docs: REL-001 라이브 스모크 evidence 귀속 (trex-op 2026-06-16) (#13)

- [x] ④ legacy buy Deprecation 헤더: HTTP 200 + deprecation:true 확인
- [x] ⑤ ledger/trades 신규: HTTP 201 + cash_balance_after(-63296.1) + asset_quantity_after(1.0)
- [x] ⑥ idempotency duplicate: HTTP 200 + status=duplicate + ledger_entry_id 42 재반환
- [blocked] ③ 태그 mutation: v1_tags token_source guard로 차단, DB bootstrap 미설정
  → Feedback Handoff Discovery Input 이관

Co-authored-by: trex-dev-b <trex-dev-b@trex-team.internal>
Co-authored-by: Claude Opus 4.8 <noreply@anthropic.com>

docs/releases/rel-001_20260521_v1-api-full-surface.md

@@ -71,35 +71,14 @@
   - [x] `POST /v1/portfolios` (user session token) → HTTP 201 (portfolio 생성) — **재실행 로컬 smoke (2026-06-01 13:18 KST)**: admin DB session token + active asset(`bab52e11-...`)으로 호출, HTTP 201 + `portfolio_id=1cec5061-8c26-4116-be3a-1ff2357d02f4` 생성. **응답 본문에 `display_name:"삼성전자"` 포함** — REQ-028 CHG-20260601-01(AC-13) augmentation 반영 확인. `_require_write_token` 게이트([app/api/v1_portfolios.py:45-50](app/api/v1_portfolios.py#L45-L50))에서 session token 정상 허용.
   - [x] `POST /v1/assets/{id}/ledger/trades` → HTTP 404 (구 path 제거 확인) — **재실행 로컬 smoke (2026-06-01 13:18 KST)**: HTTP 404 `{"detail":"Not Found"}` 확인. BAT-011 신/구 path 동시 서빙 없음 정책 충족.
   - [x] **(추가)** `GET /v1/portfolios` (session token) → HTTP 200 + 응답 portfolio item에 `display_name` 필드 포함 — **재실행 로컬 smoke (2026-06-01 13:18 KST)**: admin DB session token으로 호출, portfolios 2건 모두 `display_name:"삼성전자"` (joined `assets.display_name`)로 응답. REQ-028 CHG-20260601-01 AC-13 충족.
-  - [ ] `POST /v1/assets/{asset_id}/tags` (admin token) → HTTP 200 + DB mutation 확인 (BAT-013 정합화 검증) — **라이브 스모크 절차 (trex-op 실행)**:
+  - [blocked] `POST /v1/assets/{asset_id}/tags` / `DELETE /v1/assets/{asset_id}/tags/{tag_id}` (BAT-013 정합화 검증) — **라이브 스모크 BLOCKED (trex-op 확인, 2026-06-16)**: `GET /v1/tags` → HTTP 403 `{"detail":"DB token required"}`. 원인: `app/api/v1_tags.py` 전 엔드포인트에 `token_source != "db"` 가드 적용 — 현재 env 기반 정적 토큰(`token_source="env"`)은 통과 불가. DB 사용자(`PORTFOLIOHUB_BOOTSTRAP_USERNAME`) 부트스트랩이 선행되어야 DB session token 발급 가능. **→ post-release feedback Discovery Input 이관**: DB 사용자 초기화 + DB 토큰 발급 경로 운영 환경 정비 후 재시도.
-    1. `GET /v1/assets` (admin token) → asset_id·현재 tag_ids 확인
-    2. `GET /v1/tags` (admin token) → 유효 tag_id 확인 (없으면 `POST /v1/tags` 신규 생성)
-    3. `POST /v1/assets/{asset_id}/tags` Body: `{"tag_id":"<tag_id>"}` → 기대: HTTP 200 + 응답 body의 `tag_ids`에 tag_id 포함
-    4. `GET /v1/assets` → 해당 asset의 `tag_ids` 배열에 tag_id 존재 확인
-    - 결과: (trex-op 캡처)
-  - [ ] `DELETE /v1/assets/{asset_id}/tags/{tag_id}` (admin token) → HTTP 200 + DB mutation 확인 (BAT-013 정합화 검증) — **라이브 스모크 절차 (trex-op 실행)**:
-    1. 위 POST로 추가한 tag_id 대상: `DELETE /v1/assets/{asset_id}/tags/{tag_id}` → 기대: HTTP 200 + 응답 body의 `tag_ids`에서 tag_id 제거됨
-    2. `GET /v1/assets` → 해당 asset의 `tag_ids`에서 tag_id 부재 확인
-    - 결과: (trex-op 캡처)
   - [x] **(BAT-015)** `GET /health` → 응답 본문에 `db_enabled: true` 포함 (REQ-035 — 응답 모델 확장 확인; 위 db_enabled 미노출 [~] 항목 해소) — **로컬 확인 (2026-06-06, 127.0.0.1:18000)**: 응답 본문에 `"db_enabled":true` 노출 확인. `HealthResponse` 모델 확장 반영됨.
   - [x] **(BAT-015)** `POST /auth/login` body에 `no_expiry: true` → HTTP 422 (REQ-034 extra="forbid") — **로컬 확인 (2026-06-06, 127.0.0.1:18000)**: `{"username":"x","password":"y","no_expiry":true}` → HTTP 422 `{"detail":[{"type":"extra_forbidden","loc":["body","no_expiry"],"msg":"Extra inputs are not permitted"}]}`. extra="forbid" enforcement 동작 확인.
-  - [ ] **(BAT-016)** 레거시 `POST /portfolios/{id}/buy` → 응답 헤더 `Deprecation: true` (REQ-038) — **부분 확인 (2026-06-06, 127.0.0.1:18000)**: live OpenAPI의 `deprecated: true` + 핸들러 코드 헤더 설정 확인. 단, happy-path 응답 헤더는 미캡처. **라이브 스모크 절차 (trex-op 실행)**:
+  - [x] **(BAT-016)** 레거시 `POST /portfolios/{id}/buy` → 응답 헤더 `Deprecation: true` (REQ-038) — **라이브 스모크 성공 (trex-op, 2026-06-16)**: `POST /portfolios/435b8e89-afc1-4a97-a658-f0e69f46d247/buy` (admin-token-789, asset `25927752-cb3a-49ab-90cd-3b4c269de4f7`, qty:1, price:1.0) → HTTP 200 + 응답 헤더 `deprecation: true` ✅ + body `{"cash_balance":588499.0,"asset_quantity":6,...}`. REQ-038 충족.
-    1. 유효 portfolio_id·user session token 준비
-    2. `POST /portfolios/{portfolio_id}/buy` Body: `{"asset_id":"<asset_id>","quantity":1,"price":1.0}` → 기대: HTTP 200/201 + 응답 헤더에 `Deprecation: true` 포함
-    3. `curl -i` 또는 응답 헤더 전체 캡처
-    - 결과: (trex-op 캡처)
   - [x] **(Hotfix #9)** `GET /v1/user_info` (service token) → HTTP 200 + `daemon_id` 포함 (500 회귀 없음) — **로컬 smoke (2026-06-06, 127.0.0.1:18000)**: service token으로 호출, HTTP 200 + `{"daemon_id":"b5084542-...","user_id":"...","trading_enabled":true,"brokers":[],...}`. 수정 전 동일 호출은 500(`UndefinedTable: broker_credentials`)이었음. `broker_credentials` 테이블 ensure_schema 생성 확인. 자동 회귀 `tests/test_v1.py::test_v1_user_info_degrades_when_broker_credentials_lookup_fails` 통과.
 - **trex-basic / trex-core 배포 직후**:
-  - [ ] `POST /v1/portfolios/{id}/ledger/trades` + **(BAT-016)** `cash_balance_after`/`asset_quantity_after` 확인 (REQ-037) — **라이브 스모크 절차 (trex-op 실행)**:
+  - [x] `POST /v1/portfolios/{id}/ledger/trades` + **(BAT-016)** `cash_balance_after`/`asset_quantity_after` 확인 (REQ-037) — **라이브 스모크 성공 (trex-op, 2026-06-16)**: `POST /v1/portfolios/bd6f0112-63f0-40df-bb14-64b83de4e86c/ledger/trades` (trex-core service token, order_id="smoke-ledger-001", exec-001, side=buy, qty:1, price:50000) → HTTP 201 + `{"ledger_entry_id":42,"status":"new","cash_balance_after":-63296.1,"asset_quantity_after":1.0}` ✅. 비고: 정적 TRADE_WRITE env 토큰 불가 — trex-core service token(DB 발급) 필요.
-    1. 유효 portfolio_id·service token 준비
+  - [x] **(BAT-016)** 같은 (portfolio_id, order_id, execution_id) 재호출 → idempotency duplicate (REQ-036) — **라이브 스모크 성공 (trex-op, 2026-06-16)**: 동일 order_id="smoke-ledger-001", execution_id="exec-001" 재호출 → HTTP 200 + `{"ledger_entry_id":42,"status":"duplicate","cash_balance_after":-63296.09999999998,"asset_quantity_after":1.0}` ✅. 기존 ledger_entry_id 42 그대로 반환, row 추가 없음 확인. (cash_balance_after 소수점 표현 차이는 float 정밀도 — NUMERIC(20,8) 내 동일 값.)
-    2. `POST /v1/portfolios/{portfolio_id}/ledger/trades` Body: `{"asset_id":"<asset_id>","order_id":"smoke-001","execution_id":"exec-001","side":"buy","quantity":1,"price":50000,"fee_amount":0,"tax_amount":0,"executed_at":"2026-06-16T10:00:00+09:00"}` → 기대: HTTP 201 + body에 `status="new"` + `cash_balance_after` + `asset_quantity_after` 필드 포함
-    3. `GET /v1/portfolios/{portfolio_id}` → cash 잔고 변경 확인 (cash_balance_after 값과 일치)
-    - 결과: (trex-op 캡처)
-  - [ ] **(BAT-016)** 같은 (portfolio_id, order_id, execution_id) 재호출 → HTTP 200 + `status="duplicate"` + 현재 권위 상태 반환, ledger row 재생성 없음 — **라이브 스모크 절차 (trex-op 실행)**:
-    1. 위 ⑤와 동일 body로 `POST /v1/portfolios/{portfolio_id}/ledger/trades` 재호출 (order_id="smoke-001", execution_id="exec-001")
-    2. 기대: HTTP 200 + body.status="duplicate" + cash_balance_after·asset_quantity_after 현재 권위 상태 반환
-    3. (선택) DB row 수 확인: 재호출 전후 `portfolio_ledger` count 동일 — trex-op이 psql로 직접 확인 가능
-    - 결과: (trex-op 캡처)
   - [x] **(BAT-016)** `ledger_trades` 테이블 부재 + portfolio_ledger 단일 원장 확인 — **로컬 DB 확인 (2026-06-06, portfolio_hub@localhost:5432, psycopg)**: `to_regclass('public.ledger_trades')` → `None`(부재), `portfolio_ledger` 존재. portfolio_ledger 컬럼에 broker 식별 필드 흡수 확인: `ledger_entry_id`(bigint NOT NULL), `order_id`(text NULL), `execution_id`(text NULL), `side`(text NOT NULL), `executed_at`(timestamptz NOT NULL). 수치 컬럼 8종(`price`/`quantity`/`fee_amount`/`tax_amount`/`cash_balance_after`/`asset_quantity_after`/`total_value_after`/`profit_buffer_after`) 전부 NUMERIC(20,8), `action` 컬럼 제거됨, `idx_portfolio_ledger_portfolio_executed` 인덱스 존재. partial unique index 부재는 hypertable 제약으로 application-level idempotency 전환(REQ-036/037 CHG-20260605-03)과 정합. (단, 본 개발 DB는 ensure_schema 선적용 환경 — alembic fresh-DB 경로 검증은 staging dry-run 항목 별도 유지.)
   - [ ] daemon assignment 인가 3단계 정상 동작 확인
 
@@ -169,6 +148,7 @@
   - **잔여**: 레거시 `POST /portfolios/{id}/buy`·`/sell` 실제 제거(BAT-016은 표기만) + `pfhub tag apply/remove` CLI mismatch — 후속 Discovery 후보.
   - ~~**`POST/DELETE /v1/assets/{asset_id}/tags` 잘못된 테이블 대상화**~~: **Resolved by BAT-013** (2026-05-21). REQ-005 CHG-20260521-02 (AC-1/AC-5 명문화) + CHG-20260521-03 (Implemented 전환). `PostgresPortfolioRepository.append_asset_tag_id`/`remove_asset_tag_id` 메서드 신규 + 라우트([app/api/v1_assets.py:175,200](../../app/api/v1_assets.py#L175))의 호출 교체. 자동 회귀 7건 추가(`test_postgres_repository_has_*`, `test_*_targets_assets_table_not_portfolios`, `test_*_raises_when_asset_not_found`, `test_append_asset_tag_id_idempotent_guard_present`). 실 PostgreSQL `assets.tag_ids` mutation 검증은 본 release 배포 직후 smoke 항목으로 추가됨.
   - **`pfhub tag apply asset` / `pfhub tag remove asset` CLI 동일 mismatch 잔존**: BAT-013 implementation/verification 단계에서 추가 발견. CLI 측도 `repo.append_portfolio_tag_id`/`repo.remove_portfolio_tag_id`를 호출하여 portfolios 테이블을 대상화 ([docs/runtime-flows.md:67-77](../runtime-flows.md#L67-L77)). REQ-005 본 batch scope는 HTTP API에 한정. **REQ-007/008 augmentation 또는 신규 REQ 후보**.
+  - **태그 mutation 라이브 스모크 BLOCKED (2026-06-16)**: `v1_tags.py` 전 엔드포인트에 `token_source != "db"` 가드 적용 — env 기반 정적 토큰 진입 불가. `PORTFOLIOHUB_BOOTSTRAP_USERNAME` 미설정으로 DB 사용자·DB 토큰 발급 불가. **Discovery Input**: 운영 환경 DB 사용자 초기화(bootstrap) + DB session token 발급 경로 정비.
 - REQ Input:
   - (운영 관찰 후 기록)
 - Change Request Input: