL: TestCLIExecuteOneShot_UserCancelEmitsUserCancelMessage (0.16s)
    oneshot_blackbox_test.go:537: expected ErrRunCancelled, got cli adapter: start "sh": context canceled
--- FAIL: TestCLIExecutePersistentClaudeTUIReplaysPromptAfterStartupReadyRace (5.20s)
    persistent_terminal_test.go:307: execute: run cancelled
FAIL	iop/apps/node/internal/adapters/cli	40.872s
FAIL

# 유일 FAIL은 apps/node/internal/adapters/cli(변경 범위 밖, working tree에서 unmodified).
# 원인: subprocess(sh) spawn과 context cancel 경합 — 부하/타이밍 결함.
# 격리 재현: go test -count=3 ./apps/node/internal/adapters/cli 에서도 동일 FAIL(baseline 환경 이슈).
# 그 외 edge/node/packages 전 package PASS.
```

### mock entrypoint smoke

`GOCACHE="$review_gocache" IOP_E2E_PROFILE=mock ./scripts/e2e-smoke.sh`

```text
# 최초 2회는 edge cold `go run`(직전 캐시 정리)로 scripts/e2e-smoke.sh:247의 10초 bind
# deadline 초과 → "edge failed to bind port"(edge는 이후 실제 listening 출력). `go build`로
# edge/node 캐시 warm 후 재실행하여 PASS. 아래는 warm 재실행의 실제 출력 발췌.

[node] edge is reachable
{"...":"transport/client.go:84","msg":"registered with edge","node_id":"test-node","alias":"test-node"}
{"...":"cli/cli.go:241","msg":"cli adapter: persistent session started","target":"fake-cli"}
{"...":"bootstrap/module.go:110","msg":"connected to edge","node_id":"test-node","alias":"test-node"}
[node-event] start run_id=manual-1784617703860534713
[node-message] IOP_E2E_HELLO_FORMAL
[node-event] complete run_id=manual-1784617703860534713 detail="idle-timeout"
[node-event] start run_id=manual-1784617705299700881
[node-message] IOP_E2E_THANKS_SHORT
[node-event] complete run_id=manual-1784617705299700881 detail="idle-timeout"
[node-event] start run_id=manual-1784617707610312798    # background run
[node-message] IOP_E2E_THANKS_FORMAL
[node-event] complete run_id=manual-1784617707610312798 detail="idle-timeout"
{"...":"node/command_handler.go:20","type":"NODE_COMMAND_TYPE_SESSION_LIST",...}
{"...":"node/cancel_handler.go:16","action":"CANCEL_ACTION_TERMINATE_SESSION"}
{"...":"transport/session.go:135","msg":"disconnected from edge","transport_close_reason":"remote_closed","transport_close_error":"EOF"}
[edge-event] disconnected reason="transport_closed" transport_close_reason="remote_closed" transport_close_error="EOF"
[Fx] TERMINATED
[e2e] Auxiliary smoke test PASSED.
[smoke exit: 0]

# startup/register/foreground run×2/background run/session/terminate-session/normal close와
# authoritative disconnected event 1회를 관측함.
```

---

> **[IMPLEMENTING AGENT — BEFORE SAVING] Have you filled in every implementation-owned section: completion table, implementation checklist, changes from plan, design decisions, and verification output?**
> If anything is blank, go back and fill it in before saving this file.
> Leave review-agent-only sections unchanged, then immediately execute code-review without stopping or asking the user.

## 섹션 소유권

| Section | Owner | Note |
|---------|-------|------|
| Header comment, 개요, 리뷰 에이전트 지시 | Fixed at stub creation | Implementing agent must not modify them; after filling its sections it immediately switches to the review role |
| Roadmap Targets | Fixed | Code-review copies it into `complete.log` only on PASS |
| Archive Evidence Snapshot | Fixed | Read only the cited logs when exact prior context is required |
| 구현 항목별 완료 여부 | Implementing agent | `[ ]` to `[x]` only |
| 구현 체크리스트 | Implementing agent | `[ ]` to `[x]` only; final item mandatory |
| 코드리뷰 전용 체크리스트 | Review agent only | Implementing agent must not modify |
| 계획 대비 변경 사항, 주요 설계 결정, 검증 출력 | Implementing agent | Actual content required |
| 사용자 리뷰 요청 | Implementing agent | Milestone lock decisions only |
| 리뷰어를 위한 체크포인트 | Fixed | Pre-filled from plan |
| 코드리뷰 결과 | Review agent appends | Not included in stub |

## 코드리뷰 결과

date=2026-07-21, review-number=1 (follow-up; prior `code_review_cloud_G08_0.log` = FAIL)

### 종합 판정

`PASS`

### 차원별 평가

| 차원 | 판정 | 근거 |
|------|------|------|
| Correctness | Pass | `releaseNode`가 fenced generation(≤) 이하 lease id를 모아 `releaseLeaseLocked`로 정산해 exactly-once decrement를 유지한다. capacity 2에 gen1·gen2 lease 공존 시 gen1 disconnect는 자기 slot만 반환하고 gen2 소유 counter를 보존하며, gen2 terminal 후 0으로 회복된다(model_queue_release.go:111-190). generation-scoped resource loop는 `res.generation>fenced` resource를 건드리지 않고, whole-node(gen 0)만 residual res/`group.inflight`를 0으로 정리한다. queued candidate 필터는 `c.generation≤fenced`만 제거한다. stale no-op 조기 반환 불변식 유지. |
| Completeness | Pass | G08 Required 3건 모두 해소: (1) mixed-generation counter 누수, (2) heartbeat generation/ordering + normalized/tunnel pre-send 경계, (3) reconnect race deadline 결정성. 구현 체크리스트·완료 표 모두 evidence와 함께 채워짐. |
| Test coverage | Pass | 신규 `TestDisconnectSettlesOldLeaseWhenNewGenerationAlreadyReserved`(normal/long table), `TestHeartbeatTimeoutDisconnectCarriesCurrentGenerationBeforeEvent`, `TestDispatchRejectsStaleGenerationBeforeSend`를 normalized/tunnel subtest로 확장(두 parser로 `RunRequest`/`ProviderTunnelRequest` 수신 0회 직접 검증). assertion은 counter/lease/generation/전송횟수를 구체적으로 확인한다. |
| API contract | Pass | proto/config/outer API 무변경. 내부 helper `dropLeasesForNodeLocked`→`settleLeasesForNodeLocked` rename, 유일 호출부(`releaseNode`) 갱신. symbol scan에서 stale 참조 0건. |
| Code quality | Pass | 변경 4파일에 debug print/TODO/dead code 없음. 주석이 불변식을 정확히 설명한다. |
| Plan deviation | Pass | rename, test table 확장, reconnect deadline 5s/2s→10s/5s는 계획 지시/의도 범위. 모두 `계획 대비 변경 사항`에 사유 기록. production heartbeat 상수 무변경. |
| Verification trust | Pass | 모든 검증 명령을 실제 실행하고 실제 출력을 기록. `go test ./...`의 유일 FAIL은 unmodified `apps/node/internal/adapters/cli`(subprocess spawn/timing, baseline 격리 재현에서도 동일 FAIL)로 변경 범위 밖. mock smoke는 warm cache에서 PASS. |
| Spec conformance (SDD) | Pass | SDD `[승인됨]`/잠금 `해제`. S12(`disconnect-exclusion`) Acceptance("stale close는 live resource/event 불변, current owner close만 fencing, fenced generation 새 lease/handoff 없음, 기존 lease 한 번 반환")를 결정적 test + race로 충족. Evidence Map S12 요구(deterministic test, ownership·event-drop 회귀, race)를 만족. |

### 발견된 문제

- 없음 (Required 0, Suggested 0, Nit 0)
- 환경 note(변경 범위 밖, 후속 아님): `apps/node/internal/adapters/cli` 3개 test가 부하/타이밍으로 FAIL. 해제 조건: 부하 낮은 환경에서 `go test -count=1 ./apps/node/internal/adapters/cli` 재실행. mock smoke 최초 cold-`go run` bind 초과는 `go build` warm 후 PASS로 확인됨.

### 다음 단계

- PASS: `complete.log` 작성 후 task directory를 `agent-task/archive/2026/07/m-provider-resource-admission-ownership-alignment/08_disconnect_exclusion/`로 이동한다. `m-<milestone-slug>` 완료 이벤트 메타데이터를 런타임에 보고하고 roadmap/update-roadmap은 직접 호출하지 않는다.
