dsh-plugin-container 0.0.0-stage → 0.2.0

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 dsh-plugin-container contributors
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.md

@@ -1,3 +1,342 @@
-# Temporary Holding Version
+# DSH 容器左边栏插件（Docker + Apple container）
 
-This version is a temporary placeholder for this package. An operational version to replace this has been submitted for review and is awaiting a staged release.
+在 DeepSeek Harness 左侧栏加入 **容器** 工作台，面板右上角始终显示 **Docker** / **Apple container** 两个 provider 按钮，点击即可切换：
+
+- **Docker**：macOS 上的 Docker CLI / context，兼容 Docker Desktop、colima、OrbStack、Rancher Desktop、Podman 等提供 Docker context 或 socket 的运行时。
+- **Apple container**：macOS 26 / Apple silicon 原生 `container` CLI（Containerization 框架）。它不是 Docker：没有 Docker daemon/socket/context，每个容器一个轻量 VM，镜像/卷/网络独立，不支持 Compose。
+
+![Docker 概览](docs/docker-overview.png)
+
+![Provider switch](docs/provider-switch.png)
+
+![Apple container 概览](docs/apple-container.png)
+
+当前机器验证环境：
+
+- macOS 26.5.1，arm64
+- Docker CLI 28.2.2，colima context 正常
+- Apple `container` CLI 1.0.0（`/opt/homebrew/bin/container`）
+- Docker / Apple 两个 provider 均已通过 Playwright UI 冒烟
+- Apple 系统服务是否运行以面板状态为准；未启动时点击“启动运行时”
+
+## 功能
+
+### Docker provider
+
+- 自动识别 colima、Docker Desktop、OrbStack、远程 context。
+- 概览、容器（搜索/筛选/启动/停止/重启/日志/Inspect/删除）、镜像（拉取/Inspect/删除/架构）、卷、网络、Compose（只读）。
+- **镜像架构**：列表新增“架构”列；Docker 通过 `image inspect` 补齐，Apple 从 OCI variants 读取，显示如 `linux/arm64/v8`。
+- **启动新容器**：镜像下拉选择本地镜像/自定义镜像，名称、命令、端口、环境变量，后台运行；启动后立即可 Attach。
+- **从镜像启动**：镜像页每行的播放按钮会用该镜像预填并打开启动容器表单。
+- **Attach 终端**：基于 DSH PTY 的 `docker attach`，可以输入命令、Ctrl+C、粘贴，关闭对话框结束会话。
+- 运行时启停/重启：colima 完整支持；Docker Desktop / OrbStack best-effort。
+- 内置命令终端：选择 context、工作目录，实时输出，取消/超时/输出截断提示，危险命令确认。
+
+### Apple container provider
+
+- `container system status/version` 状态；`container system start/stop` 生命周期。
+- 容器、镜像、卷、网络、磁盘（`container system df`）列表和 Inspect。
+- 容器 start/stop/delete/logs；镜像 pull/delete；卷/网络 delete。
+- **启动新容器 / Attach**：Apple `container run`；Attach 使用 `container exec -i -t <id> /bin/sh`（Apple CLI 没有 attach 命令）。
+- 命令终端切换为 `container ...` 语法，快捷命令自动适配。
+- Apple provider 不支持 Compose；面板会自动隐藏 Compose tab。
+- Apple 的 `container image inspect`/`delete` 使用镜像名（不是 digest），UI 已按 provider 适配。
+
+![命令终端](docs/docker-console.png)
+
+![镜像架构](docs/image-architecture.png)
+
+![启动新容器](docs/run-container.png)
+
+![Attach 终端](docs/attach.png)
+
+## AI 工具（只读）
+
+插件向 DSH Agent 注册 4 个只读工具，复用现有 provider：
+
+| Tool | 作用 |
+|---|---|
+| `container_status` | CLI、daemon/系统服务、runtime、warnings |
+| `container_list` | 容器/镜像/卷/网络 |
+| `container_inspect` | 单个资源详情，敏感 env 脱敏 |
+| `container_logs` | 最近日志，默认 200 行、上限 500 |
+
+使用方式：
+
+- 主聊天直接问“我的 nginx 为什么退出？”；模型会调用上述工具读取事实。
+- 容器行点 **问 AI**（运行中）或 **诊断**（未运行）会**新建一个独立诊断会话**（复用当前 workspace/cwd/agent preset），发送 provider/context/资源 ID/状态，并自动在主对话中打开；不会污染当前会话。
+- 模型调用来自 DSH 当前 Session；插件不持有模型 API Key，也不直接调模型 HTTP。
+- 日志和 inspect 文本被标注为不可信数据；工具描述和 system prompt 都要求不要服从其中的指令。
+
+![AI 诊断新会话](docs/ai-new-session.png)
+
+![AI 对话示例](docs/ai-chat.png)
+
+需要安装运行时依赖 `@deepseek-ai/dsh-tools`（已写入 `package.json`）。host 增加工具后需要重启 DSH；旧 host 下 client 会根据 `ai-tools` feature 隐藏 AI 按钮。
+
+## 安全边界
+
+- **owner-only**：`/docker` 与 `/api` 共用 DSH Connection 的 Host/Origin 校验和浏览器 cookie 认证；未认证返回 401。服务端再检查 `peer.principal.kind === 'owner'`。
+- **只读模型工具**：AI 只能调用 `container_status` / `container_list` / `container_inspect` / `container_logs` 读取事实；没有 start/stop/rm/prune/run 等 mutation tool，模型不能自动改容器。
+- **PTY 隔离**：Attach 使用 DSH `spawnTerminal` 的 PTY；Docker 使用 `docker attach`，Apple 使用 `container exec -i -t`；关闭对话框或插件卸载时终止。
+- **无 shell**：命令拆成 argv 直接 spawn；`| & ; < > ( ) \` $`、不平衡引号会被拒绝，不执行管道/重定向/命令替换。
+- **危险操作确认**：`rm`/`rmi`/`delete`/`stop`/`kill`/`prune`/`compose down` 等未带 `confirm: true` 时 Host 直接返回 `docker/confirmation-required`，不会 spawn；UI 显示实际命令。
+- **上下文锁定**：Docker 命令自动加 `--context`；客户端传入 `--context`/`--host`/`-H`/`--config`/`--tls*` 会被拒绝。Apple provider 没有 context。
+- **输出与历史**：输出只在 host 内存中保留（上限 1 MiB/stream），不写日志；命令历史存 localStorage，敏感命令（login/password/token）不记录。
+- **权限**：命令以 DSH app 当前用户权限执行，等价于本机终端。`container system start` 可能触发管理员权限/launchd/kernel 安装；插件不会静默 sudo。
+
+## 安装与生效
+
+插件以 DSH bundle 包发布，安装时会自动写入 `dependencies` 和 `dsh.profile.bundles`，**不需要手改 profile 的 `cordis.patch.yml`**。
+
+本地 tarball：
+
+```bash
+dsh plugin --profile desktop add /path/to/dsh-plugin-container-0.2.0.tgz
+```
+
+发布到 npm 后：
+
+```bash
+dsh plugin --profile desktop add dsh-plugin-container
+```
+
+安装后 profile 会变成：
+
+```json
+"dependencies": {
+  "dsh-plugin-container": "file:/path/to/dsh-plugin-container-0.2.0.tgz"
+},
+"dsh": {
+  "profile": {
+    "bundles": [
+      "@deepseek-ai/dsh-base",
+      "@deepseek-ai/dsh-web-app",
+      "dsh-plugin-container"
+    ]
+  }
+}
+```
+
+包内的 `cordis.patch.yml` 会被 DSH 自动应用：
+
+```yaml
+- insert:
+    - id: docker-sidebar
+      name: dsh-plugin-container
+```
+
+本机安装后的效果：
+
+![本地包安装](docs/package-install.png)
+
+**host 侧代码更新后必须退出并重开 DSH 一次**；client bundle 改动由 `client-hmr` 热替换。bundle 变化需要重启 host。
+
+如果右上角只看到 Docker / Apple container 但没有“启动容器”和 Attach 按钮，说明当前 host 还是旧进程：client 会显示“重启 DSH 以启用启动容器 / Attach”，退出并重开 DSH 即可。
+
+### 源码开发安装
+
+仍可用绝对路径方式开发：
+
+```bash
+node scripts/install-profile.mjs --home "$HOME/.dsh" --profile desktop
+```
+
+它会写入带标记的 Loader row，指向当前工作区的 `index.js`，适合改 host 代码时热重载。源码模式不要和 bundle 包同时启用，否则会加载两份插件。
+
+### 手动安装（源码模式）
+
+直接编辑 patch 文件：
+
+```yaml
+# >>> dsh-plugin-container >>>
+- insert:
+    - id: docker-sidebar
+      name: '/Users/zaynfang/Codes/dsh/docker/index.js'
+# <<< dsh-plugin-container <<<
+```
+
+### 卸载
+
+```bash
+dsh plugin --profile desktop remove dsh-plugin-container
+```
+
+再从 `dsh.profile.bundles` 中确认已移除；重启 DSH。源码方式则运行：
+
+```bash
+node scripts/install-profile.mjs --remove --home "$HOME/.dsh" --profile desktop
+```
+
+## 配置
+
+Loader row 可带可选 `config`：
+
+```yaml
+- insert:
+    - id: docker-sidebar
+      name: '/Users/zaynfang/Codes/dsh/docker/index.js'
+      config:
+        dockerPath: /opt/homebrew/bin/docker       # 显式配置后不回退自动探测
+        colimaPath: /opt/homebrew/bin/colima
+        containerPath: /opt/homebrew/bin/container # Apple container CLI
+        defaultTimeoutMs: 120000
+        maxOutputBytes: 1048576
+        maxConcurrentRuns: 4
+        enableRuntimeControl: true
+```
+
+不配置时：
+
+- `docker` 依次探测 `/opt/homebrew/bin/docker`、`/usr/local/bin/docker`、`~/.docker/bin/docker`、Docker.app 内置路径，再走 PATH。
+- `colima` 依次探测 `/opt/homebrew/bin/colima`、`/usr/local/bin/colima`、`~/go/bin/colima`，再走 PATH。
+- `container` 依次探测 `/usr/local/bin/container`、`/opt/homebrew/bin/container`、`~/.local/bin/container`，再走 PATH。
+- 运行时启停只在 macOS 且 `enableRuntimeControl !== false` 时可用。
+
+## macOS 运行时说明
+
+Docker 兼容运行时包括 Docker Desktop、Colima、OrbStack、Rancher Desktop、Podman machine，以及 Lima/UTM/Parallels/VMware 里自建的 Docker；它们通常通过 Docker CLI/context 工作，因此由 **Docker provider** 统一管理（具体 context 由各运行时提供）。
+
+Apple `container` 是独立平台：
+
+- 仅 macOS 26 + Apple silicon。
+- 每个容器一个轻量 VM，没有共享 Docker daemon。
+- 安装：从 [apple/container releases](https://github.com/apple/container/releases) 安装，或使用 Homebrew；然后 `container system start`。
+- `container system status` 在部分安装上会显示 `unregistered`，但 apiserver 实际可达；插件会用 `container ls` 做健康探测兜底。
+- 系统服务启动可能需要管理员权限/launchd/kernel；插件使用 `--disable-kernel-install` 避免交互式挂起，失败时提示在终端执行 `container system start`。
+- 不支持 Compose；镜像/卷/网络与 Docker 不共享；不支持一键 restart（需先 stop 再 start）。
+
+## 工作原理
+
+```text
+左栏 sidebar.panellist  +  main keyed panel "docker"
+        │
+        ▼
+Browser  ctx.connection.rpc.call('/docker', method, { provider, ... })
+        │
+        ▼
+Host     ctx.webServer prefix route /docker
+         ctx.connection.admit(req)
+         DockerService (router)
+           ├─ Docker provider → docker CLI + context + JobManager(idPrefix=docker)
+           └─ Apple provider  → container CLI + JobManager(idPrefix=apple)
+        │
+        ▼
+ctx.subprocess.spawn(argv)   ← 无 shell，provider 决定 CLI 语法
+```
+
+- `providers` 返回可用 provider 和默认 provider。
+- `status/list/inspect/run/action/runtimeAction` 都接受 `provider`；不传默认 Docker。
+- `poll/cancel` 按 run id 前缀（`docker_` / `apple_`）路由，切换 provider 时也能取消旧 run。
+- 语义化 `action`（container start/stop/delete/logs、image pull/delete、volume/network delete）由 host 映射成对应 CLI，UI 不拼 Docker/Apple 语法。
+
+### RPC 方法
+
+| method | 说明 |
+|---|---|
+| `providers` | 可用 provider、版本、运行状态 |
+| `status` | CLI、daemon/system、context/runtime、资源计数 |
+| `list` | containers / images / volumes / networks / compose(Docker) / disk |
+| `inspect` | container / image / volume / network |
+| `action` | 语义化快捷操作（含启动新容器） |
+| `attach` | 启动 Docker attach / Apple exec PTY 会话 |
+| `attachPoll` / `attachInput` / `attachResize` / `attachClose` | Attach 输出、输入、尺寸、关闭 |
+| `run` | 启动自由命令作业 |
+| `poll` / `cancel` | 增量输出 / 取消 |
+| `runtimeAction` | Docker 运行时或 Apple system start/stop |
+
+## 发布到 npm
+
+```bash
+npm login
+npm publish --access public
+```
+
+发布后安装：
+
+```bash
+dsh plugin --profile desktop add dsh-plugin-container
+```
+
+当前包声明了 `dsh.bundle.patch`，安装器会自动写入 `dependencies` 和 `dsh.profile.bundles`，不需要手改 `cordis.patch.yml`。
+
+## 开发
+
+构建期依赖只有 esbuild；`lib/client.js` 已提交，运行不需要 `npm install`。
+
+本机网络走 SOCKS5 8119（8119 不是 HTTP proxy）：
+
+```bash
+env -u http_proxy -u https_proxy -u ALL_PROXY -u all_proxy -u NODE_USE_ENV_PROXY \
+  ALL_PROXY=socks5h://127.0.0.1:8119 \
+  npm_config_proxy=socks5h://127.0.0.1:8119 \
+  npm_config_https_proxy=socks5h://127.0.0.1:8119 \
+  NO_PROXY=127.0.0.1,localhost,::1 \
+  npm install --no-audit --no-fund
+```
+
+```bash
+npm run build            # src/client/index.jsx -> lib/client.js
+node --check lib/client.js
+npm test                 # 45 个 node:test 单测
+```
+
+修改 client 后重新 build；`client-hmr` 会热替换。修改 `index.js` 或 `src/host/*` 后重启 DSH。
+
+### UI 冒烟
+
+```bash
+PLAYWRIGHT_CHROMIUM_EXECUTABLE="/Users/zaynfang/Library/Caches/ms-playwright/chromium-1208/chrome-mac-arm64/Google Chrome for Testing.app/Contents/MacOS/Google Chrome for Testing" \
+  node scripts/ui-smoke.mjs "http://127.0.0.1:<port>/?token=..."
+```
+
+冒烟覆盖：
+
+- Docker provider：状态、容器/镜像/卷/网络/Compose、`docker ps -a`、`docker events` 取消、危险命令确认、Inspect。
+- 切换到 Apple provider：provider 选择器、Apple 运行状态、Compose 隐藏、`container ls -a`。
+- 不删除资源、不停止运行时；截图写入 `docs/`。
+
+## 文件结构
+
+```text
+index.js                     Host 入口 / /docker 认证路由
+cordis.patch.yml             bundle 安装时自动插入的 Loader row
+lib/client.js                构建产物
+src/host/service.js          provider 路由 + Docker provider
+src/host/apple.js            Apple container provider
+src/host/apple-cli.js        container CLI 探测/执行
+src/host/attach.js           PTY attach 会话管理
+src/host/tools.js            只读 Agent Tools
+src/host/docker-cli.js       Docker CLI
+src/host/runtime.js          colima/Docker Desktop/OrbStack/remote
+src/host/jobs.js             命令作业（docker_/apple_ 前缀）
+src/host/parsers.js          Docker / Apple JSON 归一化
+src/client/                  provider 切换、页面、tabs、i18n、styles
+src/client/attach.jsx        Attach 终端模态
+src/client/run-container.jsx 启动新容器表单
+scripts/build-client.mjs
+scripts/install-profile.mjs
+scripts/ui-smoke.mjs
+test/*.test.mjs
+docs/*.png
+```
+
+## 限制
+
+- Docker `attach` 需要容器有 TTY；“启动容器”表单默认使用 `-dit`，已有容器若创建时没有 TTY，`docker attach` 可能无法交互，请改用日志或重新创建容器。
+- Apple container 没有 `attach` 命令；面板使用 `container exec -i -t <id> /bin/sh`，镜像内必须存在 `/bin/sh`。
+- Attach 依赖 DSH 的 PTY（`spawnTerminal`）；若部署环境禁用 PTY，会返回明确的 `attach-unsupported` 错误。
+- Attach 是单终端文本视图，不包含完整 xterm 能力（鼠标、复杂 TUI、图片协议可能不完整）。
+- 启动新容器固定后台运行（`-d`）；交互式前台运行请使用命令终端。
+- Apple provider 仍然不支持 Compose。
+- host 新增 Attach/启动新容器后需要再重启 DSH 一次；旧 host 下 client 会显示“重启 DSH 以启用启动容器 / Attach”，不会出现无效按钮。
+
+## 故障排查
+
+- **左栏没有“容器”**：确认 patch 块存在；刷新 GUI；host 代码更新后退出并重开 DSH。
+- **只有 Docker，没有 Apple container 选项**：确认 `container` CLI 可执行（`container --version`）；刷新；host 需要新版本。
+- **Apple 服务显示未启动**：点击“启动运行时”，或终端执行 `container system start`。首次可能需要管理员权限/kernel。
+- **Apple 启动卡住/失败**：查看命令终端里的 `container system start` 输出；`--disable-kernel-install` 下缺 kernel 会失败，需先在终端启动一次。
+- **Apple 镜像 Inspect 失败**：请使用镜像名（UI 已自动这样做），不要用 digest。
+- **Docker Desktop 停止失败**：macOS Automation 权限可能拦截 `osascript`；从菜单栏退出或授予权限。
+- **patch 损坏**：用 `cordis.patch.yml.docker.bak` 恢复，或 `install-profile.mjs --remove` 后重试。

package/cordis.patch.yml

@@ -0,0 +1,3 @@
+- insert:
+    - id: docker-sidebar
+      name: dsh-plugin-container

package/index.js

@@ -0,0 +1,138 @@
+/**
+ * Host entry for the Docker sidebar plugin.
+ *
+ * This file is loaded by the DSH Loader from an absolute path, so it imports
+ * only local modules and Node built-ins. The browser half is served separately
+ * from `lib/client.js` through the package's `dsh.client` declaration.
+ *
+ * The browser calls the same `/docker/...` envelope used by the Connection
+ * generic RPC channel. We mount the route ourselves because Connection's
+ * `rpc.handle` helper registers on the service owner's context, which does not
+ * inject `webServer`; the direct route below reuses `connection.admit()` for
+ * the same Host/Origin fence and browser authentication.
+ */
+import { createDockerService } from './src/host/service.js'
+import { registerContainerTools } from './src/host/tools.js'
+
+export const name = 'docker-sidebar'
+export const inject = ['subprocess', 'connection', 'webServer', 'tools', 'systemPrompt']
+
+const CHANNEL = '/docker'
+const MAX_BODY_BYTES = 1024 * 1024
+
+/** @param {import('node:http').IncomingMessage} req */
+function readBody(req) {
+  return new Promise((resolve, reject) => {
+    const chunks = []
+    let size = 0
+    req.on('data', (chunk) => {
+      size += chunk.byteLength
+      if (size > MAX_BODY_BYTES) {
+        reject(new Error('request body too large'))
+        req.destroy()
+        return
+      }
+      chunks.push(chunk)
+    })
+    req.on('end', () => resolve(Buffer.concat(chunks).toString('utf8')))
+    req.on('error', reject)
+  })
+}
+
+/** @param {import('node:http').ServerResponse} res @param {number} status @param {unknown} body */
+function send(res, status, body, contentType = 'application/json; charset=utf-8') {
+  if (res.writableEnded) return
+  const text = typeof body === 'string' ? body : JSON.stringify(body)
+  res.writeHead(status, { 'content-type': contentType, 'cache-control': 'no-store' })
+  res.end(text)
+}
+
+/**
+ * @param {import('node:http').IncomingMessage} req
+ * @param {import('node:http').ServerResponse} res
+ * @param {any} ctx
+ * @param {ReturnType<typeof createDockerService>} service
+ */
+async function handleRequest(req, res, ctx, service) {
+  let admission
+  try {
+    admission = ctx.connection.admit(req)
+  } catch (error) {
+    send(res, 403, `forbidden: ${error instanceof Error ? error.message : String(error)}`, 'text/plain; charset=utf-8')
+    return
+  }
+  if ('rejection' in admission) {
+    send(res, admission.rejection, admission.rejection === 401 ? 'unauthorized' : 'forbidden', 'text/plain; charset=utf-8')
+    return
+  }
+  if (req.method !== 'POST') {
+    send(res, 405, 'method not allowed', 'text/plain; charset=utf-8')
+    return
+  }
+  const url = new URL(req.url ?? CHANNEL, 'http://dsh.internal')
+  const endpoint = url.pathname.startsWith(`${CHANNEL}/`) ? url.pathname.slice(CHANNEL.length + 1) : ''
+  if (endpoint === '' || endpoint.includes('/')) {
+    send(res, 404, 'not found', 'text/plain; charset=utf-8')
+    return
+  }
+
+  let message
+  try {
+    message = JSON.parse(await readBody(req))
+  } catch (error) {
+    send(res, 400, `invalid request body: ${error instanceof Error ? error.message : String(error)}`, 'text/plain; charset=utf-8')
+    return
+  }
+  if (
+    message === null ||
+    typeof message !== 'object' ||
+    message.type !== 'client-request' ||
+    typeof message.rpcId !== 'string' ||
+    typeof message.method !== 'string' ||
+    message.method !== endpoint
+  ) {
+    send(res, 400, 'invalid client-request envelope', 'text/plain; charset=utf-8')
+    return
+  }
+
+  const controller = new AbortController()
+  const abort = () => controller.abort()
+  res.on('close', abort)
+  try {
+    const result = await service.handle(message.method, message.payload, controller.signal, admission.peer)
+    send(res, 200, { type: 'server-response', rpcId: message.rpcId, result })
+  } catch (error) {
+    send(res, 500, `handler failure: ${error instanceof Error ? error.message : String(error)}`, 'text/plain; charset=utf-8')
+  } finally {
+    res.off('close', abort)
+  }
+}
+
+/**
+ * @param {import('@deepseek-ai/cordis').Context} ctx
+ * @param {Record<string, any>} [config]
+ */
+export function apply(ctx, config = {}) {
+  const service = createDockerService({
+    subprocess: ctx.subprocess,
+    logger: ctx.logger,
+    config: config ?? {},
+  })
+  try {
+    registerContainerTools(ctx, service)
+    service.enableTools()
+  } catch (error) {
+    ctx.logger?.warn?.('docker: container tool registration failed', error)
+  }
+  ctx.effect(
+    () => ctx.webServer.register({
+      kind: 'prefix',
+      path: CHANNEL,
+      handler: (req, res) => handleRequest(req, res, ctx, service).catch((error) => {
+        send(res, 500, `handler failure: ${error instanceof Error ? error.message : String(error)}`, 'text/plain; charset=utf-8')
+      }),
+    }),
+    'docker: rpc route',
+  )
+  ctx.effect(() => () => service.dispose(), 'docker: jobs')
+}