dodo-mcp 1.2.0 → 1.3.0

package/README.md

@@ -7,7 +7,7 @@
 - MCP ผ่าน HTTP ที่ `127.0.0.1:21730/mcp` พร้อม OAuth และ PKCE
 - Local Config แบบ loopback ที่ `127.0.0.1:21731` และ Remote Config ชั่วคราวผ่าน tunnel เมื่อเจ้าของสั่ง `dodo --web`
 - HTTP ใช้ Compact Tool Surface 20 tools เพื่อลดภาระการโหลด schema
-- STDIO ใช้ Full Tool Surface; มี capability definitions ทั้งหมด 138 รายการ แต่ค่าเริ่มต้นซ่อน Sub-agent 4 operations จาก MCP จึงเห็น 134 tools
+- STDIO ใช้ Full Tool Surface; มี capability definitions ทั้งหมด 158 รายการ แต่ค่าเริ่มต้นซ่อน Sub-agent 4 operations จาก MCP จึงเห็น 154 tools
 - Hybrid Surface 49 tools สำหรับ client ที่รับ catalog ขนาดกลาง
 - อ่าน ค้นหา สร้าง แก้ ย้าย ลบไฟล์ พร้อม expected hash, journal และ rollback
 - รันคำสั่ง งานแบบขนาน jobs, Git, TypeScript/JavaScript intelligence, LSP และ task assistance
@@ -162,6 +162,11 @@ Chat & Tasks · Runs & Jobs · Approvals · Knowledge · Settings) หน้า
 ไม่มี CDN, CSP `'self'` เท่าเดิม) การลบ/ยกเลิก/เปลี่ยนโหมดต้องยืนยันก่อนเสมอ
 และงานที่มีค่าใช้จ่ายหรือผลไม่แน่นอนจะบอกชัดว่า "ไม่ retry อัตโนมัติ"
 
+การสร้าง Agent ใช้หน้า **Providers & Profiles**: เลือกประเภท Coding/Review/Research,
+Provider connection และ Model ID แล้วกด **สร้าง Agent** รายชื่อโมเดลที่โหลดจาก
+Provider จะเข้าแบบฟอร์มให้อัตโนมัติ ส่วน permission, tool calling, token limits และราคา
+อยู่ในหัวข้อ **ตั้งค่าขั้นสูง** หาก endpoint ไม่รองรับการลิสต์โมเดลยังกรอก Model ID เองได้
+
 หน้า **Settings → Sub-agent tools ใน MCP** มีสวิตช์เปิด/ปิดการ expose
 `subagent_spawn`, `subagent_status`, `subagent_result` และ `subagent_control` ให้ AI
 ภายนอก ค่าเริ่มต้นปิดเพื่อให้ catalog สำหรับงานทั่วไปกระชับขึ้น แต่หน้า Chat & Tasks
@@ -169,6 +174,13 @@ Chat & Tasks · Runs & Jobs · Approvals · Knowledge · Settings) หน้า
 สร้าง MCP app ใหม่ตามพฤติกรรมของ client การตั้งค่านี้เปลี่ยนเฉพาะการมองเห็น tools
 และไม่เพิ่ม OAuth scope, trust, approval หรือสิทธิ์ของ profile
 
+หน้า **Settings → Tools ที่ AI มองเห็น** เลือกเปิด/ปิดแต่ละ operation ได้ พร้อมค้นหา
+และเปิด/ปิดทั้งหมวด ค่าใช้กับ Compact/Hybrid: operation ที่ปิดจะหายจาก
+`dodo_discover`, gateway enum และ direct duplicate ใน Hybrid หากปิดครบทั้งหมวด gateway
+นั้นจะไม่ถูกส่งให้ client จึงลดทั้งจำนวน schema และ context ที่ AI ต้องอ่าน Full/STDIO
+ยังคง definitions รายตัวครบตามเดิม เมื่อบันทึกต้อง restart DODO แล้ว rescan หรือสร้าง
+MCP app ใหม่ การตั้งค่านี้เป็น visibility เท่านั้นและไม่ grant สิทธิ์ใด ๆ
+
 ### เพิ่มโปรเจกต์ครั้งเดียว แล้วสั่งงานด้วยชื่อ
 
 เพิ่มโปรเจกต์จากหน้า Projects (หรือ CLI) โดยกรอกแค่ **ชื่อ**, **absolute path** และ
@@ -470,6 +482,10 @@ dodo_read(operation="read_files", args={...})
 
 `dodo_discover` คืน schema ของ operation ที่เลือกและ hash ที่ deterministic ส่วน gateway จะส่ง request ผ่าน policy pipeline เดียวกับ tool รายตัว จึงยังตรวจ scope, ACL, workspace ID/epoch, trust, approval, path guard, secret guard, hash และ audit ครบทุกชั้น
 
+เจ้าของลดรายการที่ AI เห็นได้จาก **Local Config → Settings → Tools ที่ AI มองเห็น**
+โดยไม่แตะ permission เมื่อปิด operation แล้ว schema ของ Compact/Hybrid จะตัดรายการนั้น
+ออกจริงหลัง restart/rescan ส่วน Full surface ไม่เปลี่ยน
+
 ชื่อ gateway `dodo_*` เป็นชื่อ MCP protocol ที่คงไว้เพื่อ compatibility กับ client ที่เชื่อมต่ออยู่ การเปลี่ยนชื่อ gateway ต้องทำเป็น protocol migration แยกต่างหาก
 
 ## การเปลี่ยน workspace
@@ -551,19 +567,23 @@ dodo desktop allow --app com.google.Chrome --mode control --persist --yes
 
 ## Development
 
-Platform CI ใช้ dedicated self-hosted runners ที่เจ้าของควบคุม: Linux X64 รันผ่าน
-Docker พร้อม Playwright Chromium และ Windows X64 รัน native candidate gate ส่วน
+Platform CI ใช้ dedicated self-hosted runners ที่เจ้าของควบคุม: Linux X64 และ
+Windows X64 รัน native candidate gate บนเครื่อง runner โดยตรง ไม่ใช้ Docker ส่วน
 macOS ยังรัน release gate บนเครื่องพัฒนา Workflow รับเฉพาะ push ที่ `main` และ manual
 dispatch ไม่รัน pull request จากภายนอกบน self-hosted runner
 
-รัน regression benchmark, macOS candidate gate และ Linux Docker gate ได้ด้วย:
+รัน regression benchmark และ macOS candidate gate ได้ด้วย:
 
 ```bash
 npm run bench
 npm run release:gate
-npm run test:linux:docker
 ```
 
+สั่ง Linux/Windows CI ผ่าน GitHub Actions → `platform-gates` → Run workflow →
+เลือก `all` หรือใช้ `gh workflow run platform-gates.yml --ref main -f platform=all`
+Linux รันเมื่อสั่ง workflow; Windows รันทั้งเมื่อ push ไป main และเมื่อสั่ง workflow
+อ่าน [การเตรียม runner และวิธีแก้ CI](docs/CI.md) ก่อนรันครั้งแรก
+
 GitHub workflow รัน Node 22 และ 24 ทั้ง Linux/Windows โดยไม่ publish npm Windows จะ
 ยังไม่ถูกประกาศเป็น supported platform จนกว่า automated native gate และ manual
 Windows 11 acceptance จะผ่านตามเอกสาร
@@ -572,8 +592,9 @@ Release gate สร้างหลักฐาน non-secret ใน ignored `rel
 exact-tarball ผ่าน STDIO Full กับ HTTP/OAuth Compact โดยไม่ publish npm ดูรายละเอียดที่
 [DodoBench และ Release Gate](docs/EVALUATION.md)
 
-เมื่อทั้งสอง report มาจาก Git revision และ `package-lock.json` เดียวกัน ให้รวมหลักฐาน
+เมื่อทั้งสอง report มาจาก clean Git revision, source fingerprint และ `package-lock.json` เดียวกัน ให้รวมหลักฐาน
 บน macOS ด้วย `node scripts/release-gate.mjs --release --platform-evidence /absolute/path/to/linux/gate-report.json`
+Linux report ต้องมาจาก native GitHub Actions; หลักฐาน Docker เก่าไม่แทน CI รอบใหม่
 คำสั่งนี้ไม่ publish package
 
 ```bash
@@ -586,3 +607,21 @@ npm pack
 ```
 
 โปรเจกต์นี้ใช้ GitHub repository [arthittakun/dodo-mcp](https://github.com/arthittakun/dodo-mcp) และ package `dodo-mcp`
+
+### Recovery — สำรองและกู้คืนงาน
+
+โปรเจกต์ที่ลงทะเบียนเปิด source backup เป็นค่าเริ่มต้น ก่อนแก้ไฟล์หรือรันคำสั่ง
+หน้า **Projects → Recovery** ใช้ตรวจประวัติ เปรียบเทียบ และยืนยันแผนกู้คืนได้จริง
+หรือใช้ `dodo recovery --help` ผ่าน terminal สำเนาอยู่ใน private state แยกจาก Git
+ของโปรเจกต์ และไม่ push ขึ้น GitHub อัตโนมัติ
+
+- กู้คืน checkpoint หรือ session ที่เลือก พร้อม expected hashes, สำเนาก่อนกู้ และ receipt หลัง reconnect
+- ตรวจไฟล์ที่ถูกแก้จากภายนอก และแยก `SAVED`, `VERIFIED`, `FAILED`, `INCONCLUSIVE`, `STALE` ให้เห็นตามหลักฐาน
+- ตั้งชื่อ/pin จุดกู้คืน และตรวจ retention ก่อนล้าง โดยรักษางานที่ไม่เกี่ยวข้อง
+- เพิ่ม Docker deployment target ได้โดยเจ้าของ: source ที่ตรวจแล้ว → image → health/stabilization → known-good พร้อม reviewed rollback
+- ตรวจ SQLite migration compatibility แบบอ่านอย่างเดียว และสำรอง private config แบบเข้ารหัสเมื่อเจ้าของเปิดแยก
+
+**Source restore ไม่ย้อนฐานข้อมูล, secrets, volumes หรือระบบภายนอก** การสำรอง config
+ใช้กุญแจจาก OS credential store และไม่ส่งเนื้อหาให้ AI; ไม่มี generic database rollback
+หรือการ restart service อัตโนมัติ ดู [คู่มือ Recovery](docs/RECOVERY.md),
+[การเปลี่ยนแปลง 1.3.0](docs/RELEASE_1.3.0.md) และ [ผลตรวจรับจริง](docs/TEST_REPORT.md)

package/dist/cli/dataRecovery.js

@@ -0,0 +1,38 @@
+import fs from 'node:fs';
+import { DodoError } from '../errors.js';
+export function registerDataRecoveryCommands(recovery, ipc) {
+    const database = recovery.command('database').description('owner-only read-only migration compatibility; never database rollback');
+    const print = (value) => console.log(JSON.stringify(value, null, 2));
+    database.command('targets').action(async () => print(await ipc('recovery.database.list')));
+    const review = (cmd) => cmd.requiredOption('--workspace <id>', 'current workspace ID').requiredOption('--epoch <epoch>', 'current epoch').option('--yes', 'confirm the exact owner operation', false);
+    const envelope = (opts, input) => {
+        if (!opts.yes)
+            throw new DodoError('INVALID_INPUT', 'review the owner operation and add --yes');
+        return { workspaceId: opts.workspace, workspaceEpoch: opts.epoch, confirm: true, input };
+    };
+    review(database.command('inspect <targetId>')).action(async (targetId, opts) => print(await ipc('recovery.database.inspect', envelope(opts, { targetId }))));
+    const jsonOperation = (group, operation, method) => review(group.command(operation).requiredOption('--file <path>', 'owner-reviewed bounded JSON; never secret values'))
+        .action(async (opts) => {
+        const st = fs.lstatSync(opts.file);
+        if (!st.isFile() || st.isSymbolicLink() || st.nlink !== 1 || st.size > 128 * 1024)
+            throw new DodoError('INVALID_INPUT', 'expected a bounded regular JSON file');
+        let input;
+        try {
+            input = JSON.parse(fs.readFileSync(opts.file, 'utf8'));
+        }
+        catch {
+            throw new DodoError('INVALID_INPUT', 'invalid owner JSON');
+        }
+        print(await ipc(method, envelope(opts, input)));
+    });
+    for (const op of ['configure', 'bind', 'unbind'])
+        jsonOperation(database, op, 'recovery.database.' + op);
+    const vault = recovery.command('private-config').description('owner-only encrypted secret-file recovery; explicit opt-in and OS key store required');
+    vault.command('list').action(async () => print(await ipc('recovery.config.list')));
+    jsonOperation(vault, 'configure', 'recovery.config.configure');
+    review(vault.command('backup <targetId>')).action(async (targetId, opts) => print(await ipc('recovery.config.backup', envelope(opts, { targetId }))));
+    review(vault.command('preview <backupId>')).action(async (backupId, opts) => print(await ipc('recovery.config.preview', envelope(opts, { backupId }))));
+    review(vault.command('apply <planId>').requiredOption('--hash <hash>', 'exact reviewed plan hash')).action(async (planId, opts) => print(await ipc('recovery.config.apply', envelope(opts, { planId, planHash: opts.hash }))));
+    review(vault.command('rotate <targetId>').requiredOption('--revision <n>', 'current target revision', Number)).action(async (targetId, opts) => print(await ipc('recovery.config.rotate', envelope(opts, { targetId, expectedRevision: opts.revision }))));
+}
+//# sourceMappingURL=dataRecovery.js.map

package/dist/cli/dataRecovery.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"dataRecovery.js","sourceRoot":"","sources":["../../src/cli/dataRecovery.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,SAAS,CAAC;AAEzB,OAAO,EAAE,SAAS,EAAE,MAAM,cAAc,CAAC;AAEzC,MAAM,UAAU,4BAA4B,CAAC,QAAiB,EAAE,GAAsE;IACpI,MAAM,QAAQ,GAAG,QAAQ,CAAC,OAAO,CAAC,UAAU,CAAC,CAAC,WAAW,CAAC,uEAAuE,CAAC,CAAC;IACnI,MAAM,KAAK,GAAG,CAAC,KAAc,EAAE,EAAE,CAAC,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,SAAS,CAAC,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC;IAC9E,QAAQ,CAAC,OAAO,CAAC,SAAS,CAAC,CAAC,MAAM,CAAC,KAAK,IAAI,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,wBAAwB,CAAC,CAAC,CAAC,CAAC;IAE3F,MAAM,MAAM,GAAG,CAAC,GAAY,EAAE,EAAE,CAAC,GAAG,CAAC,cAAc,CAAC,kBAAkB,EAAE,sBAAsB,CAAC,CAAC,cAAc,CAAC,iBAAiB,EAAE,eAAe,CAAC,CAAC,MAAM,CAAC,OAAO,EAAE,mCAAmC,EAAE,KAAK,CAAC,CAAC;IAC/M,MAAM,QAAQ,GAAG,CAAC,IAAY,EAAE,KAAc,EAAE,EAAE;QAChD,IAAI,CAAC,IAAI,CAAC,GAAG;YAAE,MAAM,IAAI,SAAS,CAAC,eAAe,EAAE,0CAA0C,CAAC,CAAC;QAChG,OAAO,EAAE,WAAW,EAAE,IAAI,CAAC,SAAS,EAAE,cAAc,EAAE,IAAI,CAAC,KAAK,EAAE,OAAO,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC;IAC3F,CAAC,CAAC;IACF,MAAM,CAAC,QAAQ,CAAC,OAAO,CAAC,oBAAoB,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,EAAE,QAAgB,EAAE,IAAY,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,2BAA2B,EAAE,QAAQ,CAAC,IAAI,EAAE,EAAE,QAAQ,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC;IAC7K,MAAM,aAAa,GAAG,CAAC,KAAc,EAAE,SAAiB,EAAE,MAAc,EAAE,EAAE,CAAC,MAAM,CAAC,KAAK,CAAC,OAAO,CAAC,SAAS,CAAC,CAAC,cAAc,CAAC,eAAe,EAAE,kDAAkD,CAAC,CAAC;SAC9L,MAAM,CAAC,KAAK,EAAE,IAA+B,EAAE,EAAE;QAChD,MAAM,EAAE,GAAG,EAAE,CAAC,SAAS,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;QACnC,IAAI,CAAC,EAAE,CAAC,MAAM,EAAE,IAAI,EAAE,CAAC,cAAc,EAAE,IAAI,EAAE,CAAC,KAAK,KAAK,CAAC,IAAI,EAAE,CAAC,IAAI,GAAG,GAAG,GAAG,IAAI;YAAE,MAAM,IAAI,SAAS,CAAC,eAAe,EAAE,sCAAsC,CAAC,CAAC;QAChK,IAAI,KAAc,CAAC;QAAC,IAAI,CAAC;YAAC,KAAK,GAAG,IAAI,CAAC,KAAK,CAAC,EAAE,CAAC,YAAY,CAAC,IAAI,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC,CAAC;QAAC,CAAC;QAAC,MAAM,CAAC;YAAC,MAAM,IAAI,SAAS,CAAC,eAAe,EAAE,oBAAoB,CAAC,CAAC;QAAC,CAAC;QACzJ,KAAK,CAAC,MAAM,GAAG,CAAC,MAAM,EAAE,QAAQ,CAAC,IAAI,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC;IAClD,CAAC,CAAC,CAAC;IACL,KAAK,MAAM,EAAE,IAAI,CAAC,WAAW,EAAE,MAAM,EAAE,QAAQ,CAAC;QAAE,aAAa,CAAC,QAAQ,EAAE,EAAE,EAAE,oBAAoB,GAAG,EAAE,CAAC,CAAC;IACzG,MAAM,KAAK,GAAG,QAAQ,CAAC,OAAO,CAAC,gBAAgB,CAAC,CAAC,WAAW,CAAC,sFAAsF,CAAC,CAAC;IACrJ,KAAK,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC,MAAM,CAAC,KAAK,IAAI,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,sBAAsB,CAAC,CAAC,CAAC,CAAC;IACnF,aAAa,CAAC,KAAK,EAAE,WAAW,EAAE,2BAA2B,CAAC,CAAC;IAC/D,MAAM,CAAC,KAAK,CAAC,OAAO,CAAC,mBAAmB,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,EAAE,QAAgB,EAAE,IAAY,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,wBAAwB,EAAE,QAAQ,CAAC,IAAI,EAAE,EAAE,QAAQ,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC;IACtK,MAAM,CAAC,KAAK,CAAC,OAAO,CAAC,oBAAoB,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,EAAE,QAAgB,EAAE,IAAY,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,yBAAyB,EAAE,QAAQ,CAAC,IAAI,EAAE,EAAE,QAAQ,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC;IACxK,MAAM,CAAC,KAAK,CAAC,OAAO,CAAC,gBAAgB,CAAC,CAAC,cAAc,CAAC,eAAe,EAAE,0BAA0B,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,EAAE,MAAc,EAAE,IAA+B,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,uBAAuB,EAAE,QAAQ,CAAC,IAAI,EAAE,EAAE,MAAM,EAAE,QAAQ,EAAE,IAAI,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC;IAClQ,MAAM,CAAC,KAAK,CAAC,OAAO,CAAC,mBAAmB,CAAC,CAAC,cAAc,CAAC,gBAAgB,EAAE,yBAAyB,EAAE,MAAM,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,EAAE,QAAgB,EAAE,IAAmC,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,wBAAwB,EAAE,QAAQ,CAAC,IAAI,EAAE,EAAE,QAAQ,EAAE,gBAAgB,EAAE,IAAI,CAAC,QAAQ,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC;AACpS,CAAC"}

package/dist/cli/deployment.js

@@ -0,0 +1,61 @@
+import fs from 'node:fs';
+import { DodoError } from '../errors.js';
+/** Private owner IPC only; reviewed files are bounded JSON, never executable repository configuration. */
+export function registerDeploymentCommands(program, ipc) {
+    const group = program.command('deployment').description('review registered Docker deployment targets and durable build/deploy outcomes');
+    const print = (value) => console.log(JSON.stringify(value, null, 2));
+    for (const op of ['targets', 'list'])
+        group.command(op).action(async () => print(await ipc(`deployment.${op}`)));
+    for (const op of ['inspect', 'compare'])
+        group.command(`${op} <deploymentId>`).action(async (deploymentId) => print(await ipc(`deployment.${op}`, { deploymentId })));
+    const reviewed = (cmd) => cmd.requiredOption('--workspace <id>', 'reviewed workspace ID')
+        .requiredOption('--epoch <epoch>', 'reviewed workspace epoch').option('--yes', 'confirm the exact reviewed operation', false);
+    const envelope = (opts, input) => {
+        if (!opts.yes)
+            throw new DodoError('INVALID_INPUT', 'review target/source and add --yes; Docker commands may affect resources outside the workspace');
+        return { workspaceId: opts.workspace, workspaceEpoch: opts.epoch, confirm: true, input };
+    };
+    reviewed(group.command('configure').requiredOption('--file <path>', 'owner-reviewed target JSON: expectedRevision, enabled, definition, confirmDaemonAccess'))
+        .action(async (opts) => {
+        const st = fs.lstatSync(opts.file);
+        if (!st.isFile() || st.isSymbolicLink() || st.size > 128 * 1024)
+            throw new DodoError('INVALID_INPUT', 'target configuration must be a regular JSON file at most 128 KiB');
+        let input;
+        try {
+            input = JSON.parse(fs.readFileSync(opts.file, 'utf8'));
+        }
+        catch {
+            throw new DodoError('INVALID_INPUT', 'invalid target JSON');
+        }
+        print(await ipc('deployment.configure', envelope(opts, input)));
+    });
+    reviewed(group.command('prepare').requiredOption('--target <id>', 'owner-registered target ID').requiredOption('--revision <n>', 'target revision')
+        .requiredOption('--verification <id>', 'current VERIFIED verification ID').requiredOption('--key <key>', 'idempotency key; reuse for retries'))
+        .action(async (opts) => print(await ipc('deployment.prepare', envelope(opts, {
+        targetId: opts.target, expectedTargetRevision: Number(opts.revision), verificationId: opts.verification, idempotencyKey: opts.key,
+    }))));
+    reviewed(group.command('build <deploymentId>').requiredOption('--hash <hash>', 'reviewed plan hash'))
+        .action(async (deploymentId, opts) => print(await ipc('deployment.build', envelope(opts, { deploymentId, planHash: opts.hash }))));
+    reviewed(group.command('apply <deploymentId>').requiredOption('--hash <hash>', 'reviewed plan hash').requiredOption('--image <digest>', 'reviewed immutable image digest'))
+        .action(async (deploymentId, opts) => print(await ipc('deployment.apply', envelope(opts, { deploymentId, planHash: opts.hash, imageDigest: opts.image }))));
+    for (const op of ['observe', 'source-preview'])
+        reviewed(group.command(`${op} <deploymentId>`))
+            .action(async (deploymentId, opts) => print(await ipc('deployment.' + op.replaceAll('-', '_'), envelope(opts, { deploymentId }))));
+    reviewed(group.command('maintenance').requiredOption('--file <path>', 'owner-reviewed maintenance JSON; preview returns a review ID/hash for apply'))
+        .action(async (opts) => {
+        const st = fs.lstatSync(opts.file);
+        if (!st.isFile() || st.isSymbolicLink() || st.nlink !== 1 || st.size > 65536)
+            throw new DodoError('INVALID_INPUT', 'maintenance JSON must be a bounded regular file');
+        let input;
+        try {
+            input = JSON.parse(fs.readFileSync(opts.file, 'utf8'));
+        }
+        catch {
+            throw new DodoError('INVALID_INPUT', 'invalid maintenance JSON');
+        }
+        print(await ipc('deployment.maintenance', envelope(opts, input)));
+    });
+    reviewed(group.command('rollback-prepare <deploymentId>').requiredOption('--key <key>', 'idempotency key for this rollback review'))
+        .action(async (deploymentId, opts) => print(await ipc('deployment.rollback_prepare', envelope(opts, { deploymentId, idempotencyKey: opts.key }))));
+}
+//# sourceMappingURL=deployment.js.map

package/dist/cli/deployment.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"deployment.js","sourceRoot":"","sources":["../../src/cli/deployment.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,SAAS,CAAC;AAEzB,OAAO,EAAE,SAAS,EAAE,MAAM,cAAc,CAAC;AAEzC,0GAA0G;AAC1G,MAAM,UAAU,0BAA0B,CAAC,OAAgB,EAAE,GAAsE;IACjI,MAAM,KAAK,GAAG,OAAO,CAAC,OAAO,CAAC,YAAY,CAAC,CAAC,WAAW,CAAC,+EAA+E,CAAC,CAAC;IACzI,MAAM,KAAK,GAAG,CAAC,KAAc,EAAE,EAAE,CAAC,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,SAAS,CAAC,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC;IAC9E,KAAK,MAAM,EAAE,IAAI,CAAC,SAAS,EAAE,MAAM,CAAU;QAAE,KAAK,CAAC,OAAO,CAAC,EAAE,CAAC,CAAC,MAAM,CAAC,KAAK,IAAI,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,cAAc,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC;IAC1H,KAAK,MAAM,EAAE,IAAI,CAAC,SAAS,EAAE,SAAS,CAAU;QAAE,KAAK,CAAC,OAAO,CAAC,GAAG,EAAE,iBAAiB,CAAC,CAAC,MAAM,CAAC,KAAK,EAAE,YAAoB,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,cAAc,EAAE,EAAE,EAAE,EAAE,YAAY,EAAE,CAAC,CAAC,CAAC,CAAC;IACvL,MAAM,QAAQ,GAAG,CAAC,GAAY,EAAE,EAAE,CAAC,GAAG,CAAC,cAAc,CAAC,kBAAkB,EAAE,uBAAuB,CAAC;SAC/F,cAAc,CAAC,iBAAiB,EAAE,0BAA0B,CAAC,CAAC,MAAM,CAAC,OAAO,EAAE,sCAAsC,EAAE,KAAK,CAAC,CAAC;IAEhI,MAAM,QAAQ,GAAG,CAAC,IAAY,EAAE,KAAc,EAAE,EAAE;QAChD,IAAI,CAAC,IAAI,CAAC,GAAG;YAAE,MAAM,IAAI,SAAS,CAAC,eAAe,EAAE,gGAAgG,CAAC,CAAC;QACtJ,OAAO,EAAE,WAAW,EAAE,IAAI,CAAC,SAAS,EAAE,cAAc,EAAE,IAAI,CAAC,KAAK,EAAE,OAAO,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC;IAC3F,CAAC,CAAC;IACF,QAAQ,CAAC,KAAK,CAAC,OAAO,CAAC,WAAW,CAAC,CAAC,cAAc,CAAC,eAAe,EAAE,wFAAwF,CAAC,CAAC;SAC3J,MAAM,CAAC,KAAK,EAAE,IAA+B,EAAE,EAAE;QAChD,MAAM,EAAE,GAAG,EAAE,CAAC,SAAS,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;QACnC,IAAI,CAAC,EAAE,CAAC,MAAM,EAAE,IAAI,EAAE,CAAC,cAAc,EAAE,IAAI,EAAE,CAAC,IAAI,GAAG,GAAG,GAAG,IAAI;YAAE,MAAM,IAAI,SAAS,CAAC,eAAe,EAAE,kEAAkE,CAAC,CAAC;QAC1K,IAAI,KAAc,CAAC;QAAC,IAAI,CAAC;YAAC,KAAK,GAAG,IAAI,CAAC,KAAK,CAAC,EAAE,CAAC,YAAY,CAAC,IAAI,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC,CAAC;QAAC,CAAC;QAAC,MAAM,CAAC;YAAC,MAAM,IAAI,SAAS,CAAC,eAAe,EAAE,qBAAqB,CAAC,CAAC;QAAC,CAAC;QAC1J,KAAK,CAAC,MAAM,GAAG,CAAC,sBAAsB,EAAE,QAAQ,CAAC,IAAI,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC;IAClE,CAAC,CAAC,CAAC;IACL,QAAQ,CAAC,KAAK,CAAC,OAAO,CAAC,SAAS,CAAC,CAAC,cAAc,CAAC,eAAe,EAAE,4BAA4B,CAAC,CAAC,cAAc,CAAC,gBAAgB,EAAE,iBAAiB,CAAC;SAChJ,cAAc,CAAC,qBAAqB,EAAE,kCAAkC,CAAC,CAAC,cAAc,CAAC,aAAa,EAAE,oCAAoC,CAAC,CAAC;SAC9I,MAAM,CAAC,KAAK,EAAE,IAAsF,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,oBAAoB,EAAE,QAAQ,CAAC,IAAI,EAAE;QAC7J,QAAQ,EAAE,IAAI,CAAC,MAAM,EAAE,sBAAsB,EAAE,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,EAAE,cAAc,EAAE,IAAI,CAAC,YAAY,EAAE,cAAc,EAAE,IAAI,CAAC,GAAG;KAClI,CAAC,CAAC,CAAC,CAAC,CAAC;IACR,QAAQ,CAAC,KAAK,CAAC,OAAO,CAAC,sBAAsB,CAAC,CAAC,cAAc,CAAC,eAAe,EAAE,oBAAoB,CAAC,CAAC;SAClG,MAAM,CAAC,KAAK,EAAE,YAAoB,EAAE,IAA+B,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,kBAAkB,EAAE,QAAQ,CAAC,IAAI,EAAE,EAAE,YAAY,EAAE,QAAQ,EAAE,IAAI,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC;IACxK,QAAQ,CAAC,KAAK,CAAC,OAAO,CAAC,sBAAsB,CAAC,CAAC,cAAc,CAAC,eAAe,EAAE,oBAAoB,CAAC,CAAC,cAAc,CAAC,kBAAkB,EAAE,iCAAiC,CAAC,CAAC;SACxK,MAAM,CAAC,KAAK,EAAE,YAAoB,EAAE,IAA8C,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,kBAAkB,EAAE,QAAQ,CAAC,IAAI,EAAE,EAAE,YAAY,EAAE,QAAQ,EAAE,IAAI,CAAC,IAAI,EAAE,WAAW,EAAE,IAAI,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC;IAChN,KAAK,MAAM,EAAE,IAAI,CAAC,SAAS,EAAE,gBAAgB,CAAU;QAAE,QAAQ,CAAC,KAAK,CAAC,OAAO,CAAC,GAAG,EAAE,iBAAiB,CAAC,CAAC;aACrG,MAAM,CAAC,KAAK,EAAE,YAAoB,EAAE,IAAY,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,aAAa,GAAC,EAAE,CAAC,UAAU,CAAC,GAAG,EAAC,GAAG,CAAC,EAAE,QAAQ,CAAC,IAAI,EAAE,EAAE,YAAY,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC;IAClJ,QAAQ,CAAC,KAAK,CAAC,OAAO,CAAC,aAAa,CAAC,CAAC,cAAc,CAAC,eAAe,EAAE,6EAA6E,CAAC,CAAC;SAClJ,MAAM,CAAC,KAAK,EAAE,IAA4B,EAAE,EAAE;QAC7C,MAAM,EAAE,GAAC,EAAE,CAAC,SAAS,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;QACjC,IAAG,CAAC,EAAE,CAAC,MAAM,EAAE,IAAE,EAAE,CAAC,cAAc,EAAE,IAAE,EAAE,CAAC,KAAK,KAAG,CAAC,IAAE,EAAE,CAAC,IAAI,GAAC,KAAK;YAAC,MAAM,IAAI,SAAS,CAAC,eAAe,EAAC,iDAAiD,CAAC,CAAC;QACzJ,IAAI,KAAa,CAAC;QAAA,IAAG,CAAC;YAAA,KAAK,GAAC,IAAI,CAAC,KAAK,CAAC,EAAE,CAAC,YAAY,CAAC,IAAI,CAAC,IAAI,EAAC,MAAM,CAAC,CAAC,CAAC;QAAA,CAAC;QAAA,MAAK,CAAC;YAAA,MAAM,IAAI,SAAS,CAAC,eAAe,EAAC,0BAA0B,CAAC,CAAC;QAAA,CAAC;QAClJ,KAAK,CAAC,MAAM,GAAG,CAAC,wBAAwB,EAAC,QAAQ,CAAC,IAAI,EAAC,KAAK,CAAC,CAAC,CAAC,CAAC;IAClE,CAAC,CAAC,CAAC;IACL,QAAQ,CAAC,KAAK,CAAC,OAAO,CAAC,iCAAiC,CAAC,CAAC,cAAc,CAAC,aAAa,EAAE,0CAA0C,CAAC,CAAC;SACjI,MAAM,CAAC,KAAK,EAAE,YAAoB,EAAE,IAA8B,EAAE,EAAE,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,6BAA6B,EAAE,QAAQ,CAAC,IAAI,EAAE,EAAE,YAAY,EAAE,cAAc,EAAE,IAAI,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC;AACzL,CAAC"}

package/dist/cli/main.js

@@ -7,6 +7,8 @@
 const invokedCwd = process.cwd();
 import fs from 'node:fs';
 import { Command } from 'commander';
+import { registerDataRecoveryCommands } from './dataRecovery.js';
+import { registerDeploymentCommands } from './deployment.js';
 import { startServer, DODO_VERSION } from '../server/appServer.js';
 import { startStdioServer } from '../server/stdioServer.js';
 import { resolveConfigDir, ensureConfigDir, statePaths, ipcSocketPath } from '../config/paths.js';
@@ -16,6 +18,7 @@ import { mintWorkspaceId } from '../workspace/identity.js';
 import { openDatabase, openDatabaseReadonly } from '../store/db.js';
 import { Store } from '../store/store.js';
 import { ipcCall, IpcError } from '../ipc/client.js';
+import { ownerCommandTimeout } from '../ipc/timeouts.js';
 import { installationIpcCall } from '../ipc/installationClient.js';
 import { formatTerminalLine } from './terminal.js';
 import { TRUST_MODE_DESCRIPTIONS } from '../security/policy.js';
@@ -31,6 +34,7 @@ import { runCliMenu } from './menu.js';
 import { TunnelRuntime } from '../tunnel/runtime.js';
 import { INSTALLATION_AUTHORITY_ID } from '../auth/constants.js';
 const program = new Command();
+registerDeploymentCommands(program, ipcForCwd);
 program.name('dodo').description('DODO — local-first, single-owner, project-scoped coding MCP server').version(DODO_VERSION);
 function fail(message, code = 1) {
     console.error(`dodo: ${message}`);
@@ -61,7 +65,7 @@ function workspaceIpcPath(root) {
 }
 async function ipcForCwd(cmd, args = {}) {
     const { ipcPath } = workspaceIpcPath();
-    return ipcCall(ipcPath, cmd, args);
+    return ipcCall(ipcPath, cmd, args, ownerCommandTimeout(cmd));
 }
 /** OAuth identity belongs to the installation, not the shell's CWD. */
 async function ipcForInstallation(cmd, args = {}) {
@@ -1268,6 +1272,36 @@ auth
         throw err;
     }
 });
+// -------------------------------------------------------------- recovery ---
+const recovery = program.command('recovery').description('inspect or configure automatic source backups for the current registered project');
+registerDataRecoveryCommands(recovery, ipcForCwd);
+recovery.command('status').action(async () => console.log(JSON.stringify(await ipcForCwd('recovery.status'), null, 2)));
+recovery.command('scan').option('--cursor <n>', 'page offset', '0').option('--limit <n>', 'page size (1–100)', '50').action(async (opts) => console.log(JSON.stringify(await ipcForCwd('recovery.drift.scan', { cursor: Number(opts.cursor), limit: Number(opts.limit) }), null, 2)));
+recovery.command('acknowledge <digest>').requiredOption('--workspace <id>', 'reviewed workspace ID').requiredOption('--epoch <epoch>', 'reviewed workspace epoch').option('--yes', 'accept exactly the reviewed observed state', false)
+    .action(async (digest, opts) => { if (!opts.yes)
+    throw new DodoError('INVALID_INPUT', 'review drift then add --yes'); console.log(JSON.stringify(await ipcForCwd('recovery.drift.acknowledge', { digest, workspaceId: opts.workspace, workspaceEpoch: opts.epoch, confirm: true }), null, 2)); });
+recovery.command('evidence').option('--id <verificationId>', 'refresh evidence for a specific verification').action(async (opts) => console.log(JSON.stringify(await ipcForCwd(opts.id ? 'recovery.evidence.inspect' : 'recovery.evidence.list', opts.id ? { verificationId: opts.id } : {}), null, 2)));
+recovery.command('cleanup-preview').action(async () => console.log(JSON.stringify(await ipcForCwd('recovery.cleanup.preview'), null, 2)));
+recovery.command('mark <name> <checkpointId>').requiredOption('--revision <n>', 'reviewed pointer revision; 0 for a new name').requiredOption('--workspace <id>', 'reviewed workspace ID').requiredOption('--epoch <epoch>', 'reviewed epoch').option('--yes', 'confirm owner label (does not certify tests)', false)
+    .action(async (name, checkpointId, opts) => { if (!opts.yes)
+    throw new DodoError('INVALID_INPUT', 'review checkpoint and add --yes'); console.log(JSON.stringify(await ipcForCwd('recovery.mark', { name, snapshotId: checkpointId, expectedRevision: Number(opts.revision), workspaceId: opts.workspace, workspaceEpoch: opts.epoch, confirm: true }), null, 2)); });
+recovery.command('checkpoint').action(async () => console.log(JSON.stringify(await ipcForCwd('recovery.checkpoint'), null, 2)));
+recovery.command('list').option('--sessions', 'list sessions instead of checkpoints', false).action(async (opts) => console.log(JSON.stringify(await ipcForCwd(opts.sessions ? 'recovery.recovery_session_list' : 'recovery.checkpoint_list'), null, 2)));
+recovery.command('preview <id>').option('--session', 'undo caller session receipts', false).option('--path <relative>', 'select a file or directory').option('--exact-mirror', 'explicitly include extra source-file deletions', false)
+    .action(async (id, opts) => console.log(JSON.stringify(await ipcForCwd('recovery.restore_preview', { ...(opts.session ? { sessionId: id } : { checkpointId: id }), ...(opts.path ? { paths: [opts.path] } : {}), exactMirror: opts.exactMirror }), null, 2)));
+recovery.command('apply <planId>').requiredOption('--hash <hash>', 'exact reviewed planHash').requiredOption('--key <key>', 'durable idempotency key; reuse for retries').requiredOption('--workspace <id>', 'reviewed workspace ID').requiredOption('--epoch <epoch>', 'reviewed workspace epoch').option('--yes', 'confirm exactly this reviewed plan', false)
+    .action(async (planId, opts) => {
+    if (!opts.yes)
+        fail('review the preview, then pass --yes with the same plan/hash and workspace context');
+    console.log(JSON.stringify(await ipcForCwd('recovery.restore_apply', { planId, planHash: opts.hash, idempotencyKey: opts.key, workspaceId: opts.workspace, workspaceEpoch: opts.epoch, confirm: true }), null, 2));
+});
+recovery.command('configure').option('--enabled <value>', 'true or false').option('--yes', 'confirm the owner policy change', false)
+    .action(async (opts) => {
+    if (!opts.yes || !['true', 'false'].includes(opts.enabled ?? ''))
+        fail('use --enabled true|false --yes to confirm');
+    const current = await ipcForCwd('recovery.status');
+    console.log(JSON.stringify(await ipcForCwd('recovery.configure', { policy: { ...current.policy, enabled: opts.enabled === 'true' }, confirm: true }), null, 2));
+});
 // --------------------------------------------------------------- recover ---
 program
     .command('recover')