Medium: Dockerfile pip pinning 검사가 'python -m pip install'/절대경로 pip를 놓침

[HeaInSeo]

PackageVersionValidator.IsPipInstallCommand(298줄)가 첫 토큰이 정확히 "pip"/"pip3"인지만 본다. "RUN python -m pip install numpy"(첫 토큰이 "python")나 "RUN /usr/bin/pip install numpy"(경로 포함)처럼 흔한 형태는 unpinned여도 검사를 통과했다.

외부 코드 리뷰에서 지적됨.

[HeaInSeo]

커밋 692f16f로 수정 완료.

SubmitCommand.BuildRawSpec에 "kind": 1(BUILD_KIND_TOOLSPEC)을 명시적으로
추가했다. inputs/outputs/display/command는 proto BuildRequest에서 이미
reserved 처리되어 있어 NodeVault 쪽에 받을 필드가 없으므로 채우지 않았다
— 이 부분은 NodeKit이 손댈 대상이 아니라 NodeVault 쪽 스키마 결정이다.
회귀 테스트 1개 추가(raw_spec에 kind=1이 포함되는지 확인).

[HeaInSeo]

정정: 바로 위 코멘트는 #33(raw_spec kind 누락)의 해결 내용이 잘못 붙은 것입니다. 이 이슈(pip pinning 우회)의 실제 해결 내용은 다음과 같습니다.

커밋 7e6c43e로 수정 완료.

IsPipInstallCommand를 GetPipInstallArgStartIndex로 교체해, 실행 파일 이름을
마지막 경로 구성요소(basename)로 비교하고 "python[3] -m pip install" 4토큰
패턴도 인식하도록 했다. 실제 CLI로 "RUN python -m pip install numpy" 재현
확인(수정 전 통과 → 수정 후 L1-PKG-003으로 차단). 회귀 테스트 3개 추가.