@agent-native/core 0.97.0 → 0.98.0

package/corpus/core/docs/content/locales/hi-IN/authentication.mdx

@@ -381,7 +381,7 @@ function MyComponent() {
 /_agent-native/sign-in?return=<same-origin-path>
 ```
 
-जब कोई गुमनाम दर्शक इस URL पर क्लिक करता है, तो फ्रेमवर्क का लॉगिन पेज प्रस्तुत किया जाता है। सफल साइन-इन (कोई भी प्रवाह - टोकन, ईमेल/पासवर्ड, या Google OAuth) के बाद, दर्शक `return` पर 302'd है।
+जब कोई गुमनाम दर्शक इस URL पर क्लिक करता है, तो फ्रेमवर्क का लॉगिन पेज प्रस्तुत किया जाता है। सफल साइन-इन (कोई भी प्रवाह - टोकन, ईमेल/पासवर्ड, या Google OAuth) के बाद, ब्राउज़र `return` पर वापस जाता है।
 
 `return` पैरामीटर को **समान मूल पथ** के रूप में मान्य किया गया है। नेटवर्क-पथ संदर्भ (`//evil.com/...`), निरपेक्ष URLs, `data:` / `javascript:` योजनाएं, और एम्बेडेड नियंत्रण वर्ण सभी `/` पर वापस आते हैं। मान्य पथ को URL पार्सर से पुनर्निर्मित किया गया है, इनपुट से वापस प्रतिध्वनित नहीं किया गया है।
 
@@ -402,7 +402,7 @@ function SignInCta() {
 
 ### निजी पथ बुकमार्क किए गए
 
-जब कोई अनाम उपयोगकर्ता सीधे `/dashboard` जैसे निजी पथ पर नेविगेट करता है, तो फ्रेमवर्क पहले से ही उस URL पर लॉगिन पेज परोसता है - सफल साइन-इन के बाद, पेज पुनः लोड होता है और उपयोगकर्ता `/dashboard` पर पहुंच जाता है। किसी विशेष संभाल की आवश्यकता नहीं; यह टोकन, ईमेल/पासवर्ड, **और** Google OAuth के लिए काम करता है।
+सामान्य ऐप पेज हर विज़िटर के लिए एक ही गैर-व्यक्तिगत, सार्वजनिक रूप से कैश होने वाला SSR शेल उपयोग करते हैं। `AppProviders` क्लाइंट पर सेशन जाँचता है; `/dashboard` जैसे निजी पथ पर यह निजी ऐप UI माउंट करने से पहले अनाम विज़िटर को `/_agent-native/sign-in?return=%2Fdashboard` पर रीडायरेक्ट करता है। साइन-इन के बाद विज़िटर `/dashboard` पर लौटता है। सार्वजनिक/SEO रूट के लिए `isPublicPath`, या MCP एम्बेड टोकन जैसी किसी अन्य सीमित प्रमाणीकरण विधि वाले सतह के लिए `sessionBypass` उपयोग करें।
 
 ### पर्दे के पीछे: Google OAuth
 

package/corpus/core/docs/content/locales/hi-IN/external-agents.mdx

@@ -136,7 +136,7 @@ OAuth टोकन। ChatGPT एक समीक्षा की गई या
 टूल या MCP ऐप मेटाडेटा बदलता है। यदि आपके पास अभी भी पुराने प्रति-ऐप कनेक्टर हैं
 प्रत्येक पुराने कनेक्टर को डिस्पैच, रिफ्रेश या पुनः कनेक्ट करने के साथ सक्षम; अपडेट किया जा रहा है
 डिस्पैच ChatGPT या Claude के कैश्ड कैलेंडर/मेल/आदि को दोबारा नहीं लिखता है।
-स्नैपशॉट. `mcp:read` / `mcp:write` / `mcp:apps` स्कोप वही हैं जिनका वर्णन
+स्नैपशॉट. `mcp:read` / `mcp:write` / `mcp:apps` / `offline_access` स्कोप वही हैं जिनका वर्णन
 नीचे [मानक रिमोट MCP OAuth](#standard-oauth) में किया गया है।
 
 कर्सर, गूज़, पोस्टमैन, MCPJam, और VS कोड GitHub कोपायलट एक ही रिमोट का उपयोग करते हैं
@@ -283,13 +283,14 @@ OAuth प्रवाह ताज़ा-टोकन रोटेशन के
 
 वर्तमान दायरे हैं:
 
-| दायरा       | अनुमति देता है                                                    |
-| ----------- | ----------------------------------------------------------------- |
-| `mcp:read`  | केवल पढ़ने योग्य MCP actions और सामान्य उपकरण/संसाधन खोज          |
-| `mcp:write` | actions और `ask-agent` मेटा-टूल को परिवर्तित करना                 |
-| `mcp:apps`  | MCP ऐप्स संसाधन सूची/रीडिंग और इनलाइन UI रेंडरिंग जहां समर्थित है |
+| दायरा            | अनुमति देता है                                                    |
+| ---------------- | ----------------------------------------------------------------- |
+| `mcp:read`       | केवल पढ़ने योग्य MCP actions और सामान्य उपकरण/संसाधन खोज          |
+| `mcp:write`      | actions और `ask-agent` मेटा-टूल को परिवर्तित करना                 |
+| `mcp:apps`       | MCP ऐप्स संसाधन सूची/रीडिंग और इनलाइन UI रेंडरिंग जहां समर्थित है |
+| `offline_access` | रीफ़्रेश टोकन एक्सेस ताकि होस्ट कनेक्टेड रहे                      |
 
-जब क्लाइंट किसी स्पष्ट दायरे का अनुरोध नहीं करता है, तो ऐप तीनों को अनुदान देता है ताकि कनेक्टर ब्राउज़र-अधिकृत कनेक्ट प्रवाह की तरह व्यवहार करे। स्थानीय डेव, फ़ॉलबैक होस्ट और क्लाइंट के लिए बियरर-टोकन कनेक्ट पेज और `npx @agent-native/core@latest connect --token <token>` फ़ॉलबैक रखें, जहां आपको रेडी-टू-पेस्ट कॉन्फ़िगरेशन ब्लॉक की आवश्यकता है।
+जब क्लाइंट किसी स्पष्ट दायरे का अनुरोध नहीं करता है, तो ऐप चारों को अनुदान देता है ताकि कनेक्टर ब्राउज़र-अधिकृत कनेक्ट प्रवाह की तरह व्यवहार करे और दोबारा साइन इन किए बिना एक्सेस रीफ़्रेश कर सके। स्थानीय डेव, फ़ॉलबैक होस्ट और क्लाइंट के लिए बियरर-टोकन कनेक्ट पेज और `npx @agent-native/core@latest connect --token <token>` फ़ॉलबैक रखें, जहां आपको रेडी-टू-पेस्ट कॉन्फ़िगरेशन ब्लॉक की आवश्यकता है।
 
 ## कैटलॉग स्तर {#catalog-tiers}
 

package/corpus/core/docs/content/locales/hi-IN/mcp-protocol.mdx

@@ -240,7 +240,7 @@ claude mcp add --transport http agent-native https://dispatch.agent-native.com/_
 
 ```http
 HTTP/1.1 401 Unauthorized
-WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps"
+WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps offline_access"
 ```
 
 खोज समापन बिंदु:

package/corpus/core/docs/content/locales/hi-IN/security.mdx

@@ -388,6 +388,8 @@ A2A_SECRET=your-shared-secret-at-least-32-chars
 - [ ] `AGENT_NATIVE_KEYS_WORKSPACE_FALLBACK` तब तक **नहीं** सेट है जब तक कि आपका संगठन वास्तव में कार्यस्थान कुंजी साझा नहीं करता है - [Cross-User Tooling Secrets](#tooling-secrets) देखें
 - [ ] बहु-किरायेदार तैनाती में, **उपयोगकर्ता अपना स्वयं का `ANTHROPIC_API_KEY`** लाते हैं - ढांचा तैनाती-स्तर के एनवी संस्करण पर वापस आने से इंकार कर देता है
 
+इस चेकलिस्ट के schema, credential, और environment-variable आइटम को स्वचालित रूप से जांचने के लिए `agent-native doctor` (scaffold किए गए app में `pnpm doctor`) चलाएँ — हर finding guard, file, और line बताती है। देखें [Doctor](/docs/doctor) दस्तावेज़।
+
 ---
 
 नीचे दिए गए अनुभाग आला पर्यावरण फ़्लैग को कवर करते हैं जिन तक आप केवल विशिष्ट परिनियोजन में पहुंचते हैं। अधिकांश ऐप्स उन्हें कभी नहीं छूते.

package/corpus/core/docs/content/locales/ja-JP/authentication.mdx

@@ -381,7 +381,7 @@ function MyComponent() {
 /_agent-native/sign-in?return=<same-origin-path>
 ```
 
-匿名のビューアがこの URL にアクセスすると、フレームワークのログイン ページが表示されます。サインインが成功すると (トークン、電子メール/パスワード、Google OAuth などの任意のフロー)、ビューアは `return` に 302 されます。
+匿名のビューアがこの URL にアクセスすると、フレームワークのログイン ページが表示されます。サインインが成功すると (トークン、電子メール/パスワード、Google OAuth などの任意のフロー)、ブラウザーは `return` に戻ります。
 
 `return` パラメータは **同一オリジン パス**として検証されます。ネットワーク パス参照 (`//evil.com/...`)、絶対 URL、`data:` / `javascript:` スキーム、および埋め込み制御文字はすべて `/` にフォールバックします。検証されたパスは、入力からエコーバックされるのではなく、URL パーサーから再構築されます。
 
@@ -402,7 +402,7 @@ function SignInCta() {
 
 ### ブックマークされたプライベート パス
 
-匿名ユーザーが `/dashboard` のようなプライベート パスに直接移動すると、フレームワークはすでに URL でログイン ページを提供します。サインインに成功すると、ページがリロードされ、ユーザーは `/dashboard` に移動します。特別な処理は必要ありません。これは、トークン、メール/パスワード、**、および** Google OAuth に対して機能します。
+通常のアプリページは、すべての訪問者に対して同一の非個人化された公開キャッシュ可能な SSR シェルを使用します。`AppProviders` がクライアントでセッションを確認し、`/dashboard` のような非公開パスでは、非公開 UI をマウントする前に匿名ユーザーを `/_agent-native/sign-in?return=%2Fdashboard` へリダイレクトします。サインイン後は `/dashboard` に戻ります。公開/SEO ルートには `isPublicPath` を、MCP 埋め込みトークンなど別の限定された認証方式を使う画面には `sessionBypass` を指定します。
 
 ### 舞台裏: Google OAuth
 

package/corpus/core/docs/content/locales/ja-JP/external-agents.mdx

@@ -136,7 +136,7 @@ OAuth トークン。 ChatGPT は、レビューまたは公開されたコネ
 ツールまたは MCP アプリのメタデータが変更されます。古いアプリごとのコネクタがまだある場合
 各古いコネクタのディスパッチ、リフレッシュ、または再接続とともに有効になります。更新中
 Dispatch は、ChatGPT または Claude のキャッシュされたカレンダー/メールなどを書き換えません。
-スナップショット。`mcp:read` / `mcp:write` / `mcp:apps` スコープは、以下の
+スナップショット。`mcp:read` / `mcp:write` / `mcp:apps` / `offline_access` スコープは、以下の
 [標準リモート MCP OAuth](#standard-oauth) で説明するものと同じです。
 
 Cursor、Goose、Postman、MCPJam、VS Code GitHub Copilot は同じリモートを使用します
@@ -283,13 +283,14 @@ OAuth フローは、リフレッシュ トークン ローテーションを伴
 
 現在のスコープは次のとおりです:
 
-| スコープ    | 許可                                                                                      |
-| ----------- | ----------------------------------------------------------------------------------------- |
-| `mcp:read`  | 読み取り専用 MCP actions および通常のツール/リソース検出                                  |
-| `mcp:write` | actions と `ask-agent` メタツールを変更する                                               |
-| `mcp:apps`  | MCP アプリ リソースのリスト/読み取りとインライン UI レンダリング (サポートされている場合) |
+| スコープ         | 許可                                                                                      |
+| ---------------- | ----------------------------------------------------------------------------------------- |
+| `mcp:read`       | 読み取り専用 MCP actions および通常のツール/リソース検出                                  |
+| `mcp:write`      | actions と `ask-agent` メタツールを変更する                                               |
+| `mcp:apps`       | MCP アプリ リソースのリスト/読み取りとインライン UI レンダリング (サポートされている場合) |
+| `offline_access` | ホストの接続を維持するためのリフレッシュトークンアクセス                                  |
 
-クライアントが明示的なスコープを要求しない場合、アプリは 3 つすべてを許可するため、コネクタはブラウザーで承認された接続フローのように動作します。すぐに貼り付けられる構成ブロックが必要なローカル開発、フォールバック ホスト、クライアント用に、ベアラー トークンの接続ページと `npx @agent-native/core@latest connect --token <token>` フォールバックを保持します。
+クライアントが明示的なスコープを要求しない場合、アプリは 4 つすべてを許可するため、コネクタはブラウザーで承認された接続フローのように動作し、再ログインせずにアクセスを更新できます。すぐに貼り付けられる構成ブロックが必要なローカル開発、フォールバック ホスト、クライアント用に、ベアラー トークンの接続ページと `npx @agent-native/core@latest connect --token <token>` フォールバックを保持します。
 
 ## カタログ階層 {#catalog-tiers}
 

package/corpus/core/docs/content/locales/ja-JP/mcp-protocol.mdx

@@ -240,7 +240,7 @@ claude mcp add --transport http agent-native https://dispatch.agent-native.com/_
 
 ```http
 HTTP/1.1 401 Unauthorized
-WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps"
+WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps offline_access"
 ```
 
 検出エンドポイント:

package/corpus/core/docs/content/locales/ja-JP/security.mdx

@@ -390,6 +390,8 @@ A2A_SECRET=your-shared-secret-at-least-32-chars
 - [ ] `AGENT_NATIVE_KEYS_WORKSPACE_FALLBACK` は、組織が実際にワークスペースキーを共有しない限り**設定されません** — [Cross-User Tooling Secrets](#tooling-secrets) を参照
 - [ ] マルチテナント展開では、**ユーザーは独自の `ANTHROPIC_API_KEY`** を使用します。フレームワークは展開レベルの環境変数へのフォールバックを拒否します。
 
+`agent-native doctor`(スキャフォールドされたアプリでは `pnpm doctor`)を実行すると、このチェックリストのスキーマ・認証情報・環境変数の項目を自動的にチェックできます — 各所見は guard、ファイル、行を示します。詳細は [Doctor](/docs/doctor) のドキュメントを参照してください。
+
 ---
 
 以下のセクションでは、特定の展開でのみ利用できるニッチな環境フラグについて説明します。ほとんどのアプリはそれらに触れることはありません。

package/corpus/core/docs/content/locales/ko-KR/authentication.mdx

@@ -381,7 +381,7 @@ function MyComponent() {
 /_agent-native/sign-in?return=<same-origin-path>
 ```
 
-익명의 뷰어가 이 URL를 조회하면 프레임워크의 로그인 페이지가 제공됩니다. 로그인에 성공하면(토큰, 이메일/비밀번호 또는 구글 OAuth 등 모든 흐름) 시청자는 302 `return`로 이동됩니다.
+익명의 뷰어가 이 URL를 조회하면 프레임워크의 로그인 페이지가 제공됩니다. 로그인에 성공하면(토큰, 이메일/비밀번호 또는 구글 OAuth 등 모든 흐름) 브라우저는 `return`로 돌아갑니다.
 
 `return` 매개변수는 **동일 출처 경로**로 검증됩니다. 네트워크 경로 참조(`//evil.com/...`), 절대 URL, `data:`/`javascript:` 체계 및 포함된 제어 문자는 모두 `/`로 대체됩니다. 검증된 경로는 입력에서 다시 에코되지 않고 URL 파서에서 재구성됩니다.
 
@@ -402,7 +402,7 @@ function SignInCta() {
 
 ### 북마크된 비공개 경로
 
-익명의 사용자가 `/dashboard`와 같은 개인 경로로 직접 이동하면 프레임워크는 이미 해당 URL에서 로그인 페이지를 제공합니다. 로그인에 성공하면 페이지가 다시 로드되고 사용자는 `/dashboard`에 도달합니다. 특별한 취급이 필요하지 않습니다. 이는 토큰, 이메일/비밀번호, **및** 구글 OAuth에 적용됩니다.
+일반 앱 페이지는 모든 방문자에게 동일한 비개인화 공개 캐시 가능 SSR 셸을 사용합니다. `AppProviders`가 클라이언트에서 세션을 확인하며, `/dashboard` 같은 비공개 경로에서는 비공개 UI를 마운트하기 전에 익명 방문자를 `/_agent-native/sign-in?return=%2Fdashboard`로 리디렉션합니다. 로그인 후에는 `/dashboard`로 돌아옵니다. 공개/SEO 경로에는 `isPublicPath`를, MCP 임베드 토큰처럼 별도의 제한된 인증 방식을 사용하는 화면에는 `sessionBypass`를 지정하세요.
 
 ### 비하인드 스토리: 구글 OAuth
 

package/corpus/core/docs/content/locales/ko-KR/external-agents.mdx

@@ -136,7 +136,7 @@ OAuth 토큰. ChatGPT는 검토 또는 게시된 커넥터 도구를 유지할
 도구 또는 MCP 앱 메타데이터가 변경되었습니다. 아직 오래된 앱별 커넥터가 있는 경우
 각 오래된 커넥터를 디스패치, 새로 고치거나 다시 연결하는 것과 함께 활성화됩니다. 업데이트 중
 디스패치는 ChatGPT 또는 Claude의 캐시된 캘린더/메일/등을 다시 쓰지 않습니다.
-스냅샷. `mcp:read` / `mcp:write` / `mcp:apps` 범위는 아래의
+스냅샷. `mcp:read` / `mcp:write` / `mcp:apps` / `offline_access` 범위는 아래의
 [표준 원격 MCP OAuth](#standard-oauth)에서 설명하는 범위와 같습니다.
 
 Cursor, Goose, Postman, MCPJam 및 VS Code GitHub Copilot은 동일한 리모컨을 사용합니다.
@@ -283,13 +283,14 @@ OAuth 흐름은 새로 고침 토큰 순환이 포함된 인증 코드 + PKCE입
 
 현재 범위는 다음과 같습니다:
 
-| 범위        | 허용                                                      |
-| ----------- | --------------------------------------------------------- |
-| `mcp:read`  | 읽기 전용 MCP actions 및 일반 도구/리소스 검색            |
-| `mcp:write` | actions 및 `ask-agent` 메타 도구 변형                     |
-| `mcp:apps`  | MCP 지원되는 경우 앱 리소스 목록/읽기 및 인라인 UI 렌더링 |
+| 범위             | 허용                                                      |
+| ---------------- | --------------------------------------------------------- |
+| `mcp:read`       | 읽기 전용 MCP actions 및 일반 도구/리소스 검색            |
+| `mcp:write`      | actions 및 `ask-agent` 메타 도구 변형                     |
+| `mcp:apps`       | MCP 지원되는 경우 앱 리소스 목록/읽기 및 인라인 UI 렌더링 |
+| `offline_access` | 호스트 연결을 유지하기 위한 새로 고침 토큰 액세스         |
 
-클라이언트가 명시적인 범위를 요청하지 않으면 앱은 세 가지 범위를 모두 허용하므로 커넥터는 브라우저에서 승인된 Connect 흐름처럼 작동합니다. 바로 붙여넣을 수 있는 구성 블록이 필요한 로컬 개발, 대체 호스트 및 클라이언트에 대해 베어러 토큰 연결 페이지와 `npx @agent-native/core@latest connect --token <token>` 대체를 유지하세요.
+클라이언트가 명시적인 범위를 요청하지 않으면 앱은 네 가지 범위를 모두 허용하므로 커넥터는 브라우저에서 승인된 Connect 흐름처럼 작동하고 다시 로그인하지 않고 액세스를 새로 고칠 수 있습니다. 바로 붙여넣을 수 있는 구성 블록이 필요한 로컬 개발, 대체 호스트 및 클라이언트에 대해 베어러 토큰 연결 페이지와 `npx @agent-native/core@latest connect --token <token>` 대체를 유지하세요.
 
 ## 카탈로그 계층 {#catalog-tiers}
 

package/corpus/core/docs/content/locales/ko-KR/mcp-protocol.mdx

@@ -240,7 +240,7 @@ claude mcp add --transport http agent-native https://dispatch.agent-native.com/_
 
 ```http
 HTTP/1.1 401 Unauthorized
-WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps"
+WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps offline_access"
 ```
 
 검색 엔드포인트:

package/corpus/core/docs/content/locales/ko-KR/security.mdx

@@ -386,6 +386,8 @@ A2A_SECRET=your-shared-secret-at-least-32-chars
 - [ ] `AGENT_NATIVE_KEYS_WORKSPACE_FALLBACK`는 조직이 실제로 작업 공간 키를 공유하지 않는 한 **설정되지 않습니다** — [Cross-User Tooling Secrets](#tooling-secrets) 참조
 - [ ] 다중 테넌트 배포에서 **사용자는 자신의 `ANTHROPIC_API_KEY`를 가져옵니다** — 프레임워크는 배포 수준 env var로 폴백하는 것을 거부합니다.
 
+`agent-native doctor`(스캐폴딩된 앱에서는 `pnpm doctor`)를 실행하면 이 체크리스트의 스키마, 자격 증명, 환경 변수 항목을 자동으로 확인할 수 있습니다 — 각 결과는 guard, 파일, 줄을 알려줍니다. 자세한 내용은 [Doctor](/docs/doctor) 문서를 참조하세요.
+
 ---
 
 아래 섹션에서는 특정 배포에서만 사용할 수 있는 틈새 환경 플래그를 다룹니다. 대부분의 앱은 절대 터치하지 않습니다.

package/corpus/core/docs/content/locales/pt-BR/authentication.mdx

@@ -381,7 +381,7 @@ Modelos com **páginas públicas** (compartilhar links, incorporações, página
 /_agent-native/sign-in?return=<same-origin-path>
 ```
 
-Quando um visualizador anônimo acessa este URL, a página de login do framework é exibida. Após um login bem-sucedido (qualquer fluxo – token, e-mail/senha ou Google OAuth), o visualizador é direcionado para 302 para `return`.
+Quando um visualizador anônimo acessa este URL, a página de login do framework é exibida. Após um login bem-sucedido (qualquer fluxo – token, e-mail/senha ou Google OAuth), o navegador retorna a `return`.
 
 O parâmetro `return` é validado como um **caminho de mesma origem**. Referências de caminho de rede (`//evil.com/...`), URLs absolutos, esquemas `data:`/`javascript:` e caracteres de controle incorporados retornam para `/`. O caminho validado é reconstruído a partir do analisador URL, e não retornado da entrada.
 
@@ -402,7 +402,7 @@ function SignInCta() {
 
 ### Caminhos privados marcados
 
-Quando um usuário anônimo navega diretamente para um caminho privado como `/dashboard`, a estrutura já serve a página de login nesse URL — após o login bem-sucedido, a página é recarregada e o usuário chega ao `/dashboard`. Não é necessário nenhum tratamento especial; isso funciona para token, e-mail/senha **e** Google OAuth.
+As páginas normais do aplicativo usam um único shell SSR impessoal e armazenável em cache público para todos os visitantes. O `AppProviders` verifica a sessão no cliente; em um caminho privado como `/dashboard`, ele redireciona o visitante anônimo para `/_agent-native/sign-in?return=%2Fdashboard` antes de montar a interface privada. Após o login, o visitante retorna a `/dashboard`. Use `isPublicPath` para rotas públicas/SEO ou `sessionBypass` para uma superfície autenticada por outro mecanismo limitado, como um token de incorporação MCP.
 
 ### Nos bastidores: Google OAuth
 

package/corpus/core/docs/content/locales/pt-BR/external-agents.mdx

@@ -136,7 +136,7 @@ instantâneo até que você o atualize/revise novamente, então verifique novame
 alterações nos metadados da ferramenta ou do aplicativo MCP. Se você ainda tiver conectores por aplicativo antigos
 ativado junto com Dispatch, atualize ou reconecte cada conector obsoleto; atualizando
 O Dispatch não reescreve o calendário/correio/etc em cache de ChatGPT ou Claude.
-instantâneos. Os escopos `mcp:read` / `mcp:write` / `mcp:apps` são os mesmos
+instantâneos. Os escopos `mcp:read` / `mcp:write` / `mcp:apps` / `offline_access` são os mesmos
 descritos abaixo em
 [OAuth remoto padrão do MCP](#standard-oauth).
 
@@ -284,13 +284,14 @@ O fluxo OAuth é código de autorização + PKCE com rotação de token de atual
 
 Os escopos atuais são:
 
-| Escopo      | Permite                                                                                     |
-| ----------- | ------------------------------------------------------------------------------------------- |
-| `mcp:read`  | MCP somente leitura actions e descoberta comum de ferramentas/recursos                      |
-| `mcp:write` | mutação de actions e da meta-ferramenta `ask-agent`                                         |
-| `mcp:apps`  | Listagem/leitura de recursos de aplicativos MCP e renderização UI in-line quando compatível |
+| Escopo           | Permite                                                                                     |
+| ---------------- | ------------------------------------------------------------------------------------------- |
+| `mcp:read`       | MCP somente leitura actions e descoberta comum de ferramentas/recursos                      |
+| `mcp:write`      | mutação de actions e da meta-ferramenta `ask-agent`                                         |
+| `mcp:apps`       | Listagem/leitura de recursos de aplicativos MCP e renderização UI in-line quando compatível |
+| `offline_access` | Acesso ao token de atualização para manter o host conectado                                 |
 
-Quando o cliente não solicita nenhum escopo explícito, o aplicativo concede todos os três para que o conector se comporte como o fluxo do Connect autorizado pelo navegador. Mantenha a página Connect do token de portador e o substituto `npx @agent-native/core@latest connect --token <token>` para desenvolvedores locais, hosts substitutos e clientes onde você precisa de um bloco de configuração pronto para colar.
+Quando o cliente não solicita nenhum escopo explícito, o aplicativo concede todos os quatro para que o conector se comporte como o fluxo do Connect autorizado pelo navegador e possa atualizar o acesso sem outro login. Mantenha a página Connect do token de portador e o substituto `npx @agent-native/core@latest connect --token <token>` para desenvolvedores locais, hosts substitutos e clientes onde você precisa de um bloco de configuração pronto para colar.
 
 ## Níveis de catálogo {#catalog-tiers}
 

package/corpus/core/docs/content/locales/pt-BR/mcp-protocol.mdx

@@ -240,7 +240,7 @@ A primeira solicitação MCP não autenticada recebe:
 
 ```http
 HTTP/1.1 401 Unauthorized
-WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps"
+WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps offline_access"
 ```
 
 Endpoints de descoberta:

package/corpus/core/docs/content/locales/pt-BR/security.mdx

@@ -392,6 +392,8 @@ Anteriormente, essa era uma postura de "avisar e aceitar" - defina o segredo que
 - [ ] `AGENT_NATIVE_KEYS_WORKSPACE_FALLBACK` **não** é definido, a menos que sua organização realmente compartilhe chaves de espaço de trabalho — consulte [Cross-User Tooling Secrets](#tooling-secrets)
 - [ ] Em implantações multilocatários, **os usuários trazem seu próprio `ANTHROPIC_API_KEY`** — a estrutura se recusa a voltar para o ambiente de nível de implantação var
 
+Execute `agent-native doctor` (`pnpm doctor` em um app gerado pelo scaffold) para verificar automaticamente os itens de esquema, credenciais e variáveis de ambiente desta checklist — cada descoberta indica o guard, o arquivo e a linha. Consulte a documentação do [Doctor](/docs/doctor).
+
 ---
 
 As seções abaixo abordam sinalizadores de ambiente de nicho que você só alcança em implantações específicas. A maioria dos aplicativos nunca toca neles.

package/corpus/core/docs/content/locales/zh-CN/authentication.mdx

@@ -381,7 +381,7 @@ function MyComponent() {
 /_agent-native/sign-in?return=<same-origin-path>
 ```
 
-当匿名查看者点击此 URL 时，将提供框架的登录页面。成功登录（任何流程 - 令牌、电子邮件/密码或 谷歌OAuth）后，查看者将 302 转至 `return`。
+当匿名查看者点击此 URL 时，将提供框架的登录页面。成功登录（任何流程 - 令牌、电子邮件/密码或 谷歌OAuth）后，浏览器会返回 `return`。
 
 `return` 参数被验证为**同源路径**。网络路径引用 (`//evil.com/...`)、绝对 URL、`data:` / `javascript:` 方案和嵌入式控制字符都回退到 `/`。验证的路径是从 URL 解析器重建的，而不是从输入中回显。
 
@@ -402,7 +402,7 @@ function SignInCta() {
 
 ### 已添加书签的私有路径
 
-当匿名用户直接导航到 `/dashboard` 等私有路径时，框架已经在该 URL 处提供登录页面 - 成功登录后，页面重新加载并且用户登陆 `/dashboard`。无需特殊处理；这适用于令牌、电子邮件/密码、**和** 谷歌OAuth。
+普通应用页面为所有访问者使用同一个非个性化、可公开缓存的 SSR 外壳。`AppProviders` 在客户端检查会话；访问 `/dashboard` 等私有路径时，它会在挂载私有应用界面之前将匿名访问者重定向到 `/_agent-native/sign-in?return=%2Fdashboard`。登录后，访问者会返回 `/dashboard`。公共或 SEO 路由请使用 `isPublicPath`；通过 MCP 嵌入令牌等其他受限机制认证的界面请使用 `sessionBypass`。
 
 ### 幕后花絮：谷歌OAuth
 

package/corpus/core/docs/content/locales/zh-CN/external-agents.mdx

@@ -136,7 +136,7 @@ OAuth 代币。 ChatGPT可以保留已审查或已发布的连接器工具
 工具或 MCP 应用元数据更改。如果您仍然有旧的每应用连接器
 与调度、刷新或重新连接每个过时的连接器一起启用；正在更新
 Dispatch 不会重写 ChatGPT 或 Claude 的缓存日历/邮件/等。
-快照。`mcp:read` / `mcp:write` / `mcp:apps` 范围与下文
+快照。`mcp:read` / `mcp:write` / `mcp:apps` / `offline_access` 范围与下文
 [标准远程 MCP OAuth](#standard-oauth) 中介绍的相同。
 
 Cursor、Goose、Postman、MCPJam 和 VS Code GitHub Copilot 使用相同的遥控器
@@ -283,13 +283,14 @@ OAuth 流程是授权代码 + PKCE 和刷新令牌轮换。访问令牌是受众
 
 当前范围是：
 
-| 范围        | 允许                                             |
-| ----------- | ------------------------------------------------ |
-| `mcp:read`  | 只读MCP actions和普通工具/资源发现               |
-| `mcp:write` | 变异 actions 和 `ask-agent` 元工具               |
-| `mcp:apps`  | MCP Apps 资源列表/读取和内联 UI 渲染（如果支持） |
+| 范围             | 允许                                             |
+| ---------------- | ------------------------------------------------ |
+| `mcp:read`       | 只读MCP actions和普通工具/资源发现               |
+| `mcp:write`      | 变异 actions 和 `ask-agent` 元工具               |
+| `mcp:apps`       | MCP Apps 资源列表/读取和内联 UI 渲染（如果支持） |
+| `offline_access` | 刷新令牌访问权限，使主机保持连接                 |
 
-当客户端请求没有明确的范围时，应用程序会授予所有三个范围，因此连接器的行为类似于浏览器授权的连接流。为本地开发人员、后备主机和需要准备粘贴配置块的客户端保留不记名令牌连接页面和 `npx @agent-native/core@latest connect --token <token>` 后备。
+当客户端请求没有明确的范围时，应用程序会授予所有四个范围，因此连接器的行为类似于浏览器授权的连接流，并且可以在无需再次登录的情况下刷新访问权限。为本地开发人员、后备主机和需要准备粘贴配置块的客户端保留不记名令牌连接页面和 `npx @agent-native/core@latest connect --token <token>` 后备。
 
 ## 目录层 {#catalog-tiers}
 

package/corpus/core/docs/content/locales/zh-CN/mcp-protocol.mdx

@@ -240,7 +240,7 @@ claude mcp add --transport http agent-native https://dispatch.agent-native.com/_
 
 ```http
 HTTP/1.1 401 Unauthorized
-WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps"
+WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps offline_access"
 ```
 
 发现端点：

package/corpus/core/docs/content/locales/zh-CN/security.mdx

@@ -386,6 +386,8 @@ A2A_SECRET=your-shared-secret-at-least-32-chars
 - [ ] `AGENT_NATIVE_KEYS_WORKSPACE_FALLBACK` **未**设置，除非您的组织实际上共享工作区密钥 - 请参阅 [Cross-User Tooling Secrets](#tooling-secrets)
 - [] 在多租户部署中，**用户自带 `ANTHROPIC_API_KEY`** - 框架拒绝回退到部署级别环境变量
 
+运行 `agent-native doctor`（在脚手架生成的应用中为 `pnpm doctor`）可自动检查此清单中的架构、凭据和环境变量项 — 每条发现都会标明 guard、文件和行号。请参阅 [Doctor](/docs/doctor) 文档。
+
 ---
 
 以下部分介绍了您只能在特定部署中使用的利基环境标志。大多数应用程序从不接触它们。

package/corpus/core/docs/content/locales/zh-TW/authentication.mdx

@@ -381,7 +381,7 @@ function MyComponent() {
 /_agent-native/sign-in?return=<same-origin-path>
 ```
 
-當匿名檢視者點選此 URL 時，將提供框架的登入頁面。成功登入（任何流程 - 權杖、電子郵件/密碼或 GoogleOAuth）後，檢視者將 302 轉至 `return`。
+當匿名檢視者點選此 URL 時，將提供框架的登入頁面。成功登入（任何流程 - 權杖、電子郵件/密碼或 GoogleOAuth）後，瀏覽器會返回 `return`。
 
 `return` 參數被驗證為**同來源路徑**。網路路徑引用 (`//evil.com/...`)、絕對 URL、`data:` / `javascript:` 方案和嵌入式控制字符都回退到 `/`。驗證的路徑是從 URL 解析器重建的，而不是從輸入中回顯。
 
@@ -402,7 +402,7 @@ function SignInCta() {
 
 ### 已新增書簽的私人路徑
 
-當匿名使用者直接導覽到 `/dashboard` 等私人路徑時，框架已經在該 URL 處提供登入頁面 - 成功登入後，頁面重新載入並且使用者登陸 `/dashboard`。無需特殊處理；這適用於權杖、電子郵件/密碼、**和** GoogleOAuth。
+一般應用程式頁面會為所有訪客使用同一個非個人化、可公開快取的 SSR 外殼。`AppProviders` 會在用戶端檢查工作階段；造訪 `/dashboard` 等私人路徑時，它會在掛載私人應用程式介面之前將匿名訪客重新導向至 `/_agent-native/sign-in?return=%2Fdashboard`。登入後，訪客會返回 `/dashboard`。公開或 SEO 路由請使用 `isPublicPath`；透過 MCP 內嵌權杖等其他受限機制驗證的介面請使用 `sessionBypass`。
 
 ### 幕後花絮：GoogleOAuth
 

package/corpus/core/docs/content/locales/zh-TW/external-agents.mdx

@@ -136,7 +136,7 @@ OAuth 代幣。 ChatGPT 可以保留已審查或已發布的連線器工具
 工具或 MCP 應用中繼資料更改。如果您仍然有舊的每應用連線器
 與調度、重新整理或重新連線每個過時的連線器一起啟用；正在更新
 Dispatch 不會重寫 ChatGPT 或 Claude 的快取行事曆/郵件/等。
-快照。`mcp:read` / `mcp:write` / `mcp:apps` 範圍與下文
+快照。`mcp:read` / `mcp:write` / `mcp:apps` / `offline_access` 範圍與下文
 [標準遠端 MCP OAuth](#standard-oauth) 中介紹的相同。
 
 Cursor、Goose、Postman、MCPJam 和 VS Code GitHub Copilot 使用相同的遙控器
@@ -283,13 +283,14 @@ OAuth 流程是授權程式碼 + PKCE 和重新整理權杖輪換。存取權杖
 
 目前範圍是：
 
-| 範圍        | 允許                                             |
-| ----------- | ------------------------------------------------ |
-| `mcp:read`  | 唯讀 MCP actions和普通工具/資源發現              |
-| `mcp:write` | 變異 actions 和 `ask-agent` 元工具               |
-| `mcp:apps`  | MCP Apps 資源清單/讀取和行內 UI 渲染（如果支援） |
+| 範圍             | 允許                                             |
+| ---------------- | ------------------------------------------------ |
+| `mcp:read`       | 唯讀 MCP actions和普通工具/資源發現              |
+| `mcp:write`      | 變異 actions 和 `ask-agent` 元工具               |
+| `mcp:apps`       | MCP Apps 資源清單/讀取和行內 UI 渲染（如果支援） |
+| `offline_access` | 重新整理權杖存取權，讓主機保持連線               |
 
-當用戶端請求沒有明確的範圍時，應用程式會授予所有三個範圍，因此連線器的行為類似於瀏覽器授權的連線流。為本機開發人員、後備主機和需要準備貼上設定塊的用戶端保留不記名權杖連線頁面和 `npx @agent-native/core@latest connect --token <token>` 後備。
+當用戶端請求沒有明確的範圍時，應用程式會授予所有四個範圍，因此連線器的行為類似於瀏覽器授權的連線流，並且可以在不再次登入的情況下重新整理存取權。為本機開發人員、後備主機和需要準備貼上設定塊的用戶端保留不記名權杖連線頁面和 `npx @agent-native/core@latest connect --token <token>` 後備。
 
 ## 目錄層 {#catalog-tiers}
 

package/corpus/core/docs/content/locales/zh-TW/mcp-protocol.mdx

@@ -240,7 +240,7 @@ claude mcp add --transport http agent-native https://dispatch.agent-native.com/_
 
 ```http
 HTTP/1.1 401 Unauthorized
-WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps"
+WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps offline_access"
 ```
 
 發現端點：

package/corpus/core/docs/content/locales/zh-TW/security.mdx

@@ -388,6 +388,8 @@ A2A_SECRET=your-shared-secret-at-least-32-chars
 - [ ] `AGENT_NATIVE_KEYS_WORKSPACE_FALLBACK` **未**設定，除非您的組織實際上共用工作區金鑰 - 請參閱 [Cross-User Tooling Secrets](#tooling-secrets)
 - [] 在多租戶部署中，**使用者自帶 `ANTHROPIC_API_KEY`** - 框架拒絕回退到部署層級環境變數
 
+執行 `agent-native doctor`（在鷹架產生的應用程式中為 `pnpm doctor`）可自動檢查此清單中的架構、憑證和環境變數項目 — 每項發現都會標明 guard、檔案與行號。請參閱 [Doctor](/docs/doctor) 文件。
+
 ---
 
 以下部分介紹了您只能在特定部署中使用的利基環境標誌。大多數應用程式從不接觸它們。

package/corpus/core/docs/content/mcp-protocol.mdx

@@ -247,7 +247,7 @@ The first unauthenticated MCP request receives:
 
 ```http
 HTTP/1.1 401 Unauthorized
-WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps"
+WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps offline_access"
 ```
 
 Discovery endpoints:

package/corpus/core/docs/content/security.mdx

@@ -388,6 +388,8 @@ This was previously a "warn and accept" stance — set the secret you'd otherwis
 - [ ] `AGENT_NATIVE_KEYS_WORKSPACE_FALLBACK` is **not** set unless your org actually shares workspace keys — see [Cross-User Tooling Secrets](#tooling-secrets)
 - [ ] In multi-tenant deployments, **users bring their own `ANTHROPIC_API_KEY`** — the framework refuses to fall back to the deploy-level env var
 
+Run `agent-native doctor` (`pnpm doctor` in a scaffolded app) to check the schema, credential, and environment-variable items on this checklist automatically — every finding names the guard, file, and line. See the [Doctor](/docs/doctor) docs.
+
 ---
 
 The sections below cover niche environment flags you only reach for in specific deployments. Most apps never touch them.

package/corpus/core/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@agent-native/core",
-  "version": "0.97.0",
+  "version": "0.98.0",
   "description": "Framework for agent-native application development — where AI agents and UI share SQL state, actions, and context",
   "homepage": "https://github.com/BuilderIO/agent-native#readme",
   "bugs": {
@@ -184,6 +184,10 @@
       "types": "./dist/cli/skills.d.ts",
       "default": "./dist/cli/skills.js"
     },
+    "./testing": {
+      "types": "./dist/testing.d.ts",
+      "default": "./dist/testing.js"
+    },
     "./router": "./dist/router/index.js",
     "./collab": "./dist/collab/index.js",
     "./a2a": "./dist/a2a/index.js",

package/corpus/core/scripts/finalize-build.mjs

@@ -2,9 +2,11 @@
 // Cross-platform post-TypeScript step: copies runtime templates + CSS into dist/.
 // Inline shell (rm -rf, cp -r, mkdir -p) breaks on Windows cmd.exe, which
 // blocks CI runs of the Clips Tauri workflow on windows-latest.
+import { randomBytes } from "node:crypto";
 import {
   readFileSync,
   readdirSync,
+  renameSync,
   rmSync,
   cpSync,
   mkdirSync,
@@ -34,9 +36,67 @@ function pruneSpecArtifacts(dir) {
 }
 if (existsSync("dist")) pruneSpecArtifacts("dist");
 
-rmSync("dist/templates", { recursive: true, force: true });
-cpSync("src/templates", "dist/templates", { recursive: true });
-pruneSpecArtifacts("dist/templates");
+// Two overlapping `pnpm --filter @agent-native/core run build` invocations
+// (e.g. concurrent `scripts/dev-lazy.ts` prebuilds) both land here and used
+// to `rmSync`/`cpSync` "dist/templates" directly, which could throw EEXIST
+// out of `cpSync` when one process's copy landed mid-walk of another's rm.
+// Build into a unique temp dir first, then swap it into place with the same
+// bounded, race-tolerant retry used for the source corpus in
+// materialize-source-corpus.mjs.
+const distTemplatesDir = "dist/templates";
+const templatesTempDir = `${distTemplatesDir}.tmp-${process.pid}-${randomBytes(4).toString("hex")}`;
+const templateSwapMaxAttempts = 5;
+const templateSwapRetryDelayMs = 40;
+
+function sleepSync(ms) {
+  Atomics.wait(new Int32Array(new SharedArrayBuffer(4)), 0, 0, ms);
+}
+
+// src/templates always has content (default/, headless/, workspace-core/,
+// workspace-root/), so a non-empty dist/templates is proof some build --
+// ours or a concurrent one -- finished copying. No marker file is added so
+// dist/templates stays a byte-for-byte mirror of src/templates.
+function looksLikeMaterializedTemplates(dir) {
+  if (!existsSync(dir)) return false;
+  return readdirSync(dir).length > 0;
+}
+
+function swapTemplatesDirIntoPlace(tempDir) {
+  for (let attempt = 1; attempt <= templateSwapMaxAttempts; attempt += 1) {
+    try {
+      rmSync(distTemplatesDir, { recursive: true, force: true });
+    } catch {
+      // A concurrent build may already be repopulating dist/templates; let
+      // the renameSync below decide the outcome instead of failing here.
+    }
+    try {
+      renameSync(tempDir, distTemplatesDir);
+      return;
+    } catch (error) {
+      const code = error && error.code;
+      const concurrentWriter =
+        code === "ENOTEMPTY" ||
+        code === "EEXIST" ||
+        code === "ENOENT" ||
+        code === "EPERM";
+      if (!concurrentWriter) throw error;
+      if (looksLikeMaterializedTemplates(distTemplatesDir)) {
+        rmSync(tempDir, { recursive: true, force: true });
+        return;
+      }
+      if (attempt < templateSwapMaxAttempts) {
+        sleepSync(templateSwapRetryDelayMs * attempt);
+        continue;
+      }
+      throw error;
+    }
+  }
+}
+
+rmSync(templatesTempDir, { recursive: true, force: true });
+cpSync("src/templates", templatesTempDir, { recursive: true });
+pruneSpecArtifacts(templatesTempDir);
+swapTemplatesDirIntoPlace(templatesTempDir);
 mkdirSync("dist/styles", { recursive: true });
 for (const f of readdirSync("src/styles").filter((n) => n.endsWith(".css"))) {
   copyFileSync(join("src/styles", f), join("dist/styles", f));