dodo-mcp 1.0.0

package/docs/SECURITY.md

@@ -0,0 +1,250 @@
+# DODO MCP — Security
+
+## Security model
+
+DODO ใช้หลายชั้นร่วมกัน:
+
+- OAuth 2.1 + authorization code + PKCE S256 สำหรับ MCP
+- static client registration และ owner-controlled consent
+- installation identity แยกจาก workspace client ACL
+- OAuth scopes `dodo:read`, `dodo:write`, `dodo:exec`
+- trust modes `inspect`, `edit`, `trusted`
+- local approval สำหรับ effectful actions
+- workspace ID/epoch validation
+- shared root/path policy และ secret deny list
+- expected hash, journal, atomic write และ rollback
+- bounded jobs, scrubbed environment และ audit
+
+การผ่านชั้นใดชั้นหนึ่งไม่ grant สิทธิ์ชั้นอื่น
+
+Project Registry เป็น owner metadata แยกจาก authority: project ID หรือ readiness
+ไม่ grant OAuth scope, workspace ACL หรือ trust และ AI ไม่มี MCP tool สำหรับเพิ่ม ลบ
+หรือเปลี่ยนรายการโปรเจกต์
+
+Registry ตรวจ canonical realpath กับ device, inode และ directory birth time ทุกครั้ง
+ก่อนถือว่า target พร้อมใช้งาน จึง fail closed เมื่อ path ถูกแทน แม้ Linux จะนำเลข
+inode เดิมกลับมาใช้ Migration ไม่ auto-upgrade row เก่าที่ไม่มี birth time เพราะไม่มี
+หลักฐานพอแยก inode reuse; row นั้นคงเป็น invalid จนเจ้าของ review, remove และ add ใหม่
+
+Read-only federation ตรวจ ACL แยกทุก target และรับเฉพาะ project ID จาก registry
+ที่ owner สร้าง Remote client ต้องใช้ installation identity grant; legacy token ที่
+ผูก workspace เดียวข้ามโปรเจกต์ไม่ได้ รายการโปรเจกต์ใน overview ถูกกรองก่อนส่ง และ
+request ที่อ้าง target ไม่มี ACL ถูกปฏิเสธโดยไม่เผย absolute path หรือ metadata
+
+## HTTP and Local Config
+
+MCP และ public route ต้องผ่าน OAuth เสมอ ห้ามใช้ localhost เป็น authentication, ห้ามเปิด CORS เป็น `*`, ห้ามส่ง token ใน query string และห้าม trust proxy headers จากภายนอก
+
+Local Config bind loopback ใช้ private capability token, expiration, Host/Origin checks, forwarded-header rejection และ rate limit ไม่มี Local Config/admin endpoint บน public MCP plane
+
+UI assets เสิร์ฟจากแพ็กเกจเองทั้งหมดรวมถึง SweetAlert2 ที่ vendor แบบ pin version (ไม่มี CDN; CSP ยังเป็น `script-src 'self'; style-src 'self'` โดยไม่มี `unsafe-inline`/`unsafe-eval`) เส้นทาง `/assets` เป็น fail-closed: path ที่ decode แล้วต้องตรงรูปแบบเข้มงวด (ลึกได้หนึ่งระดับเฉพาะ `ui/`, `vendor/`), นามสกุลอยู่ใน allowlist (`.css/.js/.svg`), ปฏิเสธ `..`, backslash, NUL และไฟล์ที่ resolve ออกนอก UI directory ทั้งหมดตอบ 404 ข้อความจาก server/paths/client/provider ทุกตัว render ผ่าน `textContent` (SweetAlert ใช้ `titleText`/`text` เท่านั้น ไม่ใช้ `html`) กล่องยืนยันของ UI เป็นชั้น UX เพิ่มเติม ไม่แทนที่ approval/validation ฝั่ง server
+
+Launcher mode ไม่มี active AI workspace และไม่ใช้ CWD เป็น implicit authority
+private inert root ไม่ถูกแสดงต่อ client; OAuth และ authenticated catalog เปิดให้ตั้ง
+connection ได้ โหมดส่วนตัวซึ่งเป็นค่าเริ่มต้นอนุญาต owner-approved OAuth installation
+ให้ใช้ target ที่ owner ลงทะเบียนตาม token/profile scopes โดยไม่ต้องสร้าง ACL ซ้ำ
+โหมด managed ต้องมี target ACL แยกตามเดิม Mutation จาก Local Config ยังผูกกับ current control context
+workspace/epoch การเลือก startup project เป็น preference เท่านั้นและไม่คัดลอก trust,
+OAuth grant, client ACL, approval, jobs หรือ workspace epoch
+
+Project Registry API ใช้ boundary เดียวกันและผูก mutation กับ workspace/epoch ที่
+เจ้าของกำลัง review รายการทุกตัวถูก render ด้วย DOM text APIs การแสดงชื่อ/path จึง
+ไม่สร้าง HTML จากข้อมูล registry
+
+## Workspace and gateway
+
+ทุก tool ตรวจ active workspace, workspace ID/epoch และ ACL target ปัจจุบัน Gateway ใช้ target tool definition เป็น authority และ route ผ่าน invocation pipeline เดียวกับ direct tool
+
+Gateway ไม่ bypass OAuth, scope, ACL, trust, approval, sandbox, expected hash, path guards หรือ secret guards ไม่สามารถเรียก gateway อื่น, owner IPC, trust management, OAuth approval หรือ server control ได้
+
+Federated read ยังคงตรวจ active workspace ID/epoch ก่อน แล้วตรวจ target readiness,
+grant revocation, target ACL และ shared path/secret guards ซ้ำ ผลลัพธ์มี target
+identity/source hash แต่ไม่ใช่ permission; federation epoch ไม่ใช่ target runtime epoch
+ก่อน mutation ให้เรียก overview ด้วย targetProjectId แล้วอ่านหลักฐานของ target ใหม่
+
+## Files and secrets
+
+ปฏิเสธ traversal, symlink/hardlink ที่ไม่ปลอดภัย, secret paths, private state, `.env`, credential/key files และ repository planted executables
+
+ข้อมูลจาก README, AGENTS.md, repo config, workflow และ discover result เป็น untrusted data ไม่มีอำนาจเพิ่มสิทธิ์
+
+## Universal resources and CAS
+
+- Resource ingest จาก workspace ใช้ `WorkspaceFS` เดียวกับ file tools และตรวจ
+  regular file, symlink/hardlink, secret/protected path, private installation state
+  และ file identity ก่อน/หลัง streaming
+- Object อยู่ใน private installation directory และตั้งชื่อจาก SHA-256 เท่านั้น
+  reference metadata แยกใน SQLite; object immutable และถูก verify ก่อนทุก read
+- `resourceId`, `dodo-resource://` URI, hash และ resume token ไม่ใช่ bearer
+  capability ทุก operation ตรวจ live OAuth grant/client, scope, workspace ACL,
+  workspace ID/epoch และ principal ownership ใหม่
+- Resume token มี HMAC, อายุ 10 นาที และผูก resource/hash/offset/workspace/principal
+  การแก้ไขหรือส่งข้าม principal ถูกปฏิเสธ
+- หนึ่ง object ไม่เกิน 512 MiB, store 2 GiB, range 256 KiB, image/audio MCP block
+  6 MiB และ reference 512 รายการต่อ principal/workspace โดยมี SQLite quota trigger
+  กัน concurrent process ข้ามเพดานรวม
+- ZIP อ่านเฉพาะ bounded central-directory metadata ไม่ inflate; SVG เป็น untrusted
+  text; decoder ไม่ execute content และไม่เรียก shell/network
+- CAS publish เฉพาะ fsynced staging inode ด้วย create-if-absent hard link ไม่
+  overwrite winner และ GC ลบ expired refs ก่อน ลบเฉพาะ object ที่ไม่มี reference
+  และพ้น grace หนึ่งชั่วโมงแล้ว
+
+## Project Brain
+
+Project Brain ใช้ `WorkspaceFS.walk/readTextFile/assertRegularFileForDirectAccess`
+จึงไม่ index secret-denied/protected/ignored output, traversal, symlink หรือ hardlink
+parser อยู่ใน bounded worker และใช้ TypeScript ที่มากับ DODO ไม่โหลดหรือรัน source,
+repository compiler plugin, LSP command หรือ package script
+
+index row, graph edge และ `symbol://` URI เป็น evidence เท่านั้น ไม่ใช่ capability
+read ทุกครั้งตรวจ OAuth scope, live grant, client, workspace ACL, workspace ID/epoch,
+path policy และ current source SHA-256 ซ้ำ ผล stale/missing ถูกระบุและตัดออกโดย
+default maintenance operations (`brain_rebuild`, `brain_pause`, `brain_cancel`) ต้องมี
+`dodo:exec` และผ่าน trust/target-specific local approval เดิม
+
+## Context retrieval and evidence
+
+Context Engine ใช้ `dodo:read` และยังผ่าน invocation pipeline เดิม ก่อนค้นข้าม
+project ระบบ resolve เฉพาะรายการที่ caller มี live target ACL และ installation
+identity เท่านั้น Unauthorized selector ถูกปฏิเสธโดยไม่คืน absolute path หรือข้อมูล
+project Cache hit ไม่ข้ามการตรวจ ACL และ source hash ทุก dependency
+
+Evidence ID, source URI, hash และ signed cursor ไม่ใช่ capability และผูกกับ principal,
+request workspace, query/index version และ expiry ตามชนิด Source เปลี่ยนจะ mark stale
+และ invalidate derived cache ข้อมูลจาก source, docs, repository instruction, tool
+output หรือ index เป็น `untrusted_content` เสมอ ไม่สามารถ grant scope/ACL/trust,
+approve action, ปิด sandbox หรือข้าม path/secret guard ได้ Diagnostics ไม่คืน query,
+path, content, token หรือ private owner state
+
+## Memory and reviewed learning
+
+Memory proposal ต้องอ้าง current Context evidence ของ principal เดียวกันและเก็บเฉพาะ
+non-secret summary/provenance ไม่มี MCP tool สำหรับ approve, reject, prune หรือ learning
+review Owner control ใช้ private authenticated IPC และ exact digest; ก่อนอนุมัติจะตรวจ
+source hash, conflicts และ target project readiness ซ้ำ
+
+Approved memory มี `authority: evidence_only` และ `trust: untrusted_content` เสมอ
+Memory ID/digest/cursor ไม่ใช่ capability การค้นข้าม project ต้องผ่าน live installation
+identity + target ACL และ explicit owner visibility ทุกครั้ง Source เปลี่ยนหรือ retention
+หมดจะถูก mark stale Learning approval ไม่ติดตั้ง ไม่ execute และไม่ grant scope, ACL,
+trust, approval, sandbox exception หรือ executable policy
+
+## Runtime Intelligence
+
+Runtime session, task และ evidence ผูก digest ของ `grantId + clientId`, active
+workspace และ expiry Opaque IDs ไม่ใช่สิทธิ์ ทุก operation ตรวจ live grant/client/ACL
+และ target scope ใหม่ งาน process/test/container ใช้ `JobManager` เดิมด้วย explicit
+program+argv, execution approval, caller idempotency, environment allowlist, timeout
+และ command sandbox ที่เจ้าของตั้งไว้ Runtime ไม่มี generic shell หรือ owner control
+
+Runtime tables เก็บเฉพาะ status/exit/timestamps, byte counts, aggregate test counts และ
+SHA-256 ไม่เก็บ raw stdout/stderr, DOM/console text, cookies, authorization headers,
+input values หรือ environment secrets Browser evidence ใช้ owned browser session เดิม;
+collector เปิด browser/web/desktop/microphone/system audio ไม่ได้ Snapshot เก็บ metadata
+manifest และ rollback candidate IDs เท่านั้น การ rollback ยังต้องผ่าน
+`rollback_changes` พร้อม journal/hash conflict checks
+
+Source เปลี่ยนหรือ recheck ไม่ได้จะ mark evidence เดิม stale โดยไม่เขียนทับ hash
+Context Engine อ่านเฉพาะ current caller/workspace evidence และถือเป็น untrusted data
+Runtime diagnosis ไม่มี side effect และไม่สามารถ grant scope/trust/approval
+
+## Advanced Agent Runtime
+
+Agent run, plan, hypothesis, intent, snapshot, judgement และ skill ID ไม่ใช่ capability
+ทุก request ตรวจ principal, live grant/client/workspace ACL, target scope และ active
+workspace epoch ใหม่ Run capabilities ลดสิทธิ์เท่านั้น: project ต้องอ่านได้อยู่แล้ว,
+writable path ผ่าน WorkspaceFS policy, executable ผ่าน allowlist/resolver และ optional
+network/browser/desktop/media/workflow ปิดเป็นค่าเริ่มต้น `secretAccess` เป็น false เสมอ
+
+Managed dispatcher เรียก target definition ผ่าน invocation pipeline เดิม Target-bound
+trust approval, strict schema, expected hash, path/secret/symlink/hardlink guards,
+command sandbox, idempotency และ audit จึงยังมีผล Coordinator ไม่มี owner control,
+ไม่มี unrestricted shell, ไม่ approve action และ pause/cancel run ไม่ kill jobs
+
+Intent เป็น coordination lock ไม่ใช่ filesystem permission Snapshot ไม่เก็บ contents
+และ rollback ได้เฉพาะ caller-owned changeset หลัง exact snapshot ผ่าน journal/conflict
+checks เดิม Judgement/completion ต้องอ้าง current Runtime evidence ของ caller Skill
+proposal ถูกซ่อนจน private owner review exact digest; approved skill เป็น versioned
+`untrusted_guidance`, ไม่ execute และไม่ grant authority
+
+## Commands and jobs
+
+child environment เป็น allowlist ไม่ inherit OAuth state, private config tokens, signing keys หรือทั้ง parent environment โดยอัตโนมัติ command sandbox ใช้ตาม owner config และระบบรายงาน unsupported เมื่อ platform ไม่มี adapter
+
+trusted command ใช้สิทธิ์ OS ของผู้ใช้จริงและอาจเข้าถึงสิ่งที่ user เข้าถึงได้ ควรใช้กับ workspace ที่เชื่อถือได้เท่านั้น
+
+## Logging and packaging
+
+ห้าม log access token, refresh token, client secret, OAuth code, private config token หรือ secret file content audit เก็บเฉพาะ metadata ที่ scrubbed
+
+package tarball ต้องไม่มี state DB, private keys, credentials, models, media fixtures หรือ temporary release files
+
+## Evaluation boundary
+
+DodoBench ใช้ OAuth, workspace ACL, scope, epoch, trust, approval และ path/secret guards
+ชุดเดียวกับ runtime จริง ไม่มี benchmark bypass หรือ privileged principal ผลและ release
+evidence ไม่มี token, OAuth code, client secret, private config capability, source content
+หรือ state database และถูก ignore จาก Git/npm Release gate บล็อก high/critical
+production dependency findings แต่ไม่ publish package หรือเปลี่ยน owner configuration
+
+### Optional Sub-agent MCP exposure
+
+`exposeSubagentsToMcp` ปิดเป็นค่าเริ่มต้นและควบคุมเฉพาะ tool catalog ของ MCP เมื่อปิด
+Full จะไม่ register สี่ Sub-agent definitions และ Compact/Hybrid จะไม่ใส่ operations
+เหล่านี้ใน gateway enum, server instructions หรือ `dodo_discover` หน้าเว็บ owner-only
+ยังสร้างและจัดการ agent ได้ การเปิดสวิตช์ไม่ grant `dodo:exec`, ไม่เพิ่ม project ACL,
+ไม่เปลี่ยน trust/profile policy และไม่ข้าม approvals, sandbox, path/secret guards หรือ
+workspace context ทุก call ที่เปิดให้เห็นยังผ่าน invocation pipeline เดิมทั้งหมด
+
+## Cloudflare Tunnel
+
+เจ้าของเป็นผู้สร้าง remotely-managed Tunnel, hostname และ DNS DODO ไม่ใช้ Cloudflare API เมื่อรัน `dodo start` ใน terminal ระบบถาม Tunnel token แบบซ่อนและ supervise เฉพาะ live `cloudflared` child ของ process นั้น หรือเจ้าของเริ่ม/หยุดรอบเดียวกันจาก Local Config ที่ผ่าน owner authentication
+
+เส้นทางหลักใช้ token แบบ run-scoped เท่านั้น: token อยู่ในหน่วยความจำของ DODO และ environment ของ child `cloudflared` ระหว่างรอบ ไม่ถูกบันทึกใน config, Keychain, Credential Manager, Secret Service, CLI argv, child arguments, logs, MCP catalog/response, audit หรือ setup receipt ค่า `TUNNEL_TOKEN` และ `TUNNEL_TOKEN_FILE` ถูกปฏิเสธจาก environment ของ MCP jobs เสมอ Local Config รับ token ผ่าน private loopback capability, ล้าง request field หลังส่ง และตอบกลับเพียง `tokenStored:false`
+
+Local Config รับ token เฉพาะ POST ที่ผ่าน private capability, Host/Origin/proxy checks,
+rate limit และ control-context headers แล้วส่งให้ process-owned runtime โดยตรง
+Response/config/audit เก็บเฉพาะสถานะที่ไม่มี secret ไม่มี MCP tool สำหรับส่ง token หรือ
+ควบคุม tunnel หน้าเว็บเริ่ม network process เฉพาะเมื่อ owner กด “เปิด Tunnel รอบนี้”
+และการตั้ง startup preference ไม่เริ่ม network process
+
+Tunnel route ต้องชี้ทุก public path ไป MCP/OAuth listener `127.0.0.1:21730` เท่านั้น Local Config `21731`, metrics `21732` และ private IPC ไม่ถูก expose readiness บอกสถานะ Cloudflare connection เท่านั้น ไม่ใช่หลักฐานว่า AI client กำลังเชื่อมต่อ
+
+## Setup and existing-state import
+
+`dodo setup --check` และ `dodo setup --plan` เป็น read-only การติดตั้ง dependency ที่ยังขาดต้องมี `--yes` จาก local owner ก่อนเริ่ม installer โดย flag นี้ไม่ข้าม OS elevation, Desktop consent หรือ policy อื่น
+
+`dodo setup --import-state` นำเข้าได้เฉพาะ preference allowlist จาก private `config.json`: config version, MCP/config ports, bounded limits, search backend, log retention และ tool surface เท่านั้น ระบบไม่ copy database, OAuth signing keys, cookies, clients, grants, authorization codes, tokens, workspace ACL, trust, approvals, schedules, public URL/Host/Origin allowlists, web/desktop permissions, LSP commands, environment allowlist หรือ sandbox writable paths
+
+ก่อน commit ระบบตรวจ file type, ownership/ACL, link count, symlink, runtime markers, size และ SHA-256 ซ้ำ หาก source เปลี่ยน, schema ไม่ตรง, มี unknown field หรือมี DODO process ใช้งาน state นั้นอยู่ การนำเข้าจะ fail closed และรักษา source/target เดิมไว้
+
+## AI providers และ target projects
+
+Owner-registered `targetProjectId` เลือก runtime ก่อนคำนวณ scope/ACL; token ของ default
+project ไม่เป็น authority ของ target Legacy root-bound grant ยังข้ามไม่ได้ ทุก model
+operation ผ่าน wrapper เดิมพร้อม live checks หลังรอ queue Profile ทำได้เพียงลดสิทธิ์
+และ child run ถูกจำกัดให้ project เดียว ไม่ spawn ต่อหรือเข้าถึง owner controls
+Approved workflow, memory, skill, model output และ repository content ไม่เป็น permission
+
+Provider access เป็น egress permission แยกจาก `allowWebFetch` และแยกต่อ project/profile/
+client ในโหมด managed ส่วนโหมดส่วนตัวถือว่าการเลือก remote profile เพื่อเริ่ม run เป็น
+owner consent สำหรับส่ง bounded context ของ project นั้น ไม่ส่งทั้ง repo/ภาพ/binary อัตโนมัติ
+Loopback Ollama ไม่ใช่หลักฐาน local inference ต้องตรวจ metadata ของ model ก่อนใช้
+ใน project ที่ไม่อนุญาต source egress; endpoint ของเจ้าของยังเป็น trust boundary
+
+Keys ใช้ session memory หรือ macOS Keychain ผ่าน stdin (ไม่ใส่ argv) State เก็บ ref
+เท่านั้น UI ไม่อ่าน key กลับและไม่เก็บใน browser storage Endpoint เปลี่ยนต้องป้อน key
+ใหม่และ connection ที่ใช้งานถูกล็อกไม่ให้แก้กลาง run Public endpoint ต้อง HTTPS
+Private/LAN ต้อง opt-in; DNS ตรวจทุก address แล้ว pin, metadata/admin endpoint ถูกปฏิเสธ
+และ credentials ไม่ตาม redirect Known key echoes ถูกปฏิเสธก่อนบันทึก result/continuation
+
+Run history/continuation อยู่ใน private state แยก workspace/caller ไม่ export reasoning
+ให้ UI ไม่มี raw access/refresh token ใน delegation ก่อนแต่ละ model/tool action ตรวจ
+lease/grant/ACL/profile ใหม่; revoke หยุดขั้นถัดไปและ resume ไม่เปลี่ยน caller เป็น owner
+Unknown outcomes ไม่ auto-retry Queue ไม่แทน expected hash หรือ OS sandbox; shell job
+รันด้วยสิทธิ์ OS-user ภายใต้ sandbox/trust ที่เจ้าของตั้งเดิม
+
+Local Config ยังคง loopback, token expiry, Host/Origin/proxy-header/rate checks และ CSP
+Admin API ไม่อยู่บน public MCP Events ใช้ authenticated fetch/cursor ไม่ใส่ token ใน URL
+ใช้ textContent แสดง path/model/error และไม่ render HTML จากโมเดล Tunnel credential
+ยัง run-scoped ตามเดิม การเริ่ม DODO/Keychain/macOS permissions ต้องผ่านเจ้าของ

package/docs/TEST_REPORT.md

@@ -0,0 +1,312 @@
+# DODO MCP — Test Report
+
+## Scope
+
+รายงานนี้ใช้กับ DODO MCP 1.0.0 source และแยกผล automated กับ manual อย่างชัดเจน
+
+## Optional Sub-agent MCP exposure — 2026-09-14
+
+เพิ่ม owner-only switch ที่ Local Config → Settings ค่าเริ่มต้นปิด โดยหน้าเว็บ Chat &
+Tasks ยังใช้ agent ได้ Full live catalog เปลี่ยนจาก complete 125 เป็น 121 ขณะที่
+Compact/Hybrid คง 19/49 tool names แต่กรอง operation enum, discover, overview note และ
+server instructions ให้ตรงกับ runtime ผลเปิดสวิตช์ต้อง restart/rescan และไม่ได้เพิ่ม
+OAuth scope, ACL, trust, profile authority, approval หรือข้าม guards ใด ๆ
+
+- `npm run build`, typecheck, lint — **AUTOMATED_PASS**
+- catalog/default/config/auth tests — **AUTOMATED_PASS**: default false, Full 121,
+  opt-in Full 125, Compact/Hybrid 19/49, hidden operation `NOT_FOUND`, stale/unauthorized
+  Local Config writes ถูกปฏิเสธ
+- Chromium UI-04 — **AUTOMATED_PASS**: switch, SweetAlert confirmation, persisted config,
+  restart notice และ Chat & Tasks ยังเข้าถึงได้; console/CSP errors = 0
+- `npm run test:all` — **AUTOMATED_PASS**: 649 passed / 31 skipped / 0 failed ใน
+  94 files ผ่าน, 2 files ข้ามตาม platform และ packaging 16/16
+- exact tarball smoke — **AUTOMATED_PASS**: fixture เปิด option โดยชัดแจ้ง, STDIO 125,
+  HTTP Compact 19, OAuth, write/edit/read-back, target routing และ Sub-agent receipt ผ่าน
+- `npm audit --omit=dev` — **AUTOMATED_PASS**: 0 vulnerabilities
+- owner server restart + external ChatGPT rescan — **MANUAL_NOT_RUN**
+
+## Local Config UI redesign — 2026-09-14 (macOS, Node 22.23.2)
+
+ปรับ Information Architecture เป็น dashboard 8 หน้า, เพิ่มระบบ tooltip ที่เข้าถึงได้, vendor SweetAlert2 11.26.25 (same-origin, CSP `'self'` เดิม ไม่มี `unsafe-inline`/`unsafe-eval`), provider action lifecycle, personal-mode UX และ hardened `/assets` route (normalize + extension allowlist + traversal fail-closed) ผลรันจริง:
+
+- `npm run build` / `npm run typecheck` / `npm run lint` — **AUTOMATED_PASS** (exit 0)
+- `npx vitest run tests/security/localConfig.test.ts` — **AUTOMATED_PASS** 9/9 (รวม CSP ไม่มี CDN, asset traversal/encoded/NUL/deep-path → 404, ไฟล์ first-party ไม่มี `innerHTML`, vendored assets เสิร์ฟจาก same origin)
+- `npx vitest run tests/integration/aiWorkbench.test.ts` — **AUTOMATED_PASS** 1/1 ใน Chromium จริง (nav ใหม่, SweetAlert confirm ก่อน probe, ผลทดสอบมี connection/model/เวลา, XSS ใน model output ไม่ทำงาน, ไม่มี secret ใน storage, 390px ไม่มี horizontal scroll, dark/light, keyboard focus, `pageerror` = 0)
+- `npx vitest run tests/integration/configUiComponents.test.ts` (UI-01..04) — **AUTOMATED_PASS** 4/4 ใน Chromium จริง: tooltip, SweetAlert, double-submit, text-only hostile names, personal/managed controls, theme/reduced motion, 320px และ Sub-agent MCP switch พร้อม restart notice/Chat & Tasks continuity; console error/CSP violation = 0
+- `npm run test:pack` — **AUTOMATED_PASS** 16/16 (PACK-07 ตรวจ ui/ + vendor/ อยู่ใน tarball, ไม่มี URL ภายนอกใน index.html, vendored SweetAlert2 ตรง byte กับ devDependency ที่ pin)
+- `npm run test:all` — **AUTOMATED_PASS**: 649 passed / 31 skipped (Windows-only บน macOS) / 0 failed ใน 94 ไฟล์ + packaging 16/16
+- Screenshot จาก Chromium fixture: `release-evidence/ai-workbench/{providers-desktop,task-desktop,task-mobile,history-mobile-light,overview-320}.png`
+- **MANUAL_NOT_RUN**: การแตะ tooltip บนอุปกรณ์ touch จริง (ทดสอบผ่าน Chromium click-as-tap แล้วเท่านั้น), screen reader จริง (VoiceOver/NVDA), และการใช้งานบนเบราว์เซอร์อื่นนอกจาก Chromium
+
+### Visual pass (theme tokens)
+
+ใช้พื้น charcoal/slate แบบเรียบใน dark mode และ warm neutral ใน light mode แยกชั้นด้วย surface, border และ spacing พร้อม accent ม่วงเฉพาะ control/สถานะสำคัญ ไม่มี gradient, ambient glow หรือ asset ตกแต่งจากภายนอก ส่วน sticky navigation ใช้ `backdrop-filter` เฉพาะเมื่อ browser รองรับ ตรวจด้วย Chromium fixture ว่า dark/light สลับค่าจริง และ `PACK-07` ล็อกข้อกำหนดว่า first-party CSS ต้องไม่มี `linear-gradient`, `radial-gradient` หรือ `conic-gradient` เทสต์ทั้งหมดข้างต้นรันซ้ำผ่านหลังปรับสี (AUTOMATED_PASS ทั้งชุด)
+
+### Layout tidy pass (spacing/grid system)
+
+จัดระเบียบตามหลัก 2026 (8px spacing scale, law of proximity, one shared shell width): เพิ่ม token ระยะ `--s1..--s8` + `--shell`/`--card-pad`, ลบการซ้อน card-in-card (`#workbench` เป็น layout container ไม่ใช่ card แล้ว, `.wb-section` ใช้ chrome เดียวกับ `.card` ทุกหน้า), รวมทุกหน้าให้กว้างเท่ากันและจัดกึ่งกลาง, form field กริด 2 คอลัมน์ระยะสม่ำเสมอ, ปุ่ม action เป็นแถวระยะเท่ากันแทน margin เฉพาะจุด, ยุบ `#wb-notice` ที่ว่างและทำเป็นกล่องเมื่อมีข้อความ ผลรัน gate เต็มล่าสุดหลังจัด layout และเพิ่ม Sub-agent exposure switch: **649 passed / 31 skipped / 0 failed + packaging 16/16** (รวม assertion viewport 320/390 ไม่มี horizontal scroll, personal-mode visibility, dark/light) — AUTOMATED_PASS
+
+## AI Providers / Multi-project — current source verification
+
+วันที่ 2026-09-14 บน macOS, Node 22.23.2; source v1.0.0 ที่ยังไม่ publish
+
+| Gate | ผล |
+|---|---|
+| Build, typecheck, lint | AUTOMATED_PASS |
+| Unit/integration/security/compatibility | AUTOMATED_PASS — 94 files, 649 tests; skipped 2 files / 31 tests ตาม platform/prerequisite |
+| Packaging suite | AUTOMATED_PASS — 16 tests |
+| Production npm audit | AUTOMATED_PASS — 0 vulnerabilities |
+| Chromium owner UI | AUTOMATED_PASS — 1440px/390px, dark/light, keyboard, safe model text, explicit resource image attachment, create file in B and history reconnect without replay |
+| macOS Keychain | AUTOMATED_PASS — synthetic set/get/delete round-trip; fixture item deleted |
+| Exact tarball fresh install | AUTOMATED_PASS — explicit Sub-agent opt-in: Full 125, Compact HTTP 19 + OAuth, write/edit/read-back, target B, provider fixture agent write + receipt; cleanup passed |
+| Linux Docker | NOT_RUN — runner command stops at docker info; local Engine socket unavailable |
+| Live OpenAI, Gemini, Claude, MiniMax, GLM, Kimi, Ollama | MANUAL_NOT_RUN — no live credentials/model inference used |
+| Native Windows for this feature | MANUAL_NOT_RUN — outside this task |
+
+Protocol fixtures exercise all seven presets / five adapters, fragmented streams, tool
+call IDs and continuation/signatures, 429, abort/interruption, credential-echo rejection,
+DNS/private/metadata policy and redirect refusal. These results do not establish live
+model compatibility or provider billing behavior.
+
+Personal-mode regressions prove an owner-approved OAuth token can list/read/write an
+owner-registered Project B with no duplicate workspace ACL, while read-only scope still
+cannot write. Enabled remote profiles are discoverable without a ProjectAI allowlist;
+managed mode remains explicit and retains existing ACL/trust/egress tests. Persistent
+Desktop consent is reused across workspace epochs/projects, temporary consent remains
+workspace-bound, snapshots remain stale across epochs, and installation disable revokes it.
+
+Real HTTP + OAuth fixtures prove parallel A/B jobs and writes, no-default-ACL project
+selection, target scope/context rejection, secret/hash guards and isolated changesets.
+Agent fixtures verify write/read/edit/exec/read, actual stdout receipts, inspect approvals,
+queued revocation/conflict, owned-job cancellation, no recursive spawn, idempotency,
+explicit process-crash recovery and uncertain-outcome refusal. Runtime teardown tests
+prove new requests cannot acquire a closing target while the default remains usable.
+
+Private non-secret evidence is retained under release-evidence/ai-workbench (ignored and
+not packaged): gate log, audit, artifact manifest/checksum, fresh-install report and five
+actual UI screenshots. The npm manifest includes all 11 UI assets, AI runtime modules,
+Full/Compact/Hybrid schemas and the AI provider guide; development docs, conversations,
+state databases, media/model files and credentials are absent.
+
+No live provider or external ChatGPT acceptance is reported as MANUAL_PASS. No publish,
+global reinstall, existing-server restart or tunnel/DNS change is part of this work.
+
+## Baseline gates before AI Providers / Multi-project
+
+
+```bash
+npm run build
+npm run typecheck
+npm run lint
+npm run test:all
+npm audit --omit=dev
+npm pack
+```
+
+ผล local gate วันที่ 2026-09-14 (macOS, source checkout):
+
+- build: PASS — full 121, compact 19, hybrid 49 และ config schemas ถูกสร้างสำเร็จ
+- typecheck: PASS
+- lint: PASS
+- core/integration/security/compatibility: 84 files PASS, 2 files platform-skipped; 605 tests PASS, 31 tests platform/prerequisite-skipped
+- packaging: 16 tests PASS
+- `npm audit --omit=dev`: 0 vulnerabilities (0 low/moderate/high/critical)
+- `npm pack`: PASS — required runtime/schemas/docs present and forbidden private state/development artifacts absent; exact final artifact metadata is reported separately so the packaged report does not contain a self-referential checksum
+- fresh exact-tarball install: PASS — `dodo --version` = `1.0.0`, Full = 121,
+  Compact = 19 และ installed Compact `dodo_assist_read → memory_status`,
+  `dodo_assist_change → runtime_session_open` และ `agent_run_open` คืน schemaVersion 1
+  จาก fresh state สำเร็จ โดย agent run มี `authority=coordination_only`
+
+macOS owner-flow verification เพิ่มเติมหลังเปลี่ยน Tunnel lifecycle:
+
+- headless Chromium แสดง Local Config จริงที่ 1440px และ 390px; temporary token
+  เป็น masked input, ไม่มี external asset และ state มาจาก runtime
+- pseudo-terminal fixture เรียก CLI จริงและพิสูจน์ hidden prompt → child environment,
+  token ไม่อยู่ใน terminal output/argv/config และ `SIGINT` ปิด owned child พร้อม DODO
+- exact tarball fresh install และ global reinstall รายงาน `dodo 1.0.0`; package 408 files
+  ไม่มี development docs, state DB, `.env`, model หรือ release evidence
+- `dodo setup --check --components all` บน macOS arm64: Git, ripgrep,
+  cloudflared, ffmpeg, Whisper/model, Chromium, LSP, speech และ sandbox พร้อม;
+  Desktop permission และ outbound web consent ยังไม่เปิดตาม security default
+
+ชุดทดสอบครอบคลุม transport, OAuth, Local Config, workspace switching, ACL, stale context, path/secret guards, changes, jobs, Git, semantic tools, assistance, multimodal, browser, workflow, surface catalog และ packaging
+
+Native candidate regression เพิ่ม lossless NTFS file IDs ผ่าน JSON/SQLite และ
+replaced-root checks, LSP drive/URI normalization, portable mid-write rollback,
+Windows private-fixture ACL และ writable CAS flush handle ผล local ข้างต้นไม่ใช้
+แทนผล native Windows CI; ต้องตรวจ Node 22/24 บน runner `windows-ci 02` แยกกัน
+
+IPC shutdown regression จำลอง endpoint ที่หายไประหว่างตรวจ identity และยืนยันว่า
+descriptor ปลอมหรือ ACL ที่เปิดกว้างซึ่งยังอยู่ยังถูกปฏิเสธ Packaging ล้างเฉพาะ
+temporary directory ของ suite หลังจบ รวมถึงกรณี test fail เพื่อไม่สะสม native
+dependencies และ private fixture state บนเครื่องที่รันทดสอบซ้ำ
+
+Fresh-install smoke รัน installed package ใน process ลูก และให้ parent ลบ fixture
+หลังลูก exit เพื่อให้ Windows ปลด native DLL ก่อน cleanup รายงาน `PASS` ถูกเขียน
+หลัง verification และ cleanup สำเร็จทั้งคู่เท่านั้น
+
+Setup foundation tests เพิ่มหลักฐานว่า setup plan/check ไม่เขียน state, installer ไม่เริ่มหากไม่มี `--yes`, setup receipt มี schema/kind ที่กำหนด, state import ใช้ allowlist, ตรวจ source hash ซ้ำ, ไม่ merge target เดิม และไม่คัดลอก DB/keys/OAuth/ACL/trust/permission state รวมถึง fail closed ต่อ malformed/unknown config, links และ live IPC markers
+
+Tunnel tests ใช้ fake `cloudflared` และ loopback readiness fixture พิสูจน์ว่า run-scoped token จาก runtime ไม่อยู่ใน config/argv/log/status, child รับผ่าน dedicated environment, job environment ไม่ inherit tunnel variables, owner IPC เป็น singleton ที่ authenticated, readiness มาจาก `/ready`, restart มีเพดาน และ runtime close หยุดเฉพาะ live owned child ไม่มีการใช้ Cloudflare credential, API, DNS หรือ public network จริง
+
+Global launcher และ interactive CLI tests พิสูจน์ว่า `dodo --cli` แสดง/เลือก/เพิ่ม
+โปรเจกต์ได้, setup menu ระบุ cloudflared, launcher ไม่ใช้ invocation CWD หรือเผย
+private inert root, anonymous MCP ยังได้ 401, OAuth installation login และ authenticated
+catalog ใช้ได้ก่อนเลือก target แต่ tool invocation ไม่มี ACL, invalid target ไม่เปิดสิทธิ์
+และ successful switch ใช้ real canonical root พร้อมบันทึก registry
+preference Local Config Tunnel fixture พิสูจน์ซ้ำว่า unauthenticated request ถูกปฏิเสธ,
+config endpoint ปฏิเสธ raw token, session endpoint ตอบ `tokenStored:false`, raw token
+ไม่อยู่ใน response/config/audit และ owner เริ่ม/หยุด process-owned runtime ได้
+
+Project Registry tests ครอบคลุม schema migration, Unicode/spaced canonical paths,
+duplicate และ concurrent add, stable project ID, directory relocation, missing/
+symlink/replaced readiness, corrupt metadata recovery, transactional audit, reviewed
+soft removal, Local Config authentication/XSS boundary, ACL/trust isolation, runtime
+workspace switch, Linux inode reuse, fail-closed v1 birth-time migration และ fresh
+tarball CLI
+
+Multi-project federation tests ใช้ HTTP + OAuth fixture จริงกับ Project A/B และ
+พิสูจน์ concurrent overview/read/search โดย active root/epoch ไม่เปลี่ยน, target
+identity/source hash, target-scoped audit, bounded partial failure, installation
+identity + per-project ACL, live ACL revocation, stale active epoch, legacy grant
+refusal, secret/traversal/replaced-root guards และ strict rejection เมื่อพยายามส่ง
+`projectId` เข้า write operation Universal Resource, Project Brain และ Context Engine
+operations และ Advanced Agent Runtime ทำให้ complete catalog เป็น 125; live default
+เป็น Full 121 / Compact 19 / Hybrid 49 เพราะซ่อน Sub-agent operations จนกว่า owner จะเปิด
+
+Universal Resource tests ใช้ HTTP + OAuth และ Compact gateway จริง ครอบคลุม text,
+binary range/resume, image/audio MCP blocks, raster transform, PDF/ZIP metadata,
+content hash dedup, concurrent ingest, restart persistence, expired-reference GC,
+old crash-object recovery, disk/reference quotas, expected hash/MIME, corrupt
+decoder input/CAS bytes, anonymous/read-only/revoked ACL, principal ownership,
+stale epoch, private config state, secret/traversal/symlink/hardlink และ target-specific
+inspect approval รวมถึง SQLite aggregate-quota trigger และ orphan grace ที่กัน GC
+ชนกับการสร้าง reference
+
+Project Brain tests ใช้ HTTP + OAuth, Full และ Compact gateway จริง ครอบคลุม bundled
+TypeScript AST parser, symbols/references/imports/routes/tests/dependencies, incremental
+one-file parse, affected relations, exact-content move ที่รักษา `symbol://` identity,
+syntax error, deleted/generated/secret/private files, pagination, cancel/concurrent run,
+restart/corruption recovery, source-hash freshness, anonymous/read-only/revoked ACL,
+workspace epoch, traversal/symlink/hardlink, principal-bound cursor และ target-specific
+inspect approval โดยไม่ execute source หรือ repository plugin
+
+Context Engine tests ใช้ HTTP + OAuth, direct Full และ Compact gateway จริง ครอบคลุม
+goal/Thai+identifier terms, deterministic ranking/evidence IDs, byte budget, cursor,
+L0–L6 cache hit/metrics, source-hash freshness transition, evidence recheck, active และ
+federated A/B retrieval by ID/name, unavailable target partial result, anonymous/live
+ACL/revocation, principal/workspace/cursor binding, secret/private-state/symlink guards,
+repository instruction เป็น untrusted content, canonical signed cursor, cache corruption
+recovery, Memory dependency freshness และ Runtime dependency freshness Fixture
+baseline มี precision=1 และ recall=1 สำหรับ source/test/docs ที่กำหนด พร้อม term
+coverage=1 และ latency ต่ำกว่า 5 วินาทีใน isolated local fixture (ไม่ใช่ production SLA)
+
+Memory tests ใช้ HTTP + OAuth, Full/Compact assistance gateways และ authenticated
+private owner IPC จริง ครอบคลุม evidence-bound proposal, exact digest approval,
+CURRENT/STALE retrieval, Context `MEMORY` evidence, source change ก่อน/หลัง approval,
+cross-client evidence isolation, live per-project ACL, explicit cross-project visibility,
+duplicate/conflict review, credential-shaped text, repository prompt injection,
+principal/workspace-bound canonical cursor, retention/prune ที่ไม่ลบ current record หรือ
+project file, learning proposal จาก current reviewed memory, non-executable owner review
+และ scrubbed owner audit
+
+Runtime Intelligence tests ใช้ HTTP + OAuth และ Compact gateways จริง ครอบคลุม
+durable session, nonblocking task start, completed-task reconnect หลัง server restart,
+idempotent retry ที่ไม่สร้าง job ซ้ำ, cancel, wall timeout, close refusal ขณะ running,
+process/test aggregate evidence, raw-output non-retention, guarded test-report counts,
+snapshot staleness, Context `OBSERVATION`, deterministic diagnosis, anonymous/read-only/
+revoked ACL, principal isolation, stale epoch, secret/traversal report path และ quota
+Headless Chromium fixture พิสูจน์ existing-session-only collection, MCP image passthrough
+persisted hashes/counts/bounded navigation timing, WebSocket-blocked policy และการ mark
+หลักฐานเดิมเป็น stale หลังหน้าเปลี่ยน โดยไม่มี DOM/console/password/header text
+
+Advanced Agent Runtime tests ใช้ HTTP + OAuth และ Compact gateways จริง ครอบคลุม
+immutable plan revision, bounded hypotheses, overlapping intent refusal, managed
+write/exec/read, metadata snapshot compare + original-journal rollback, current Runtime
+evidence judgement, exact completion criteria, durable restart recovery และ private
+owner skill review Security fixtures ครอบคลุม anonymous/read-only, principal isolation,
+live ACL revoke, stale epoch, path capability + intent, secret/traversal/nested context,
+program allowlist, target-bound inspect approval, hostile skill rejection และยืนยันว่า
+cancel coordinator ไม่ kill owned job
+
+Resource และ Project Brain cursor tests ตรวจ canonical Base64URL + HMAC ซ้ำ โดย token
+ที่เปลี่ยนอักขระท้ายต้องได้ `INVALID_INPUT` แม้ decoder จะถอด non-canonical text เป็น
+byte sequence เดียวกันได้
+
+Headless Chromium fixture เปิด Local Config จริงที่ ephemeral loopback ports เพิ่ม
+Project B ผ่าน UI, แสดงผลที่ desktop และ 390px, กดเปิดรายการ และตรวจว่า active
+workspace เปลี่ยนเป็น canonical root B สำเร็จ ภาพอยู่ใน local ignored artifacts และ
+ไม่ถูก pack การตรวจบน owner browser/config จริงยังคง `MANUAL_NOT_RUN`
+
+## Surface evidence
+
+- Complete Full capability schema: 125 tools
+- Full live default: 121 tools; owner opt-in Sub-agent exposure: 125
+- Compact surface: 19 tools
+- Hybrid surface: 49 tools
+- generated schema metric: Full 443,030; Compact 52,317; Hybrid 124,657 bytes
+- Compact schema เป็น catalog แยกและลด schema load ตอนเชื่อมต่อ
+- Full schema อยู่ใน `schemas/tools.json`
+- Compact schema อยู่ใน `schemas/tools.compact.json`
+- Hybrid schema อยู่ใน `schemas/tools.hybrid.json`
+
+## DodoBench / release gate
+
+DodoBench core v1 ใช้ isolated real HTTP + OAuth fixtures ประเมิน 7 เคสบนเครื่องที่มี
+Chromium: retrieval A/B, safe edit, runtime diagnosis, image resource, restart recovery,
+security boundaries และ browser image block ผลแต่ละรอบบันทึก revision/lock/config/OS,
+tool calls, serialized bytes, p50/p95, precision/recall, wrong-file rate, cache hit และ
+security violations โดย `modelTokens=null` เพราะไม่มี model call
+
+Fresh release smoke ติดตั้ง exact tarball ใน temporary prefix เปิด Sub-agent exposure
+แบบ explicit แล้วตรวจ CLI 1.0.0, STDIO Full 125, HTTP Streamable + OAuth Compact 19,
+write/edit read-back และ Sub-agent receipt จริง ค่า default-off ถูกตรวจแยกใน STDIO/HTTP/
+packaging regressions
+Release policy ใช้ macOS local และ Linux Docker โดย report ต้องมี revision/lock digest
+ตรงกันก่อน strict gate จะผ่าน Linux Docker image ติดตั้ง Playwright Chromium
+Dedicated self-hosted GitHub Actions รัน Linux X64 Docker และ Windows X64 native
+candidate บน Node 22/24 โดยไม่รับ untrusted pull requests Windows manual acceptance
+ยังคง `MANUAL_NOT_RUN`
+
+## Required security scenarios
+
+- anonymous HTTP request ได้ 401
+- read-only scope เรียก write/exec ไม่ได้
+- managed mode: token ที่ไม่มี workspace ACL ถูกปฏิเสธ; personal mode ยังต้องมี owner-registered target และ live scope
+- workspace mismatch และ stale epoch ถูกปฏิเสธ
+- secret, traversal, symlink และ hardlink guard fail closed
+- inspect mode ยังคง target approval
+- expected hash conflict ไม่ overwrite ไฟล์
+- running jobs block workspace switch
+- switch failure ทำให้ workspace เดิมใช้งานต่อได้
+- gateway ไม่เรียก gateway อื่นหรือ owner controls
+- federated target ที่ไม่มี ACL/installation identity ถูกปฏิเสธโดยไม่เผย path
+- federated secret/traversal/replaced root fail closed และ write/exec federation ยังปิด
+- memory proposal ใช้ evidence ID ข้าม client ไม่ได้และ source-changed proposal fail closed
+- AI ไม่มี MCP operation สำหรับ memory approval/prune/learning review; owner action ใช้ private authenticated IPC + digest
+- current memory ไม่ถูก prune และ learning approval ไม่ติดตั้ง/execute หรือ grant authority
+- runtime handle ข้าม principal/workspace ไม่ได้, revoke มีผลทันที และ inspect exec ยังต้อง target-bound approval
+- runtime evidence ไม่เก็บ raw process/browser secret และ changed source ถูก mark stale
+- agent run ไม่เพิ่ม authority, managed target ตรวจ live ACL/epoch/scope/policy ซ้ำ และ path write ต้องมี capability + intent
+- agent skill ที่ยังไม่ผ่าน exact private owner review ถูกซ่อนและไม่ executable
+- agent coordinator cancel/pause ไม่ kill job และ restart ไม่ replay action
+
+## Packaging
+
+ตรวจว่า tarball มี `dist`, `schemas`, `docs`, `README.md`, setup scripts และ native sources ตาม package policy และไม่มี state DB, OAuth credentials, tokens, models หรือ release temp files
+
+## Manual gates
+
+การทดสอบผ่าน ChatGPT, Claude หรือเครื่อง Windows จริงต้องทำใน environment ของผู้ใช้และรายงานแยกเป็น `MANUAL_PASS` หรือ `MANUAL_NOT_RUN` ห้ามสรุปจาก catalog, macOS หรือ Linux Docker เพียงอย่างเดียว
+
+สถานะ manual setup/import บน owner state จริง: `MANUAL_NOT_RUN` การตรวจรับใช้ isolated fixtures และ temporary package เท่านั้น ไม่มีการเปลี่ยน owner config, OAuth state, tunnel, DNS หรือ global installation
+
+สถานะ real Cloudflare Tunnel บน macOS/Windows/Linux: `MANUAL_NOT_RUN`
+
+สถานะ multi-project federation ผ่าน external AI และ owner project จริง: `MANUAL_NOT_RUN`
+
+สถานะ owner-reviewed Memory ผ่าน external AI และ owner repository จริง: `MANUAL_NOT_RUN`
+
+สถานะ Runtime Intelligence ผ่าน external AI และ owner repository จริง: `MANUAL_NOT_RUN`
+
+สถานะ Advanced Agent Runtime ผ่าน external AI และ owner repository จริง: `MANUAL_NOT_RUN`