rootr-cli 0.18.0 → 0.20.0

package/lib/client.js

@@ -97,10 +97,17 @@ function hintFor(status, body) {
 }
 
 export class RootrClient {
-  constructor({ apiKey, workspace, baseUrl, defaultHeaders }) {
+  constructor({ apiKey, workspace, baseUrl, publicBaseUrl, defaultHeaders }) {
     this.apiKey = apiKey;
     this.workspace = workspace;
     this.baseUrl = (baseUrl || '').replace(/\/+$/, '');
+    /**
+     * ISSUE-61 — 사람·문서에 건네는 주소(첨부 `/raw` 등)의 뿌리. 로컬 CLI 는 baseUrl 이 곧 밖에서
+     * 보이는 주소라 비워 둔다. 원격 커넥터는 API 를 127.0.0.1 로 되부르므로(baseUrl) 그 주소를
+     * 그대로 문서에 넣으면 사람 화면에서 그림이 깨진다 — 호스티드 전송 계층이 공개 주소를 따로 넘긴다.
+     * 요청을 보내는 데는 절대 쓰지 않는다(그건 언제나 baseUrl).
+     */
+    this.publicBaseUrl = (publicBaseUrl || '').replace(/\/+$/, '') || this.baseUrl;
     /** Sent on every request — the hosted transport forwards Accept-Language
      * here so API error text comes back in the caller's language. */
     this.defaultHeaders = defaultHeaders || {};
@@ -247,6 +254,32 @@ export class RootrClient {
     }
   }
 
+  /** Resolve a published `/p/{slug}` public URL to a node in the active workspace. */
+  async getNodeBySlug(slug) {
+    this._requireWorkspace();
+    try {
+      const data = await this.request(
+        `/workspaces/${encodeURIComponent(this.workspace)}/nodes/by-slug?slug=${encodeURIComponent(slug)}`,
+      );
+      return data;
+    } catch (err) {
+      if (err instanceof RootrApiError && err.status === 404) return null;
+      throw err;
+    }
+  }
+
+  /**
+   * ISSUE-127 — 공개 발행본을 읽는다: `/p/{slug}` 화면이 받는 것과 같은 응답(`GET /public/docs/:slug`).
+   * 로그인 없이 누구나 읽는 경로라 키가 무엇이든 더 열리는 것이 없다 — 발행한 판만 주고, 발행을 내렸거나
+   * 만료·삭제된 것은 404, 비밀번호가 걸린 것은 401(`PUBLIC_DOC_PASSWORD`). 통과증(`pass`)은 일부러 받지 않는다.
+   */
+  async getPublicDocument(slug) {
+    // ISSUE-127 — 이 읽기는 요금제 조회 한도에 1회로 센다(내 문서 읽기와 같다). 계정 키(PAT)는 워크스페이스에 묶여 있지 않아
+    // 서버가 어느 워크스페이스의 한도로 셀지 모른다 — 지금 연결된 워크스페이스를 알려 준다(워크스페이스 키는 서버가 키에서 안다).
+    const qs = this.workspace ? `?workspaceId=${encodeURIComponent(this.workspace)}` : '';
+    return this.request(`/public/docs/${encodeURIComponent(slug)}${qs}`);
+  }
+
   async createNode({ type = 'DOCUMENT', path, createParents = true, autoRename = false, content }) {
     this._requireWorkspace();
     return this.request(`/workspaces/${encodeURIComponent(this.workspace)}/nodes`, {
@@ -307,10 +340,29 @@ export class RootrClient {
       returnResponse: true,
     });
     const etag = res.headers.get('etag') || res.headers.get('ETag') || undefined;
-    return { etag };
+    // ISSUE-105 — 서버가 쓰기 응답에 실은 알림(HTML 주석이 저장 때 사라졌다 등)을 버리지 않는다.
+    let warnings;
+    try {
+      const text = await res.text();
+      warnings = text ? JSON.parse(text).warnings : undefined;
+    } catch {
+      warnings = undefined;
+    }
+    return { etag, ...(Array.isArray(warnings) && warnings.length ? { warnings } : {}) };
   }
 
   /** Safe, conflict-free append. */
+  /**
+   * EMBED-API — 문서에 노드(표·시트·발표자료…) 하나를 끼워 넣는다. `node` 는 id 든 경로든 된다
+   * (서버가 id 로 바꿔 `[[embed:<id>]]` 한 줄을 붙인다).
+   */
+  async embedNode(documentId, { node, underHeading, createIfMissing } = {}) {
+    return this.request(`/documents/${encodeURIComponent(documentId)}/embeds`, {
+      method: 'POST',
+      body: { node, underHeading, createIfMissing },
+    });
+  }
+
   async appendDocument(id, { content, underHeading, createIfMissing } = {}) {
     const res = await this.request(`/documents/${encodeURIComponent(id)}/append`, {
       method: 'POST',
@@ -458,6 +510,71 @@ export class RootrClient {
     return this.request(`/nodes/${encodeURIComponent(nodeId)}/public-status`);
   }
 
+  // ── BOOKING — 공개한 표에서 방문자가 일정을 잡게 한다 ──────────────────
+  //
+  // 예약은 **공개 주소 위에 서는 기능**이다. 그래서 켜기 전에 표가 발행돼 있어야 하고,
+  // 안 돼 있으면 서버가 "먼저 표를 웹에 공개해 주세요"로 거절한다.
+
+  /** 예약 설정(규칙·확정 방식·물어볼 칸·구글 캘린더)과 연결 상태를 본다. */
+  async getBooking(nodeId) {
+    return this.request(`/nodes/${encodeURIComponent(nodeId)}/booking`);
+  }
+
+  /**
+   * 예약 설정을 저장한다. 보낸 칸만 바뀌고 나머지는 그대로다.
+   * 날짜·메일 칸이 없으면 서버가 만들어 준다(승인제면 상태 칸까지).
+   */
+  async setBooking(nodeId, settings = {}) {
+    return this.request(`/nodes/${encodeURIComponent(nodeId)}/booking`, {
+      method: 'PUT',
+      body: settings,
+    });
+  }
+
+  /**
+   * 방문자에게 보이는 **빈 시간**. 공개 주소(slug)로 부르는 로그인 없는 길이라,
+   * 주인이 보는 것과 방문자가 보는 것이 같은지 여기서 바로 확인할 수 있다.
+   */
+  async bookingSlots(slug, { from, to, pass, type } = {}) {
+    const q = new URLSearchParams();
+    if (from) q.set('from', from);
+    if (to) q.set('to', to);
+    if (pass) q.set('pass', pass);
+    // 약속 종류마다 길이가 달라 빈 시간도 다르다 — 안 주면 첫 종류로 본다.
+    if (type) q.set('type', type);
+    return this.request(`/public/nodes/${encodeURIComponent(slug)}/booking/slots?${q.toString()}`);
+  }
+
+  // ── BOOKING-GCAL — 구글 캘린더 연결(사람 한 명의 것) ───────────────────
+
+  /** 내가 연결해 둔 구글 계정들. `available:false`면 서버에 구글 설정이 아직 없다. */
+  async googleCalendarConnections() {
+    return this.request('/integrations/google-calendar/connections');
+  }
+
+  /**
+   * 구글 동의 화면 주소를 받는다. **브라우저에서 한 번은 허용해야** 연결이 된다 —
+   * 구글이 그렇게만 허락한다. 허용하고 나면 그 뒤로는 명령줄에서 다 된다.
+   */
+  async googleCalendarAuthorizeUrl(returnTo = '/') {
+    return this.request('/integrations/google-calendar/authorize', {
+      method: 'POST',
+      body: { returnTo },
+    });
+  }
+
+  /** 그 연결로 볼 수 있는 캘린더들(막을 것·적을 것을 여기서 고른다). */
+  async googleCalendars(connectionId) {
+    return this.request(`/integrations/google-calendar/connections/${encodeURIComponent(connectionId)}/calendars`);
+  }
+
+  /** 연결을 끊는다. 구글 쪽 권한도 같이 거둔다. */
+  async disconnectGoogleCalendar(connectionId) {
+    return this.request(`/integrations/google-calendar/connections/${encodeURIComponent(connectionId)}`, {
+      method: 'DELETE',
+    });
+  }
+
   // ── DB-PERM-001 / DB-WATCH — 표에 거는 자물쇠와 알림 규칙 ──────────────
   //
   // 노션에 없는 것들이라, 에이전트가 표를 만들어 놓고도 "지원서는 서로 못 보게" 같은
@@ -623,10 +740,10 @@ export class RootrClient {
   }
 
   /** Create a brand-new workspace from a scaffold tree. Requires an account key (PAT) with workspaces:create. */
-  async createWorkspaceScaffold({ name, intent, tree }) {
+  async createWorkspaceScaffold({ name, intent, tree, mode }) {
     return this.request('/scaffold/workspace', {
       method: 'POST',
-      body: { name, intent, tree },
+      body: { name, intent, tree, mode },
     });
   }
 
@@ -651,18 +768,18 @@ export class RootrClient {
    * Check a designed tree BEFORE building it — the compiler pass of scaffolding.
    * Needs no workspace, creates nothing. Returns { score, counts, findings, summary }.
    */
-  async scaffoldReview(tree) {
-    return this.request('/scaffold/review', { method: 'POST', body: { tree } });
+  async scaffoldReview(tree, mode) {
+    return this.request('/scaffold/review', { method: 'POST', body: { tree, mode } });
   }
 
   /**
    * Check the workspace that was ACTUALLY built (not the tree you sent).
    * Optional rootPath narrows it to one subtree.
    */
-  async scaffoldReviewBuilt(workspace, rootPath) {
+  async scaffoldReviewBuilt(workspace, rootPath, mode) {
     return this.request(`/workspaces/${encodeURIComponent(workspace)}/scaffold/review-built`, {
       method: 'POST',
-      body: { rootPath },
+      body: { rootPath, mode },
     });
   }
 
@@ -679,10 +796,10 @@ export class RootrClient {
   }
 
   /** Apply a scaffold tree to an existing workspace. */
-  async scaffoldApply(workspace, { rootPath, tree } = {}) {
+  async scaffoldApply(workspace, { rootPath, tree, mode } = {}) {
     return this.request(`/workspaces/${encodeURIComponent(workspace)}/scaffold/apply`, {
       method: 'POST',
-      body: { rootPath, tree },
+      body: { rootPath, tree, mode },
     });
   }
 
@@ -749,13 +866,21 @@ export class RootrClient {
   async ask(workspaceId, question) {
     this._requireApiKey();
     const graphqlUrl = `${this.baseUrl.replace(/\/v1\/?$/, '')}/graphql`;
-    const query =
-      'query($ws:String!,$q:String!){ask(workspaceId:$ws,question:$q){text citations{documentPath quote}}}';
-    const data = await this.request(null, {
-      url: graphqlUrl,
-      method: 'POST',
-      body: { query, variables: { ws: workspaceId, q: question } },
-    });
+    // DB-SEARCH — 표의 행에서 온 출처는 행 제목·행 주소를 같이 받는다. 이 필드를 모르는 옛 서버에
+    // 붙으면 GraphQL 이 질문 전체를 거절하므로, 그때만 예전 모양으로 한 번 더 묻는다.
+    const ask = (fields) =>
+      this.request(null, {
+        url: graphqlUrl,
+        method: 'POST',
+        body: {
+          query: `query($ws:String!,$q:String!){ask(workspaceId:$ws,question:$q){text citations{${fields}}}}`,
+          variables: { ws: workspaceId, q: question },
+        },
+      });
+    let data = await ask('documentTitle documentPath quote rowId rowTitle url');
+    if (data && Array.isArray(data.errors) && data.errors.some((e) => /Cannot query field/.test(e.message || ''))) {
+      data = await ask('documentPath quote');
+    }
     if (data && Array.isArray(data.errors) && data.errors.length) {
       const msg = data.errors.map((e) => e.message || String(e)).join('; ');
       throw new RootrApiError(tr(`ask 오류: ${msg}`, `ask failed: ${msg}`), { body: data.errors });
@@ -960,7 +1085,11 @@ export class RootrClient {
     const query = params.length ? `?${params.join('&')}` : '';
     const data = await this.request(`/databases/${encodeURIComponent(databaseId)}/rows${query}`);
     if (Array.isArray(data)) return data;
-    if (data && Array.isArray(data.rows)) return data.rows;
+    if (data && Array.isArray(data.rows)) {
+      // 벡터 칸이 있는 표는 서버가 행마다 채워진 벡터 칸(칸 id → 차원)을 `vectors` 로 따로 준다 — 행에 붙여 MCP 에도 보인다.
+      if (!data.vectors) return data.rows;
+      return data.rows.map((r) => ({ ...r, vectors: data.vectors[r.id] ?? {} }));
+    }
     return [];
   }
 
@@ -1081,20 +1210,49 @@ export class RootrClient {
 
   async addColumn(
     databaseId,
-    { name, type, options, relationDatabaseId, reverseName, formula, rollup, prefix } = {},
+    { name, type, options, relationDatabaseId, reverseName, formula, rollup, prefix, searchExcluded, dimensions } = {},
   ) {
     return this.request(`/databases/${encodeURIComponent(databaseId)}/columns`, {
       method: 'POST',
       // 계산 칸(수식·롤업·번호)은 설정이 곧 그 칸이라 같이 보내야 한다.
       // reverseName 은 상대 표에 짝 칸을 만든다(양방향 관계).
-      body: { name, type, options, relationDatabaseId, reverseName, formula, rollup, prefix },
+      // searchExcluded 는 "검색 색인에서 제외"(표 관리자만).
+      body: { name, type, options, relationDatabaseId, reverseName, formula, rollup, prefix, searchExcluded, dimensions },
     });
   }
 
-  async updateColumn(databaseId, propertyId, { name, options, formula, rollup, prefix, reverseName } = {}) {
+  async updateColumn(databaseId, propertyId, { name, options, formula, rollup, prefix, reverseName, searchExcluded } = {}) {
     return this.request(
       `/databases/${encodeURIComponent(databaseId)}/columns/${encodeURIComponent(propertyId)}`,
-      { method: 'PATCH', body: { name, options, formula, rollup, prefix, reverseName } },
+      { method: 'PATCH', body: { name, options, formula, rollup, prefix, reverseName, searchExcluded } },
+    );
+  }
+
+  // DB-VECTOR — 에이전트용 벡터 칸(칸 id 또는 이름).
+  async putVectors(databaseId, column, items) {
+    return this.request(`/databases/${encodeURIComponent(databaseId)}/vectors/${encodeURIComponent(column)}`, {
+      method: 'PUT',
+      body: { items },
+    });
+  }
+
+  async queryVectors(databaseId, column, { vector, topK, minScore } = {}) {
+    return this.request(`/databases/${encodeURIComponent(databaseId)}/vectors/${encodeURIComponent(column)}/query`, {
+      method: 'POST',
+      body: { vector, topK, minScore },
+    });
+  }
+
+  async getRowVector(databaseId, rowId, column) {
+    return this.request(
+      `/databases/${encodeURIComponent(databaseId)}/rows/${encodeURIComponent(rowId)}/vectors/${encodeURIComponent(column)}`,
+    );
+  }
+
+  async deleteRowVector(databaseId, rowId, column) {
+    return this.request(
+      `/databases/${encodeURIComponent(databaseId)}/rows/${encodeURIComponent(rowId)}/vectors/${encodeURIComponent(column)}`,
+      { method: 'DELETE' },
     );
   }
 
@@ -1361,7 +1519,8 @@ export class RootrClient {
    * redirect to the storage bucket isn't sent our API key.
    */
   async downloadAttachmentBytes(attachmentId) {
-    const url = this.attachmentRawUrl(attachmentId);
+    // ISSUE-61 — 바이트는 우리가 직접 받는다: 공개 주소(publicBaseUrl)가 아니라 요청을 보내는 baseUrl 로.
+    const url = `${this.baseUrl}/attachments/${encodeURIComponent(attachmentId)}/raw`;
     const res = await fetch(url);
     if (!res.ok) {
       throw new RootrApiError(tr(`오디오 다운로드 실패 (HTTP ${res.status})`, `Audio download failed (HTTP ${res.status})`), { status: res.status });
@@ -1490,7 +1649,25 @@ export class RootrClient {
 
   /** Public, unauthenticated URL an <img> tag (or a published /p/ document) can load directly. */
   attachmentRawUrl(attachmentId) {
-    return `${this.baseUrl}/attachments/${encodeURIComponent(attachmentId)}/raw`;
+    return `${this.publicBaseUrl}/attachments/${encodeURIComponent(attachmentId)}/raw`;
+  }
+
+  /**
+   * ISSUE-222 — presigned-URL upload (option 1 from the feature request): the
+   * caller PUTs the file bytes straight to S3 from wherever it has local disk
+   * access, instead of inlining them into an MCP tool call as base64Data.
+   * Mirrors the editor's presign→PUT→complete flow (`/attachments/presign`).
+   */
+  async presignAttachment(workspaceId, { filename, mimeType, size, nodeId } = {}) {
+    return this.request('/attachments/presign', {
+      method: 'POST',
+      body: { workspaceId, filename, mimeType, size, nodeId },
+    });
+  }
+
+  /** Marks a presigned attachment READY after the bytes have been PUT to S3. */
+  async completeAttachment(attachmentId) {
+    return this.request(`/attachments/${encodeURIComponent(attachmentId)}/complete`, { method: 'POST' });
   }
 
   // ---- Spreadsheets ---------------------------------------------------------
@@ -1884,3 +2061,22 @@ export class RootrClient {
   }
 
 }
+
+/**
+ * `![alt](url)` — 문서에 그대로 붙여 넣을 그림 한 줄.
+ *
+ * alt 자리에는 파일 이름이 그대로 들어가는데, 이름에 `]` 가 있으면 거기서 대괄호가 닫혀 그림이
+ * 아니라 깨진 글자가 되고(실측: 편집기에서 그림이 안 뜬다), `![가짜](http://…)` 같은 이름은
+ * 남의 주소의 그림을 문서에 끼워 넣는다. 역슬래시로 피하는 방법은 편집기의 해석기가 역슬래시를
+ * 글자 그대로 보여 줘서 쓰지 않는다 — 대괄호는 소괄호로, 역슬래시는 빗금으로, 줄바꿈·탭은
+ * 빈칸으로 바꾼다(alt 는 설명 글이라 뜻이 달라지지 않는다). 저장되는 파일 이름은 건드리지 않는다.
+ */
+export function imageMarkdown(alt, url) {
+  const safe = String(alt ?? '')
+    .replace(/\[/g, '(')
+    .replace(/\]/g, ')')
+    .replace(/\\/g, '/')
+    .replace(/[\r\n\t]+/g, ' ')
+    .trim();
+  return `![${safe}](${url})`;
+}

package/lib/credentials.js

@@ -15,6 +15,7 @@ import { t as tr } from './i18n.js';
 export function candidateClients(cfg = loadConfig()) {
   const out = [];
   const seen = new Set();
+  // (sessionKeys — 아래 rememberSessionKey 참고 — 는 맨 뒤에 붙는다.)
   if (cfg.apiKey) {
     seen.add(cfg.apiKey);
     out.push({ apiKey: cfg.apiKey, label: 'default', client: new RootrClient({ ...cfg, apiKey: cfg.apiKey }) });
@@ -24,9 +25,37 @@ export function candidateClients(cfg = loadConfig()) {
     seen.add(k.apiKey);
     out.push({ apiKey: k.apiKey, label: k.label || k.workspace || 'key', client: new RootrClient({ ...cfg, apiKey: k.apiKey }) });
   }
+  for (const apiKey of sessionKeys) {
+    if (seen.has(apiKey)) continue;
+    seen.add(apiKey);
+    out.push({ apiKey, label: 'session', ephemeral: true, client: new RootrClient({ ...cfg, apiKey }) });
+  }
   return out;
 }
 
+/**
+ * ISSUE-221 — keys this (long-running, stdio MCP) process was handed through
+ * the ROOTR_API_KEY env var and has since switched away from.
+ *
+ * rootr_use_workspace swaps process.env.ROOTR_API_KEY to the key that opens
+ * the target workspace. If the key it replaces lived only in the environment
+ * (the usual MCP client config: `env: { ROOTR_API_KEY, ROOTR_WORKSPACE }`),
+ * nothing else remembers it — so after A → B the server could no longer open
+ * A again ("none of the registered keys opens it"), although it was started
+ * with exactly that key. Keep such keys for the life of the process so the way
+ * back stays open.
+ *
+ * In memory only: an env-supplied secret is never written to
+ * ~/.rootr/config.json behind the user's back (rememberWorkspace skips
+ * `ephemeral` candidates). Never called on the hosted path — that one returns
+ * before any switch happens, so tenants cannot see each other's keys here.
+ */
+const sessionKeys = [];
+
+export function rememberSessionKey(apiKey) {
+  if (apiKey && !sessionKeys.includes(apiKey)) sessionKeys.push(apiKey);
+}
+
 /**
  * Collect every workspace the registered keys can see, and which of them a
  * key can actually open — listing is not a capability probe: a workspace key
@@ -155,6 +184,36 @@ export async function resolveWorkspaceSwitch(wantedRaw, cfg = loadConfig()) {
 
   if (target) {
     const scoped = lastRejection && lastRejection.status === 403;
+    // ISSUE-172/221 — when this (MCP server) process was started with
+    // ROOTR_API_KEY set, config.js makes that env var win over the DEFAULT key
+    // in ~/.rootr/config.json (see its ENV-WINS comment), now and after every
+    // restart. So for such a server the usual first remedy (`rootr config
+    // --api-key <PAT>`) never takes effect — the PAT has to go into the MCP
+    // server's own env config. Extra keys (`--add-key`) are different: the
+    // file is re-read on every call and they are tried as candidates, so that
+    // remedy works at once, without a restart. (Measured 2026-10-09 against a
+    // real server: the earlier note had both of these the wrong way round.)
+    const envPinned = !!process.env.ROOTR_API_KEY;
+    const remediesKo = envPinned
+      ? '조치 (둘 중 하나, 사용자가 직접):\n' +
+        '1) rootr.io > 설정 > API 키에서 계정 키(PAT)를 발급 → MCP 서버 설정의 ROOTR_API_KEY 환경변수를 그 키로 바꾸고 ' +
+        '서버를 재시작 (이 서버는 ROOTR_API_KEY 환경변수의 키를 쓰므로, `rootr config --api-key` 로 파일에 적은 키는 ' +
+        '재시작해도 쓰이지 않습니다)\n' +
+        `2) 그 워크스페이스용 키를 발급 → \`rootr config --add-key <키> --workspace ${target.id}\` ` +
+        '(재시작 없이, 등록한 뒤 바로 다시 전환하면 됩니다)'
+      : '조치 (둘 중 하나, 사용자가 직접):\n' +
+        '1) rootr.io > 설정 > API 키에서 계정 키(PAT)를 발급 → `rootr config --api-key <키>` (모든 워크스페이스에 통함)\n' +
+        `2) 그 워크스페이스용 키를 발급 → \`rootr config --add-key <키> --workspace ${target.id}\``;
+    const remediesEn = envPinned
+      ? 'Fix (either one, done by you):\n' +
+        '1) Create an account key (PAT) under rootr.io > Settings > API keys → put it in the ROOTR_API_KEY env var of ' +
+        'the MCP server config and restart the server (this server uses the key from ROOTR_API_KEY, so a key written ' +
+        'with `rootr config --api-key` is not used, even after a restart)\n' +
+        `2) Create a key for that workspace → \`rootr config --add-key <key> --workspace ${target.id}\` ` +
+        '(no restart needed — switch again right after registering it)'
+      : 'Fix (either one, done by you):\n' +
+        '1) Create an account key (PAT) under rootr.io > Settings > API keys → `rootr config --api-key <key>` (works everywhere)\n' +
+        `2) Create a key for that workspace → \`rootr config --add-key <key> --workspace ${target.id}\``;
     return {
       error: tr(
         `"${target.name || target.id}" (${target.id}) 는 접근 권한 목록에는 있지만, 등록된 키로는 열 수 없습니다` +
@@ -162,17 +221,13 @@ export async function resolveWorkspaceSwitch(wantedRaw, cfg = loadConfig()) {
           (scoped
             ? '원인: 지금 등록된 키가 다른 워크스페이스 전용 키입니다 (워크스페이스 키는 자기 워크스페이스 밖에서 403).\n'
             : `원인: ${lastRejection ? lastRejection.message : '알 수 없음'}\n`) +
-          '조치 (둘 중 하나, 사용자가 직접):\n' +
-          '1) rootr.io > 설정 > API 키에서 계정 키(PAT)를 발급 → `rootr config --api-key <키>` (모든 워크스페이스에 통함)\n' +
-          `2) 그 워크스페이스용 키를 발급 → \`rootr config --add-key <키> --workspace ${target.id}\``,
+          remediesKo,
         `"${target.name || target.id}" (${target.id}) is on your access list, but none of the registered keys opens it` +
           `${target.role ? ` (your role: ${target.role})` : ''}.\n` +
           (scoped
             ? 'Cause: the registered key belongs to a different workspace (a workspace key gets 403 outside its own).\n'
             : `Cause: ${lastRejection ? lastRejection.message : 'unknown'}\n`) +
-          'Fix (either one, done by you):\n' +
-          '1) Create an account key (PAT) under rootr.io > Settings > API keys → `rootr config --api-key <key>` (works everywhere)\n' +
-          `2) Create a key for that workspace → \`rootr config --add-key <key> --workspace ${target.id}\``,
+          remediesEn,
       ),
     };
   }
@@ -204,7 +259,9 @@ export async function resolveWorkspaceSwitch(wantedRaw, cfg = loadConfig()) {
 /** Persist the switch: remember the workspace and which key covers it. */
 export function rememberWorkspace({ workspace, candidate }, cfg = loadConfig()) {
   saveConfig({ workspace: workspace.id });
-  if (candidate && candidate.apiKey !== cfg.apiKey) {
+  // `ephemeral` = a key that only ever lived in this process's environment (see
+  // rememberSessionKey) — it stays out of the config file.
+  if (candidate && candidate.apiKey !== cfg.apiKey && !candidate.ephemeral) {
     upsertKey({ apiKey: candidate.apiKey, workspace: workspace.id, label: candidate.label });
   }
 }

package/lib/mcp-tools/ask.js

@@ -28,7 +28,12 @@ export function registerAskTools(server) {
         const client = makeClient(ws);
         const result = await client.ask(ws, question);
         const citations = Array.isArray(result.citations) ? result.citations : [];
-        const citationLines = citations.map((c) => `- ${c.documentPath}: ${c.quote}`);
+        // DB-SEARCH — 표의 행 출처는 "표 › 행 (주소)" — 표 이름만 주면 찾아 놓고도 그 행을 못 연다.
+        const citationLines = citations.map((c) =>
+          c.rowId
+            ? `- ${c.documentTitle || c.documentPath} › ${c.rowTitle || '(untitled row)'}${c.url ? ` (${c.url})` : ''}: ${c.quote}`
+            : `- ${c.documentPath}${c.url ? ` (${c.url})` : ''}: ${c.quote}`,
+        );
         const text = [
           result.text || '(no answer text)',
           '',