fix restore path filter; dedicated participant key header

app/ledger.py

@@ -67,21 +67,26 @@ def restore():
             a.repo_info(MIRROR, repo_type="dataset")
         except Exception:
             a.create_repo(MIRROR, repo_type="dataset", private=True, exist_ok=True)
-        d = snapshot_download(MIRROR, repo_type="dataset",
-                              token=a.token, local_dir=None)
+        # 🔴 기본 캐시로 받으면 경로에 .cache 가 들어간다. 그걸 걸러내는
+        #    필터를 두면 **받은 파일이 전부 걸러진다** — 실제로 그렇게 되어
+        #    "복원 0개"가 나왔다. 목적지를 우리가 정해 그 함정을 없앤다.
+        tmp = os.path.join(ROOT, ".restore")
+        d = snapshot_download(MIRROR, repo_type="dataset", token=a.token,
+                              local_dir=tmp)
         import shutil, glob
         os.makedirs(os.path.join(ROOT, "positions"), exist_ok=True)
         n = 0
         for src in glob.glob(os.path.join(d, "**", "*"), recursive=True):
-            if not os.path.isfile(src) or os.sep + ".cache" in src:
+            if not os.path.isfile(src):
                 continue
             rel = os.path.relpath(src, d)
-            if rel.startswith(".git"):
+            if rel.startswith(".git") or rel.startswith(".huggingface"):
                 continue
             dst = os.path.join(ROOT, rel)
             os.makedirs(os.path.dirname(dst), exist_ok=True)
             shutil.copyfile(src, dst)
             n += 1
+        shutil.rmtree(tmp, ignore_errors=True)
         _MIR["ok"] = True
         _MIR["n"] = n
         return "복원 %d개" % n
@@ -98,7 +103,8 @@ def flush(force=False):
         a = _api()
         a.upload_folder(repo_id=MIRROR, repo_type="dataset", folder_path=ROOT,
                         commit_message="ledger sync",
-                        ignore_patterns=["*.tmp", ".cache/*"])
+                        ignore_patterns=["*.tmp", ".cache/*", ".restore/*",
+                                         ".huggingface/*"])
         _MIR["dirty"] = False
         _MIR["at"] = time.time()
         return True

app/main.py

@@ -194,9 +194,14 @@ async def api_register(req: Request):
 
 
 @app.post("/api/submit")
-async def api_submit(req: Request, authorization: str = Header(None)):
+async def api_submit(req: Request, authorization: str = Header(None),
+                     x_finchal_key: str = Header(None)):
     b = await req.json()
-    key = (authorization or "").replace("Bearer ", "").strip() or b.get("key", "")
+    # Authorization 은 앞단 프록시가 자기 인증에 쓰기도 한다. 그때 참가키가
+    # 앱까지 오지 않는다. 전용 헤더를 함께 받아 그 충돌을 피한다.
+    key = ((x_finchal_key or "").strip()
+           or (authorization or "").replace("Bearer ", "").strip()
+           or b.get("key", ""))
     try:
         u = me_from(key)
     except PermissionError as e:
@@ -280,9 +285,11 @@ def _call(name, args, key=None):
 
 
 @app.post("/mcp")
-async def mcp_endpoint(req: Request, authorization: str = Header(None)):
+async def mcp_endpoint(req: Request, authorization: str = Header(None),
+                       x_finchal_key: str = Header(None)):
     body = await req.json()
-    key = (authorization or "").replace("Bearer ", "").strip()
+    key = ((x_finchal_key or "").strip()
+           or (authorization or "").replace("Bearer ", "").strip())
     resp = MCP.handle(body, lambda n, a: _call(n, a, key))
     if resp is None:
         return JSONResponse({}, 202)

app/static/index.html

@@ -413,7 +413,7 @@ async function submit(){
     const pos = +document.getElementById('pos').value / 100;
     const r = await (await fetch('/api/submit', {method:'POST',
       headers:{'Content-Type':'application/json',
-               'Authorization':'Bearer ' + reg.key},
+               'X-Finchal-Key': reg.key},   /* 앞단 프록시와 안 부딪히는 전용 헤더 */
       body:JSON.stringify({asset:ASSET, position:pos, source:'web'})})).json();
     if(!r.ok) throw new Error(r.error || '실패');
     msg.innerHTML = `<div class="key"><b>접수됐습니다.</b>