dodo-mcp 1.0.6 → 1.2.0

package/docs/TEST_REPORT.md

@@ -1,5 +1,51 @@
 # DODO MCP — Test Report
 
+## Release 1.2.0 — Cloudflare Local และ Simple Project Access
+
+ผล candidate บน macOS arm64 วันที่ 2026-09-16:
+
+- build: **AUTOMATED_PASS** — Complete Full 138, live Full default 134, Compact 20,
+  Hybrid 49 และ config schemas 2 ชุด
+- typecheck/lint: **AUTOMATED_PASS**
+- core/integration/security/compatibility: **AUTOMATED_PASS** — 726 passed /
+  35 skipped / 0 failed ใน 107 ไฟล์ที่ผ่านและ 3 ไฟล์ที่ skip
+- packaging: **AUTOMATED_PASS** — 16/16 รวม release document, ADR, generated UI
+  assets และ fresh tarball checks ตาม manifest
+- focused connection/project/OAuth/security/Chromium: **AUTOMATED_PASS** — 92 passed,
+  1 skipped, 0 failed; ทดสอบสาม connection modes, write-only credential boundary,
+  Remote Config ผ่าน owner-managed public mode, per-project `read/edit/full`,
+  project-name routing และ real browser UI
+- production dependency audit: **AUTOMATED_PASS** — 0 vulnerabilities
+- Cloudflare Local ผ่าน public hostname/process จริงของเจ้าของ: **MANUAL_NOT_RUN**
+- DODO Tunnel credential store/readiness ผ่าน public hostname จริงของ 1.2.0:
+  **MANUAL_NOT_RUN**
+
+Regression รอบแรกพบ security fixture คาด marker `Project Registry` ที่หายจากหัวข้อไทย
+จึงคืน marker ใน UI แล้วรัน focused และ full suite ใหม่จนผ่าน ไม่ได้ลด assertion
+หรือ security requirement
+
+## Release 1.1.0 — Android ADB tool family
+
+ผล candidate บน macOS วันที่ 2026-09-16:
+
+- build: **AUTOMATED_PASS** — Complete Full 138, live Full default 134, Compact 20,
+  Hybrid 49 และ config schemas 2 ชุด
+- typecheck/lint: **AUTOMATED_PASS**
+- core/integration/security/compatibility: **AUTOMATED_PASS** — 698 passed /
+  35 skipped / 0 failed ใน 103 ไฟล์ที่ผ่านและ 3 ไฟล์ที่ skip
+- packaging: **AUTOMATED_PASS** — 16/16
+- Android focused: **AUTOMATED_PASS** — parser/PNG/UI redaction, exact serial,
+  OAuth scope, compact image passthrough, approval binding, idempotency, secret/path
+  guards, expected-hash conflict, private staging cleanup, Local Config owner auth,
+  real HTTP+OAuth dispatch ของทั้ง 13 operation families และ Chromium UI
+- production dependency audit: **AUTOMATED_PASS** — 0 vulnerabilities
+- physical Android hardware/emulator: **MANUAL_NOT_RUN**
+- Android/Termux host acceptance: **MANUAL_NOT_RUN**
+
+Automated ADB ใช้ backend fixture ที่บันทึก argv/ผลลัพธ์จริงของ invocation pipeline
+โดยไม่แตะอุปกรณ์เจ้าของ จึงพิสูจน์ routing/security/content-block contract แต่ไม่แทน
+USB/Wireless debugging, RSA prompt, OEM Android behavior หรือ real device permission
+
 ## Release 1.0.6 — Android-safe Sharp loading
 
 ผล macOS วันที่ 2026-09-16:
@@ -74,6 +120,56 @@ Hybrid 49 tools; `npm run test:all` ผ่าน core/security/compatibility 99
 Live Cloudflare hostname และ OS credential store ด้วย credential ของเจ้าของสำหรับ source
 นี้: **MANUAL_NOT_RUN** — ไม่ถือว่า fixture cloudflared เป็นหลักฐานของ public network จริง
 
+## Pre-release project access, project names and tunnel readiness — 2026-09-16
+
+หลักฐานชุดนี้สร้างก่อนรวมเข้า 1.2.0 งานรอบนี้: Simple Project Access Policy (read/edit/full),
+เรียกโปรเจกต์ด้วยชื่อ (`targetProject`), แก้ข้อความที่บังคับ ACL ในโหมดส่วนตัว และแก้
+Cloudflare readiness ที่สถานะกระพริบ
+
+**รันจริงบน macOS arm64, Node v22.23.2:**
+
+- `npm run typecheck` / `npm run lint` / `npm run build` — **AUTOMATED_PASS** (exit 0)
+- `npm run test:all` — **AUTOMATED_PASS**: 705 passed / 34 skipped / 0 failed (106 ไฟล์)
+  + packaging 16/16
+- `npx vitest run tests/security/projectAccessLevel.test.ts` (ใหม่, 11 ข้อ) —
+  **AUTOMATED_PASS**: mapping ระดับ→scope, `full` token ถูกบีบตามระดับ, token `read`
+  เขียน/exec ไม่ได้แม้โปรเจกต์ `full`, managed mode ยังต้องมี ACL แล้วระดับบีบซ้ำ,
+  workspace ที่ไม่ได้ลงทะเบียนไม่ถูกบีบ, ค่าที่อ่านไม่ออก → `read` (fail closed),
+  row เก่า migrate เป็น `full` (ไม่ถอนสิทธิ์), ระดับผิด → ไม่มีโปรเจกต์ค้าง,
+  ชื่อซ้ำถูกปฏิเสธแบบไม่สนตัวพิมพ์, resolve ชื่อ/ชื่อกำกวม/ชื่อไม่รู้จัก
+- `npx vitest run tests/integration/projectByName.test.ts` (ใหม่) — **AUTOMATED_PASS**
+  ผ่าน HTTP + OAuth จริง: route ด้วยชื่อ, เขียนลงโปรเจกต์ถูกตัว, ตัวพิมพ์/ช่องว่างไม่สำคัญ,
+  ระดับ `edit` บล็อก exec แล้วยกเป็น `full` ทำได้, ชื่อไม่รู้จัก → NOT_FOUND,
+  id+ชื่อขัดกัน → INVALID_INPUT, ชื่อกำกวม → CONFLICT พร้อม candidate,
+  `targetProject` ใน nested args ถูกปฏิเสธและไม่มีไฟล์ถูกเขียน
+- `npx vitest run tests/unit/tunnelReadiness.test.ts` (ใหม่, 8 ข้อ) — **AUTOMATED_PASS**:
+  probe 200/503/ปิด/ค้าง, ไม่ใช้ socket ซ้ำ (นับ connection = 2), schema รองรับทุก phase,
+  state.json รุ่นเก่า parse ได้, ปฏิเสธ field แปลกปลอม
+- `npx vitest run tests/integration/tunnelSupervisor.test.ts` (เพิ่ม 3 ข้อ) —
+  **AUTOMATED_PASS** ด้วย fake cloudflared จริง: readiness ตกชั่วคราว → `degraded`
+  และ `connected` ยังเป็น true, ไม่มีบรรทัด "is not connected"; ล้มติดกันครบเกณฑ์ →
+  `disconnected` แล้ว recover กลับ `connected`; ไม่เคยรายงาน connected โดยไม่มีหลักฐาน
+- `npx vitest run tests/integration/projectAccessUi.test.ts` (ใหม่, 2 ข้อ) —
+  **AUTOMATED_PASS** ใน Chromium จริง: เพิ่มโปรเจกต์ครบในหน้าเดียว (path/ชื่อ/ระดับ),
+  การ์ดแสดงระดับที่ backend เก็บจริง, เปลี่ยนระดับแล้วยืนยันหลัง backend ตอบ,
+  reload ยังเห็นค่าเดิม, ชื่อซ้ำขึ้น error (ไม่ขึ้น success), personal ซ่อนฟอร์ม ACL /
+  managed แสดงครบ, 390px ไม่มี horizontal scroll, `pageerror` = 0
+- `npm run test:linux:docker` — **AUTOMATED_PASS** (node v22.23.2, arm64, Chromium)
+- `npm pack` + fresh install จาก tarball — **AUTOMATED_PASS**: 461 ไฟล์, ไม่มี
+  state.db/.env/jwks/.sock, `dist/projects/ownerAdmin.js` และ
+  `dist/security/projectAccess.js` อยู่ในแพ็กเกจ, และรัน
+  `dodo project add --access read` → `dodo project access "auto-upload" --mode full`
+  → `dodo project list` ได้จริงจาก tarball ที่ติดตั้งสด
+- `npm run test:windows` บน macOS — 56 passed / 30 skipped: **ไม่ใช่หลักฐาน Windows**
+  (ข้อที่เป็น Windows-only ถูก skip)
+
+**MANUAL_NOT_RUN** (ยังไม่มีหลักฐาน):
+- Windows native (windows-ci-02) — ยังไม่ได้รัน รอบนี้แก้สาเหตุที่เป็น Windows-specific
+  ไว้แล้ว (event-loop starvation จากการเขียน log, keep-alive socket) แต่ยังไม่มีหลักฐานจริง
+- การยืนยันบน tunnel จริง `https://mcp.baanseriesnow.com/mcp` กับ cloudflared จริง
+  (เทสต์ใช้ fake cloudflared ที่ควบคุม `/ready` ได้)
+- การอัปเกรดจาก state ของ 1.0.2/1.0.3 จริง (migration ตรวจด้วย fixture เท่านั้น)
+
 ## Scope
 
 รายงานนี้ใช้กับ DODO MCP 1.0.3 source และแยกผล automated กับ manual อย่างชัดเจน

package/docs/TUNNEL.md

@@ -1,8 +1,11 @@
-# DODO MCP — Local และ Cloudflare Tunnel
+# DODO MCP — Loopback, Cloudflare Local และ DODO Tunnel
 
 DODO มีโหมดเชื่อมต่อระดับ installation เพียงหนึ่งโหมดในแต่ละเวลา:
 
-- `local` — ใช้ MCP ที่ `http://127.0.0.1:21730/mcp` และไม่เริ่ม `cloudflared`
+- `local` — **เฉพาะเครื่อง (Loopback)** ใช้ MCP ที่
+  `http://127.0.0.1:21730/mcp` และไม่ใช้ Cloudflare
+- `external` — **Cloudflare Local (ติดตั้งในเครื่อง)** เจ้าของติดตั้งและรัน `cloudflared` เอง
+  DODO advertise public HTTPS origin แต่ไม่รับ token และไม่เริ่ม/หยุด process
 - `tunnel` — ใช้ public HTTPS origin เป็น MCP URL หลัก และ DODO เริ่ม/หยุด
   `cloudflared` ของตัวเองพร้อมทุก `dodo start`
 
@@ -14,7 +17,7 @@ DODO มีโหมดเชื่อมต่อระดับ installation
 
 | บริการ | ค่าเริ่มต้น | การเปิดเผย |
 |---|---:|---|
-| MCP + OAuth upstream | `127.0.0.1:21730` | Local เท่านั้น; Tunnel route มาที่พอร์ตนี้ |
+| MCP + OAuth upstream | `127.0.0.1:21730` | bind loopback เสมอ; Cloudflare ทั้งสองโหมด route มาที่พอร์ตนี้ |
 | Local Config | `127.0.0.1:21731` | Loopback เท่านั้นเสมอ |
 | Tunnel readiness/metrics | `127.0.0.1:21732` | Loopback เท่านั้นเสมอ |
 
@@ -22,14 +25,14 @@ Cloudflare public hostname ต้อง route **ทุก path** มาที่
 `http://127.0.0.1:21730` เพื่อให้ health, OAuth discovery, authorization และ `/mcp`
 ทำงานครบ ห้าม route พอร์ต 21731, 21732, private IPC หรือ debug endpoint ออก public
 
-แม้โหมด Tunnel ยังต้องมี listener 21730 เป็น private upstream ให้ `cloudflared`
-แต่ DODO จะ advertise public HTTPS URL เป็น endpoint ที่มีผล ส่วน Local Config ยังคง
+โหมด Cloudflare ทั้งสองแบบยังต้องมี listener 21730 เป็น private upstream ให้
+`cloudflared` แต่ DODO จะ advertise public HTTPS URL เป็น endpoint ที่มีผล ส่วน Local Config ยังคง
 เข้าผ่าน loopback ยกเว้น bounded `/config` lease ที่เจ้าของเปิดชั่วคราวเอง
 
-## เลือก Local
+## เลือกเฉพาะเครื่อง (Loopback)
 
 ```bash
-dodo tunnel configure --local
+dodo tunnel configure --loopback
 dodo start
 ```
 
@@ -39,9 +42,30 @@ dodo start
 dodo tunnel status
 ```
 
-Local mode ไม่ใช้ public origin และไม่เริ่ม Tunnel หากต้องการกลับไป Tunnel ต้องเลือก
+Loopback mode ไม่ใช้ public origin และไม่เริ่ม Tunnel หากต้องการกลับไป Cloudflare ต้องเลือก
 ใหม่อย่างชัดเจนด้วยคำสั่งหรือหน้า Local Config แล้ว restart DODO
 
+`--local` ยังเป็น alias เดิมของ `--loopback` เพื่อไม่ทำให้สคริปต์เก่าตีความต่างไป
+
+## เลือก Cloudflare Local (ติดตั้งในเครื่อง)
+
+โหมดนี้ใช้เมื่อผู้ใช้ติดตั้งและรัน `cloudflared` เอง เช่นผ่าน terminal, launchd,
+systemd หรือ Windows Service DODO ไม่ขอ Tunnel token และไม่อ้างว่า process เชื่อมต่อแล้ว
+เพียงเพราะบันทึก public URL
+
+```bash
+dodo tunnel configure \
+  --cloudflare-local \
+  --public-url https://mcp.example.com
+
+# รัน cloudflared ด้วยวิธีที่ผู้ใช้จัดการเอง แล้วจึงเปิด DODO
+dodo start
+```
+
+Cloudflare ต้อง route ทุก path ไป `http://127.0.0.1:21730` เช่นเดียวกับ DODO Tunnel
+ตรวจปลายทางจริงด้วย `dodo tunnel doctor` ค่า public health ที่ผ่านยืนยันเพียงว่า origin
+ตอบ DODO health ไม่ได้ยืนยันว่ามี AI client เชื่อมอยู่
+
 ## เลือก DODO Tunnel
 
 เจ้าของต้องสร้าง remotely-managed Tunnel, public hostname และ DNS ใน Cloudflare ก่อน
@@ -89,16 +113,17 @@ CLI argument, config JSON, log, audit, MCP response, browser storage หรื
 **การเชื่อมต่อ MCP**:
 
 1. ตั้ง Public origin เป็น HTTPS origin ของ Tunnel
-2. เลือก `DODO Tunnel`
-3. ใส่ Cloudflare Tunnel token หากยังไม่มี credential ที่บันทึกไว้
+2. เลือก `Cloudflare Local (ติดตั้งในเครื่อง)` หากจะรัน cloudflared เอง หรือ `DODO Tunnel` หากให้
+   DODO ดูแล process
+3. ใส่ Cloudflare Tunnel token เฉพาะ `DODO Tunnel`
 4. กดบันทึกและ restart DODO
 
-หรือเลือก `Local` แล้วบันทึกและ restart ค่าในหน้าเว็บไม่เปลี่ยน endpoint ของ process
+หรือเลือก `เฉพาะเครื่อง (Loopback)` แล้วบันทึกและ restart ค่าในหน้าเว็บไม่เปลี่ยน endpoint ของ process
 ที่กำลังรันอยู่ทันที หน้าเว็บจะแสดงสถานะ restart ที่ตรงกับ runtime จริง
 
 ## Remote Config ไม่เกินหนึ่งชั่วโมง
 
-Remote Config ใช้ได้เฉพาะเมื่อเลือก Tunnel และ DODO-owned Tunnel กำลังรันอยู่:
+Remote Config ใช้ได้เมื่อเลือก Cloudflare Local (ติดตั้งในเครื่อง) หรือ DODO Tunnel:
 
 ```bash
 dodo --web
@@ -109,6 +134,9 @@ dodo web --status
 dodo web --close
 ```
 
+ในโหมด Cloudflare Local (ติดตั้งในเครื่อง) เจ้าของต้องรัน tunnel และ route ครบเอง ส่วน DODO Tunnel
+จะตรวจว่า supervisor ที่ DODO เป็นเจ้าของกำลังรันก่อนเปิด lease
+
 `/config` ตอบ 404 ตามค่าเริ่มต้น คำสั่ง `dodo --web` เปิดหรือเปลี่ยน lease ผ่าน
 authenticated private IPC โดยไม่ restart MCP และไม่รับ Tunnel token ผ่าน IPC URL ไม่มี
 query/fragment secret Pairing code มีอายุสั้นและใช้ได้ครั้งเดียว หลังจับคู่ browser ได้
@@ -128,10 +156,45 @@ dodo tunnel logs --lines 100
 dodo tunnel stop
 ```
 
-`status` ไม่อ่าน credential ส่วน `doctor` ตรวจ executable, credential, local health,
-Tunnel readiness และ public health แยกกัน Public health ที่ผ่านพิสูจน์เพียงว่า origin
-ตอบ DODO health ไม่ได้พิสูจน์ว่า AI client เชื่อมต่อแล้ว `stop` ส่งสัญญาณเฉพาะ live
-child handle ที่ supervisor ปัจจุบันสร้าง ไม่ค้นหรือ kill process ตามชื่อ/PID เก่า
+### สถานะของ Tunnel (state machine)
+
+`phase` ของ supervisor มีค่าเหล่านี้ และเปลี่ยนตามหลักฐานจริงเท่านั้น:
+
+| phase | ความหมาย |
+|---|---|
+| `starting` | supervisor เริ่มทำงาน ยังไม่ spawn cloudflared |
+| `connecting` | cloudflared รันแล้ว แต่ยัง **ไม่เคย** มีหลักฐาน readiness |
+| `connected` | `/ready` ตอบ 200 — ต้องมีหลักฐานจริงเท่านั้นจึงแสดงสถานะนี้ |
+| `degraded` | เคย connected แล้ว probe เริ่มล้ม แต่ยังไม่ถึงเกณฑ์ (กำลัง reconnect) |
+| `disconnected` | probe ล้มติดกันครบเกณฑ์ หรือ cloudflared exit |
+| `backoff` | รอ restart แบบมีขอบเขต |
+| `stopping` / `stopped` / `failed` | เจ้าของสั่งหยุด / หยุดแล้ว / restart หมดโควตา |
+
+สถานะยังมี `lastReadyAt`, `lastFailureAt` และ `consecutiveReadyFailures` เพื่อให้ดูได้ว่า
+readiness สำเร็จครั้งสุดท้ายเมื่อไร
+
+**ทำไมเมื่อก่อนสถานะกระพริบ** — เดิม probe ทุก 1 วินาทีโดย timeout 1.5 วินาที
+จึงซ้อนกันได้ ผลเก่าเขียนทับผลใหม่ และ probe ที่ล้ม **ครั้งเดียว** ก็พลิกสถานะและพิมพ์
+`readiness endpoint is not connected` ทันที ตอนนี้:
+
+- probe ทำทีละครั้ง ไม่ซ้อนกัน และมี generation fence ผลจาก child เก่าถูกทิ้ง
+- ต้องล้มติดกันครบเกณฑ์จึงจะเป็น `disconnected` — ล้มครั้งเดียวเป็นแค่ `degraded`
+  และ `connected` ยังเป็น true เพื่อไม่ให้ UI กระพริบ
+- ใช้ socket ใหม่ทุกครั้ง (`agent: false`) กัน keep-alive socket ที่ถูกปิดแล้ว
+  กลายเป็น error ปลอม
+- เขียน log ของ cloudflared แบบรวมกลุ่ม ไม่เขียนทับไฟล์ 512 KiB ทุกบรรทัด
+  (บน Windows การ retry rename ใช้ `Atomics.wait` ซึ่งบล็อก event loop จน probe timeout)
+- cloudflared exit → `disconnected` ทันที, restart มีขอบเขตตาม `maxRestarts` เสมอ
+- ไม่มี fallback เงียบ ๆ จาก tunnel ไป local และ token ไม่ปรากฏใน log หรือ error
+
+Tunnel เป็นระดับ installation รองรับทุกโปรเจกต์ การเพิ่มหรือเลือกโปรเจกต์ไม่ restart tunnel
+
+`status` ไม่อ่าน credential ส่วน `doctor` ตรวจ executable, local health และ public
+health ทุกโหมด แต่ตรวจ credential/supervisor readiness เฉพาะ DODO Tunnel ใน
+Cloudflare Local รายงาน process ownership เป็น `owner` และไม่ควบคุม process Public
+health ที่ผ่านพิสูจน์เพียงว่า origin ตอบ DODO health ไม่ได้พิสูจน์ว่า AI client
+เชื่อมต่อแล้ว `stop` ส่งสัญญาณเฉพาะ live child handle ที่ DODO supervisor ปัจจุบัน
+สร้าง ไม่ค้นหรือ kill process ตามชื่อ/PID เก่า
 
 ## ตั้งค่า MCP client
 

package/docs/adr/048-persistent-connection-mode.md

@@ -2,7 +2,9 @@
 
 ## Status
 
-Accepted in source; unreleased.
+Accepted in DODO 1.0.3. Extended by ADR-050 with an owner-managed Cloudflare Local
+mode; the credential and DODO-owned supervisor rules below remain authoritative for
+`tunnel` mode.
 
 ## Context
 

package/docs/adr/049-android-adb-control.md

@@ -0,0 +1,52 @@
+# ADR-049 — Owner-approved Android control through ADB
+
+## Decision
+
+DODO exposes a bounded Android capability family through an `AndroidService`. The
+native backend invokes a reviewed `adb` executable with `shell:false` and an exact
+owner-approved device serial. Full surface has individual `android_*` operations;
+Compact uses one `dodo_mobile` gateway so the Compact catalog remains at 20 tools.
+
+The local owner chooses `off`, `view`, or `control` and an exact serial allowlist.
+A temporary grant is bound to one workspace identity and epoch. A persistent grant
+belongs to the installation and survives project switches until the owner disables it.
+Neither kind grants OAuth scopes, project access, trust, an action approval, or a
+sandbox exception.
+
+Pairing, connecting, root mode, ADB server management and port forwarding remain
+owner actions outside the MCP catalog. The advanced operation accepts only
+device-side shell/exec-out/logcat/state/features command families. Dedicated install
+and push operations require a workspace source, shared path/secret/link checks and an
+expected SHA-256. They pass an immutable private staging copy to ADB and remove it
+after the command.
+
+Every effectful operation uses the shared invocation and idempotency pipeline. Screen
+input consumes a fresh principal-bound snapshot. Output, time and concurrency are
+bounded; one serial is process-wide serialized across project runtimes so concurrent
+agents cannot interleave device commands. Device output is untrusted content. Audit stores operation metadata and
+digests, never screenshots, UI text, logs or file bytes.
+
+## Why
+
+ADB offers one portable control plane for physical devices and emulators on macOS,
+Linux, Windows and Termux. Exact device consent prevents a connected phone from
+becoming available merely because the executable exists. Reusing the normal DODO
+scope, workspace and approval checks keeps mobile automation from becoming a second
+authorization system.
+
+## Consequences
+
+- `dodo:exec` is required even for device observation because connected-device state
+  is private host information.
+- ADB runs with the Android shell user's effective permissions and is not a device
+  sandbox. Owners must review `control` grants accordingly.
+- Operations whose outcome becomes uncertain are not silently retried.
+- Android/Termux as the DODO host remains experimental independently of the ADB tool
+  family.
+
+## Evidence
+
+- `tests/unit/androidAdb.test.ts`
+- `tests/security/androidAdb.test.ts`
+- `tests/integration/androidAdb.test.ts`
+- generated Full/Compact/Hybrid schema consistency and packaging gates

package/docs/adr/050-cloudflare-local-and-project-access.md

@@ -0,0 +1,67 @@
+# ADR-050 — Cloudflare Local mode and visible per-project access
+
+## Status
+
+Accepted for DODO 1.2.0. This extends ADR-048; its credential isolation and
+DODO-owned supervisor rules remain in force.
+
+## Context
+
+The owner UI used the label “Local” for loopback-only MCP. Owners also use the word
+local for a `cloudflared` binary installed and managed on the same machine, so the
+two-process ownership models were easy to confuse. The personal access UI also hid
+the detailed Trust and Client ACL cards without replacing them with a visible,
+simple project-level control. Authority still existed, but owners could not see or
+change the intended project ceiling from the Projects page.
+
+## Decision
+
+DODO exposes three mutually exclusive installation connection modes:
+
+- `local`: loopback-only MCP; no Cloudflare process or public origin is used.
+- `external`: **Cloudflare Local**; the owner installs, starts and stops
+  `cloudflared`. DODO advertises the reviewed public HTTPS origin but never accepts
+  a Tunnel token and never supervises that process.
+- `tunnel`: **DODO Tunnel**; DODO reads a credential through the reviewed credential
+  provider, starts one owned child, waits for readiness and stops that child.
+
+The UI never uses “Local” by itself. It labels the choices “เฉพาะเครื่อง (Loopback)”,
+“Cloudflare Local (ติดตั้งในเครื่อง)” and “DODO Tunnel”. `--local` remains a
+deprecated loopback alias because changing an old flag to a public mode would be an
+unsafe compatibility break; new commands are `--loopback` and
+`--cloudflare-local`.
+
+Every registered project has one visible access ceiling: `read`, `edit` or `full`.
+The Projects page displays and saves it in both personal and managed installations.
+In personal mode this replaces repeated Trust/Client ACL configuration; in managed
+mode the existing per-client ACL remains required. Effective authority is always:
+
+```text
+token scopes ∩ live grant scopes ∩ managed ACL (when enabled) ∩ project access ceiling
+```
+
+The ceiling cannot grant a missing OAuth scope and does not bypass workspace
+identity/epoch, approval, sandbox, path/secret guards, expected hashes, idempotency
+or audit.
+
+## Consequences
+
+- Saving Cloudflare Local never reads, writes or validates a DODO Tunnel token.
+- Remote Config can use either public Cloudflare mode; external mode depends on the
+  owner-managed route, while tunnel mode additionally requires the owned supervisor.
+- Existing `local` config remains loopback-only. Legacy external config migrates to
+  the explicit `external` mode.
+- Existing project rows migrate to `full` so the upgrade does not silently revoke
+  authority. Invalid stored levels fail closed to `read`.
+- Connection-mode and project-access changes require no repository configuration and
+  expose no owner operation through MCP.
+
+## Evidence
+
+- `tests/integration/connectionMode.test.ts`
+- `tests/integration/configUiComponents.test.ts`
+- `tests/security/tunnelCredentials.test.ts`
+- `tests/security/remoteConfig.test.ts`
+- `tests/integration/projectAccessUi.test.ts`
+- `tests/integration/projectByName.test.ts`
+- `tests/security/projectAccessLevel.test.ts`

package/docs/adr/README.md

@@ -64,3 +64,5 @@ decisions; ADR-011+ resolve implementation ambiguities without reducing security
 - [046 — Personal add-and-use mode](046-personal-access-mode.md)
 - [047 — Temporary Remote Config on the tunneled listener](047-temporary-remote-config.md)
 - [048 — Persistent exclusive Local/Tunnel connection mode](048-persistent-connection-mode.md)
+- [049 — Owner-approved Android control through ADB](049-android-adb-control.md)
+- [050 — Cloudflare Local mode and visible per-project access](050-cloudflare-local-and-project-access.md)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dodo-mcp",
-  "version": "1.0.6",
+  "version": "1.2.0",
   "author": "Arthittakun",
   "description": "DODO — local-first MCP server with multi-project coding, AI providers, sub-agents, context, memory, media and workflow tools; embedded OAuth and workspace permissions.",
   "type": "module",
@@ -46,6 +46,8 @@
     "docs/RELEASE_1.0.4.md",
     "docs/RELEASE_1.0.5.md",
     "docs/RELEASE_1.0.6.md",
+    "docs/RELEASE_1.1.0.md",
+    "docs/RELEASE_1.2.0.md",
     "docs/RELEASE_NOTES.md",
     "docs/SCHEDULES.md",
     "docs/SECURITY.md",
@@ -140,7 +142,9 @@
     "browser-automation",
     "video",
     "speech-to-text",
-    "workflow"
+    "workflow",
+    "android",
+    "adb"
   ],
   "repository": {
     "type": "git",

package/schemas/global-config.schema.json

@@ -370,6 +370,7 @@
           "type": "string",
           "enum": [
             "local",
+            "external",
             "tunnel"
           ]
         },