rtrt-agent 0.2.0 → 0.2.1

package/README.ko.md

@@ -4,25 +4,35 @@
 agent, worktree, invocation 및 permission broker 문맥을 보존하고 로컬 대시보드를
 백그라운드에서 사용할 수 있게 유지합니다.
 
-## 설치 (v1 setup-managed wiring, v0.2.0)
+## 설치 (v1 setup-managed wiring, v0.2.1)
 
-이 소스는 v0.2.0을 대상으로 합니다. 설치하려면 버전이 일치하는 게시된 npm release가 필요하며, 소스의 버전 표시는 게시 증명이 아닙니다. 이전 `rtrt-agent@0.1.7` release는 그대로이며 아래 native v2 진입점을 포함하지 않습니다.
-
-버전이 일치하는 npm release의 설치 형태는 다음과 같습니다.
+이 소스는 `v0.2.1`을 대상으로 합니다. 설치에는 일치하는 게시된 npm release가
+필요하며, 소스 트리 단독으로는 게시를 증명하지 않습니다. 현재 install command는
+다음과 같습니다.
 
 ```sh
-npm install rtrt-agent@0.2.0
+npm install rtrt-agent@0.2.1
 ```
 
-`opencode.json`의 단수형 `plugin` 배열에 패키지를 등록합니다.
+`opencode.json`에 등록합니다.
 
 ```json
 {
-  "plugin": ["rtrt-agent@0.2.0"]
+  "plugin": ["rtrt-agent@0.2.1"]
 }
 ```
 
-v1 패키지 root는 이름 있는 export `RtrtProvenance` 하나를 그대로 유지하며 v0.2.0에서도 이름은 바뀌지 않습니다. 선택 사항인 v1 TUI statusline은 별도 setup-managed 통합으로 남고 v1 패키지는 이를 export하거나 pack하지 않습니다. 새로 staged 된 native v2 소스는 아래에서 설명하며 `rtrt-agent@0.1.7`에는 게시되지 않습니다.
+소스 트리는 v1 계약 위에 staged native v2 진입점을 포함하며, `v0.2.1` npm release가
+그 소스를 게시합니다. 이미 게시된 `v0.2.0` npm release는 immutable이며 변경되지
+않습니다. 이전 `rtrt-agent@0.1.7` release는 npm에서 그대로이며 아래 native v2
+진입점을 포함하지 않습니다.
+
+v1 패키지 root는 이름 있는 export `RtrtProvenance` 하나를 그대로 유지하며 v0.2.1에서도
+이름은 바뀌지 않습니다. 선택 사항인 v1 TUI statusline은 별도 setup-managed 통합으로
+남고 v1 패키지는 이를 export하거나 pack하지 않습니다. 아래에 설명하는 native v2
+진입점은 소스 팩에 들어 있으며 v0.2.1 npm release manifest에 추가되어 있습니다. 이
+진입점의 host-side 활성화는 [Native OpenCode 2.0.20 진입점](#native-opencode-2020-진입점)에
+설명한 경계에 따라 달라집니다.
 
 ## 대시보드
 
@@ -39,59 +49,202 @@ rtrt-dashboard-open
 ```
 
 에이전트는 인자가 없는 `rtrt_dashboard_open` 도구로 같은 명시적 동작을 수행할 수
-있습니다. 두 경로 모두 60초 fragment bootstrap을 사용하고 고정 상태만 반환하므로
-credential이 prompt나 command template에 들어가지 않습니다. 실행 파일 또는 private
-state가 안전하지 않거나 없으면 시작만 fail-soft로 중단되고 OpenCode는 정상적으로
-계속됩니다. 기존 `~/.rtrt` 데이터는 보존합니다.
+있습니다. 두 경로 모두 보호된 대시보드 state 안의 같은 디렉터리 임시 파일을
+전용(exclusive) 모드로 열고 owner 전용 permission 또는 ACL을 적용한 다음 HTML을
+작성한 뒤 rename으로 마무리합니다. 일반 opener argv는 로컬 absolute 파일 경로
+하나만 담고, URL·fragment·`bootstrap=` 인자는 거부합니다. 60초 single-use HMAC
+credential, nonce replay, Origin, bearer exchange, UI fragment clear 동작은 그대로입니다.
+
+`rtrt service open --print-bootstrap`은 짧은 경고 URL만 출력하고 브라우저를 실행하지
+않습니다. `--print-bootstrap` 없이 Linux/macOS의 `rtrt service open`은 같은 owner
+전용 `bootstrap.html`과 absolute 로컬 파일 경로 argv를 사용합니다. Windows에서는
+`rtrt service open`이 거부되므로 <http://127.0.0.1:7311/>을 열고 대시보드 bootstrap
+prompt에만 token을 입력하세요.
+
+실행 파일 또는 private state가 안전하지 않거나 없으면 시작만 fail-soft로 중단되고
+OpenCode는 정상적으로 계속됩니다. 기존 `~/.rtrt` 데이터는 보존합니다.
 
 `rtrt setup --agent opencode --apply`는 전체 RTRT 통합을 관리하지만 npm 설치는 수행하지
 않으며, 설정된 패키지는 OpenCode가 시작할 때 설치합니다. Setup은 먼저 정확한
-`rtrt-agent@0.2.0` 등록과 모든 대체 관리 asset을 기록합니다. 이 기록이 성공한 뒤에만
+`rtrt-agent@0.2.1` 등록과 모든 대체 관리 asset을 기록합니다. 이 기록이 성공한 뒤에만
 인식된 legacy RTRT plugin을 제거하며, 이전 단계가 실패하면 legacy runtime을 보존합니다.
 Setup은 `rtrt-agent`의 정확히 일치하는 bare, pinned, ranged, tuple, object 형식만 소유하고
-정확한 `"rtrt-agent@0.2.0"` string 하나로 정규화합니다. 이전의 미게시 `rtrt`와 초안
+정확한 `"rtrt-agent@0.2.1"` string 하나로 정규화합니다. 이전의 미게시 `rtrt`와 초안
 `rtrt-opencode` 패키지 spec은 외부 값이며 순서를 유지합니다. 위 직접 등록과
-`opencode plugin rtrt-agent@0.2.0 --global`은 계속 유효합니다.
+`opencode plugin rtrt-agent@0.2.1 --global`은 계속 유효합니다.
 
 관리 agent 소유권 상태는 다음 순서의 첫 비어 있지 않은 root에서 읽습니다.
 `$OPENCODE_CONFIG_DIR`, `$XDG_CONFIG_HOME/opencode`, `~/.config/opencode`. 공존은 OMO
 4.19.4를 대상으로 CI에서 검사하고 OpenCode 1.18.29에서 직접 검증했으며, 어느 쪽도
 미래 버전 지원을 보장하지 않습니다. 통합 RTRT 릴리스 워크플로는 정확한 버전의
-대시보드 플랫폼 패키지 5개를 `rtrt-agent@0.2.0`보다 먼저 게시한 뒤 일치하는 Rust
+대시보드 플랫폼 패키지 5개를 `rtrt-agent@0.2.1`보다 먼저 게시한 뒤 일치하는 Rust
 릴리스 artifact를 게시합니다.
 
+### 기존 Windows state와 credential ACL
+
+npm이 관리하는 기존 `.rtrt`, `dashboard`, `startup.lock`, `dashboard.env`,
+`bootstrap.html` 경로는 사용 전에 검증됩니다. 새로 만들어진 directory/file은
+민감한 byte를 쓰기 전에 owner 전용 permission 또는 ACL(현재 SID FullControl
+전용, inheritance 비활성)을 부여받습니다. private credential 또는 state
+file에 비-owner write ACE이거나 상속된 permissive ACE가 있는 기존 경로는
+거부되며, 시작이 fail closed하고 OpenCode는 대시보드 없이 계속됩니다. 공개
+대시보드 binary에 적용되는 SYSTEM/Admins 및 trusted-OS-binary 면제는 private
+credential 또는 state ACL까지 확장되지 않습니다. 더 오래된 unsafe 기존 state는
+"무통으로" 보이지 않게 다시 쓰여지지 않습니다. 다가오는 `v0.2.1` 후보
+remediation은 fresh state 강화와 unsafe 기존 state 거절을 추가한 것이지,
+삭제나 자동 ACL 복구를 도입한 것이 아니며 운영자 파일을 옮기는 painless
+migration을 약속하지 않습니다. 이미 게시된 `v0.2.0` npm release는 immutable
+이고 이 수정도 포함하지 않습니다.
+
 ## Native OpenCode 2.0.20 진입점
 
-v0.2.0 source manifest의 pack 목록에는 native v2 server와 TUI 파일이 추가되지만, npm registry의 `rtrt-agent@0.1.7`에는 **포함되지 않습니다**. 게시된 `rtrt-agent@0.1.7`은 native v2 진입점을 설치·등록하지 않으며, 과거 `0.1.7` 패키지 계약은 게시된 그대로 유지됩니다. v0.2.0 native 소스의 검증 대상은 정확히 `@opencode/cli@2.0.20`과 `@opencode/plugin@2.0.20`이며, 1.x SDK의 v2 preview가 아닙니다. 패키지 root는 v1 이름 있는 export `RtrtProvenance`를 유지합니다 (이름만, v0.2.0에서도 변경 없음).
+`v0.2.1` npm release는 native v2 server와 TUI 파일을 pack 목록에 동봉합니다. npm
+registry의 이전 `rtrt-agent@0.1.7` release는 그 진입점을 포함하거나 등록하지 않으며
+그대로입니다. native 소스의 검증 대상은 정확히 `@opencode/cli@2.0.20`과
+`@opencode/plugin@2.0.20`이며, 1.x SDK의 v2 preview가 아닙니다. 패키지 root는 v1
+이름 있는 export `RtrtProvenance`를 유지합니다 (이름만, v0.2.1에서도 변경 없음).
+
+`v0.2.1` pack에 들어 있는 항목:
+
+- `./server`의 native `Plugin.Definition` default export. 이름 있는 `createNativeServer`
+  팩토리가 `{ id: "rtrt-agent", setup }` 형태로 생성합니다. v1 `RtrtProvenance`
+  경로는 그대로 별도입니다.
+- `package.json`의 `exports`에서 `./server`와 `./tui`에 사용하는 single-element 배열.
+  OpenCode 1.18.33 legacy resolver는 배열을 무시하고 `main`인 `index.js`로 fallback
+  하며, native 2.0.20은 정상적으로 해석합니다.
+- v1 TUI statusline은 여전히 별도의 `app_bottom` 등록입니다. v2 native
+  `rtrt-statusline.tsx`는 `tui/v2/` 아래에 있고 2.x에서만 동작하며 v1 연결은 그대로입니다.
+- Native `prompt.footer.status` 등록과 server·TUI hook의 cleanup.
 
-v0.2.0 source pack에 staged 된 항목:
+Tool-arg provenance, 대시보드 자동 시작, 명시적 `rtrt_dashboard_open`은 모두 native
+server 뒤에 있습니다. Permission 정책은 fail-closed이며 명시적 `deny`는 v1 broker와
+v2 evaluator 양쪽에서 그대로 보존됩니다. 외부 Claude CLI permission broker 지원과
+per-call shell identity / provider-limit recovery는 native v2 build에서 **지원되지
+않습니다**. 이는 2.0.20 public API에 해당 표면이 없기 때문이며 어떤 workaround로도
+자동 승인되지 않습니다. 기본 deny 정책은 v1 broker에서와 동일합니다.
+
+### Native server와 native TUI 모두 설정하기
+
+Native OpenCode 2.0.20은 플러그인 설정을 위해 두 파일을 읽으며, 이 둘은 같은
+표면이 아닙니다.
+
+- `opencode.json`은 **server inventory**를 제어합니다. 패키지는 string source
+  target을 노출하고 server options(2.0.20 schema 기준)은 이 표면에서 전달되지
+  않습니다.
+- `<OPENCODE_CONFIG_DIR>/cli.json`은 **native CLI options**를 제어합니다. native
+  host는 project/server의 `opencode.json`과 별도로 `cli.json`(또는 CLI config content
+  override)을 읽습니다. 패키지의 TUI `options`(특히 `bin`)는 여기에 들어가야 합니다.
+
+`bin`은 explicit와 omitted를 구분합니다. **explicit** `options.bin`은 실제
+`rtrt` 실행 파일의 absolute 경로여야 합니다. 설정되면 native 2.0.20은
+`RTRT_BIN`, `PATH`, 그 외 후보로 절대 fallback하지 않습니다. invalid,
+missing, non-absolute explicit bin은 footer에 `N/A | STATE UNKNOWN | COST N/A
+| CTX N/A | DEGRADED`를 표시합니다. `options.bin`이 **omitted**이면 공유
+runner가 먼저 `RTRT_BIN`을 보고 그 다음 `PATH`의 `rtrt`을 조회합니다. 둘 다
+없으면 같은 unavailable 상태를 표시합니다. server options(예: `bin` 값)은
+`opencode.json`에서 TUI로 전달되지 않으며, `cli.json`에도 함께 적혀 있을 때만
+TUI에 도달합니다. 두 파일에 같은 `options.bin`을 설정하세요.
+
+디스크에 있는 실제 release binary 예시입니다 (native fixture가 실행한 형식 —
+두 파일 모두 같은 `plugins` 항목을 가집니다).
+
+```jsonc
+// /absolute/path/to/checkout/opencode.json  (server inventory)
+{
+  "plugins": [
+    {
+      "package": "/absolute/path/to/rtrt-agent",
+      "options": { "bin": "/absolute/path/to/rtrt-0.2.1/rtrt" }
+    }
+  ]
+}
+```
 
-- `./server`의 native `Plugin.Definition` default export. 이름 있는 `createNativeServer` 팩토리가 `{ id: "rtrt-agent", setup }` 형태로 생성합니다. v1 `RtrtProvenance` 경로는 그대로 별도입니다.
-- `package.json`의 `exports`에서 `./server`와 `./tui`에 사용하는 single-element 배열. OpenCode 1.18.33 legacy resolver는 배열을 무시하고 `main`인 `index.js`로 fallback 하며, native 2.0.20은 정상적으로 해석합니다.
-- v1 TUI statusline은 여전히 별도의 `app_bottom` 등록입니다. v2 native `rtrt-statusline.tsx`는 `tui/v2/` 아래에 있고 2.x에서만 동작하며 v1 연결은 그대로입니다.
-- Native `prompt.footer.status` 등록과 server·TUI hook의 cleanup.
+```jsonc
+// /absolute/path/to/<OPENCODE_CONFIG_DIR>/cli.json  (native TUI options)
+{
+  "plugins": [
+    {
+      "package": "/absolute/path/to/rtrt-agent",
+      "options": { "bin": "/absolute/path/to/rtrt-0.2.1/rtrt" }
+    }
+  ]
+}
+```
 
-Tool-arg provenance, 대시보드 자동 시작, 명시적 `rtrt_dashboard_open`은 모두 native server 뒤에 있습니다. Permission 정책은 fail-closed이며 명시적 `deny`는 v1 broker와 v2 evaluator 양쪽에서 그대로 보존됩니다. 외부 Claude CLI permission broker 지원과 per-call shell identity / provider-limit recovery는 native v2 build에서 **지원되지 않습니다**. 이는 2.0.20 public API에 해당 표면이 없기 때문이며 어떤 workaround로도 자동 승인되지 않습니다. 기본 deny 정책은 v1 broker에서와 동일합니다.
+두 파일은 서로 다른 host 표면을 설정합니다. native CLI는 TUI 옵션을 소유하며
+`opencode.json`만으로 그 옵션을 가져오지 않습니다. server도 옵션을 전달하지
+않습니다. `bin`을 상대 경로, `PATH` 검색, 자동 감지된 release 경로로 대체하는 것은
+패키지에서 지원하지 않습니다. 기본 absolute binary는 운영자의 release 빌드 자체입니다.
 
 ### 로컬 소스 checkout (npm 설치 없음)
 
-로컬 checkout으로 개발할 때는 OpenCode의 native `plugins` config가 디렉터리 참조를 받습니다. 정확한 경로는 checkout에 따라 다르므로 형식만 보여 줍니다.
+로컬 checkout으로 개발할 때는 OpenCode의 native `plugins` config가 디렉터리 참조를
+받습니다. 정확한 경로는 checkout에 따라 다르므로 형식만 보여 줍니다 (두 파일 모두
+실행 fixture를 그대로 반영).
 
-```json
+```jsonc
+// opencode.json (server inventory)
+{
+  "plugins": [
+    {
+      "package": "/absolute/path/to/rtrt/plugins/opencode",
+      "options": { "bin": "/absolute/path/to/rtrt" }
+    }
+  ]
+}
+```
+
+```jsonc
+// <OPENCODE_CONFIG_DIR>/cli.json (native TUI options)
 {
   "plugins": [
-    "/absolute/path/to/rtrt/plugins/opencode"
+    {
+      "package": "/absolute/path/to/rtrt/plugins/opencode",
+      "options": { "bin": "/absolute/path/to/rtrt" }
+    }
   ]
 }
 ```
 
-이 디렉터리 형식은 격리된 HOME/XDG 환경에서 실제 `@opencode/cli@2.0.20` host로 로컬 검증했습니다. 그 정확한 버전에서 `server.js`가 active이고 native TUI 탐색 결과는 `features.tui: true`이며 RTRT stdio MCP가 연결됩니다. TUI strict typecheck, 번들 빌드, 120열·40열 headless footer 렌더링도 통과합니다. 검증은 전체 interactive OpenCode TUI를 다루지 않으며 다른 OpenCode 버전을 보장하지 않습니다. 검증 대상은 정확히 테스트한 `@opencode/cli@2.0.20` host에 한정됩니다.
+이 두 파일 형식은 격리된 HOME/XDG 환경에서 실제 `@opencode/cli@2.0.20` host로 로컬
+검증했습니다. 그 정확한 버전에서 `server.js`가 active이고 native TUI 탐색 결과는
+`features.tui: true`이며 RTRT stdio MCP가 연결됩니다. TUI strict typecheck, 번들
+빌드, 120열·40열 headless footer 렌더링도 실제 release `rtrt` binary와 의도적으로
+설치하지 않은 binary(missing → `N/A | STATE UNKNOWN | ...`)에 대해 통과합니다.
+검증은 전체 interactive OpenCode TUI를 다루지 않으며 다른 OpenCode 버전을 보장하지
+않습니다. 검증 대상은 정확히 테스트한 `@opencode/cli@2.0.20` host에 한정됩니다.
 
 ### Native MCP 형식 (정보 제공, OpenCode 2 공식 schema)
 
-Native local MCP 형식은 `mcp.servers.rtrt.type: "local"`과 `["/absolute/path/to/rtrt-mcp", "--transport", "stdio"]` 같은 `command` 배열을 사용합니다. 옵션 이름은 `disabled`와 `codemode`이며 sandbox source config에서는 둘 다 `false`입니다. Release에 고정된 v1 등록은 `rtrt-agent@0.2.0`입니다. `rtrt setup --agent opencode --apply`는 여전히 v1 설정을 기록하며 native v2 설치가 아닙니다. Setup 자체는 npm 패키지를 설치하지 않고, OpenCode가 시작할 때 설정된 패키지를 해석합니다.
-
-게시된 `rtrt-agent@0.1.7`은 npm registry에서 그대로입니다. Sandbox의 기본 v2 설정은 MCP-only이며 staged native plugin·footer·forwarding adapter는 그 경로에서 활성화되지 않습니다. 이 소스 작업은 Docker 배포, `rtrt collector` 서비스, 운영자 측 `forward` 배선 또는 다른 운영 서비스를 promote, 활성화, 연결하지 않습니다 — 이 표면은 분리되어 있고 v0.2.0 소스 변경으로 켜지지 않습니다.
+Native local MCP 형식은 `mcp.servers.rtrt.type: "local"`과
+`["/absolute/path/to/rtrt-mcp", "--transport", "stdio"]` 같은 `command` 배열을
+사용합니다. 옵션 이름은 `disabled`와 `codemode`이며 sandbox source config에서는 둘
+다 `false`입니다. Release에 고정된 v1 등록은 `rtrt-agent@0.2.1`입니다.
+`rtrt setup --agent opencode --apply`는 여전히 v1 설정을 기록하며 native v2 설치가
+아닙니다. Setup 자체는 npm 패키지를 설치하지 않고, OpenCode가 시작할 때 설정된
+패키지를 해석합니다.
+
+게시된 `rtrt-agent@0.1.7`은 npm registry에서 그대로입니다. Sandbox의 기본 v2 설정은
+MCP-only이며 staged native plugin·footer·forwarding adapter는 그 경로에서
+활성화되지 않습니다. 이 소스 작업은 Docker 배포, `rtrt collector` 서비스, 운영자
+측 `forward` 배선 또는 다른 운영 서비스를 promote, 활성화, 연결하지 않습니다 — 이
+표면은 분리되어 있고 v0.2.1 소스 변경으로 켜지지 않습니다.
+
+### Windows native 지원
+
+npm 패키지의 dashboard supervisor는 Windows에서 동작합니다 (`.rtrt`, `dashboard`,
+`startup.lock`, `dashboard.env`, `bootstrap.html` ACL 적용을 번들 PowerShell 정책으로
+수행하고 binary trust, 일반 open 경로를 처리하며 `dashboard-acl.test.mjs`,
+`dashboard-binary.test.mjs`, `dashboard-open.test.mjs`로 검증). supervisor test는
+Unix에서 같은 표면을 검증하며 실제 Windows CI lane에는 포함되지 않습니다. 실제
+Windows CI 실행은 아직 기록되어 있지 않습니다. npm 패키지의 Windows 동작 인정은
+**`dashboard-acl.test.mjs`, `dashboard-binary.test.mjs`, `dashboard-open.test.mjs`
+에서 Windows-only skip이 0개인 실제 `windows-latest` CI 실행에 좌우됩니다**. 이
+README는 본 환경에서 해당 gate가 이미 통과했다고 주장하지 않습니다.
+`rtrt-dashboard-open` 바이너리 경로는 Windows에서 출시되지만 Rust CLI의
+`rtrt service open`은 Windows에서 거부되므로 <http://127.0.0.1:7311/>을 열고
+대시보드 bootstrap prompt에만 token을 입력하세요.
 
 ## 라이선스
 

package/README.md

@@ -4,25 +4,34 @@
 worktree, invocation, and permission-broker context across supported hooks and keeps
 the local dashboard available in the background.
 
-## Install (v1 setup-managed wiring, v0.2.0)
+## Install (v1 setup-managed wiring, v0.2.1)
 
-This source targets v0.2.0. Installation requires the matching published npm release; a source version marker is not proof of publication. The older `rtrt-agent@0.1.7` release remains unchanged and does not include the native v2 entries described below.
-
-For the matching npm release:
+This source targets `v0.2.1`. Installation requires a matching published npm release;
+the source tree alone is not proof of publication. The current install command is:
 
 ```sh
-npm install rtrt-agent@0.2.0
+npm install rtrt-agent@0.2.1
 ```
 
-Register the package in the singular `plugin` array in `opencode.json`:
+Register it in `opencode.json`:
 
 ```json
 {
-  "plugin": ["rtrt-agent@0.2.0"]
+  "plugin": ["rtrt-agent@0.2.1"]
 }
 ```
 
-The v1 package root remains the named export `RtrtProvenance` only — its name is unchanged across the v0.2.0 source. The optional v1 TUI statusline stays a separate setup-managed integration and is not exported or packed by the v1 package. The newly staged native v2 source is described below and is not published in `rtrt-agent@0.1.7`.
+The source tree carries the staged native v2 entries on top of the v1 contract; the
+`v0.2.1` npm release publishes that source. The already-published `v0.2.0` npm release
+is immutable and does not change. The older `rtrt-agent@0.1.7` release remains unchanged
+on npm and does not include the native v2 entries described below.
+
+The v1 package root keeps the named export `RtrtProvenance` only — its name is unchanged
+across the v0.2.1 source. The optional v1 TUI statusline stays a separate setup-managed
+integration and is not exported or packed by the v1 package. The native v2 entries
+documented below are present in the source pack and added under the v0.2.1 npm release
+manifest; their host-side activation depends on the boundary described in
+[Native OpenCode 2.0.20 Entries](#native-opencode-2020-entries).
 
 ## Dashboard
 
@@ -38,60 +47,212 @@ rtrt-dashboard-open
 ```
 
 An agent may invoke the argument-free `rtrt_dashboard_open` tool for the same explicit
-action. Both paths use a 60-second fragment bootstrap and return only a fixed status;
-credentials are never written into prompts or command templates. Startup is fail-soft:
-if the binary or private state is unsafe or unavailable, OpenCode continues normally.
-Existing `~/.rtrt` data is preserved.
+action. Both paths write a bounded `bootstrap.html` inside protected dashboard state
+through an exclusive same-directory temporary file, owner-only permissions or ACL
+**before** writing HTML, then rename. The ordinary opener argv passes only a local
+absolute file path; URL, fragment, or `bootstrap=` opener arguments are rejected. The
+60-second single-use HMAC credential, nonce replay, Origin, bearer exchange, and UI
+fragment clearing remain unchanged.
+
+`rtrt service open --print-bootstrap` still prints only the short-lived warning URL and
+does not launch a browser. Without `--print-bootstrap`, the Linux/macOS `rtrt service
+open` path uses the same owner-private `bootstrap.html` and absolute local file path
+argv. On Windows, `rtrt service open` is refused; open <http://127.0.0.1:7311/> and
+enter the token in the dashboard's bootstrap prompt.
+
+Startup is fail-soft: if the binary or private state is unsafe or unavailable, OpenCode
+continues normally. Existing `~/.rtrt` data is preserved.
 
 `rtrt setup --agent opencode --apply` manages the full RTRT integration but performs no
 npm installation; OpenCode installs the configured package at startup. Setup first writes
-the exact `rtrt-agent@0.2.0` registration and every replacement managed asset. Only after
+the exact `rtrt-agent@0.2.1` registration and every replacement managed asset. Only after
 those writes succeed does it remove a recognized legacy RTRT plugin; an earlier failure
 preserves the legacy runtime. Setup owns exact bare, pinned, ranged, tuple, and object forms
-of `rtrt-agent` only and normalizes them to one exact `"rtrt-agent@0.2.0"` string. Old
+of `rtrt-agent` only and normalizes them to one exact `"rtrt-agent@0.2.1"` string. Old
 unpublished `rtrt` and draft `rtrt-opencode` package specs are foreign and retain their
-order. The direct registration above and `opencode plugin rtrt-agent@0.2.0 --global`
+order. The direct registration above and `opencode plugin rtrt-agent@0.2.1 --global`
 remain valid.
 
 Managed-agent ownership state is read from the first nonempty root in this order:
 `$OPENCODE_CONFIG_DIR`, `$XDG_CONFIG_HOME/opencode`, then `~/.config/opencode`.
 Coexistence is CI-gated against OMO 4.19.4 and was verified on OpenCode 1.18.29; neither
 is a future-version guarantee. The unified RTRT release workflow publishes the exact
-five exact-version dashboard platform packages before `rtrt-agent@0.2.0`, then publishes
+five exact-version dashboard platform packages before `rtrt-agent@0.2.1`, then publishes
 the matching Rust release artifacts.
 
+### Existing Windows state and credential ACL
+
+Existing npm-managed `.rtrt`, `dashboard`, `startup.lock`, `dashboard.env`, and
+`bootstrap.html` paths are validated before use. A new directory or file gets
+owner-only permissions or ACL (current SID FullControl only, inheritance disabled)
+before sensitive bytes. Existing paths with any non-owner write ACE or an inherited
+permissive ACE on private credential or state files are refused: startup fails
+closed and OpenCode continues without the dashboard. The SYSTEM/Admins and
+trusted-OS-binary exemptions used for the public dashboard binary do not extend to
+private credential or state ACLs. Older pre-existing unsafe state does not get
+silently rewritten to "look painless". The upcoming `v0.2.1` candidate
+remediation adds fresh-state hardening and refusal of unsafe existing state; it
+does not introduce deletion or automatic ACL repair, and it does not promise a
+migration that renames operator files. The already-published `v0.2.0` npm
+release is immutable and does not contain these fixes.
+
 ## Native OpenCode 2.0.20 Entries
 
-The v0.2.0 manifest includes native v2 server and TUI files in the pack inventory. The older `rtrt-agent@0.1.7` release does not include or register those entries and remains unchanged. The native source targets exactly `@opencode/cli@2.0.20` and `@opencode/plugin@2.0.20`, not the 1.x SDK's v2 preview. The package root remains the v1 named export `RtrtProvenance` (name-only, unchanged across v0.2.0).
+The `v0.2.1` npm release ships native v2 server and TUI files in the pack inventory.
+The older `rtrt-agent@0.1.7` release on npm does not include or register those entries
+and stays unchanged. The native source targets exactly `@opencode/cli@2.0.20` and
+`@opencode/plugin@2.0.20`, not the 1.x SDK's v2 preview. The package root remains the
+v1 named export `RtrtProvenance` (name-only, unchanged across v0.2.1).
+
+What is in the `v0.2.1` pack:
+
+- A native `Plugin.Definition` default export at `./server`, constructed by the named
+  `createNativeServer` factory and exposing `{ id: "rtrt-agent", setup }`. The v1
+  `RtrtProvenance` path stays separate.
+- Single-element arrays for `./server` and `./tui` in `package.json` `exports`. OpenCode
+  1.18.33's legacy resolver ignores those arrays and falls back to `main` `index.js`;
+  native 2.0.20 resolves them normally.
+- A v1 TUI statusline that remains a separate `app_bottom` registration. The v2 native
+  `rtrt-statusline.tsx` lives under `tui/v2/` and only runs in 2.x; v1 wiring is
+  unchanged.
+- A native `prompt.footer.status` registration and cleanup for both server and TUI
+  hooks.
+
+Tool-arg provenance, dashboard auto-startup, and an explicit `rtrt_dashboard_open` all
+live behind the native server. Permission policies are fail-closed: explicit `deny`
+is preserved across the v1 broker and the v2 evaluator. External Claude CLI permission
+broker support and per-call shell identity / provider-limit recovery are
+**unsupported** in the native v2 build because those surfaces are not in the 2.0.20
+public API; they are not auto-approved via any workaround. The deny-by-default policy
+is unchanged from the v1 broker.
 
-What is staged in the v0.2.0 source pack:
+### Configuring the native server AND the native TUI
 
-- A native `Plugin.Definition` default export at `./server`, constructed by the named `createNativeServer` factory and exposing `{ id: "rtrt-agent", setup }`. The v1 `RtrtProvenance` path stays separate.
-- Single-element arrays for `./server` and `./tui` in `package.json` `exports`. OpenCode 1.18.33's legacy resolver ignores those arrays and falls back to `main` `index.js`; native 2.0.20 resolves them normally.
-- A v1 TUI statusline that remains a separate `app_bottom` registration. The v2 native `rtrt-statusline.tsx` lives under `tui/v2/` and only runs in 2.x; v1 wiring is unchanged.
-- A native `prompt.footer.status` registration and cleanup for both server and TUI hooks.
+Native OpenCode 2.0.20 reads two files for plugin configuration, and they are not the
+same surface:
 
-Tool-arg provenance, dashboard auto-startup, and an explicit `rtrt_dashboard_open` all live behind the native server. Permission policies are fail-closed: explicit `deny` is preserved across the v1 broker and the v2 evaluator. External Claude CLI permission broker support and per-call shell identity / provider-limit recovery are **unsupported** in the native v2 build because those surfaces are not in the 2.0.20 public API; they are not auto-approved via any workaround. The deny-by-default policy is unchanged from the v1 broker.
+- `opencode.json` controls the **server inventory**. The package contributes a string
+  source target; server options (per the 2.0.20 schema) are not propagated from this
+  surface.
+- `<OPENCODE_CONFIG_DIR>/cli.json` controls the **native CLI options**. The native
+  host reads `cli.json` (or its CLI config content override) separately from the
+  project/server `opencode.json`. The package's TUI `options` (notably `bin`) must
+  appear here.
+
+`bin` distinguishes explicit and omitted options. An **explicit** `options.bin`
+must be an absolute path to a real `rtrt` executable; when set, native 2.0.20
+never falls back to `RTRT_BIN`, `PATH`, or any other candidate — an invalid,
+missing, or non-absolute explicit bin makes the footer show
+`N/A | STATE UNKNOWN | COST N/A | CTX N/A | DEGRADED`. When `options.bin` is
+**omitted**, the shared runner consults `RTRT_BIN` first and then `PATH`'s
+`rtrt`; if neither works, the same unavailable state is shown. Server options
+such as the `bin` value are not forwarded to the TUI from `opencode.json`; they
+only reach the TUI when also written into `cli.json`. Configure both files with
+the same `options.bin`.
+
+Example with a real release binary on disk (the form exercised by the native
+fixture, where both `opencode.json` and `cli.json` carry the same `plugins`
+entry):
+
+```jsonc
+// /absolute/path/to/checkout/opencode.json  (server inventory)
+{
+  "plugins": [
+    {
+      "package": "/absolute/path/to/rtrt-agent",
+      "options": { "bin": "/absolute/path/to/rtrt-0.2.1/rtrt" }
+    }
+  ]
+}
+```
+
+```jsonc
+// /absolute/path/to/<OPENCODE_CONFIG_DIR>/cli.json  (native TUI options)
+{
+  "plugins": [
+    {
+      "package": "/absolute/path/to/rtrt-agent",
+      "options": { "bin": "/absolute/path/to/rtrt-0.2.1/rtrt" }
+    }
+  ]
+}
+```
+
+The two files configure different host surfaces. The native CLI owns TUI options and
+will not pick them up from `opencode.json` alone; the server does not forward them.
+Replacing `bin` with a relative path, a `PATH` lookup, or an auto-detected release path
+is not supported by the package. The default absolute binary is the operator's own
+release build.
 
 ### Local source checkout (no npm install)
 
-For development against a local checkout, OpenCode's native `plugins` config accepts a directory reference. Exact paths depend on your checkout, so only the shape is shown:
+For development against a local checkout, OpenCode's native `plugins` config accepts a
+directory reference. Exact paths depend on your checkout, so only the shape is shown
+(both files mirror the executed fixture):
 
-```json
+```jsonc
+// opencode.json (server inventory)
 {
   "plugins": [
-    "/absolute/path/to/rtrt/plugins/opencode"
+    {
+      "package": "/absolute/path/to/rtrt/plugins/opencode",
+      "options": { "bin": "/absolute/path/to/rtrt" }
+    }
   ]
 }
 ```
 
-This directory form was verified locally with the actual `@opencode/cli@2.0.20` host in an isolated HOME/XDG environment. With that exact version: `server.js` is active, native TUI discovery reports `features.tui: true`, RTRT stdio MCP connects, strict TUI typechecking and bundling pass, and headless footer rendering at 120 and 40 columns passes. The verification does not cover the full interactive OpenCode TUI and is not a guarantee for other OpenCode versions; it is specific to the exact `@opencode/cli@2.0.20` host that was tested.
+```jsonc
+// <OPENCODE_CONFIG_DIR>/cli.json (native TUI options)
+{
+  "plugins": [
+    {
+      "package": "/absolute/path/to/rtrt/plugins/opencode",
+      "options": { "bin": "/absolute/path/to/rtrt" }
+    }
+  ]
+}
+```
+
+This two-file form was verified locally with the actual `@opencode/cli@2.0.20` host in
+an isolated HOME/XDG environment. With that exact version: `server.js` is active,
+native TUI discovery reports `features.tui: true`, RTRT stdio MCP connects, strict
+TUI typechecking and bundling pass, and headless footer rendering at 120 and 40
+columns passes against a real release `rtrt` binary and a deliberately not-installed
+binary (missing → `N/A | STATE UNKNOWN | ...`). The verification does not cover the
+full interactive OpenCode TUI and is not a guarantee for other OpenCode versions; it
+is specific to the exact `@opencode/cli@2.0.20` host that was tested.
 
 ### Native MCP shape (informational, OpenCode 2 official schema)
 
-The native local MCP shape uses `mcp.servers.rtrt.type: "local"` and a `command` array such as `["/absolute/path/to/rtrt-mcp", "--transport", "stdio"]`; the option names are `disabled` and `codemode`, both `false` in the sandbox source config. The release-pinned v1 registration is `rtrt-agent@0.2.0`. `rtrt setup --agent opencode --apply` still writes v1 configuration, not native v2 installation; setup itself does not install npm packages, and OpenCode resolves the configured package at startup.
+The native local MCP shape uses `mcp.servers.rtrt.type: "local"` and a `command` array
+such as `["/absolute/path/to/rtrt-mcp", "--transport", "stdio"]`; the option names are
+`disabled` and `codemode`, both `false` in the sandbox source config. The
+release-pinned v1 registration is `rtrt-agent@0.2.1`. `rtrt setup --agent opencode
+--apply` still writes v1 configuration, not native v2 installation; setup itself does
+not install npm packages, and OpenCode resolves the configured package at startup.
+
+Published `rtrt-agent@0.1.7` remains unchanged on the npm registry. The sandbox's
+default v2 configuration is MCP-only; the staged native plugin, footer, and forwarding
+adapter are not activated there. This source work does not promote, activate, or wire
+up a Docker deployment, the `rtrt collector` service, the operator-side `forward`
+plumbing, or any other operational services — those remain separate surfaces and are
+not enabled by the v0.2.1 source change.
+
+### Windows native support
 
-Published `rtrt-agent@0.1.7` remains unchanged on the npm registry. The sandbox's default v2 configuration is MCP-only; the staged native plugin, footer, and forwarding adapter are not activated there. This source work does not promote, activate, or wire up a Docker deployment, the `rtrt collector` service, the operator-side `forward` plumbing, or any other operational services — those remain separate surfaces and are not enabled by the v0.2.0 source change.
+The npm package's dashboard supervisor runs on Windows (`.rtrt`, `dashboard`,
+`startup.lock`, `dashboard.env`, `bootstrap.html` ACL enforcement via the bundled
+PowerShell policy, binary trust, and ordinary open path — exercised by
+`dashboard-acl.test.mjs`, `dashboard-binary.test.mjs`, and `dashboard-open.test.mjs`).
+The supervisor test exercises the same surfaces on Unix and is not in the selected
+Windows CI lane; the actual Windows CI run is not yet recorded. Acceptance of the npm
+package's Windows behavior is **subject to a real `windows-latest` CI run with zero
+Windows-only skips in `dashboard-acl.test.mjs`, `dashboard-binary.test.mjs`, and
+`dashboard-open.test.mjs`**; this README does not claim that gate has already passed
+in this environment. The `rtrt-dashboard-open` binary path is shipped on Windows, but
+`rtrt service open` from the Rust CLI is refused on Windows; open
+<http://127.0.0.1:7311/> and enter the token in the dashboard's bootstrap prompt.
 
 ## License