fix: 프로그램 검증 루프 7회차 — 리스크·주문·청산·인프라 결함 일괄 수정 + 거래 확대 결정 반영

하네스 규칙 검사 전역 위반 117→0, 회차별 검증(code-verifier opus 4도메인)으로 Critical/High 해소.

주문·리스크
- MDD 강제축소 반복 매도(종목별 완료 집합·재시도 상한·날짜 롤오버·잔고 오류 보류·epoch·장외 미주문)
- KIS 거부 FAILED 기록, 결과 불명(전송 후) 재전송 금지·PENDING, 미전송 실패만 재시도(msg_cd 분류)
- 국내 전량·손실 매도 시장가, 부분 익절 직전 현재가, 지정가만 미체결 취소(cancel_order_v2: TR 0013U·조직번호) + 0체결 롤백
- 누적 4%·현금·레버리지(신규분 포함)·사이클 내 매수 누적, 수동매수 공용 가드(buy_guards), 수동매도 DT 차감·락
- 가드 우회 엔드포인트 차단(/recommendations/auto-trade 위임, US /execute 매수 410·매도 가드)
- 매수 슬롯=성공 매수, 평가 상한·회전, 업무거부/계좌 쿨다운, 프로세스 내 in-flight 주문 중복 차단
데이트레이딩
- 진입·청산 shield, 청산 진행 중 표식(소유 토큰), 2단계 청산 체크, 결과 불명 → 보유 감소 판정·비DT 차감 상한
- 전일 포지션 재시도(일시 실패 미산정), 분할매도 영속, ORB 구간 손절, /cycle 락, 사이클 내 현금 차감, 체결 수량 보정
스윙
- 손절 공백(판정 예외 시 하드 바닥), 단일 손절 소스·범위 검증, 매도 직전 KIS 잔고 상한(min(주문가능,보유)−DT)
- 결과 불명 체결 대조·장부 반영, 대체가(나이·진입 이후·ATR 캐시), 분할 단계 기록, 국면 실패 fail-closed
- 듀얼 플레이북·서킷브레이커 게이트, 평균회귀 우선·듀얼 독립, 시간손절 거래일
- 거래 확대(사용자 결정, 백테스트 미검증): RSI 46/35 정본 경로, 모멘텀 v2 ON, SIDEWAYS ADX AND, 트레일링 1차 익절 후, 20일 시간손절 ON
인프라·보안
- 계좌·손익 GET 인증, 세션 is_active·관리자 경로, 서명키 파생, realip, WS 토큰 마스킹
- KIS 토큰 즉시 실패(sleep 제거)·무효 시 캐시 삭제, 주문 5xx+JSON 본문 반환
- db_worker 종료 drain(멱등 재실행·커밋 불명 격리·예산·밴 커밋), stop_grace 40s, Redis 타임아웃·volatile-lru, /health DLQ·캐시
- KRX 휴장일, py3.11 비호환 f-string 수정 + Jenkins 이미지 내 compileall·헬스 실패 시 빌드 실패
하네스: rules_check 에 PEP 701 f-string 검사, 마커(allow-*), deploy 스모크 401 기준
CLAUDE.md: 실제 동작·플래그·백로그(§8.5-27~38) 갱신

backend 1451 passed / hooks 112 passed / tsc ok / py3.9 compile 0 errors

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

backend/app/api/endpoints/day_trading.py

@@ -995,12 +995,15 @@ async def get_positions():
             "stock_name": pos.get("stock_name", code),
             "strategy": pos.get("strategy", ""),
             "entry_price": entry_price,
-            "current_price": current_price,
-            "stop_loss": pos.get("stop_loss"),
-            "target_price": pos.get("target_price"),
+            "current_price": _finite_or_none(current_price),
+            # [M2 2026-10-02] 분할매도 후 target_price=inf(트레일링 전용 표식)가 그대로
+            # 직렬화돼 JSON 인코딩 오류로 이 엔드포인트가 500 이었다 → inf/NaN 은 None.
+            "stop_loss": _finite_or_none(pos.get("stop_loss")),
+            "target_price": _finite_or_none(pos.get("target_price")),
+            "partial_sold": bool(pos.get("partial_sold", False)),
             "quantity": quantity,
-            "pnl": round(pnl, 0),
-            "pnl_pct": round(pnl_pct, 2),
+            "pnl": _finite_or_none(round(pnl, 0)),
+            "pnl_pct": _finite_or_none(round(pnl_pct, 2)),
             "entry_time": str(pos.get("entry_time", "")),
         })
     return {
@@ -1035,16 +1038,67 @@ async def close_all_positions():
     }
 
 
+def _finite_or_none(value):
+    """[M2] JSON 직렬화 가능한 유한 숫자만 통과 — inf/NaN/변환 불가는 None."""
+    import math
+    if value is None:
+        return None
+    try:
+        f = float(value)
+    except (TypeError, ValueError):
+        return None
+    return f if math.isfinite(f) else None
+
+
+# [M5] 수동 사이클 단계별 상한(초) — 스케줄러 STEP_TIMEOUT 과 같은 값을 쓴다.
+def _manual_cycle_step_timeout() -> int:
+    from app.services.daytrading.scheduler import STEP_TIMEOUT
+    return STEP_TIMEOUT
+
+
 @router.post("/cycle", dependencies=[Depends(require_api_key)])
 async def manual_cycle():
-    """1 사이클 수동 실행 — 실제 엔진의 청산·진입 로직 호출 (테스트/디버그용)."""
+    """1 사이클 수동 실행 — 실제 엔진의 청산·진입 로직 호출 (테스트/디버그용).
+
+    [M5 2026-10-02] 스케줄러와 **같은 전역 락(dt_cycle_lock)** 을 잡는다. 예전에는
+    스케줄러 사이클과 동시에 돌아 같은 포지션을 두 번 매도하거나, 두 스캔이 슬롯·예산
+    검사를 동시에 통과해 한도를 넘겨 매수할 수 있었다. 락이 잡혀 있으면 기다리지 않고
+    409 를 돌려준다. 게이트: DAY_TRADE_ENABLED · 장 운영 시간 · (진입은) 진입 시간창.
+    """
     from app.services.daytrading.exit_service import check_and_exit_positions
     from app.services.daytrading.entry_service import scan_and_enter
+    from app.services.daytrading.position_manager import dt_cycle_lock
+
+    if not settings.DAY_TRADE_ENABLED:
+        raise HTTPException(409, "DAY_TRADE_ENABLED=False — 데이트레이딩 비활성")
+    if not is_market_open():
+        raise HTTPException(409, "장 운영 시간이 아님")
+    if dt_cycle_lock.locked():
+        raise HTTPException(409, "데이트레이딩 사이클 실행 중 — 잠시 후 재시도")
+
     _es, _st = _engine()
-    _st.reset_if_new_day()
-    exits = await check_and_exit_positions()
-    entries = await scan_and_enter()
-    return {"exits": exits, "entries": entries, "positions": _st.position_count()}
+    _timeout = _manual_cycle_step_timeout()
+    async with dt_cycle_lock:
+        _st.reset_if_new_day()
+        try:
+            exits = await asyncio.wait_for(check_and_exit_positions(), timeout=_timeout)
+        except asyncio.TimeoutError:
+            logger.error(f"[DayTrade] 수동 사이클 청산 체크 {_timeout}초 초과 — 취소")
+            exits = []
+        entries: list = []
+        entry_skipped = None
+        if is_day_trade_entry_window():
+            try:
+                entries = await asyncio.wait_for(scan_and_enter(), timeout=_timeout)
+            except asyncio.TimeoutError:
+                logger.error(f"[DayTrade] 수동 사이클 진입 스캔 {_timeout}초 초과 — 취소")
+                entries = []
+        else:
+            entry_skipped = "진입 시간창 밖 — 청산 체크만 수행"
+    return {
+        "exits": exits, "entries": entries, "positions": _st.position_count(),
+        "entry_skipped": entry_skipped,
+    }
 
 
 @router.get("/status")