Claude 플러그인 1.16.1의 수정 사항과 GraphQL 지원을 Cursor 플러그인에 이식하고, 버전을 1.17.0으로 올립니다.

What they did

작성자는 42Crunch Cursor 플러그인을 v1.16.0에서 v1.17.0으로 올려, 이미 2026-11-03에 1.16.1(버그 수정)과 1.17.0(GraphQL 지원)을 출시한 Claude, Copilot, Codex, Kiro 플러그인과 맞췄습니다. 작성자는 Claude의 v1.16.0 → v1.17.0 변경 사항을 Cursor에 맞는 표현으로 번역하고 Cursor의 현재 텍스트에 hunk 단위로 적용한 뒤, 의도된 업데이트 외에는 Cursor가 이전과 동일한 부분에서만 Claude와 달라지는지 확인하는 검사를 실행했습니다. 1.16.1 수정 사항은 다음과 같습니다: 리포트에 절대 포함되지 않는 필드를 읽어 항상 "none"이라고 표시하던 스캔 정상 경로 검사, 42c-ast가 기존 --output 리포트를 덮어쓰지 않아 상태 12로 실패하던 스캔 재실행, 따옴표로 묶인 heredoc 안의 리터럴 $OUTPUT_DIR을 읽던 감사 추출, 그리고 제거된 code-to-oas 스킬을 가리키던 사전 점검. 1.17.0 작업에서는 GraphQL 스키마 감사와 BOLA/BFLA를 포함한 라이브 GraphQL 스캔을 추가했고, GraphQL 서버가 오류와 함께 HTTP 200을 반환하는 경우가 많기 때문에 각 인가 발견 사항을 응답 데이터와 대조해 확인하는 단계도 추가했습니다. 토큰 모드는 기본 SQG 정책에만 적용되도록 범위를 정했으므로, 감사 워크플로는 세션 대상 점수를 사용합니다. Cursor의 표현은 그대로 유지했습니다: 객관식 프롬프트에는 AskQuestion을 사용하고, 토큰, API 키, URL, 테스트 값은 채팅에서 대화식으로 묻으며, GraphQL 자격 증명 및 테스트 데이터 단계에서도 이를 명시적으로 언급합니다. README와 RECIPES는 Starter/Token/Platform 명칭, 유료 플랜, GraphQL 섹션에 맞게 갱신했으며, Cursor의 설치 단계와 Recipe 2는 변경하지 않았습니다. 또한 이미 main에 있던 문제들도 수정했습니다: token-limit.md는 AskUserQuestion을 여섯 번 사용했는데, 이제 선택지에는 AskQuestion을 사용하고 토큰, API 키, URL에는 대화식 질문을 사용합니다. credential-setup.md와 설정 스킬의 Free Trial 링크는 source=claude를 사용하고 있었습니다. 버전은 1.17.0으로 설정했고 라이선스 필드는 SPDX id인 Apache-2.0으로 전환했습니다.

How it went

node scripts/validate-template.mjs가 통과하며, hooks와 MCP 파일 누락에 대한 예상된 경고만 표시됩니다. 다른 플러그인에 사용되는 GraphQL 테스트 스위트를 42c-ast 3.60.3에서 이 문서들에 대해 실행한 결과, Platform 모드에서 24/24, Token 모드에서 23/23을 기록했으며, audit, scan, auth, dependency chains, BOLA/BFLA를 포함하고 HTTP-200 오탐 거부도 포함합니다. 포팅이 완료되었고 형제 플러그인들과 버전이 정렬되었습니다.

Worth knowing

Cursor CLI 에이전트가 작성자 환경에 설치되어 있지 않아 스킬은 실제 Cursor 세션에서 테스트되지 않았으며, Windows PowerShell 블록 또한 테스트되지 않았다. 이 포팅은 Claude의 텍스트에서 헝크 단위로 번역한 것에 의존하므로, 두 플러그인 간의 드리프트는 divergence 검사로만 잡힌다. Token 모드의 GraphQL 커버리지는 기본 SQG 정책으로 제한되며, 태그 기반 SQG는 없다.

Wiring

작업은 Claude 플러그인의 v1.16.0 → v1.17.0 diff를 소스 오브 트루스로 삼아 시작한다. 각 hunk는 Cursor 플러그인의 현재 텍스트와 대조되어 Cursor 관례에 맞게 재작성된 뒤 적용되므로, Cursor 특유의 표현(AskQuestion, 대화형 자격 증명 요청)이 덮어쓰이지 않고 보존된다. 이후 divergence check가 Cursor를 Claude와 비교하여 의도된 차이만 남아 있는지 확인한다. 검증은 node scripts/validate-template.mjs를 통해 실행되며, 이는 hooks와 MCP 파일 부재에 대해서만 경고할 것으로 예상된다. 다른 플러그인들과 공유되는 GraphQL 테스트 스위트는 42c-ast 3.60.3에서 Platform 및 Token 모드 모두로 업데이트된 문서에 대해 실행되며, audit, scan, auth, dependency chains, BOLA/BFLA를 검증한다. 버전 및 라이선스 메타데이터는 플러그인 매니페스트에서 업데이트되고, README/RECIPES는 현재 텍스트로부터 재생성된다.

Try it yourself

# Cursor Plugin v1.16.0 → v1.17.0 Port Plan

## Overview

Port the Claude plugin's 1.16.1 fixes and 1.17.0 GraphQL support into the Cursor plugin, translating Claude-specific wording into Cursor equivalents and applying changes hunk by hunk against Cursor's current text.

---

## 1.16.1 Fixes (ported to Cursor wording)

### Fix 1 — Scan happy-path check
- Locate the scan happy-path verification in the Cursor plugin's scan skill/command.
- Correct the check so it validates the expected success condition (matching the Claude 1.16.1 fix), translated into Cursor's phrasing.

### Fix 2 — Status-12 re-run failure (`42c-ast` not overwriting `--output`)
- In the Cursor scan flow, ensure the `42c-ast` step overwrites the `--output` target on re-run so a status-12 failure no longer occurs.
- Apply the hunk against Cursor's current command text.

### Fix 3 — Literal `$OUTPUT_DIR` in quoted heredoc
- Replace the quoted heredoc that leaves `$OUTPUT_DIR` unexpanded with the corrected form so the variable interpolates as intended.
- Translate to Cursor's wording.

### Fix 4 — Pre-flight reference to removed `code-to-oas` skill
- Remove/replace the pre-flight reference to the deleted `code-to-oas` skill in Cursor's pre-flight checklist.

---

## 1.17.0 GraphQL Support (ported to Cursor wording)

### GraphQL schema audit
- Add a GraphQL schema audit step to the Cursor plugin, mirroring the Claude 1.17.0 implementation.

### Live GraphQL scan with BOLA/BFLA
- Add the live GraphQL scan covering BOLA and BFLA checks.
- Include the **confirmation step** that validates authorization findings against response data to reject HTTP-200 false positives.

### Prompting conventions
- Use `AskQuestion` for multiple-choice prompts.
- Ask conversationally (free-form) for tokens, API keys, URLs, and test values.

### `token-limit.md`
- Replace `AskUserQuestion` with `AskQuestion`.

### Free Trial links
- Fix `source=claude` Free Trial links to the correct source parameter.

### Docs & metadata
- Update `README` and `RECIPES`.
- Set version to `1.17.0`.
- Set license to `Apache-2.0`.

---

## Validation

1. Run `node scripts/validate-template.mjs`.
2. Run the GraphQL test suite in **Platform** mode.
3. Run the GraphQL test suite in **Token** mode.