<!-- task=m-provider-resource-admission-ownership-alignment/02+01_lease_lifecycle plan=0 tag=REFACTOR -->

# Code Review Reference - REFACTOR

> **[IMPLEMENTING AGENT — READ FIRST] Filling in this file is the mandatory final step of implementation.**
> The task is NOT complete until every implementation-owned section below is filled in.
> Complete the `구현 체크리스트`; the final checklist item is mandatory before saving.
> Fill implementation-owned sections, then stop with active files in place and report ready for review.
> If implementation is blocked by a selected Milestone `구현 잠금 > 결정 필요` item, fill `사용자 리뷰 요청` with linked evidence and stop with active files in place; code-review decides whether to write `USER_REVIEW.md`. Environment/secret/service blockers, generic scope changes, repeated failures, and evidence gaps that a follow-up agent can close are normal follow-up issues, not user-review blockers by themselves.
> Do not ask the user directly, present choices in chat, or call `request_user_input` during implementation; record only Milestone lock decisions in `사용자 리뷰 요청` and stop for code-review.
> Finalization (`코드리뷰 결과`, log rename, `complete.log`, archive moves, `코드리뷰 전용 체크리스트`) is review-agent-only, even after compaction/resume.
> Follow the ownership table at the bottom of this file for which sections you own.

## 개요

date=2026-07-19
task=m-provider-resource-admission-ownership-alignment/02+01_lease_lifecycle, plan=0, tag=REFACTOR

## Roadmap Targets

- Milestone: `agent-roadmap/phase/operational-observability-provider-management/milestones/provider-resource-admission-ownership-alignment.md`
- Milestone link: [Milestone 문서](agent-roadmap/phase/operational-observability-provider-management/milestones/provider-resource-admission-ownership-alignment.md)
- Task ids:
  - `lease-lifecycle`: 고유 provider lease와 exactly-once terminal 반환
- Completion mode: check-on-pass

## 이 파일을 읽는 리뷰 에이전트에게

> **[REVIEW AGENT ONLY]** 아래 종결 절차는 코드리뷰 에이전트 전용이다. 구현 에이전트는 이 섹션을 실행하지 않는다.

각 항목의 구현을 실제 소스 파일과 대조하고, `검증 결과` 섹션의 출력이 코드와 일치하는지 확인하세요.
리뷰 완료는 아래 순서까지 끝난 상태를 의미합니다.

1. 판정을 append한다.
2. `CODE_REVIEW-cloud-G07.md` → `code_review_cloud_G07_N.log`, `PLAN-cloud-G07.md` → `plan_cloud_G07_M.log`로 아카이브한다.
3. PASS이면 `complete.log` 작성 후 active task 디렉터리를 `agent-task/archive/YYYY/MM/m-provider-resource-admission-ownership-alignment/02+01_lease_lifecycle/`로 이동한다. WARN/FAIL이면 user-review gate를 확인한 뒤 다음 active plan/review 파일 또는 `USER_REVIEW.md`를 작성한다. `USER_REVIEW.md`가 연결된 Milestone 결정으로 완료/PASS 해소되면 code-review가 `USER_REVIEW.md`를 해소 상태로 갱신하고 `complete.log` 작성 후 archive 이동한다.
4. PASS이고 task group이 `m-<milestone-slug>`이면 완료 이벤트 메타데이터를 보고한다. roadmap 상태 체크와 `update-roadmap` 호출은 런타임 책임이다.
5. 적용 가능한 `코드리뷰 전용 체크리스트` 항목을 최종 `.log` 위치에서 체크한 뒤 보고한다.

---

## 구현 항목별 완료 여부

| 항목 | 완료 여부 |
|------|---------|
| [REFACTOR-1] Manager-owned lease FSM과 idempotent release | [x] |
| [REFACTOR-2] Correctness lifecycle을 drop 가능한 event fanout에서 분리 | [x] |

## 구현 체크리스트

- [x] 고유 lease ID와 `reserved → tracked → released` 전이를 manager lock 아래 구현하고 send/prepare 실패와 중복 terminal에서 일반·long counter를 정확히 한 번 반환하도록 검증한다.
- [x] normalized run terminal과 current-owner node disconnect를 service에 직접 전달하고 tunnel terminal/Close와 동일 lease release 경로로 통합하며 event bus 포화·경쟁을 검증한다.
- [x] 변경한 service·transport·bootstrap package fresh 테스트와 race 테스트를 실행한다.
- [x] CODE_REVIEW-*-G??.md의 구현 에이전트 소유 섹션을 실제 구현 내용과 검증 출력으로 채운다. 이 항목이 완료되기 전에는 구현이 완료된 것이 아니다.

## 코드리뷰 전용 체크리스트

> **[REVIEW AGENT ONLY]** 이 체크리스트는 코드리뷰 에이전트만 사용한다.
> 구현 에이전트는 이 섹션을 수정하거나 체크하지 않는다.

- [x] `코드리뷰 결과`에 `PASS`, `WARN`, `FAIL` 중 하나의 판정을 append한다.
- [x] 판정과 `차원별 평가`, Required/Suggested/Nit 분류가 서로 일치한다.
- [x] active `CODE_REVIEW-*-G??.md`를 `code_review_{review_lane}_GNN_N.log`로 아카이브한다.
- [x] active `PLAN-*-G??.md`를 `plan_{build_lane}_GNN_M.log`로 아카이브한다.
- [x] `.gitignore`의 Agent-Ops 관리 block이 `agent-task/**/*.md`와 `agent-task/**/*.log`를 unignore하고 `agent-roadmap/current.md`를 ignore하는지 확인한다.
- [ ] PASS이면 `agent-ops/skills/common/code-review/templates/complete-log-template.md` 기준으로 `complete.log`를 작성하고 active `.md` 파일을 남기지 않는다.
- [ ] PASS이면 active task 디렉터리 `agent-task/{task_name}/`를 `agent-task/archive/YYYY/MM/{task_name}/`로 이동하고 최종 archive 경로에서 이 체크리스트를 갱신한다.
- [ ] PASS이고 task group이 `m-<milestone-slug>`이면 런타임이 읽을 완료 이벤트 메타데이터를 보고하고, roadmap 수정이나 `update-roadmap` 직접 호출을 하지 않는다.
- [ ] PASS split 작업이면 이동 후 빈 active parent `agent-task/{task_group}/`를 제거하거나, 남은 sibling/file이 있어 유지했다고 확인한다.
- [x] WARN/FAIL이고 user-review gate가 트리거되지 않았으면 다음 active `PLAN-{build_lane}-GNN.md`와 `CODE_REVIEW-{review_lane}-GNN.md`를 작성하고 `complete.log`를 작성하지 않는다.
- [ ] USER_REVIEW이면 `agent-ops/skills/common/code-review/templates/user-review-template.md` 기준으로 `USER_REVIEW.md`를 작성하고 active `PLAN-*.md`, `CODE_REVIEW-*.md`, `complete.log`를 남기지 않는다.
- [ ] USER_REVIEW가 연결된 Milestone 결정으로 완료/PASS 해소되면 `USER_REVIEW.md`를 해소 상태로 갱신하고 `complete.log`를 작성한 뒤 task directory를 archive로 이동한다.

## 계획 대비 변경 사항

- `newQueueReservation(queue, groupKey, selected, long)` signature를 `newQueueReservation(queue, selected)`로 축소했다. lease identity가 admission 시점에 `candidateNode.leaseID`로 확정되므로 groupKey/long을 reservation이 다시 들고 있을 이유가 없고, 두 소스가 어긋날 여지를 없애기 위해서다.
- 계획의 `수정 파일 요약`에 없는 파일 3개를 함께 고쳤다. compile/의미 정합성상 불가피했다.
  - `apps/edge/internal/service/status_provider_test.go`: `inflightByRun`/`inflightRec` 직접 조작을 lease helper로 교체(제거된 타입 참조).
  - `apps/edge/internal/service/queue_dispatch_test.go`: bus publish 기반 release를 direct lifecycle hook 호출로 교체. bus가 더 이상 correctness 경로가 아니므로 기존 형태로는 실패한다.
  - `apps/edge/internal/service/long_context_queue_test.go`: `trackInflight` 호출 교체 및 아래 flaky 수정.
- transport 회귀 2개(`TestCurrentOwnerDisconnectReleasesLeasesBeforeEvent`, `TestStaleDisconnectDoesNotReleaseLiveLease`)는 계획대로 기존 `integration_test.go`에 추가했다. 별도 파일로 먼저 작성했다가, 기존 파일 수정 우선 원칙과 계획의 파일 목록에 맞춰 통합하고 새 파일은 삭제했다. `server_test.go`는 변경이 필요 없어 그대로 두었다(해당 회귀가 연결 수명주기 검증이라 integration 쪽이 적합).
- 계획에 없던 flaky 테스트 수정을 포함했다. `TestModelQueueReasonCapacityFull` / `TestModelQueueReasonLongContextCapacityFull`은 queue 진입을 `time.Sleep(10ms)` 뒤 1회만 관측하고 admit queue timeout이 50ms여서 관측 창을 놓치면 실패한다. `git worktree`로 HEAD를 분리 실행해 **본 변경 이전에도 동일 빈도로 실패**함을 확인했고(HEAD 18회 중 2회 FAIL), 최종 검증 evidence의 신뢰성을 위해 `waitForQueueLen` polling + queue timeout 500ms로 관측 창을 넓혔다. 수정 후 40회 연속 PASS를 확인했다.
- `bindDisconnectListener`에서 heartbeat timeout 시의 `registry.UpdateLifecycle(rec.ID, LifecycleFailed)` 호출을 제거했다. ownership 확인(`UnregisterIfClient`)을 맨 앞으로 옮긴 뒤에는 entry가 이미 제거된 상태여서 무조건 no-op이고, 확인 이전으로 되돌리면 stale client가 live entry 상태를 오염시킨다. 관측 계약인 event metadata `lifecycle_state=failed`는 그대로 유지했고 `TestEdgeServerHeartbeatTimeoutDisconnect`가 이를 계속 검증한다.

## 주요 설계 결정

- **lease identity를 admission critical section에서 발급한다.** `admitWithReason`/`tryDispatchLocked`가 resource를 reserve하는 바로 그 lock 구간에서 monotonic `leaseID`를 만들어 `m.leases`에 넣는다. 예약된 slot이 소유자 없이 관측되는 순간이 없다.
- **exactly-once를 handle이 아니라 manager가 보증한다.** 이전 `queueReservation.released` bool은 dispatch goroutine 로컬 상태여서 tunnel terminal·Close·send failure·node disconnect가 경쟁할 때 보증이 없었다. 이제 모든 원인이 `releaseLease`/`releaseRun`으로 수렴하고, `m.leases`에서의 map 삭제가 유일한 transition point다. 진 쪽은 lease id를 찾지 못해 no-op이 되므로, 같은 slot에 재admission이 일어난 뒤 도착한 stale release가 새 요청의 counter를 깎는 사고가 구조적으로 불가능하다.
- **queue abandon 경로에서 slot key 재파싱을 제거했다.** timeout/cancel race 3곳이 `slotKey`를 문자열로 쪼개 nodeID/providerID를 복원하던 코드를 `releaseLease(candidate.leaseID, ...)` 한 줄로 대체했다. providerID에 `:`가 포함될 때의 파싱 취약성도 함께 사라진다.
- **correctness와 관측을 분리하되 fallback을 남기지 않았다.** `startEventWatcher`를 제거하고 `Service.HandleRunLifecycleEvent` / `HandleNodeDisconnect`를 transport가 직접 호출한다. drop 가능한 fanout을 "중복이지만 무해한 안전망"으로 남기는 선택지도 있었으나, 그러면 실제 correctness 경로가 어느 쪽인지 코드로 드러나지 않고 bus 포화 회귀도 결정적으로 쓸 수 없어 제거를 택했다. `service.New`의 유일한 production caller는 `bootstrap.Runtime`이며 `wireHandlers()`가 두 hook을 모두 연결한다.
- **disconnect ownership gate를 cleanup·event 양쪽 앞에 둔다.** `UnregisterIfClient`가 false면 stale 연결이므로 lease release도 event emit도 하지 않는다. 이전에는 event를 먼저 내보내고 unregister했기 때문에 거절된 중복 연결이 끊길 때도 "node disconnected"가 관측 표면에 나갔다.
- **`releaseNode`는 lease를 개별 감산하지 않고 폐기한다.** 기존 구현이 노드 단위로 resource counter를 0으로 리셋하는 의미를 유지하기 위해, `dropLeasesForNodeLocked`는 index만 정리하고 counter는 기존처럼 wholesale 리셋한다.
- **legacy `releaseSlot*` 계열은 남겼다.** provider catalog가 없는 legacy adapter 경로와 config-refresh 회귀 테스트가 여전히 group counter를 직접 다루므로, `decrementSlotLocked`를 공통 core로 뽑아 lease 경로와 legacy 경로가 같은 감산 코드를 쓰게 했다.

## 사용자 리뷰 요청

_기본값은 `없음`이다. 구현 중 새 결정이 필요해 보여도 직접 질문하거나 선택지를 제시하거나 `request_user_input`을 호출하지 않는다. 이 섹션은 선택된 Milestone `구현 잠금 > 결정 필요` 항목이 실구현을 차단할 때만 채운다. 외부 환경/secret/서비스 준비, 검증 증거 공백, 반복 실패, 일반 범위 조정은 사용자 리뷰 요청이 아니며 `검증 결과`, `계획 대비 변경 사항`, 또는 code-review의 일반 follow-up plan으로 처리한다._

- 상태: 없음
- 사유 유형: 없음
- 연결 대상: 없음
- 결정 필요: 없음
- 차단 근거: 없음
- 실행한 검증/명령: 없음
- 자동 후속 불가 이유: 없음
- 재개 조건: 없음

## 리뷰어를 위한 체크포인트

- lease state와 resource counter가 동일 manager lock 아래 원자적으로 전이하는지 확인한다.
- send failure, normalized terminal, tunnel END/ERROR/Close, node disconnect가 동일 lease release API로 수렴하는지 확인한다.
- event fanout drop과 stale client disconnect가 correctness cleanup을 누락하거나 live lease를 잘못 반환하지 않는지 확인한다.

## 검증 결과

_구현 에이전트가 각 중간 검증 및 최종 검증 명령 실행 후 출력을 여기에 붙여 넣는다._

필수 규칙:
- 검증 명령은 고정된 계약이다. 임의로 대체하지 않는다.
- 대체가 필요하면 `계획 대비 변경 사항`에 이유와 대체 명령을 기록한다.
- `검증 결과`에는 실제 stdout/stderr를 붙여 넣는다.
- 사용자 리뷰 요청으로 명령을 끝까지 실행하지 못했다면 `사용자 리뷰 요청`에 실행한 명령, 실제 출력, 미실행 명령의 사유를 기록한다.
- mobile/UI hang, timeout, 또는 2분 무진행은 blind retry를 중단하고 focused rerun 명령과 screenshot/window/UI-tree evidence path를 남기며, 불가능하면 정확한 사유를 남긴다.

### REFACTOR-1 중간 검증

```text
$ GOCACHE=/tmp/iop-go-cache go test -race -count=1 ./apps/edge/internal/service -run 'TestProviderLease|TestProviderTunnelReleaseExactlyOnceAcrossEndAndClose'
ok  	iop/apps/edge/internal/service	1.170s
```

대상 테스트: `TestProviderLeaseConcurrentReleaseExactlyOnce`(normal/long 각각 32 goroutine 경쟁 release), `TestProviderLeaseTrackAndSendFailureRace`(16회 반복 track vs release 경쟁), `TestProviderTunnelReleaseExactlyOnceAcrossEndAndClose`(END+Close, lease count assertion 추가). counter는 capacity-2 fixture에서 생존 lease가 slot 1개를 유지하는지로 검증하므로 clamp에 가려지지 않는다.

### REFACTOR-2 중간 검증

```text
$ GOCACHE=/tmp/iop-go-cache go test -race -count=1 ./apps/edge/internal/service ./apps/edge/internal/transport ./apps/edge/internal/bootstrap -run 'Test(RunTerminalReleasesLeaseWhenEventSubscriberFull|CurrentOwnerDisconnectReleasesLeasesBeforeEvent|StaleDisconnectDoesNotReleaseLiveLease|RuntimeWiresTransportHandlers)$'
ok  	iop/apps/edge/internal/service	1.076s
ok  	iop/apps/edge/internal/transport	1.320s
ok  	iop/apps/edge/internal/bootstrap	1.038s
```

`TestRunTerminalReleasesLeaseWhenEventSubscriberFull`은 `bus.Stats().DroppedRunEvents > 0`을 먼저 단언해 drop 경로를 실제로 태운 뒤 direct hook의 release를 확인한다. disconnect 순서/ownership 회귀는 계획대로 기존 `apps/edge/internal/transport/integration_test.go`에 추가했다(신규 파일 생성 없음).

### 최종 검증

```text
$ gofmt -d apps/edge/internal/service/model_queue_types.go apps/edge/internal/service/model_queue_admission.go apps/edge/internal/service/queue_reservation.go apps/edge/internal/service/model_queue_release.go apps/edge/internal/service/run_submit.go apps/edge/internal/service/provider_pool.go apps/edge/internal/service/provider_tunnel.go apps/edge/internal/service/service.go apps/edge/internal/transport/server.go apps/edge/internal/transport/connection_handlers.go apps/edge/internal/bootstrap/runtime.go apps/edge/internal/service/queue_reservation_test.go apps/edge/internal/service/model_queue_admission_test.go apps/edge/internal/service/run_dispatch_internal_test.go apps/edge/internal/transport/server_test.go apps/edge/internal/transport/integration_test.go apps/edge/internal/bootstrap/runtime_lifecycle_test.go
(출력 없음)
$ GOCACHE=/tmp/iop-go-cache go test -count=1 ./apps/edge/...
ok  	iop/apps/edge/cmd/edge	0.078s
ok  	iop/apps/edge/internal/bootstrap	0.758s
ok  	iop/apps/edge/internal/configrefresh	0.044s
ok  	iop/apps/edge/internal/controlplane	4.538s
ok  	iop/apps/edge/internal/edgecmd	0.034s
ok  	iop/apps/edge/internal/edgevalidate	0.006s
ok  	iop/apps/edge/internal/events	0.008s
ok  	iop/apps/edge/internal/input	0.024s
ok  	iop/apps/edge/internal/input/a2a	0.018s
ok  	iop/apps/edge/internal/node	0.015s
ok  	iop/apps/edge/internal/openai	7.151s
ok  	iop/apps/edge/internal/opsconsole	0.019s
ok  	iop/apps/edge/internal/service	2.992s
ok  	iop/apps/edge/internal/transport	2.327s
$ GOCACHE=/tmp/iop-go-cache go test -race -count=1 ./apps/edge/internal/service ./apps/edge/internal/transport ./apps/edge/internal/bootstrap -run 'Test(ProviderLease|RunTerminal|CurrentOwnerDisconnect|StaleDisconnect|ProviderTunnelRelease)'
ok  	iop/apps/edge/internal/service	1.036s
ok  	iop/apps/edge/internal/transport	1.347s
ok  	iop/apps/edge/internal/bootstrap	1.037s [no tests to run]
```

추가 실행(계획 외, 동시성 리팩터 회귀 확인용). 세 패키지 전체를 `-race`로 12회 실행했고 11회 PASS, 1회 아래 transient FAIL이 있었다.

```text
$ GOCACHE=/tmp/iop-go-cache go test -race -count=1 ./apps/edge/internal/service ./apps/edge/internal/transport ./apps/edge/internal/bootstrap
ok  	iop/apps/edge/internal/service	3.923s
ok  	iop/apps/edge/internal/transport	3.378s
ok  	iop/apps/edge/internal/bootstrap	2.009s
```

1회 관측된 transient 실패(재현 안 됨, 이후 11회 연속 PASS):

```text
    integration_test.go:487: send register 2: request timeout for nonce 1
FAIL	iop/apps/edge/internal/transport	4.472s
```

`TestEdgeServerDuplicateRegistrationEvent`의 2초 register request timeout이 race detector 부하 아래서 한 번 초과한 것으로, 본 변경이 건드리지 않은 테스트이며 lease/disconnect 경로와 무관하다. 다만 신규 transport 회귀 2개가 실제 TCP 서버를 추가로 띄우므로 패키지 부하가 소폭 증가한 점은 남은 위험으로 기록한다.

주의: 최종 race 명령의 bootstrap `[no tests to run]`은 정상이다. bootstrap의 wiring 회귀는 이름이 `TestRuntimeWiresTransportHandlers`라 이 필터에 걸리지 않으며, REFACTOR-2 중간 검증에서 race로 실행된다.

---

> **[IMPLEMENTING AGENT — BEFORE SAVING] Have you filled in every implementation-owned section: completion table, implementation checklist, changes from plan, design decisions, and verification output?**
> If anything is blank, go back and fill it in before saving this file.
> Leave review-agent-only sections unchanged.

## 섹션 소유권

| Section | Owner | Note |
|---------|-------|------|
| Header, 개요, Roadmap Targets, 리뷰 지시 | Fixed | 구현 에이전트는 수정하지 않는다. |
| 구현 항목별 완료 여부 | Implementing agent | 항목명은 고정하고 `[ ]`만 `[x]`로 바꾼다. |
| 구현 체크리스트 | Implementing agent | 문구/순서는 고정하고 체크만 한다. |
| 코드리뷰 전용 체크리스트 | Review agent | 구현 에이전트는 수정하지 않는다. |
| 계획 대비 변경 사항, 주요 설계 결정 | Implementing agent | 실제 내용을 기록한다. |
| 사용자 리뷰 요청 | Implementing agent | Milestone lock 결정 차단일 때만 채운다. |
| 리뷰어를 위한 체크포인트 | Fixed | 구현 에이전트는 수정하지 않는다. |
| 검증 결과 | Implementing agent | 명령은 고정하고 실제 출력만 채운다. |

## 코드리뷰 결과

- 종합 판정: FAIL
- 차원별 평가:
  - Correctness: Pass
  - Completeness: Fail
  - Test coverage: Fail
  - API contract: Pass
  - Code quality: Pass
  - Implementation deviation: Fail
  - Verification trust: Pass
  - Spec conformance: Fail
- 발견된 문제:
  - Required — `apps/edge/internal/service/queue_reservation_test.go:232`: SDD S02와 plan 체크리스트는 current-owner node disconnect가 send failure, normalized terminal, tunnel terminal/Close와 경쟁할 때 일반·long lease를 정확히 한 번 반환하는 race evidence를 요구하지만, 32-goroutine 테스트의 원인은 `releaseLease`와 `releaseRun`뿐이고 `releaseNode`가 없다. `apps/edge/internal/transport/integration_test.go:685`도 lifecycle callback 순서만 기록해 실제 lease/counter를 검증하지 않는다. 일반·long provider lease 각각에 대해 `releaseNode`와 run/tunnel/send release를 같은 barrier에서 경쟁시키고, disconnected resource의 counter/lease/run index가 0이며 다른 resource 또는 재-admission lease가 stale terminal에 의해 감소하지 않는 회귀를 추가한 뒤 `-race -count=10`으로 검증해야 한다.
- 다음 단계: FAIL 후속 plan/review에서 누락된 deterministic node-disconnect lease race 회귀와 fresh race evidence만 보완한다.
