# webAccTools 종합 코드 리뷰 & 개선 계획 (2026-07-07) - 기준 커밋: `0c2f99f` (버그 수정 110건 반영 후) - 관점: 보안 · 접근성 · 안정성/성능 · 유지보수성 · 사용성 - 방식: 관점별 병렬 감사 후 핵심 발견을 코드로 재대조 검증 - 이전 버그 리뷰: [code-review-2026-07-07.md](code-review-2026-07-07.md) > 이번 리뷰는 "버그"보다 **구조·품질·사용자 경험**에 초점을 둔다. 개별 결함 뒤에 공통 근본 원인(신·구 시스템 병존, 산발적 상태 관리, 문서-코드 불일치)이 반복해서 나타난다. --- ## 0. 총평 — 5개 관점을 관통하는 3가지 근본 원인 | 근본 원인 | 어디서 나타나는가 | 파생 결함 | |---|---|---| | **A. 신·구 시스템 병존** | 탭 2벌, 레거시 TTS 890줄, 상태 이원화(currentScreenScale), 데드코드 12+ | 유지보수 혼란, 회귀 위험, 번들 비대 | | **B. 상태→UI/ARIA 동기화가 산발적** | aria-checked 미갱신, 알림 aria-live 부재, 프로필 미복원, 저장 피드백 없음 | 접근성 Critical 2건, 사용성 High 3건 | | **C. 문서·설정·코드가 각자 진실을 주장** | README API 8종 미존재, config.example 미사용 키, 언어 목록 3중화 | 개발자 설치 실패, 국제화 결함 | → 개별 패치보다 **이 3가지를 구조적으로 푸는 것**이 ROI가 높다. 로드맵(§7)은 이 순서를 따른다. --- ## 1. 보안 지난 커밋으로 XSS 다수·URL 스킴 검증·프로토타입 오염·CI 주입은 실제로 수정됨(재검증 완료). 남은 것: ### S-1 [High] 사전(JSONP) `serverEndpoint` 스킴 미검증 — 임의 JS 실행 벡터 - `WAT.js`의 `_fetchJSONP` — 응답이 `