WBS-7.9: 로컬 loopback에서 Basic Auth 게이트 실측 검증

Synology 실배포는 검증 불가하지만, 인증 게이트 자체(401/wrong-401/correct-200,
WWW-Authenticate 헤더)는 로컬에서 --auth-user/--auth-password로 재현해 문서의
실측 절차 1)·3) 기대값과 정확히 일치함을 확인했다. 2)/5)/6)은 실제 NAS·공개
호스트명이 필요해 사용자가 직접 수행해야 함을 명시했다.

docs/ROADMAP_WBS.md

@@ -891,6 +891,19 @@ python tools/validate_specs.py → PASS
 > **이 항목은 "구현 가능"으로 결론났고, 기본 보안 게이트는 추가되었다. 다만 Synology 실배포/외부 노출 검증은 아직 남아 있으므로, 리버스 프록시·방화벽·인증을 함께 적용하는 POC 절차만 제시한다.**
 
 **실측 절차 (WBS-7.9 live verification)**:
+
+**로컬 loopback 검증 완료 (2026-06-22)**: 1)·3)에 해당하는 인증 게이트 동작을 NAS 없이
+로컬에서 직접 재현·확인했다(`--auth-user`/`--auth-password`로 서버 기동 후):
+```
+인증 없음   → curl -i http://127.0.0.1:8799/api/state → 401 Unauthorized
+                + WWW-Authenticate: Basic realm="Snapshot Admin" 헤더 확인
+잘못된 인증 → curl -u wrong:wrong ... → 401
+올바른 인증 → curl -u testuser:testpass123 ... → 200, version.app=snapshot-admin-web-v7
+/tables(인증) → 200
+```
+2)(외부 경유)·5)(NAS 재부팅 지속성)·6)(증빙 보관)은 실제 Synology 하드웨어·공개 호스트명이
+필요해 이 환경에서는 검증 불가 — 사용자가 실제 NAS에서 수행해야 한다.
+
 ```
 1) NAS 내부 확인
    curl -i http://127.0.0.1:8787/api/state