[codex] v0.8.50 triage harvest

.github/workflows/auto-tag.yml

@@ -19,7 +19,6 @@ on:
     paths:
       - 'Cargo.toml'
       - 'npm/codewhale/package.json'
-      - 'npm/deepseek-tui/package.json'
   workflow_dispatch:
 
 permissions:

.github/workflows/release.yml

@@ -506,10 +506,11 @@ jobs:
           body: |
             > This release renames the project to **CodeWhale**. The legacy
             > `deepseek` and `deepseek-tui` binaries continue to ship as
-            > deprecation shims for one release cycle; they print a one-line
-            > warning and forward to `codewhale` / `codewhale-tui`. They will
-            > be removed in v0.9.0. See `docs/REBRAND.md` for the full
-            > migration story.
+            > compatibility-only deprecation shims during v0.8.x; they print a
+            > one-line warning and forward to `codewhale` / `codewhale-tui`.
+            > They will be removed in v0.9.0. The legacy npm package
+            > `deepseek-tui` is deprecated and receives no further releases.
+            > See `docs/REBRAND.md` for the full migration story.
 
             ## Install
 
@@ -568,7 +569,7 @@ jobs:
 
             The **portable** Windows archive skips the install script — extract and run from any directory.
 
-            Individual binaries are also attached below for scripting and the npm wrapper. Legacy `deepseek-*` and `deepseek-tui-*` assets ship for one release cycle so that existing `deepseek update` invocations on v0.8.40 keep working; they install the deprecation shims, which forward to the canonical binaries.
+            Individual binaries are also attached below for scripting and the npm wrapper. Legacy `deepseek-*` and `deepseek-tui-*` assets are compatibility-only deprecation shims for v0.8.x so that existing `deepseek update` invocations on v0.8.40 keep working; they forward to the canonical binaries. The legacy npm package `deepseek-tui` is deprecated and is not republished.
 
             ### Verify (recommended)
 

README.ja-JP.md

@@ -9,7 +9,7 @@
 
 ## インストール
 
-`codewhale` は自己完結型の Rust リリースバイナリのペアとしてインストールされます。`codewhale` はディスパッチャーで、同じ場所にある `codewhale-tui` ランタイムを起動して対話セッションを実行します。npm、Homebrew、Docker は両方を自動でインストールします。Cargo や手動インストールでは、両方を同じディレクトリ（通常は `PATH` 上のディレクトリ）に置いてください。実行に Node.js や Python のランタイムは不要です。
+`codewhale` は自己完結型の Rust リリースバイナリのペアとしてインストールされます。`codewhale` はディスパッチャーで、同じ場所にある `codewhale-tui` ランタイムを起動して対話セッションを実行します。npm と Docker は両方を自動でインストールします。Cargo や手動インストールでは、両方を同じディレクトリ（通常は `PATH` 上のディレクトリ）に置いてください。実行に Node.js や Python のランタイムは不要です。
 
 ```bash
 # 1. npm — すでに Node を使っているなら最も簡単。npm パッケージは
@@ -21,8 +21,9 @@ npm install -g codewhale
 cargo install codewhale-cli --locked   # `codewhale` (エントリーポイント)
 cargo install codewhale-tui     --locked   # `codewhale-tui` (TUI バイナリ)
 
-# 3. Homebrew — macOS パッケージマネージャ。
-#    tap/formula 名は旧名のままですが、codewhale と codewhale-tui をインストールします。
+# 3. Homebrew — 旧インストールとの互換用です。
+#    tap/formula はまだ旧 deepseek-tui 名を使っています。新規インストールでは、
+#    formula が改名されるまで npm、Cargo、Docker、直接ダウンロードを優先してください。
 brew tap Hmbown/deepseek-tui
 brew install deepseek-tui
 
@@ -48,7 +49,7 @@ docker run --rm -it \
 ```bash
 codewhale update
 npm install -g codewhale@latest
-brew update && brew upgrade deepseek-tui
+brew update && brew upgrade deepseek-tui  # 旧 Homebrew インストールのみ
 cargo install codewhale-cli --locked --force
 cargo install codewhale-tui     --locked --force
 ```

README.md

@@ -11,8 +11,8 @@
 
 `codewhale` installs as a matched pair of self-contained Rust release binaries:
 the `codewhale` dispatcher command and the sibling `codewhale-tui` runtime it
-launches for interactive sessions. npm, Homebrew, and Docker install both for
-you; Cargo and manual installs must put both binaries in the same directory
+launches for interactive sessions. npm and Docker install both for you; Cargo
+and manual installs must put both binaries in the same directory
 (normally a directory on your `PATH`). The npm package is only an
 installer/wrapper for those release binaries; the agent does not run on Node.
 
@@ -27,8 +27,9 @@ npm install -g codewhale
 cargo install codewhale-cli --locked   # `codewhale` (entry point)
 cargo install codewhale-tui     --locked   # `codewhale-tui` (TUI binary)
 
-# 3. Homebrew — macOS package manager.
-#    The tap/formula name is legacy; it installs codewhale and codewhale-tui.
+# 3. Homebrew — legacy compatibility only.
+#    The tap/formula still uses the old deepseek-tui name. Prefer npm, Cargo,
+#    Docker, or direct downloads for new installs until the formula is renamed.
 brew tap Hmbown/deepseek-tui
 brew install deepseek-tui
 
@@ -61,7 +62,7 @@ Already installed? Use the updater that matches the install path:
 ```bash
 codewhale update                         # release-binary updater
 npm install -g codewhale@latest      # npm wrapper
-brew update && brew upgrade deepseek-tui
+brew update && brew upgrade deepseek-tui  # legacy Homebrew installs only
 cargo install codewhale-cli --locked --force
 cargo install codewhale-tui     --locked --force
 ```

README.vi.md

@@ -9,7 +9,7 @@
 ## Cài đặt
 
 `codewhale` được cài đặt dưới dạng một cặp binary tự chạy bằng Rust đồng bộ với nhau:
-Lệnh điều phối `codewhale` (dispatcher) và môi trường chạy giao diện `codewhale-tui` (runtime) do nó khởi chạy để thực hiện các phiên làm việc tương tác. Các trình quản lý gói như npm, Homebrew, và Docker sẽ tự động cài đặt cả hai cho bạn; đối với Cargo hoặc cài đặt thủ công, bạn phải đặt cả hai tệp binary này trong cùng một thư mục (thông thường là một thư mục nằm trong biến môi trường `PATH` của bạn). Gói npm chỉ là một trình cài đặt/bao bọc (wrapper) cho các tệp binary phát hành này; agent không chạy trên môi trường Node.js.
+Lệnh điều phối `codewhale` (dispatcher) và môi trường chạy giao diện `codewhale-tui` (runtime) do nó khởi chạy để thực hiện các phiên làm việc tương tác. npm và Docker sẽ tự động cài đặt cả hai cho bạn; đối với Cargo hoặc cài đặt thủ công, bạn phải đặt cả hai tệp binary này trong cùng một thư mục (thông thường là một thư mục nằm trong biến môi trường `PATH` của bạn). Gói npm chỉ là một trình cài đặt/bao bọc (wrapper) cho các tệp binary phát hành này; agent không chạy trên môi trường Node.js.
 
 ```bash
 # 1. npm — dễ nhất nếu bạn đã cài đặt Node. Gói này sẽ tự động tải các
@@ -22,8 +22,9 @@ npm install -g codewhale
 cargo install codewhale-cli --locked   # cài đặt `codewhale` (điểm truy cập CLI chính)
 cargo install codewhale-tui     --locked   # cài đặt `codewhale-tui` (giao diện TUI)
 
-# 3. Homebrew — trình quản lý gói dành cho macOS.
-#    Tên tap/formula là tên cũ (legacy); nó sẽ cài đặt cả codewhale và codewhale-tui.
+# 3. Homebrew — chỉ dành cho khả năng tương thích với cài đặt cũ.
+#    Tap/formula vẫn dùng tên deepseek-tui cũ. Với cài đặt mới, hãy ưu tiên
+#    npm, Cargo, Docker hoặc tải trực tiếp cho đến khi formula được đổi tên.
 brew tap Hmbown/deepseek-tui
 brew install deepseek-tui
 
@@ -56,7 +57,7 @@ docker run --rm -it \
 ```bash
 codewhale update                         # trình cập nhật binary phát hành trực tiếp
 npm install -g codewhale@latest      # thông qua trình bao bọc npm
-brew update && brew upgrade deepseek-tui
+brew update && brew upgrade deepseek-tui  # chỉ cho cài đặt Homebrew cũ
 cargo install codewhale-cli --locked --force
 cargo install codewhale-tui     --locked --force
 ```

README.zh-CN.md

@@ -10,8 +10,8 @@
 ## 安装
 
 `codewhale` 以一组自包含 Rust 发布二进制安装：`codewhale` 调度器命令，
-以及它在交互会话中启动的同级 `codewhale-tui` 运行时。npm、Homebrew 和
-Docker 会自动安装这两个二进制；Cargo 或手动下载时必须把两者放在同一目录
+以及它在交互会话中启动的同级 `codewhale-tui` 运行时。npm 和 Docker
+会自动安装这两个二进制；Cargo 或手动下载时必须把两者放在同一目录
 （通常是 `PATH` 上的某个目录）。运行时不依赖 Node.js 或 Python。
 
 ```bash
@@ -24,8 +24,9 @@ npm install -g codewhale
 cargo install codewhale-cli --locked   # `codewhale` 入口
 cargo install codewhale-tui     --locked   # `codewhale-tui` TUI 二进制
 
-# 3. Homebrew —— macOS 包管理器。
-#    tap/formula 名称仍是旧名；实际安装 codewhale 和 codewhale-tui。
+# 3. Homebrew —— 仅用于旧安装兼容。
+#    tap/formula 仍使用旧的 deepseek-tui 名称。新安装请优先使用
+#    npm、Cargo、Docker 或直接下载，直到 formula 完成改名。
 brew tap Hmbown/deepseek-tui
 brew install deepseek-tui
 
@@ -57,7 +58,7 @@ docker run --rm -it \
 ```bash
 codewhale update                         # release 二进制更新器
 npm install -g codewhale@latest      # npm 包装器
-brew update && brew upgrade deepseek-tui
+brew update && brew upgrade deepseek-tui  # 仅旧 Homebrew 安装
 cargo install codewhale-cli --locked --force
 cargo install codewhale-tui     --locked --force
 ```

config.example.toml

@@ -133,6 +133,21 @@ allow_shell = true
 approval_policy = "on-request" # on-request | untrusted | never
 sandbox_mode = "workspace-write" # read-only | workspace-write | danger-full-access | external-sandbox
 
+# Typed permission rules live in a sibling `permissions.toml` file, not in
+# config.toml. This schema slice is ask-only and is parsed for follow-up
+# approval-flow wiring; allow/deny records and UI persistence are intentionally
+# out of scope here.
+#
+# Example ~/.codewhale/permissions.toml:
+#
+# [[rules]]
+# tool = "exec_shell"
+# command = "cargo test"
+#
+# [[rules]]
+# tool = "read_file"
+# path = "secrets/api_key.txt"
+
 # ─────────────────────────────────────────────────────────────────────────────────
 # External Sandbox Backend (pluggable remote execution)
 # ─────────────────────────────────────────────────────────────────────────────────

crates/config/Cargo.toml

@@ -8,6 +8,7 @@ description = "Config schema and precedence model for DeepSeek workspace archite
 
 [dependencies]
 anyhow.workspace = true
+codewhale-execpolicy = { path = "../execpolicy", version = "0.8.49" }
 codewhale-secrets = { path = "../secrets", version = "0.8.49" }
 dirs.workspace = true
 serde.workspace = true