dodo-mcp 1.0.0

package/docs/RELEASE_1.0.0.md

@@ -0,0 +1,111 @@
+# DODO MCP 1.0.0
+
+นี่คือ release แรกของ DODO MCP ในชื่อ package `dodo-mcp` และ CLI `dodo`
+
+## การติดตั้ง
+
+```bash
+npm install -g dodo-mcp@1.0.0
+dodo --version
+```
+
+## ความสามารถหลัก
+
+- MCP HTTP + OAuth และ Local Config แบบ loopback
+- `dodo --cli` interactive owner menu และ global launcher ที่ไม่ใช้ CWD เป็น workspace
+- startup project จาก owner registry; OAuth installation login และ catalog ใช้ได้ก่อน
+  เลือกโปรเจกต์ Personal mode พร้อมใช้หลัง owner เพิ่ม path ส่วน managed mode เพิ่ม ACL
+- Compact HTTP surface 19 tools
+- Complete capability catalog 125 tools; Full STDIO ค่าเริ่มต้นแสดง 121 และ owner เปิด Sub-agent MCP exposure แล้วเป็น 125
+- Hybrid surface 49 tools
+- direct coding tools, gateway dispatch และ operation discovery
+- workspace switching จาก Local Config พร้อม readiness และ rollback
+- Personal mode แบบเพิ่มแล้วใช้ได้ทันที และ managed mode สำหรับ workspace ACL/trust แบบละเอียด
+- OAuth scopes, workspace context, approval, path/secret guards และ audit
+- file changes แบบ hash-verified, journaled และ rollback ได้
+- jobs, Git, semantic tools, LSP และ task assistance
+- multimodal, browser, game, workflow และ schedule tools ตาม prerequisite
+- setup แบบ plan-first: installer ที่ยังขาดต้องยืนยันด้วย `--yes`
+- existing-state import ที่นำเข้าเฉพาะ non-authority preferences และสร้าง security identity ใหม่
+- Cloudflare Tunnel แบบ process-owned พร้อม run-scoped token จาก hidden terminal prompt หรือ Local Config, authenticated control IPC, bounded retry/readiness และ redacted diagnostics
+- `dodo start` เปิด tunnel พร้อม MCP ในรอบเดียว; `--no-tunnel` เปิด local-only และ token ไม่ถูกบันทึกลงเครื่อง
+- owner-curated multi-project read federation สำหรับ overview/list/read/search สูงสุด 8 โปรเจกต์ พร้อม live target authority, readiness, source hash และ target-scoped audit
+- Universal Resource Layer + private SHA-256 CAS พร้อม bounded range/resume,
+  deterministic extraction และ MCP image/audio preview
+- Project Brain แบบ incremental พร้อม AST symbols/references/import graph,
+  routes/tests/dependencies, stable semantic URI และ current-source verification
+- Context Engine แบบ goal-driven พร้อม evidence provenance/confidence/freshness,
+  deterministic budget/cursor และ caller-scoped L0–L6 dependency cache
+- owner-reviewed Memory พร้อม source evidence, confidence, retention, CURRENT/STALE,
+  explicit cross-project visibility และ non-executable workflow/skill proposals
+- Runtime Intelligence พร้อม durable/reconnectable tasks, bounded process/test/browser
+  evidence, guarded snapshot, source revalidation และ fact/observation/inference diagnosis
+- Advanced Agent Runtime พร้อม immutable plans, bounded parallel hypotheses, path intents,
+  managed target dispatch, snapshot rollback, evidence-backed completion, restart recovery
+  และ owner-reviewed non-executable skills
+- DodoBench แบบ revision-bound และ release gate ที่ตรวจ real HTTP/OAuth Compact,
+  STDIO Full, security regressions, immutable package checksum และ fresh tarball install
+- platform evidence ใช้ macOS local, Linux Docker และ dedicated self-hosted GitHub
+  Actions สำหรับ Linux/Windows trusted main; Windows manual gate ยังเป็น
+  `MANUAL_NOT_RUN`
+- Project Registry ผูก directory generation ด้วย device/inode/birthtimeNs เพื่อกัน
+  inode reuse บน Linux โดย state v1 ที่พิสูจน์ generation ไม่ได้ต้องให้เจ้าของ review
+
+## ลำดับการใช้ Compact
+
+```text
+project_overview
+→ dodo_discover
+→ selected gateway
+```
+
+Compact ลด schema load ตอนเชื่อมต่อ แต่ยังใช้ target authorization และ policy เดิมทุกข้อ
+
+## Setup ที่ปลอดภัย
+
+```bash
+dodo setup --check
+dodo setup --plan --components git,ripgrep,ffmpeg
+dodo setup --yes --components git,ripgrep,ffmpeg
+```
+
+`--check` และ `--plan` ไม่เขียน config หรือเริ่ม installer การใช้ `--import-state` จะเก็บ source เดิมและไม่คัดลอก OAuth, token, database, ACL, trust หรือ permission-bearing configuration
+
+## Tunnel
+
+```bash
+dodo setup --check --components cloudflared
+dodo init --public-url https://mcp.example.com
+dodo start
+# กรอก token แบบชั่วคราว หรือกด Enter เพื่อใช้ local-only
+```
+
+DODO ไม่สร้าง Tunnel/DNS และไม่ใช้ Cloudflare API Token ค่า Tunnel token ไม่ถูกบันทึกใน config/credential store หรือส่งเป็น process argument หน้า Local Config เริ่ม/หยุด tunnel ของ process ปัจจุบันได้โดยตอบกลับ `tokenStored:false`
+
+## Security
+
+Gateway ไม่ grant สิทธิ์, ไม่ bypass OAuth, ACL, workspace ID/epoch, trust, approval, path guard, secret guard หรือ command sandbox การเรียก operation ทุกครั้งถูกตรวจโดย target tool definition
+
+Memory เป็น untrusted evidence เท่านั้น AI approve/prune เองไม่ได้ และ reviewed
+learning ไม่ถูกติดตั้งหรือ execute อัตโนมัติ
+
+Runtime task ใช้ execution approval และ command sandbox เดิม Evidence IDs ไม่ใช่
+สิทธิ์ และ runtime store ไม่เก็บ raw stdout/stderr, browser DOM/console, cookies,
+authorization headers หรือ environment secrets
+
+Advanced Agent Runtime เป็น coordination-only และจำกัด authority เพิ่มจาก caller ทุก
+managed operation ยังผ่าน target scope/ACL/epoch/trust/approval/path/secret/hash/sandbox
+เดิม Skill ที่ owner review แล้วยังเป็น untrusted guidance และ cancel run ไม่ kill job
+
+## ตรวจรับ
+
+```bash
+npm run build
+npm run typecheck
+npm run lint
+npm run test:all
+npm run test:linux:docker
+npm pack
+```
+
+การเชื่อมต่อ ChatGPT, Claude หรือ client ภายนอกต้องทำ manual scan/rescan และยืนยัน write/edit ด้วย workspace fixture แยกต่างหาก ผลที่ยังไม่ได้ทำต้องรายงานเป็น `MANUAL_NOT_RUN`

package/docs/RELEASE_NOTES.md

@@ -0,0 +1,92 @@
+# DODO MCP — Release Notes
+
+## 1.0.0
+
+### Global launcher และ interactive CLI
+
+- เพิ่ม `dodo --cli` เป็นเมนู owner สำหรับเลือก/เพิ่มโปรเจกต์ เปิด server + Tunnel
+  ด้วย token ชั่วคราว และ setup dependencies รวม cloudflared
+- `dodo`/`dodo start` ใช้โปรเจกต์ที่ owner เลือกล่าสุด หรือเปิด launcher mode ที่ไม่มี
+  active AI workspace แทนการใช้ CWD โดยอัตโนมัติ; `--root` เลือกและจำ root แบบ explicit
+- Local Config เพิ่มโปรเจกต์แล้วเปิดได้ทันที และรองรับสถานะก่อนเลือก workspace
+- `dodo start` และ Local Config รับ Cloudflare token แบบ run-scoped ไม่บันทึกลงเครื่อง และหยุด child พร้อม DODO
+- เพิ่ม personal mode เป็นค่าเริ่มต้น: owner เพิ่ม project, connection และ profile แล้วใช้
+  ได้ทันทีตาม OAuth/profile scopes โดยไม่ตั้ง ACL/trust/egress ซ้ำ; managed mode เดิมยังมี
+- persistent Desktop/Chrome named-app consent เป็นระดับ installation อนุญาตครั้งเดียว
+  จาก directory ใดก็ได้ ขณะที่ OS permission, scopes, snapshots และ app allowlist ยังตรวจครบ
+- เพิ่มสวิตช์ Settings สำหรับ expose Sub-agent operations ให้ MCP โดยค่าเริ่มต้นปิด;
+  หน้าเว็บ Chat & Tasks ยังใช้ agent ได้ และการเปิดสวิตช์ไม่เพิ่มสิทธิ์ใด ๆ
+
+### DodoBench และ release evidence
+
+- เพิ่ม deterministic DodoBench baseline ครอบคลุม cross-project retrieval, safe edit,
+  runtime diagnosis, resource image, durable recovery, authorization และ optional browser
+- เพิ่ม candidate/strict release gate พร้อม audit, manifest policy, checksum และ fresh
+  exact-tarball smoke ของ CLI, STDIO Full และ HTTP/OAuth Compact
+- รายงานผูกกับ Git revision, dataset, dependency lock, configuration และ platform;
+  model token เป็น `null` เมื่อไม่มี model call และ manual/platform status ไม่ถูกแต่งขึ้น
+- ใช้ macOS local + Linux Docker เป็น release gate และเพิ่ม dedicated self-hosted
+  GitHub Actions สำหรับ Linux/Windows Node 22/24 เฉพาะ trusted main/manual โดย
+  Windows manual gate ยังคง `MANUAL_NOT_RUN`
+- Project Registry metadata v2 ผูก canonical path กับ device/inode/birthtimeNs เพื่อ
+  ปฏิเสธ directory replacement แม้ Linux reuse inode โดย row v1 ที่ไม่มี birth time
+  จะไม่ถูก auto-upgrade และต้องให้เจ้าของ review/remove/add ใหม่
+
+- เปิดตัว package `dodo-mcp` และ CLI `dodo`
+- เพิ่ม config foundation ที่ใช้ `DODO_CONFIG_DIR` และ safe existing-state preference import แบบ explicit
+- เพิ่ม `dodo tunnel configure/status/start/stop/restart/doctor/logs` สำหรับ external และ managed Cloudflare Tunnel โดยไม่จัดการ Cloudflare account/DNS
+- เส้นทางหลักใช้ temporary Tunnel token ที่ไม่อยู่ใน config/credential store/argv/logs/MCP jobs; secure references คงไว้เฉพาะ advanced compatibility commands
+- `dodo setup --check/--plan` เป็น read-only และ dependency installer ต้องได้รับ `--yes` ก่อนเริ่ม
+- state import ไม่คัดลอก OAuth material, database, client/workspace authority หรือ permission-bearing config
+- เพิ่ม Compact, Full และ Hybrid MCP tool surfaces
+- เพิ่ม operation discovery และ gateway dispatch ผ่าน policy pipeline เดียวกับ direct tools
+- คง workspace ID/epoch, ACL, trust, approval, expected hash และ secret/path guards
+- รองรับ Local Config workspace switching พร้อม drain, readiness และ rollback
+- รวม coding, jobs, Git, intelligence, assistance, multimodal, browser, game, workflow และ schedule capabilities
+- เพิ่ม Windows compatibility plan และ setup diagnostics
+- เพิ่ม owner-only Project Registry พร้อม stable project ID, path readiness, CLI CRUD และ Local Config UI
+- Project relocation รักษา project ID เฉพาะเมื่อ directory identity เดิมตรวจได้ และไม่คัดลอก trust/client ACL
+- เพิ่ม read-only multi-project federation ผ่าน overview/list/read/search สูงสุด 8 โปรเจกต์ โดยตรวจ installation identity, target ACL/readiness, source hash และ target-scoped audit
+- เพิ่ม `resource_inspect`, `resource_read`, `resource_read_range`,
+  `resource_preview`, `resource_extract` และ `resource_transform`
+- เพิ่ม installation-private immutable SHA-256 CAS, workspace/principal-scoped
+  references, bounded range/resume, expected hash/MIME, MCP image/audio preview,
+  safe ZIP metadata และ transactional reference-aware GC
+- เพิ่ม Project Brain แบบ incremental สำหรับ TypeScript/JavaScript AST,
+  symbols/references/imports/routes/tests/dependencies, stable `symbol://` identity,
+  source freshness, rebuild/pause/cancel และ corruption/restart recovery; Full เป็น
+  86 tools ส่วน Compact/Hybrid คง 19/49 และ route ผ่าน assistance gateways
+- เพิ่ม `context_query`, `context_evidence`, `context_status` สำหรับ goal-driven
+  retrieval, evidence 5 classes, provenance/confidence/freshness, deterministic
+  ranking, budget/cursor และ dependency-aware L0–L6 cache ทำให้ Full เป็น 89 tools
+  โดย Compact/Hybrid คง 19/49 ผ่าน `dodo_assist_read`
+- เพิ่ม `memory_search`, `memory_inspect`, `memory_status`, `memory_propose` และ
+  `memory_learning_propose`; catalog หลัง Phase 08 เป็น
+  Full 104 tools ส่วน Compact/Hybrid คง 19/49
+  ผ่าน assistance gateways Permanent memory ต้องผ่าน private owner review + exact
+  digest, ตรวจ source/retention/ACL ซ้ำ และ learning review ไม่ติดตั้งหรือ execute เอง
+- เพิ่ม Runtime Intelligence 10 operations สำหรับ durable session, reconnectable
+  process/test/container task, bounded task/browser evidence, guarded snapshot,
+  evidence revalidation และ deterministic diagnosis ทำให้ Full ณ Phase 08 เป็น 104 tools
+  ขณะที่ Compact/Hybrid คง 19/49 ผ่าน gateways เดิม
+- Runtime task ใช้ JobManager, execution approval, idempotency, environment allowlist,
+  timeout และ command sandbox เดิม Runtime store ไม่เก็บ raw stdout/stderr, DOM,
+  console, cookie, authorization header หรือ environment secret
+- เพิ่ม Advanced Agent Runtime 17 operations สำหรับ immutable plan, bounded parallel
+  hypotheses, intent locks, managed read/write/exec, metadata snapshot compare/rollback,
+  Runtime-evidence judgement, restart recovery และ reviewed skills ทำให้ Full เป็น 121
+  tools ขณะที่ Compact/Hybrid คง 19/49
+- Agent capabilities ลดสิทธิ์จาก caller เท่านั้น Managed target ยังผ่าน invocation
+  pipeline เดิม Skill proposal ต้องผ่าน private owner review exact digest และยังเป็น
+  non-executable untrusted guidance; coordinator cancel/pause ไม่ kill jobs
+- บังคับ canonical Base64URL ก่อนตรวจ HMAC ของ Resource และ Project Brain cursors
+  เพื่อไม่ให้ token string ที่ถูกแก้ไข alias เป็น byte sequence เดิมจาก decoder ที่ permissive
+
+## วิธีอัปเดต
+
+```bash
+npm install -g dodo-mcp@1.0.0
+dodo --version
+```
+
+หลังติดตั้งให้ restart DODO process และ rescan MCP connection ตามข้อกำหนดของ client

package/docs/RESOURCES.md

@@ -0,0 +1,83 @@
+# Universal Resources and CAS
+
+DODO maps guarded workspace files and owned runtime media assets to one immutable
+resource contract. The content-addressed store (CAS) is local to the installation;
+no resource is uploaded and no listener is added.
+
+## Operations
+
+| Operation | Purpose | Scope/policy |
+|---|---|---|
+| `resource_inspect` | Ingest a workspace path or owned `assetId`, or inspect a `resourceId` | `dodo:read`; asset ingest also rechecks `dodo:exec` |
+| `resource_read` | Read the first bounded chunk | `dodo:read` |
+| `resource_read_range` | Read/resume a byte range, maximum 256 KiB | `dodo:read` |
+| `resource_preview` | Bounded text/image/audio/metadata preview | `dodo:read` |
+| `resource_extract` | UTF-8 text, metadata, or ZIP central-directory entries | `dodo:read` |
+| `resource_transform` | Create one bounded raster thumbnail resource | `dodo:exec` plus trust/owner approval policy |
+
+Full STDIO exposes these names directly. HTTP Compact and Hybrid use:
+
+```text
+dodo_discover(operation="resource_inspect")
+dodo_media(operation="resource_inspect", args={"path":"assets/example.png"})
+```
+
+Keep `workspaceId` and `workspaceEpoch` at the gateway top level. Never put them in
+`args`.
+
+## Identity and ranges
+
+`resource_inspect` returns an opaque `resourceId`, a `dodo-resource://` URI, detected
+MIME, size, `sha256:...`, safe source label, capabilities and expiry. The URI is for
+identity/display only. It is not an HTTP URL and not a bearer credential.
+
+`resource_read_range` returns Base64 for one bounded byte range, a hash of that
+chunk, the immutable object hash, offsets and a signed `resumeToken`. Continue with:
+
+```text
+resource_read_range(cursor="<resumeToken>", length=65536)
+```
+
+Do not combine a cursor with resourceId/offset/expectedSha256. Tokens expire after
+ten minutes and are bound to the original principal, workspace, resource, hash and
+next offset. DODO still performs live authorization on resume.
+
+## Supported detection and providers
+
+Content signatures detect PNG, JPEG, GIF, WebP, WAV, MP3, MP4, WebM, PDF, ZIP and
+WASM. Valid UTF-8 supports plain text, common source formats, JSON, XML, SVG, YAML and
+TOML. Extensions refine UTF-8 text only; they never make arbitrary bytes trusted.
+
+- Raster image: metadata, bounded JPEG preview and thumbnail transform.
+- Audio: bounded original MCP audio block when at most 6 MiB.
+- Text/JSON/XML/SVG: bounded UTF-8 read/extract; SVG is never rendered as active content.
+- PDF/video/WASM/opaque binary: identity, metadata and bounded range access.
+- ZIP: bounded central-directory names and sizes only; no entry is inflated.
+
+PDF text extraction, OCR and general transcoding are not claimed by this phase.
+
+## Limits and retention
+
+- object: 512 MiB
+- installation CAS objects: 2 GiB
+- one range: 256 KiB
+- one image/audio MCP block: 6 MiB
+- active references: 512 per principal/workspace
+- reference lifetime: 24 hours
+- resume token lifetime: 10 minutes
+
+Expired references are collected automatically. An object is removed only after no
+reference points to it. Newly created or freshly verified orphan objects receive a
+one-hour grace period so GC cannot race the reference-creation step. The aggregate
+2 GiB ceiling is enforced again by SQLite for concurrent DODO processes.
+
+## Security
+
+Every operation passes the normal invocation pipeline and then rechecks live
+grant/client/workspace access and reference ownership. Workspace ingest also checks
+secret/protected/private-state paths, traversal, symlinks, hardlinks, regular-file
+identity and expected hash/MIME. Object bytes live below the owner-private DODO config
+directory and are SHA-256 verified before reads. Resource content and decoder output
+remain untrusted data. A complete fsynced staging inode is published with
+create-if-absent hard-link semantics, so concurrent writers cannot replace a CAS
+winner with partial bytes.

package/docs/RUNTIME.md

@@ -0,0 +1,125 @@
+# DODO Runtime Intelligence
+
+Runtime Intelligence เก็บหลักฐานจากสิ่งที่เกิดขึ้นจริงใน active workspace โดยคง
+security model เดิม ไม่ใช่ agent ที่เฝ้าระบบเองและไม่ใช่ช่องทางรัน command ใหม่
+
+## สิ่งที่รองรับ
+
+- runtime session ที่คงอยู่ข้าม MCP reconnect และ server restart
+- process, test และ container-labelled task ผ่าน `JobManager`
+- task observation ที่เก็บ status, exit metadata, byte counts และ SHA-256 เท่านั้น
+- optional JSON test report ที่ลดเหลือ aggregate counts และ source hash
+- browser evidence จาก owned `browser_session` พร้อม bounded MCP image/DOM response
+- guarded workspace snapshot และ changeset rollback candidates
+- evidence revalidation และ diagnosis ที่แยก fact, observation และ inference
+- current runtime evidence เป็น `OBSERVATION` source ใน Context Engine
+
+Full surface มี operations ต่อไปนี้:
+
+```text
+runtime_session_open
+runtime_session_status
+runtime_session_close
+runtime_task_start
+runtime_task_observe
+runtime_task_cancel
+runtime_browser_collect
+runtime_snapshot
+runtime_evidence
+runtime_diagnose
+```
+
+Compact/Hybrid route ผ่าน `dodo_assist_read`, `dodo_assist_change`, `dodo_exec` และ
+`dodo_browser`; ใช้ `dodo_discover(operation="runtime_task_start")` เพื่ออ่าน schema
+ล่าสุด
+
+## Lifecycle
+
+```text
+runtime_session_open
+  → runtime_task_start หรือ runtime_browser_collect/runtime_snapshot
+  → runtime_task_observe
+  → runtime_evidence (revalidate)
+  → runtime_diagnose / context_query
+  → runtime_session_close
+```
+
+Session default 60 นาทีและตั้งได้สูงสุด 24 ชั่วโมง Evidence เก็บ 24 ชั่วโมง
+มีเพดาน 32 open sessions และ 128 retained sessions ต่อ caller/workspace, 32 tasks ต่อ session, 500 evidence
+ต่อ session และ 2,000 evidence ต่อ caller/workspace Session หมดอายุไม่ kill job
+งานยังอยู่ใน JobManager และดูได้ด้วย job ID ตาม policy เดิม การ close จะปฏิเสธหาก
+attached task ยัง running
+
+## Runtime task
+
+`runtime_task_start` รับ explicit `program` และ `args` เท่านั้น ไม่มี shell command
+string ก่อน spawn ระบบตรวจ:
+
+1. OAuth `dodo:exec`, installation grant และ active workspace ACL
+2. workspace ID/epoch และ principal ownership
+3. trusted executable หรือ guarded workspace-relative executable
+4. trust-mode execution approval ที่ bind กับ session/kind/program/args/options
+5. caller idempotency key; retry key+payload เดิมคืน receipt เดิม
+6. owner-configured command sandbox และ network option
+7. environment allowlist, argv budget, concurrency และ wall timeout ของ JobManager
+
+`kind=container` เป็น evidence label ไม่ใช่ container daemon หรือ privilege bypass
+caller ยังต้องระบุ executable ที่ติดตั้งแล้ว เช่น container CLI และ command นั้นผ่าน
+policy เหมือน process อื่น
+
+## Evidence ที่จัดเก็บ
+
+Process/test/container row เก็บเฉพาะ:
+
+- task/job opaque IDs, kind และ bounded duration
+- status, exit code, signal, start/end/timeout timestamps
+- stdout/stderr total bytes, truncated flag และ SHA-256 ของ bounded sample
+- optional test report path/hash และ total/passed/failed/skipped/success
+
+ไม่เก็บ raw stdout/stderr หรือ command output ลง runtime table Raw output ที่มีอยู่ใน
+bounded JobManager spool ยังเข้าถึงผ่าน `job_output` ตาม permission เดิมและ retention
+ของ jobs
+
+Browser collector เก็บ safe URL ที่ตัด query/fragment, observation ID, title/DOM/image
+hash, navigation timing และจำนวน elements/media/console/network/blocked requests
+เท่านั้น WebSocket policy ถูกบันทึกว่า blocked ตาม browser isolation ไม่เก็บ DOM
+text, console text, request headers, cookies, authorization, input/password values หรือ
+page storage ภาพและ bounded observation ถูกส่งเฉพาะ response ปัจจุบันจาก
+`BrowserService` ซึ่งยังตรวจ owner, expiry, fresh observation และ web setting
+
+Snapshot เก็บ manifest hash จาก path/size/mtime/ctime metadata ที่ผ่าน `WorkspaceFS`
+พร้อม file count/truncated และ caller-owned committed changeset IDs + summary hash
+ไม่มี file contents การ snapshot ไม่ apply หรือ rollback สิ่งใด
+
+## Freshness และ Context Engine
+
+Evidence เป็น immutable observation เมื่อ `runtime_evidence(refresh=true)` พบว่า job,
+browser observation, test report หรือ workspace manifest เปลี่ยน จะ mark record เดิม
+`STALE` โดยไม่เขียนทับ source/content hash การ collect/observe/snapshot ใหม่สร้าง
+evidence ใหม่
+
+Context Engine อ่านเฉพาะ `CURRENT`, unexpired evidence ของ caller และ active workspace
+แล้วสร้าง `dodo-runtime://runtimeev_...` source โดยผูก content hash และ
+caller-specific runtime manifest เป็น cache dependency Runtime text เป็น
+`untrusted_runtime_evidence` และไม่สามารถเพิ่ม scope, trust, ACL หรือ approval
+
+## Security boundaries
+
+- session/task/evidence ผูก hash ของ `grantId + clientId`, workspace และ expiry
+- ทุก operation re-check live client, grant, scope และ workspace ACL
+- opaque ID ไม่ใช่ capability และต่าง principal/workspace ได้ `NOT_FOUND`
+- repository config และ saved workflow ไม่ให้ authority แก่ collector
+- runtime ไม่เปิด browser, web fetch, desktop, microphone หรือ system audio เอง
+- browser collector ใช้เฉพาะ session ที่ caller เปิดและยังเป็นเจ้าของ
+- cancel ส่งสัญญาณเฉพาะ live process tree ที่ JobManager เป็นเจ้าของ ไม่ kill stored PID
+- Runtime diagnosis เป็น deterministic interpretation ของ bounded metadata ไม่ apply fix
+
+## ข้อจำกัด
+
+- ไม่มี autonomous monitoring หรือ background browser watcher
+- มีเฉพาะ task duration และ browser navigation timing ไม่มี raw performance trace
+  หรือ WebSocket payload retention; WebSocket ถูก browser isolation ปิดตาม policy เดิม
+- container task ไม่มี container-specific API; ใช้ explicit installed CLI ภายใต้ policy
+- process exit code 0 ไม่พิสูจน์ user-visible behavior ต้องตรวจ source/UI evidence เพิ่ม
+- restart ระหว่าง job running ทำให้ JobManager mark งานเป็น `interrupted_on_restart`
+  และไม่ส่ง signal ไป stored PID เพื่อป้องกัน PID reuse

package/docs/SCHEDULES.md

@@ -0,0 +1,23 @@
+# DODO Schedules
+
+DODO รองรับการสร้าง schedule proposal สำหรับคำสั่งที่เจ้าของตรวจและ approve เอง
+
+## Flow
+
+```text
+schedule_propose
+→ owner reviews exact digest
+→ dodo schedule approve ID
+→ bounded job runs under current workspace policy
+```
+
+proposal ไม่ใช่ permission และไม่สามารถขยาย scope, trust, workspace หรือ command sandbox ได้ การเปลี่ยน workspace หรือ revoke access ทำให้ proposal/resource ที่ไม่ valid ถูกปฏิเสธ
+
+ตรวจ proposal ที่ค้างอยู่ด้วย:
+
+```bash
+dodo schedule show ID
+dodo approve ID
+```
+
+ระบบไม่ execute proposal ที่ยังไม่ผ่าน owner approval และไม่ kill jobs เดิมอย่างเงียบ ๆ