@piagent/platform 1.37.1 → 1.38.2

package/schemas/piagent-webui/workspace-search-v1.schema.json

@@ -0,0 +1,80 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://piagent.io.vn/schemas/piagent-webui/workspace-search-v1.schema.json",
+  "title": "Piagent WebUI workspace search v1",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion",
+    "version",
+    "generatedAt",
+    "identity",
+    "query",
+    "truncated",
+    "available",
+    "backend",
+    "matches"
+  ],
+  "properties": {
+    "schemaVersion": {
+      "const": 1
+    },
+    "version": {
+      "const": "piagent-webui-workspace-search-v1"
+    },
+    "generatedAt": {
+      "$ref": "common-v1.schema.json#/$defs/timestamp"
+    },
+    "identity": {
+      "$ref": "common-v1.schema.json#/$defs/identity"
+    },
+    "query": {
+      "type": "string",
+      "maxLength": 512
+    },
+    "truncated": {
+      "type": "boolean"
+    },
+    "available": {
+      "type": "boolean"
+    },
+    "backend": {
+      "enum": [
+        "ripgrep",
+        "fts"
+      ]
+    },
+    "matches": {
+      "type": "array",
+      "maxItems": 100,
+      "items": {
+        "type": "object",
+        "additionalProperties": false,
+        "required": [
+          "path",
+          "line",
+          "column",
+          "preview"
+        ],
+        "properties": {
+          "path": {
+            "type": "string",
+            "maxLength": 4096
+          },
+          "line": {
+            "type": "integer",
+            "minimum": 1
+          },
+          "column": {
+            "type": "integer",
+            "minimum": 1
+          },
+          "preview": {
+            "type": "string",
+            "maxLength": 400
+          }
+        }
+      }
+    }
+  }
+}

package/schemas/piagent-webui/workspace-tree-v1.schema.json

@@ -0,0 +1,87 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://piagent.io.vn/schemas/piagent-webui/workspace-tree-v1.schema.json",
+  "title": "Piagent WebUI workspace tree v1",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion",
+    "version",
+    "generatedAt",
+    "identity",
+    "path",
+    "entries",
+    "truncated",
+    "source"
+  ],
+  "properties": {
+    "schemaVersion": {
+      "const": 1
+    },
+    "version": {
+      "const": "piagent-webui-workspace-tree-v1"
+    },
+    "generatedAt": {
+      "$ref": "common-v1.schema.json#/$defs/timestamp"
+    },
+    "identity": {
+      "$ref": "common-v1.schema.json#/$defs/identity"
+    },
+    "path": {
+      "type": "string",
+      "maxLength": 4096
+    },
+    "entries": {
+      "type": "array",
+      "maxItems": 1000,
+      "items": {
+        "type": "object",
+        "additionalProperties": false,
+        "required": [
+          "name",
+          "path",
+          "kind",
+          "protected",
+          "readOnly",
+          "ignored"
+        ],
+        "properties": {
+          "name": {
+            "type": "string",
+            "maxLength": 255
+          },
+          "path": {
+            "type": "string",
+            "maxLength": 4096
+          },
+          "kind": {
+            "enum": [
+              "file",
+              "directory",
+              "symlink",
+              "other"
+            ]
+          },
+          "protected": {
+            "type": "boolean"
+          },
+          "readOnly": {
+            "type": "boolean"
+          },
+          "ignored": {
+            "type": "boolean"
+          }
+        }
+      }
+    },
+    "truncated": {
+      "type": "boolean"
+    },
+    "source": {
+      "enum": [
+        "git",
+        "directory"
+      ]
+    }
+  }
+}

package/schemas/piagent-webui/workspace-write-v1.schema.json

@@ -0,0 +1,276 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://piagent.io.vn/schemas/piagent-webui/workspace-write-v1.schema.json",
+  "title": "Piagent WebUI workspace write v1",
+  "oneOf": [
+    {
+      "$ref": "#/$defs/state"
+    },
+    {
+      "$ref": "#/$defs/command"
+    },
+    {
+      "$ref": "#/$defs/receipt"
+    }
+  ],
+  "$defs": {
+    "state": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "schemaVersion",
+        "version",
+        "messageType",
+        "identity",
+        "revisions",
+        "writable",
+        "agentRunning"
+      ],
+      "properties": {
+        "schemaVersion": {
+          "const": 1
+        },
+        "version": {
+          "const": "piagent-webui-workspace-write-v1"
+        },
+        "messageType": {
+          "const": "state"
+        },
+        "identity": {
+          "$ref": "common-v1.schema.json#/$defs/identity"
+        },
+        "revisions": {
+          "$ref": "#/$defs/revisions"
+        },
+        "writable": {
+          "type": "boolean"
+        },
+        "agentRunning": {
+          "type": "boolean"
+        }
+      },
+      "title": "Workspace write state"
+    },
+    "command": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "schemaVersion",
+        "version",
+        "messageType",
+        "commandId",
+        "idempotencyKey",
+        "requestedAt",
+        "expiresAt",
+        "action",
+        "actionDigest",
+        "identity",
+        "expectedRevisions",
+        "payload"
+      ],
+      "properties": {
+        "schemaVersion": {
+          "const": 1
+        },
+        "version": {
+          "const": "piagent-webui-workspace-write-v1"
+        },
+        "messageType": {
+          "const": "command"
+        },
+        "commandId": {
+          "$ref": "common-v1.schema.json#/$defs/opaqueRef"
+        },
+        "idempotencyKey": {
+          "type": "string",
+          "pattern": "^[A-Za-z0-9._~-]{32,128}$"
+        },
+        "requestedAt": {
+          "$ref": "common-v1.schema.json#/$defs/timestamp"
+        },
+        "expiresAt": {
+          "$ref": "common-v1.schema.json#/$defs/timestamp"
+        },
+        "action": {
+          "const": "workspace.write"
+        },
+        "actionDigest": {
+          "$ref": "common-v1.schema.json#/$defs/digest"
+        },
+        "identity": {
+          "$ref": "common-v1.schema.json#/$defs/identity"
+        },
+        "expectedRevisions": {
+          "$ref": "#/$defs/revisions"
+        },
+        "payload": {
+          "$ref": "#/$defs/payload"
+        }
+      },
+      "title": "Workspace write command"
+    },
+    "receipt": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "schemaVersion",
+        "version",
+        "messageType",
+        "commandId",
+        "idempotencyKeyDigest",
+        "action",
+        "actionDigest",
+        "identity",
+        "phase",
+        "resultCode",
+        "requestedAt",
+        "settledAt",
+        "observedRevisionsBefore",
+        "observedRevisionsAfter",
+        "path",
+        "digest",
+        "currentDigest",
+        "deduplicated"
+      ],
+      "properties": {
+        "schemaVersion": {
+          "const": 1
+        },
+        "version": {
+          "const": "piagent-webui-workspace-write-v1"
+        },
+        "messageType": {
+          "const": "receipt"
+        },
+        "commandId": {
+          "$ref": "common-v1.schema.json#/$defs/opaqueRef"
+        },
+        "idempotencyKeyDigest": {
+          "$ref": "common-v1.schema.json#/$defs/digest"
+        },
+        "action": {
+          "const": "workspace.write"
+        },
+        "actionDigest": {
+          "$ref": "common-v1.schema.json#/$defs/digest"
+        },
+        "identity": {
+          "$ref": "common-v1.schema.json#/$defs/identity"
+        },
+        "phase": {
+          "enum": [
+            "settled",
+            "rejected",
+            "uncertain"
+          ]
+        },
+        "resultCode": {
+          "enum": [
+            "saved",
+            "stale-content",
+            "stale-revision",
+            "identity-mismatch",
+            "read-only",
+            "path-protected",
+            "unsafe-path",
+            "invalid-write",
+            "expired",
+            "idempotency-payload-mismatch",
+            "effect-unknown",
+            "write-failed"
+          ]
+        },
+        "requestedAt": {
+          "$ref": "common-v1.schema.json#/$defs/timestamp"
+        },
+        "settledAt": {
+          "$ref": "common-v1.schema.json#/$defs/timestamp"
+        },
+        "observedRevisionsBefore": {
+          "$ref": "#/$defs/revisions"
+        },
+        "observedRevisionsAfter": {
+          "$ref": "#/$defs/revisions"
+        },
+        "path": {
+          "type": "string",
+          "maxLength": 4096
+        },
+        "digest": {
+          "anyOf": [
+            {
+              "$ref": "common-v1.schema.json#/$defs/hash"
+            },
+            {
+              "type": "null"
+            }
+          ]
+        },
+        "currentDigest": {
+          "type": [
+            "string",
+            "null"
+          ],
+          "pattern": "^(absent|[a-f0-9]{64})$"
+        },
+        "deduplicated": {
+          "type": "boolean"
+        }
+      },
+      "title": "Workspace write receipt"
+    },
+    "payload": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "path",
+        "content",
+        "expectedDigest"
+      ],
+      "properties": {
+        "path": {
+          "type": "string",
+          "minLength": 1,
+          "maxLength": 4096
+        },
+        "content": {
+          "type": "string",
+          "maxLength": 1048576
+        },
+        "expectedDigest": {
+          "type": "string",
+          "pattern": "^(absent|[a-f0-9]{64})$"
+        },
+        "operation": {
+          "type": "string",
+          "enum": [
+            "write",
+            "rename",
+            "delete"
+          ],
+          "description": "Absent means write. Rename and delete send empty content and the digest of the file the member saw."
+        },
+        "destination": {
+          "type": "string",
+          "minLength": 1,
+          "maxLength": 4096,
+          "description": "The new path of a rename."
+        }
+      },
+      "title": "Workspace write payload"
+    },
+    "revisions": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "workspaceRevision"
+      ],
+      "properties": {
+        "workspaceRevision": {
+          "$ref": "common-v1.schema.json#/$defs/revisionToken"
+        }
+      },
+      "title": "Workspace write revisions"
+    }
+  }
+}

package/schemas/project-profile.schema.json

@@ -51,14 +51,19 @@
       "minLength": 1
     },
     "authorityProfile": {
-      "enum": ["broad-default", "mechanical-only", "strict-high-risk"]
+      "enum": [
+        "broad-default",
+        "mechanical-only",
+        "strict-high-risk"
+      ]
     },
     "permissionProfile": {
-      "description": "Runtime permission profile. workspace-write is the default; trusted-full-access still keeps Piagent protected-path and destructive/external confirmation gates.",
+      "description": "Runtime permission profile. workspace-write is the default; trusted-full-access still keeps Piagent protected-path and destructive/external confirmation gates; bypass (personal sessions only) turns every Piagent gate off, keeping only output redaction and turn checkpoints.",
       "enum": [
         "read-only",
         "workspace-write",
-        "trusted-full-access"
+        "trusted-full-access",
+        "bypass"
       ]
     },
     "rootMarkers": {

package/scripts/company-terminal.mjs

@@ -11,6 +11,7 @@ import { pathToFileURL } from 'node:url';
 import { registerTerminalUpdateOffer } from '../packages/piagent-core/runtime/update/terminal-update-offer.mjs';
 import { parseFailure } from '../packages/piagent-core/runtime/managed-failure.mjs';
 import { checkpointsOf } from '../packages/piagent-core/managed/checkpoints.mjs';
+import { bypassAllowed, effectivePermission } from '../packages/piagent-core/managed/permission.mjs';
 import { memoryOn } from '../packages/piagent-core/managed/memory.mjs';
 import { companyFailureText } from '../packages/piagent-webui/shared/company-copy.ts';
 import { headlineText, outcomeText, processItems } from '../packages/piagent-webui/shared/process-copy.ts';
@@ -57,17 +58,19 @@ export function memoryResultLines(text, expanded = false) {
 const branchOf = (cwd) => new Promise((resolve) => execFile('git', ['-C', cwd, 'rev-parse', '--abbrev-ref', 'HEAD'], { timeout: 3000 },
   (error, out) => resolve(error ? null : String(out).trim() || null)));
 export const HELP_TEXT = [
-  'Cuộc trò chuyện công ty: /undo hoàn tác file lượt trước đã sửa · /bypass on|off|status quyền lệnh cần internet · /fast on|off|status (khi Harness cho phép) · /skill:<tên> hoặc /<lệnh> của bạn và của project.',
+  'Cuộc trò chuyện công ty: /undo hoàn tác file lượt trước đã sửa · /bypass on|full|off|status quyền của cuộc trò chuyện · /fast on|off|status (khi Harness cho phép) · /skill:<tên> hoặc /<lệnh> của bạn và của project.',
   'Pi: /session thông tin cuộc trò chuyện · /resume mở cuộc trò chuyện công ty khác · /new cuộc mới · /compact nén ngữ cảnh · /tree, /fork nhánh · /name đặt tên · /copy, /export · /hotkeys toàn bộ phím tắt · /quit thoát.',
   'Phím: ! <lệnh> chạy shell · Esc dừng lượt đang chạy · Ctrl+C xoá ô nhập, hai lần để thoát · Ctrl+O xem thêm.',
   'Mở lại sau: piagent studio --project <thư mục>, rồi /resume. Đừng mở cuộc trò chuyện công ty bằng pi cá nhân.',
 ].join('\n');
 const PERMISSION_STATUS = 'agent-watch-permission';
-const ASK = 'Hỏi trước (mặc định)', BYPASS = 'Bypass: chỉ hỏi việc bắt buộc';
+const ASK = 'Hỏi trước (mặc định)', FULL = 'Toàn quyền: chỉ hỏi việc bắt buộc', BYPASS = 'Bypass: không hỏi gì';
 const PERMISSION_TEXT = {
   'workspace-write': 'Hỏi trước: mọi lệnh cần internet đều hỏi bạn.',
-  'trusted-full-access': 'Bypass: lệnh cần internet chạy luôn; vẫn hỏi trước khi đẩy hoặc gửi dữ liệu ra ngoài, chạy migration, xoá không rõ đích hoặc dùng sudo.',
+  'trusted-full-access': 'Toàn quyền: lệnh cần internet chạy luôn; vẫn hỏi trước khi đẩy hoặc gửi dữ liệu ra ngoài, chạy migration, xoá không rõ đích hoặc dùng sudo.',
+  bypass: 'Bypass: không hỏi gì nữa (internet, Docker, lệnh trên máy, push, deploy, migration đều chạy luôn); lệnh thường vẫn trong sandbox, /undo vẫn dùng được.',
 };
+const PERMISSION_NAME = { 'workspace-write': 'Hỏi trước', 'trusted-full-access': 'Toàn quyền', bypass: 'Bypass' };
 
 const EFFORT = { off: 'Tắt', minimal: 'Tối thiểu', low: 'Thấp', medium: 'Trung bình', high: 'Cao', xhigh: 'Rất cao', max: 'Tối đa' };
 export const effortText = (level) => EFFORT[level] ?? level ?? '';
@@ -83,7 +86,7 @@ export function harnessSummary(managed, { last = null, version = null } = {}) {
   return {
     team: manifest?.user?.team_name || null,
     effort: last?.effort || config.main?.effort || managed?.session?.state?.thinkingLevel || null,
-    review, permission: managed?.permission === 'trusted-full-access' ? 'Bypass' : 'Hỏi trước',
+    review, permission: PERMISSION_NAME[effectivePermission(managed ?? {})] ?? 'Hỏi trước',
     fast: fast === null ? null : fast === 'on', memory: managed ? memoryOn(managed) : false, version,
   };
 }
@@ -285,23 +288,25 @@ export function companyTerminalExtension({ managed, packageRoot, sdkRoot, bindin
       afterUpdate: () => bindingChanged() ? 'Bản mới đổi trình khởi chạy công ty: Agent Watch tự cập nhật cấu hình (cần Agent Watch đang chạy); piagent studio chờ việc này khi mở lại.' : null });
 
     // Ask first or Bypass, kept with the conversation like the dashboard's switch.
-    const showPermission = (ctx) => ctx.ui?.setStatus?.(PERMISSION_STATUS, managed()?.permission === 'trusted-full-access' ? 'Bypass' : undefined);
+    const showPermission = (ctx) => { const mode = managed() ? effectivePermission(managed()) : null; ctx.ui?.setStatus?.(PERMISSION_STATUS, mode && mode !== 'workspace-write' ? PERMISSION_NAME[mode] : undefined); };
     pi.on('session_start', async (_event, ctx) => showPermission(ctx));
     pi.registerCommand('bypass', {
-      description: 'Bật/tắt Bypass cho cuộc trò chuyện công ty này (on, off, hoặc để trống để chọn)',
-      getArgumentCompletions: argumentCompletions(['on', 'off', 'status']),
+      description: 'Quyền của cuộc trò chuyện công ty này: on (Bypass, khi Harness cho phép), full (Toàn quyền), off (Hỏi trước), hoặc để trống để chọn',
+      getArgumentCompletions: argumentCompletions(['on', 'full', 'off', 'status']),
       handler: async (args, ctx) => {
         const session = managed();
         if (typeof session?.session?.managedSetPermission !== 'function') { ctx.ui.notify('Cuộc trò chuyện này chưa sẵn sàng.', 'error'); return; }
         const arg = args.trim().toLowerCase();
-        let mode = arg === 'on' ? 'trusted-full-access' : arg === 'off' ? 'workspace-write' : null;
+        const allowed = bypassAllowed(session.manifest);
+        let mode = arg === 'on' ? (allowed ? 'bypass' : null) : arg === 'full' ? 'trusted-full-access' : arg === 'off' ? 'workspace-write' : null;
+        if (arg === 'on' && !allowed) { ctx.ui.notify('Harness của team đã tắt Bypass (admin Studio). Dùng /bypass full cho Toàn quyền.', 'warning'); return; }
         if (!mode && arg !== 'status') {
-          const choice = await ctx.ui.select(`Quyền của cuộc trò chuyện này (đang: ${session.permission === 'trusted-full-access' ? 'Bypass' : 'Hỏi trước'})`, [ASK, BYPASS]);
-          mode = choice === BYPASS ? 'trusted-full-access' : choice === ASK ? 'workspace-write' : null;
+          const choice = await ctx.ui.select(`Quyền của cuộc trò chuyện này (đang: ${PERMISSION_NAME[effectivePermission(session)]})`, allowed ? [ASK, FULL, BYPASS] : [ASK, FULL]);
+          mode = choice === BYPASS ? 'bypass' : choice === FULL ? 'trusted-full-access' : choice === ASK ? 'workspace-write' : null;
         }
         if (mode && mode !== session.permission) session.session.managedSetPermission(mode);
         showPermission(ctx);
-        ctx.ui.notify(PERMISSION_TEXT[session.permission] ?? PERMISSION_TEXT['workspace-write'], 'info');
+        ctx.ui.notify(PERMISSION_TEXT[effectivePermission(session)] ?? PERMISSION_TEXT['workspace-write'], 'info');
       } });
 
     // /undo: the files the last turn changed go back to how they were before

package/scripts/pi-auto.sh

@@ -4,7 +4,7 @@ set -euo pipefail
 usage() {
   cat <<'USAGE'
 Usage:
-  piagent-auto [--read-only|--workspace-write|--full-access] [--no-approve] [--] [pi args...]
+  piagent-auto [--read-only|--workspace-write|--full-access|--bypass] [--no-approve] [--] [pi args...]
 
 Purpose:
   Launch Pi with project-local trust approved for this run.
@@ -47,6 +47,10 @@ while [[ $# -gt 0 ]]; do
       PERMISSION_PROFILE="trusted-full-access"
       shift
       ;;
+    --bypass|--yolo|--dangerously-bypass)
+      PERMISSION_PROFILE="bypass"
+      shift
+      ;;
     --no-approve|-na)
       APPROVE_FLAG="--no-approve"
       shift

package/scripts/team-doctor.sh

@@ -512,8 +512,16 @@ const verifyGroups = projectProfile?.verifyCommands && typeof projectProfile.ver
   : [];
 const stateRoot = path.join(projectPath, ".pi", "piagent-state");
 const expectedPiHostVersion = rootPackage.peerDependencies?.["@earendil-works/pi-coding-agent"] ?? null;
+const { personalTerminalDiagnostic } = await import(pathToFileURL(path.join(platformRoot, "packages/piagent-webui/gateway/personal-terminal-diagnostic.mjs")).href);
+const terminalReadiness = personalTerminalDiagnostic();
+if (!terminalReadiness.available) warnings.push(`Personal terminal unavailable: ${terminalReadiness.reasonCode}; the dashboard remains available.`);
+const { companyTerminalDiagnostic } = await import(pathToFileURL(path.join(platformRoot, "packages/piagent-core/managed/sandbox-diagnostic.mjs")).href);
+const companyTerminalReadiness = companyTerminalDiagnostic();
+if (!companyTerminalReadiness.supported) warnings.push(`Company terminal unavailable: ${companyTerminalReadiness.reasonCode}; no host shell fallback.`);
 const productReadiness = {
   schemaVersion: 1,
+  personalTerminal: terminalReadiness,
+  companyTerminal: companyTerminalReadiness,
   versionAlignment: {
     piHostExpected: expectedPiHostVersion,
     piHostObserved: runtimeModel.piHostVersion,