dodo-mcp 1.0.0

package/docs/adr/030-windows-native-candidate.md

@@ -0,0 +1,71 @@
+# ADR-030: Windows native candidate and authenticated owner IPC
+
+Date: 2026-09-10
+Status: Implemented candidate; native Windows validation and support claim pending
+Target source version: Windows native work
+
+## Context
+
+The Windows proposal identifies independent blockers in Unix-only IPC, POSIX
+shell/execute-bit assumptions, process-group cancellation, executable search,
+NTFS aliases and private-state permissions. Extending platform support must
+not turn a missing sandbox, private ACL or trusted executable into an implicit
+permission grant. Existing dirty working-tree changes must be preserved.
+
+## Decision
+
+Introduce shared platform helpers under `src/platform` and route jobs, git,
+search, LSP and media execution through the relevant helpers. Resolve implicit
+executables using absolute canonical paths outside the workspace; sanitize
+Windows PATH/PATHEXT and environment keys. Prefer Git for Windows Bash, with
+an explicit cmd.exe fallback and restricted batch arguments. Use bounded
+UTF-16 argv and cmd-line budgets. Windows cancellation targets live owned
+children through the absolute system taskkill executable, with hard-kill-only
+semantics; it is not Job Object containment.
+
+Use an owner-private per-listener credential on every OS. Windows transport
+uses a fresh named pipe; POSIX retains Unix sockets. Both peers authenticate
+using fresh nonce challenges and domain-separated HMAC over exact payloads.
+Credentials never travel on the IPC connection, and privileged requests are
+not sent until server authentication succeeds. Invalid/replayed proofs fail
+before owner command dispatch. Socket/descriptor cleanup is generation-bound.
+
+Windows state uses LOCALAPPDATA/dodo and checked DACLs; POSIX retains owner/mode
+checks. The Windows ACL code permits the current SID, SYSTEM and Administrators.
+Same-user processes and administrators remain inside the trust boundary.
+ACL failure is fatal rather than silently substituting ineffective chmod.
+
+Reject ambiguous NTFS lexical paths and recheck canonical components against
+containment and secret/protected guards. Do not claim elimination of same-user
+check/use races. Retry transient Windows sharing locks only within a bounded
+budget, never deleting a destination or clearing read-only attributes to force
+a write. Preserve BOM and CRLF bytes in source edits.
+
+OAuth, workspace/client ACLs, trust modes, per-action approvals, journals and
+compact/hybrid/full exposure retain their existing authority. Windows has no
+DODO command sandbox; requested sandboxing fails closed. Schedules require an
+explicit unsandboxed specification and separate local owner approval. Desktop
+and macOS speech remain unsupported on Windows; no silent privilege downgrade.
+
+## Compatibility and rollout
+
+The project keeps its current baseline while the Windows support status remains
+EXPERIMENTAL until the proposal's native gates pass. Add an allow-failure
+Windows Node 22/24 CI evidence job first; do not skip entire legacy suites to
+produce green results. Only after native tests and Windows 11 manual acceptance
+may that job become required and documentation say supported.
+
+The IPC protocol intentionally has no unauthenticated fallback. Owners
+must stop running servers from the existing installation or terminal before
+replacing the installation. OAuth/state is not cleared. Building a checkout
+never replaces a running server or a global installation by itself.
+
+## Evidence and outstanding gates
+
+Portable contracts exercise actual filesystem, processes and IPC on the local
+host. Windows-only tests remain skipped on POSIX and are not native evidence.
+Actual 8.3 aliases, DACL isolation from a second OS user, Defender/OneDrive,
+Windows full-suite portability and a real external Windows MCP client remain
+native/manual gates. See `docs/WINDOWS.md`, `docs/TEST_REPORT.md` and
+`release-evidence/Windows native work/verification.json`. No npm publication, git tag or
+production deployment is implied by this ADR.

package/docs/adr/031-owner-selected-tunnel-supervision.md

@@ -0,0 +1,13 @@
+# ADR-031 — Owner-selected Cloudflare Tunnel supervision
+
+**Status:** accepted (implemented)
+
+**Decision.** DODO starts only an owner-selected, trusted `cloudflared` executable owned by the current HTTP process. `dodo start` can attach it immediately; the authenticated Local Config can start or stop the same process-owned runtime. The owner still creates the remotely-managed Tunnel, public hostname and DNS in Cloudflare.
+
+The default flow uses a run-scoped token entered through a hidden terminal prompt or the authenticated loopback Local Config. The token is never persisted in global config or an OS credential store. A process-owned `TunnelRuntime` forwards it through the managed child's dedicated environment and stops that child with DODO; it is absent from argv, logs, MCP, audit and job environments. Explicit secure credential references remain supported only by advanced standalone tunnel commands for compatibility.
+
+The supervisor uses a separate authenticated singleton owner IPC endpoint, loopback readiness, bounded restarts, private bounded/redacted logs and live child handles for termination. It never signals a saved PID or searches by process name. Local Config and the metrics listener remain loopback-only and are not part of the public route.
+
+**Trade-off.** Foreground supervision is easier to inspect and stop safely, but the terminal must remain open. Native service installation is left to the owner. A readiness success proves a Cloudflare connection, not that an AI client is connected.
+
+**Evidence.** `tests/security/tunnelCredentials.test.ts`, `tests/integration/tunnelSupervisor.test.ts`, authenticated IPC tests, setup tests and packaging tests exercise credential boundaries, argv non-disclosure, exact redaction, singleton ownership, readiness, bounded restart and owned stop without using a real Cloudflare credential or network tunnel. Real macOS/Windows/Linux Tunnel validation remains a manual gate in `docs/MANUAL_ACCEPTANCE.md`.

package/docs/adr/032-owner-project-registry.md

@@ -0,0 +1,43 @@
+# ADR-032: Owner-only durable project registry
+
+Status: Accepted
+
+## Context
+
+Workspace identity เดิมเหมาะกับการ enforce authority ของ active root แต่ถูกสร้าง
+จาก installation secret และ canonical path จึงไม่ใช่ stable product identity เมื่อ
+เจ้าของ rename โปรเจกต์ และไม่สามารถใช้เป็นรายการหลายโปรเจกต์ที่ตรวจ readiness ได้
+
+## Decision
+
+เพิ่ม installation-level SQLite `project_registry` ที่ใช้ opaque random `projectId`
+แยกจาก path-derived `workspaceId` Registry เก็บ canonical root, directory identity,
+display name, metadata version และ timestamps พร้อม soft removal
+
+CLI และ Local Config เท่านั้นที่เข้าถึง registry ไม่มี MCP tool หรือ public admin
+route การ add/remove ไม่เปลี่ยน trust, OAuth, ACL, jobs, plans หรือ history
+
+การ add path ใหม่ที่ path เดิมหายและ directory identity ตรงกับรายการเดิมถือเป็น
+relocation: projectId คงเดิม แต่ workspaceId เปลี่ยนตาม canonical path ใหม่ จึงไม่มี
+authority ไหลตาม project identity หาก path เดิมถูกแทนด้วย identity อื่น ระบบ fail
+closed และต้องให้เจ้าของ remove/add หลัง review
+
+รายละเอียดการเพิ่ม birth-time generation marker หลังพบ inode reuse บน Linux อยู่ใน
+[ADR-042](042-project-directory-generation-identity.md)
+
+Registry mutation และ scrubbed audit commit ใน SQLite transaction เดียวกัน
+metadata ที่ผิดรุ่นถูกแสดงเป็น `invalid` และไม่ถือว่า ready แต่ยังนำออกแบบ reviewed
+removal ได้
+
+## Consequences
+
+process หนึ่งยังมี active workspace เดียว Registry เป็น foundation สำหรับ federation
+ภายหลังและไม่เปลี่ยน MCP catalog การนำรายการออกไม่ลบ workspace authority/history
+เพื่อหลีกเลี่ยง destructive side effects
+
+## Evidence
+
+`tests/unit/projectRegistry.test.ts`, `tests/security/projectRegistry.test.ts`,
+`tests/integration/projectRegistry.test.ts`, Local Config/workspace switch regression
+tests และ packaging smoke ครอบคลุม migration, duplicate/concurrent add, relocation,
+identity replacement, corruption recovery, ACL isolation และ owner boundary

package/docs/adr/033-read-only-project-federation.md

@@ -0,0 +1,61 @@
+# ADR-033: Read-only project federation before effectful multi-project runtime
+
+## Status
+
+Accepted — DODO MCP 1.0.0 development baseline.
+
+## Context
+
+The owner Project Registry provides stable project IDs and readiness metadata,
+but registry membership is deliberately not authority. DODO needs bounded
+cross-project retrieval without changing the active workspace or weakening the
+existing OAuth, workspace ACL, path, secret and audit boundaries.
+
+Bootstrapping every target as another full runtime would also start or recover
+jobs, schedules, planners, workers and mutable resources. That would introduce
+effectful behavior before per-project locking and ownership contracts exist.
+
+## Decision
+
+DODO adds an isolated `FederationService` for read-only retrieval:
+
+- targets are selected only by opaque IDs already in the owner registry;
+- remote access requires a live installation identity grant, `dodo:read` in the
+  grant/current principal, and `dodo:read` in the target workspace ACL;
+- local STDIO is the owner principal and may read owner-registered targets;
+- target canonical path and directory identity are checked before each access;
+- each cached target has its own workspace filesystem policy, read/list/search/
+  overview services and process-local federation epoch; the runtime cache is
+  bounded to 16 least-recently-used targets;
+- cross-project search is capped at eight projects and one shared result budget;
+- authorized unavailable targets are explicit partial failures; an unauthorized
+  target rejects the whole request before any result is returned;
+- source hashes and target identity accompany results, while MCP envelope context
+  remains the active workspace;
+- target-scoped audit rows are written in addition to the outer tool audit.
+
+The existing tool names are retained. `project_overview`, `list_files` and
+`read_files` accept optional `projectId`; `search_code` accepts `projectId` or
+`projectIds`. Compact and Hybrid clients reach the same contract through
+`dodo_read`, so the Phase 03 surfaces remained 74/19/49 tools. ADR-034 later adds
+six full resource operations through the existing `dodo_media` gateway, making the
+current surfaces 80/19/49 without changing federation behavior.
+
+## Security consequences
+
+Registry metadata, search results, workflows and source hashes never become
+authority. The implementation does not change `process.cwd()`, active workspace,
+trust or ACL. Unknown/unauthorized project IDs return a generic refusal without
+paths. The target uses the same shared path/secret policy as an active workspace.
+
+Write, exec, jobs, plans, approvals, desktop and resource handles remain limited
+to the one active `BootstrappedWorkspace`. Clients must ask the owner to switch,
+call `project_overview` again and re-read current source before an effect.
+
+## Follow-up gate
+
+Effectful federation requires a separate ADR and evidence for per-project intent
+locks, stale-context binding, approval digests, journal/rollback recovery, job
+ownership/cancellation and bounded service shutdown. It must route target tools
+through the common invocation pipeline and may not infer permission from this
+read-only federation.

package/docs/adr/034-universal-resource-cas.md

@@ -0,0 +1,60 @@
+# ADR-034 — Universal Resource Layer and private content-addressed storage
+
+**Status:** Accepted for DODO 1.0.0 Phase 04
+
+## Context
+
+File tools, runtime media assets and generated previews previously used different
+identities and lifetimes. Large binary data also had no generic resumable contract;
+clients either needed a type-specific tool or risked loading a complete payload.
+
+## Decision
+
+Add six individual full-surface operations:
+`resource_inspect`, `resource_read`, `resource_read_range`, `resource_preview`,
+`resource_extract`, and `resource_transform`. Compact and Hybrid expose the same
+operations through the existing `dodo_media` gateway, so their catalog budgets stay
+19 and 49 while Full grows from 74 to 80.
+
+Resource bytes use an installation-private SHA-256 CAS. SQLite stores immutable
+object metadata and opaque references separately. A reference is scoped to the
+active workspace and a digest of `grantId` + `clientId`; it expires after 24 hours.
+Identical bytes share one object, but no reference, URI, hash, or resume token grants
+access by itself.
+
+Workspace ingest must pass the shared `WorkspaceFS` secret/protected/link policy,
+explicit private-state exclusion, regular-file identity checks before and after a
+streaming copy, size/quota limits, SHA-256 verification and optional expected
+hash/MIME checks. Owned runtime media assets may enter CAS only after their existing
+`MediaStorage` owner and live exec-scope checks pass.
+
+Every read verifies live OAuth/client/grant/workspace ACL, workspace context,
+principal ownership, private object identity, byte size and SHA-256. Range responses
+are at most 256 KiB. Resume tokens are HMAC-signed, expire after ten minutes and bind
+the object/hash/offset/workspace/principal, but still require all live authorization.
+
+Raster previews are bounded JPEG MCP image blocks. Small audio can be returned as an
+MCP audio block. SVG remains untrusted text. ZIP extraction reads bounded central
+directory metadata only and never inflates entries. Unsupported PDF/OCR/media text
+extraction returns an explicit unsupported result rather than inventing content or
+executing an external decoder. Transform is currently one bounded raster thumbnail
+and retains the existing exec/trust/owner-approval policy.
+
+CAS publication links one complete fsynced staging inode into its hash path with
+create-if-absent semantics, so a concurrent writer cannot overwrite the winner. A
+SQLite trigger is the authoritative aggregate 2 GiB quota check across processes.
+GC deletes expired references and then removes only objects with no remaining
+references while holding the SQLite write transaction. Newly created or freshly
+verified objects receive a one-hour orphan grace period so GC cannot race reference
+creation. Staging and unregistered crash leftovers older than that grace are removed
+on startup.
+
+## Consequences
+
+- All supported bytes now have one immutable identity and range contract.
+- CAS dedup does not merge ownership or workspace authority.
+- Full clients receive six new definitions; remote Compact/Hybrid clients retain
+  their established tool counts and discover the operations dynamically.
+- Full-hash verification before a range favors integrity over first-byte latency.
+- PDF text, OCR, archive inflation and general media transcoding remain provider work
+  for later phases; current providers do not silently claim those capabilities.

package/docs/adr/035-project-brain-incremental-index.md

@@ -0,0 +1,51 @@
+# ADR-035 — Incremental Project Brain with source-verified graph evidence
+
+## Status
+
+Accepted for DODO MCP 1.0.0.
+
+## Context
+
+Per-request AST/LSP calls answer a focused question but do not preserve a bounded project
+map. A persistent graph can reduce repeated work, yet cached code metadata creates a
+security and correctness risk if clients treat it as authority or current source.
+
+## Decision
+
+DODO keeps one regenerable Project Brain per workspace in installation SQLite. A bounded
+worker parses TypeScript/JavaScript with DODO's pinned TypeScript package and parses
+`package.json` as data. It never loads repository plugins or runs repository code.
+
+The cache key includes source SHA-256, parser version, graph schema version and relevant
+configuration. Incremental runs preserve unchanged parsed payloads, calculate affected
+sources from import and symbol-reference evidence, and commit cache plus graph atomically.
+An opaque file identity survives one unambiguous exact-content move, so semantic
+`symbol://` identifiers can survive path changes.
+
+Index records are evidence, not capabilities. Every public query rechecks the live grant,
+workspace ACL, workspace context, guarded path and current source hash. Stale records are
+omitted by default. HMAC cursors are bound to principal, workspace and query. Maintenance
+operations require `dodo:exec` and target-specific trust approval.
+
+## Consequences
+
+- Full grows to 86 operations; Compact remains 19 and Hybrid remains 49 by routing the six
+  brain operations through existing assistance gateways.
+- TypeScript/JavaScript and package dependency graphs are available immediately; other
+  language graph providers require an explicit later contract.
+- File-system metadata avoids hashing unchanged files on each poll, while final query
+  freshness still depends on SHA-256.
+- Exact-content copies get new identity; ambiguous multiple removals do not reuse identity.
+- Route/test/reference relations are labelled syntax evidence and do not claim runtime truth.
+- Interrupted or corrupt state queues a full rebuild while retaining the last committed graph.
+
+## Rejected alternatives
+
+- Treat graph IDs as authorization: rejected because copied/stale metadata must not bypass
+  direct source policy.
+- Load repository TypeScript plugins or execute build scripts: rejected because repository
+  configuration has no authority.
+- Rebuild the entire repository for every file change: rejected because the feature requires
+  measurable incremental work.
+- Use embeddings as the sole source of truth: rejected because results need source location,
+  hash, parser version and deterministic freshness evidence.

package/docs/adr/036-context-engine-evidence.md

@@ -0,0 +1,53 @@
+# ADR-036 — Goal-driven Context Engine and source-verifying evidence
+
+**Status:** Accepted for DODO 1.0.0 Phase 06
+
+## Context
+
+Low-level search, Project Brain and read-only federation expose useful evidence, but
+an AI client still had to select and merge each source itself. A raw repository dump
+would exceed context budgets, obscure omissions and make stale or inferred data look
+equivalent to verified source.
+
+## Decision
+
+Add `context_query`, `context_evidence` and `context_status` to Full. Compact and
+Hybrid route all three through the existing `dodo_assist_read` gateway, keeping their
+catalog sizes at 19 and 49 while Full grows from 86 to 89.
+
+`context_query` accepts a goal, optional terms, up to eight authorized project
+selectors, an evidence byte budget and pagination. It combines bounded literal
+search, active Project Brain entities/relations, active Git metadata and federated
+read search. Ranking is deterministic and includes reasons. Output always separates
+FACT, OBSERVATION, MEMORY, INFERENCE and HYPOTHESIS; unavailable Phase 07 memory and
+Phase 08 runtime sources remain explicit empty/unavailable data.
+
+Evidence records carry project/workspace identity, source type, opaque source URI,
+relative path, SHA-256, location, optional commit, confidence, generation/verification
+times, freshness and limitations. All retrieved content is marked untrusted.
+`context_evidence` resolves only records owned by the same principal/request workspace
+and rechecks live authorization and the current source dependency.
+
+SQLite stores caller-scoped context cache levels L0–L6, evidence records and aggregate
+metrics. Derived levels include dependency path/hash sets. Every L6 reuse first
+rechecks active and target ACL plus all dependencies; mismatch marks prior evidence
+stale and invalidates L1–L6. Cache/evidence have TTL and per-principal row caps. HMAC
+cursors bind query, source index version, active workspace and principal.
+
+## Security consequences
+
+Retrieval uses `dodo:read` and cannot call write/exec handlers. Project selectors are
+resolved only from the caller's authorized federation view; unauthorized targets fail
+without returning path metadata. Active and target `WorkspaceFS` policy remains the
+source/path/secret authority. Evidence IDs, hashes, source URIs, cache rows and cursor
+tokens grant no access. Repository instructions and retrieved text never alter OAuth,
+ACL, trust, approvals, command sandbox or tool policy.
+
+## Consequences
+
+- An AI can request bounded context by goal while seeing omissions and unavailable
+  providers explicitly.
+- Stale evidence is inspectable as stale and is never silently presented as current.
+- Full clients receive three additional definitions; remote catalog budgets remain
+  unchanged.
+- Federated semantic graph, durable memory and runtime evidence remain later phases.

package/docs/adr/037-owner-reviewed-memory.md

@@ -0,0 +1,46 @@
+# ADR-037 — Evidence-backed owner-reviewed memory
+
+**Status:** Accepted for DODO 1.0.0 Phase 07
+
+## Decision
+
+DODO แยก durable memory ออกจาก Context cache และ Project Brain โดยมี seven explicit
+kinds, source evidence snapshot, confidence, retention, CURRENT/STALE lifecycle และ
+project visibility แยกต่อ record
+
+MCP caller สร้างได้เฉพาะ non-permanent proposal จาก current `context_evidence` ของ
+principal เดียวกัน Permanent memory เกิดได้ผ่าน authenticated private owner IPC เมื่อ
+proposal ID และ digest ตรงกัน และเมื่อ source/conflict set ยังตรงกับตอนเสนอ
+
+Cross-project visibility ต้องระบุ project IDs ตอน owner approval และไม่ grant client
+ACL Learning proposal ต้องอ้าง current reviewed memory อย่างน้อยสองรายการ การ review
+learning ไม่ติดตั้ง ไม่ execute และไม่สร้าง authority
+
+Memory search ใช้ target tool pipeline, live OAuth/grant/ACL, bounded scan/budget และ
+principal/workspace/query-bound HMAC cursor Context Engine ใช้ memory เป็น evidence class
+`MEMORY` และผูก memory content hash/manifest เป็น cache dependency
+
+## Why
+
+Cache ลดงานซ้ำในช่วงสั้น แต่ไม่เหมาะกับการเก็บ decision หรือ successful fix ข้าม
+conversation ส่วน graph อธิบายโครงสร้าง code มากกว่าประสบการณ์ การมี store แยกทำให้
+owner ตรวจ provenance, conflict, freshness และ retention ได้โดยไม่ยอมให้ repository
+content กลายเป็น policy
+
+## Consequences
+
+- Full surface เพิ่มห้า memory operations; catalog หลัง Phase 08 เป็น 104 tools; Phase 09 เพิ่มเป็น 121 tools;
+  Compact/Hybrid คง 19/49 และ route
+  ผ่าน assistance gateways
+- SQLite migration เพิ่ม proposal, memory, visibility และ learning-review tables
+- source ที่เปลี่ยนหรือ retention หมดทำให้ memory stale และ Context cache ที่พึ่งพา
+  memory นั้นใช้ต่อไม่ได้
+- owner approval/prune/review มี scrubbed audit และไม่อยู่บน public MCP listener
+- v1 ไม่มี autonomous skill installation, self-modifying policy หรือ cross-user sharing
+
+## Verification
+
+Unit, HTTP+OAuth integration และ security fixtures ครอบคลุม proposal/approval digest,
+retrieval, Context integration, source staleness, client/ACL/project isolation,
+duplicate/conflict, retention/prune, credential-shaped input, prompt injection,
+learning review และ owner audit

package/docs/adr/038-runtime-intelligence.md

@@ -0,0 +1,46 @@
+# ADR-038 — Caller-scoped Runtime Intelligence
+
+**Status:** Accepted for DODO 1.0.0 Phase 08
+
+## Decision
+
+DODO เพิ่ม durable runtime session, task reference และ immutable evidence store ต่อ
+active workspace Session/evidence ผูก digest ของ `grantId + clientId`, workspace และ
+expiration และตรวจ live OAuth/client/workspace ACL ซ้ำทุก access
+
+Runtime task ใช้ `JobManager` และ invocation pipeline เดิมเท่านั้น: explicit
+program+argv, policy approval, idempotency, environment allowlist, timeout และ
+owner-selected command sandbox Browser collector ใช้ owned `BrowserService` session
+เดิมและไม่มี operation เปิด browser/web/permission เอง
+
+Persist เฉพาะ safe structured metadata, aggregate counts และ hashes ไม่ persist raw
+stdout/stderr, DOM/console text, request headers, cookies, credentials หรือ environment
+values Evidence เปลี่ยนเป็น STALE เมื่อ source recheck ไม่ตรง Snapshot เป็น metadata
+manifest และ rollback candidates; rollback จริงยังใช้ change journal เดิม
+
+Context Engine รับ current caller-owned runtime evidence เป็น `OBSERVATION` และใช้
+evidence content hash + caller-specific runtime manifest เป็น dependency Runtime
+diagnosis แยก FACT/OBSERVATION/INFERENCE และไม่มี effectful handler
+
+## Why
+
+JobManager ทำให้งานอยู่รอดข้าม protocol reconnect อยู่แล้ว แต่ไม่มี task grouping,
+bounded evidence provenance หรือ safe path เข้า Context Engine การสร้าง runtime layer
+บน service เดิมรักษา execution authority หนึ่งชุดและป้องกัน divergence ระหว่าง job,
+browser, sandbox และ gateway policy
+
+## Consequences
+
+- Full surface เพิ่ม 10 operations เป็น 104 ณ Phase 08; Phase 09 เพิ่มเป็น 121 โดย Compact/Hybrid คง 19/49
+- SQLite migration เพิ่ม runtime sessions/tasks/evidence พร้อม FK, quota และ expiry
+- server restart รักษา completed task/evidence metadata แต่ไม่ reattach หรือ signal PID
+- raw debugging output ยังใช้ bounded `job_output`; runtime evidence ไม่ทำสำเนา
+- v1 ไม่มี autonomous watcher, permission grant, hidden-input capture หรือ automatic fix
+
+## Verification
+
+HTTP+OAuth fixtures ครอบคลุม start/observe/cancel/timeout/idempotent retry,
+disconnect/restart reconnect, snapshot staleness, Context retrieval, browser image
+passthrough, raw-output non-retention, live ACL revoke, principal isolation,
+secret/traversal path guards, inspect approval และ evidence quotas Packaging fixture
+ยืนยัน runtime code/docs และ compact dispatch จาก tarball ที่ติดตั้งใหม่

package/docs/adr/039-advanced-agent-runtime.md

@@ -0,0 +1,57 @@
+# ADR-039 — Capability-narrowing Advanced Agent Runtime
+
+**Status:** Accepted for DODO 1.0.0 Phase 09
+
+## Decision
+
+DODO เพิ่ม durable Agent Runtime สำหรับ goal, immutable plan revisions, bounded parallel
+hypotheses, path/symbol/resource intents, metadata snapshots, evidence-backed judgement,
+restart recovery และ owner-reviewed reusable guidance
+
+Run เป็น coordination state ที่ผูก principal, workspace และ epoch และมี capabilities
+ที่ลดขอบเขตจาก authority เดิมเท่านั้น Managed read/write/exec ต้อง dispatch target จาก
+Core catalog ผ่าน `invokeToolDefinition`; target scope, live ACL, trust approval,
+WorkspaceFS, expected hash, command sandbox, idempotency และ audit ยังคง authoritative
+
+Effectful path operation ต้องอยู่ใน run `writablePaths` และถือ path intent ที่ครอบ path
+นั้น Intent overlap ระหว่าง hypotheses ถูกปฏิเสธ Snapshot ไม่เก็บ contents และ rollback
+ได้เฉพาะ exact caller-owned post-snapshot changeset ผ่าน original rollback pipeline
+
+Skill proposal เป็น immutable untrusted guidance ที่ไม่ปรากฏใน search จน owner ตรวจ
+exact digest ผ่าน authenticated private IPC Approved version ไม่ executable และไม่เป็น
+permission Coordinator pause/cancel ไม่ kill jobs
+
+## Why
+
+Runtime Intelligence มี task/evidence ที่ตรวจสอบย้อนกลับได้ แต่ยังไม่มี contract สำหรับ
+แบ่ง hypothesis, ป้องกัน candidate เขียนชนกัน, ผูก completion กับ current evidence หรือ
+กู้ coordinator state หลัง restart การเพิ่ม service ที่เก็บ metadata และเรียก target
+pipeline เดิมช่วยเพิ่มการประสานงานโดยไม่สร้าง execution authority ชุดที่สอง
+
+## Consequences
+
+- Full surface เพิ่ม 17 operations เป็น 121; Compact/Hybrid คง 19/49
+- Core 104 definitions คงชื่อ ลำดับ schema และ behavior เดิม
+- SQLite migration เพิ่ม runs/plans/hypotheses/intents/actions/snapshots/judgements และ
+  versioned skill proposal/skill tables
+- managed exec ใช้ explicit argv/owned handles และมี program/feature/job quotas เพิ่ม
+- restart ไม่ replay action; run เก่าเข้า `RECOVERY_REQUIRED`
+- owner review มีเฉพาะ private IPC/CLI ไม่มี MCP approval operation
+
+## Rejected alternatives
+
+- generic autonomous super-tool: authority กว้างและ audit target ไม่ชัด
+- plan/skill เป็น permission: ทำให้ untrusted stored content เพิ่มสิทธิ์ได้
+- automatic rollback/retry หลัง uncertain effect: เสี่ยงทำ side effect ซ้ำ
+- cancel coordinator แล้ว kill ทุก job: ละเมิด ownership และอาจหยุดงานอื่น
+
+## Verification
+
+HTTP+OAuth integration fixtures ครอบคลุม immutable plan, conflicting hypotheses,
+managed file change, metadata snapshot compare/rollback, current Runtime evidence,
+deterministic judgement, exact completion criteria, explicit argv และ restart recovery
+
+Security fixtures ครอบคลุม anonymous/read-only, principal isolation, live ACL revoke,
+stale epoch, writable-path + intent checks, secret/traversal/nested-context rejection,
+program allowlist, target-bound inspect approval, hostile skill rejection และยืนยันว่า
+cancel run ไม่ kill owned job

package/docs/adr/040-dodobench-release-gate.md

@@ -0,0 +1,43 @@
+# ADR-040: Revision-bound DodoBench and release evidence
+
+Status: Accepted
+
+## Context
+
+DODO มีหลาย capability ที่ทำงานร่วมกัน การนับ tool หรือทดสอบ handler แยกไม่พิสูจน์
+ว่า HTTP/OAuth, gateway, workspace security, durable state และ package artifact ยังทำงาน
+ร่วมกัน การประเมินด้วย AI เพียงครั้งเดียวก็ทำซ้ำยากและไม่ทราบ model/token baseline
+
+## Decision
+
+ใช้ DodoBench แบบ deterministic กับ isolated fixtures และ real HTTP/OAuth เป็น
+regression gate เก็บ baseline แบบ versioned และผูก report กับ source revision,
+dependency lock, dataset, configuration และ host environment ไม่สร้าง model-token
+estimate เมื่อไม่มี model call
+
+Release candidate ต้องผ่าน build/type/lint/test, DodoBench, production audit,
+manifest policy, immutable tarball checksum และ fresh exact-tarball install ซึ่งตรวจ
+ทั้ง STDIO Full และ HTTP Compact Candidate automation กับ release readiness เป็นคนละค่า:
+platform/manual/registry evidence ที่ยังไม่ได้รันต้องแสดงตามจริง
+
+Evidence directory เป็น local ignored output และไม่ถูก pack สคริปต์ release gate ไม่
+publish package และไม่รับ authority จาก benchmark result
+
+## Consequences
+
+Regression หลักตรวจซ้ำได้และชี้ revision ชัดเจน แต่ local fixture latency ไม่ใช่ SLA,
+browser case ขึ้นกับ Chromium และ external AI/Windows hardware ยังต้องมี separate gate
+การเปลี่ยน baseline ต้อง review dataset และ threshold พร้อมกัน
+
+## Addendum — local macOS and Docker Linux evidence
+
+ช่วงก่อนเริ่ม Windows phase ใช้ macOS local และ Linux Docker เป็น required automated
+platforms ไม่ใช้ GitHub Actions Docker image ติดตั้ง Chromium และสร้าง package/fresh
+install evidence จาก source copy แยก report ต้องตรงกับ host Git revision และ lock digest
+Windows แสดงเป็น `DEFERRED_MANUAL_NOT_RUN`; Linux Docker ไม่ใช่ Windows evidence
+
+## Addendum — trusted self-hosted runners
+
+ADR-043 เปิด GitHub Actions กลับมาหลัง dedicated Linux/Windows runners พร้อมใช้งาน
+Linux ยังคงรัน Docker gate เดิมและ Windows รัน native candidate gate ส่วน macOS เป็น
+local release gate Report ระบุ runner origin และ automated Windows ไม่แทน manual gate

package/docs/adr/041-local-macos-docker-linux-gates.md

@@ -0,0 +1,32 @@
+# ADR-041: Local macOS and Docker Linux release gates
+
+Status: Superseded by ADR-043
+
+## Context
+
+GitHub-hosted jobs ไม่ได้เริ่มทำงานจริงและจึงไม่ใช่หลักฐานทดสอบ การแสดง workflow
+สีเขียวจาก allow-failure อาจทำให้เข้าใจผิด ขณะเดียวกันทีมต้องการพัฒนา core ต่อบน
+macOS และตรวจ portability บน Linux ก่อน โดยเลื่อน Windows native ไปช่วงสุดท้าย
+
+## Decision
+
+ลบ GitHub Actions test workflows ใช้ macOS checkout เป็น platform แรก และสร้าง Linux
+Docker image จาก checkout เป็น platform ที่สอง Image ใช้ Node 22, ติดตั้ง Chromium,
+รัน build/typecheck/lint/full tests/DodoBench/audit/package/fresh-install smoke
+เหมือน release gate หลัก
+
+Docker build context ตัด Git metadata, credentials, local state, models, release evidence
+และ private development documents ออก Runner อ่าน revision/dirty state จาก host Git,
+ส่งเข้า container เป็น source attestation และตรวจ report กลับกับ package-lock digest
+
+Strict gate ต้องมี `AUTOMATED_PASS` จาก macOS และ Linux บน revision/lock เดียวกัน
+Linux report ต้องมาจาก clean source ที่มี `docker-host-git` provenance และผ่าน fresh
+tarball install จึงไม่สามารถนำ dirty candidate หรือ evidence จาก runner อื่นมาแทนได้
+Windows มีสถานะ `DEFERRED_MANUAL_NOT_RUN` และไม่อยู่ใน required platform set จนกว่า
+native Windows phase จะถูกเปิดอย่างชัดเจน
+
+## Consequences
+
+ผล Linux ทำซ้ำได้โดยไม่พึ่งสถานะ GitHub account และ browser fixture รันใน container
+จริง แต่ Docker Linux ยังใช้ kernel/architecture ของ Docker Desktop และไม่แทนเครื่อง
+Windows หรือ manual external-AI acceptance ไม่มีสคริปต์ใด publish npm

package/docs/adr/042-project-directory-generation-identity.md

@@ -0,0 +1,36 @@
+# ADR-042: Bind registered projects to a directory generation
+
+Status: Accepted
+
+## Context
+
+Project Registry เดิมระบุ directory ด้วย canonical path, device และ inode การรัน
+Linux gate ใน Docker พบว่า filesystem สามารถนำ inode เดิมกลับมาใช้ทันทีหลังลบแล้ว
+สร้าง directory ใหม่ที่ path เดิม ทำให้ tuple เดิมไม่พอพิสูจน์ว่าเป็น directory
+generation เดิม ความคลาดเคลื่อนนี้อาจทำให้ registry รายงาน replacement ว่า ready
+
+## Decision
+
+Project Registry metadata v2 เก็บ `root_birthtime_ns` เพิ่มจาก canonical realpath,
+device และ inode ทุก readiness check และ federation cache key ต้องตรวจ marker นี้ด้วย
+การ relocate รักษา opaque project ID ได้ต่อเมื่อทั้งสามค่าตรงกับรายการเดิม
+
+Migration เพิ่ม column ใหม่แต่ไม่ auto-upgrade row v1 เพราะไม่มี birth time เดิมให้
+เปรียบเทียบ และการเห็น device/inode เดิมในปัจจุบันยังแยก inode reuse ไม่ได้ Row นั้น
+จึงคง metadata v1 และถูกอ่านเป็น `invalid` จนเจ้าของ review, remove และ add path ใหม่
+
+การเพิ่มโปรเจกต์ใหม่บน filesystem ที่ไม่มี stable directory birth time จะได้
+`NOT_SUPPORTED` พร้อมคำแนะนำให้ย้ายไป local filesystem ที่รองรับ ข้อจำกัดนี้ไม่เพิ่ม
+สิทธิ์และไม่เปลี่ยน active-workspace ACL, OAuth, trust หรือ path guards
+
+## Consequences
+
+Directory replacement ถูกปฏิเสธแม้ numeric inode ถูก reuse และ federation context
+ไม่ reuse cache ข้าม directory generation แลกกับการไม่รองรับ durable Project Registry
+บน filesystem บางชนิดที่รายงาน birth time ไม่ได้
+
+## Evidence
+
+`tests/unit/projectRegistry.test.ts` จำลอง inode reuse แบบ deterministic และทดสอบ
+v1-to-v2 migration ส่วน Linux Docker gate รัน Project Registry, federation,
+security และ packaging suites บน Linux จริง