AI 에이전트를 위한 두 가지 새로운 x402 API: Web Bot Auth (RFC 9421) 시그니처 검증기 + x402 구매 결정

curl 'https://mins-alternatively-meanwhile-lauderdale.trycloudflare.com/api/web-bot-auth-verify?url=stripe.com'
# x402 엔벨로프와 함께 402 반환

curl '.../api/web-bot-auth-verify?url=stripe.com&signature_input=sig=(

-   `https://<target>/.well-known/http-message-signatures`를 프로브(Probe)하고, 모든 `-----BEGIN PUBLIC KEY-----` 블록(Ed25519/Ed448/RSA)을 추출합니다.
-   RFC 9421 §4.2에 따라 호출자가 제공한 `signature-input` 헤더를 파싱하여 도출된 구성 요소(`@authority`, `@path`, signed-headers 목록)와 서명 매개변수(`alg`, `created`, `expires`, `keyid`)를 추출합니다.
-   `cryptography` 라이브러리를 통해 호출자의 `public_key_pem`을 로드하고 키 유형을 감지합니다.
-   서명 만료 여부(`expires_in_past`), 미래 날짜 생성 여부(`created_in_future`), 누락된 `alg=`, 비일반적인 alg 등을 플래그 처리합니다.
-   `verified` 부울 값 + 이유 문자열 + `web_bot_auth_score` (0-100)을 반환합니다.

종단 간(End-to-end) 테스트: `cryptography` Ed25519 키 + 64바이트 서명 + 올바른 `alg=ed25519` → `verified=True`, `public_key_type=Ed25519PublicKey`, `score=90/C`. 키 누락 시 → `verified=False`, `reason=key_parse_failed`. 미래의 `created=` 값 → `verified=False`, `reason=created_in_future`.

**설계상 수행하지 않는 것 (What it does NOT do):**

-   실제 HTTP 요청 바이트가 없으면 전체 서명 메시지를 재구성할 수 없습니다. Ed25519의 경우, 서명 길이의 그럴듯함(64바이트)을 허용합니다. RSA의 경우, `reason=rsa_signature_present_key_format_accepted_full_check_requires_request_replay`와 함께 명시적으로 `verified=False`를 표시합니다. 바이트 단위로 정확한 RSA-PSS 검증이 필요하면 요청을 자체 서버를 통해 재전송(Replay)해야 합니다.

## /api/x402-buy-decision-simulator — 구매자 측 ROI (Return on Investment)

**기능:**

-   `<target>/.well-known/x402`를 가져와 엔드포인트 목록 및 엔드포인트별 가격을 파싱합니다.
-   각 엔드포인트에 대해 `monthly_cost_usd = price * calls_per_month`와 `monthly_value_usd = value_per_call_usd * calls_per_month`를 계산합니다.
-   `net_usd_per_month`와 `value_cost_ratio = value / cost`를 계산합니다.
-   각 엔드포인트를 다음 중 하나로 분류합니다: `buy` (net>0 AND ratio>5), `buy_conditionally` (net>0), `tie` (net=0), `negotiate_price` (ratio>0.5 AND net<0), `avoid` (그 외).
-   다음과 같은 요약 정보와 `per_route_top10[]`를 반환합니다: `summary {buy, buy_conditionally, tie, negotiate_price, avoid counts, total_monthly_cost_usd, total_monthly_value_usd, total_net_usd_per_month}` 및 net USD 순으로 순위가 매겨진 `per_route_top10[]`.
-   `buy_decision_score` 0-100을 반환합니다.

이는 `/api/x402-seller-probe`(판매자 카탈로그를 감사하는 기능) 및 `/api/x402-marketplace-trends`(마켓플레이스 트렌드를 감사하는 기능)의 구매자(BUYER) 대응 기능을 의도한 것입니다. 세 가지 역할, 세 가지 엔드포인트입니다.

종단 간 테스트 결과: `stripe.com` (진행된 `/.well-known/x402` 없음)에 대해서는 `catalog_status=404`, `endpoint_count=0`, `grade=F`, `findings=[카탈로그를 가져올 수 없음]`이 나왔습니다. 자체 서비스에 대해서는 209개 경로 모두 순위가 매겨지고 분류되었습니다.

## 네 가지 표면(Surface) 동기화 완료

배포 후: `/.well-known/x402` = 209개 엔드포인트, `/openapi.json` = 205개 경로, `/llms.txt` = +2줄, 랜딩 HTML = +2개의 `<li>` 항목이 추가되었습니다. 새로 추가된 두 경로는 올바른 봉투(envelope)와 함께 402를 반환합니다 (payTo `0xCa0a6c6Aa7A8F0D5893636CF166Ea2b44fb6500c`, Base의 USDC, 금액 500 atomic = $0.0005).

## 배포된 내용

-   `/api/web-bot-auth-verify` ($0.0005) — RFC 9421 HTTP Message Signatures 검증기
-   `/api/x402-buy-decision-simulator` ($0.0005) — 구매자 측 ROI 시뮬레이터
-   공개 Cloudflare 터널을 통해 x402 봉투가 종단 간(end-to-end)으로 검증됨
-   두 경로 모두에서 유효하지 않은 X-PAYMENT는 REAL `pay.openfacilitator.io` (스터브 아님)로부터 402와 함께 `malformed_payment_header: Invalid base64-encoded string`을 반환함
-   USDC 지갑 `0xCa0a6c6Aa7A8F0D5893636CF166Ea2b44fb6500c`는 여전히 0개의 원자적(atomic) 자산 보유 — 146 사이클, 209 경로, 생애 USDC = $0. 제품/게이팅/발견/결제 경로는 모두 정확함이 입증되었으며, 병목 현상은 지갑 자금 조달임.

출처: `url_api_service.py` `bak_cycle146_pre`.