docs(reference): align field-types and env-vars with framework 16.0

field-types (all 7 locales):
- referenceFilters example → structured lookupFilters
  [{ field, operator, value }] with the operator enum noted
  (removed #2377/ADR-0049);
- fileAttachmentConfig block → flat multiple/accept/maxSize
  (nested config removed);
- vector row → flat dimensions only (distanceMetric/indexed/indexType
  removed);
- summary row gains the 16.0 summaryOperations.filter (#1868);
- removed the columnName and field-level index rows (column always
  equals field name / indexes live on object indexes[]), with one
  migration note.

environment-variables (all 7 locales):
- OS_MCP_SERVER_ENABLED row rewritten: ON by default since 16.0,
  governs only the HTTP /api/v1/mcp surface, explicit false/0/off/no
  disables (types/src/env.ts); notes the one-release deprecated
  =true stdio auto-start;
- added OS_MCP_STDIO_ENABLED (own switch, default off) and
  OS_MCP_STDIO_API_KEY (osk_... principal, same verify+authz chain as
  HTTP, fail-closed boot refusal — ADR-0101).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012Kj2MJEPXoUXC4LiC3XYJc

Author: claude

content/docs/reference/environment-variables.de.mdx

@@ -28,7 +28,9 @@ Verwenden Sie Systemeinstellungen für anwendungsbezogene Konfiguration, die von
 | `OS_PROJECT_ID` | Optional | Veralteter Alias für `OS_ENVIRONMENT_ID`, der von der ObjectOS-Konfiguration aus Gründen der Abwärtskompatibilität akzeptiert wird. Bevorzugen Sie `OS_ENVIRONMENT_ID` in neuen Deployments. |
 | `OS_ENVIRONMENT_ID` | Optional | Umgebungs-ID für den Standalone-Stack (Standard `proj_local`). Wird auch zur Ableitung des projektspezifischen Auth-Geheimnisses verwendet. Die ObjectOS-Konfiguration akzeptiert außerdem den veralteten Alias `OS_PROJECT_ID`. |
 | `OS_ORGANIZATION_ID` | Optional | Standard-Organisations-ID für den dateibasierten Modus (Standard `org_local`). |
-| `OS_MCP_SERVER_ENABLED` | Nein | Auf `true` setzen, um den Model-Context-Protocol-Server über Streamable HTTP unter `/api/v1/mcp` bereitzustellen (8.0+). Standardmäßig aus — der Endpunkt gibt `404` zurück, bis er aktiviert ist, und erfordert dann einen authentifizierten Principal. |
+| `OS_MCP_SERVER_ENABLED` | Nein | Steuert den Model-Context-Protocol-Server über Streamable HTTP unter `/api/v1/mcp` — und nur diese HTTP-Oberfläche. **Standardmäßig an** (16.0+): ungesetzt wird der Endpunkt bereitgestellt; ein explizit falscher Wert (`false`/`0`/`off`/`no`) deaktiviert ihn. Erfordert einen authentifizierten Principal. Legacy: `OS_MCP_SERVER_ENABLED=true` startet für ein weiteres Release zusätzlich den stdio-Transport (mit Deprecation-Warnung) — stattdessen `OS_MCP_STDIO_ENABLED` verwenden. |
+| `OS_MCP_STDIO_ENABLED` | Nein | Auf einen wahren Wert (`true`/`1`/`on`/`yes`) setzen, um den langlebigen **stdio**-MCP-Transport automatisch zu starten. Standardmäßig aus und getrennt von `OS_MCP_SERVER_ENABLED` (das nur die HTTP-Oberfläche steuert). Erfordert `OS_MCP_STDIO_API_KEY`. |
+| `OS_MCP_STDIO_API_KEY` | Wenn stdio aktiviert ist | API-Schlüssel (`osk_...`), an dessen Principal der stdio-Transport gebunden wird. Wird über dieselbe Verify-/Autorisierungskette wie HTTP-MCP aufgelöst, RLS/FLS und Tenant-Scoping gelten. Fail-closed: Ist stdio-Autostart aktiv und kein auflösbarer Schlüssel vorhanden, verweigert der Server den Start des stdio-Transports. |
 | `OS_CLOUD_URL` | Optional | Basis-URL der Steuerungsebene für den Marketplace-Proxy und die lokale Paketinstallation. Auf `off` oder `local` setzen, um Marketplace-Funktionen zu deaktivieren. Wird in der Standalone-Distribution nicht mehr für das Hostname-Routing des Host-Stacks verwendet. |
 | `OS_MULTI_ORG_ENABLED` | Nein | Auf `true` setzen, um Multi-Mandanten-Routing / Organisationswechsel zu aktivieren (Standard `false`). Veralteter Alias: `OS_MULTI_TENANT`. |
 | `OS_RUNTIME_PORT` | Nur Dev | Localhost-Port, der zum Aufbau von Plattform-SSO-Callback-URLs bei der Entwicklung auf `http://localhost:<port>` verwendet wird. |

content/docs/reference/environment-variables.es.mdx

@@ -28,7 +28,9 @@ Use la configuración del sistema para la configuración de la aplicación edita
 | `OS_PROJECT_ID` | Opcional | Alias heredado de `OS_ENVIRONMENT_ID`, aceptado por la configuración de ObjectOS por compatibilidad con versiones anteriores. Prefiera `OS_ENVIRONMENT_ID` en los nuevos despliegues. |
 | `OS_ENVIRONMENT_ID` | Opcional | Id de entorno para el stack independiente (por defecto `proj_local`). También se usa para derivar el secreto de autenticación por proyecto. La configuración de ObjectOS también acepta el alias heredado `OS_PROJECT_ID`. |
 | `OS_ORGANIZATION_ID` | Opcional | Id de organización por defecto para el modo respaldado por archivo (por defecto `org_local`). |
-| `OS_MCP_SERVER_ENABLED` | No | Establézcalo en `true` para exponer el servidor Model Context Protocol sobre Streamable HTTP en `/api/v1/mcp` (8.0+). Desactivado por defecto: el endpoint devuelve `404` hasta que se habilita y, una vez activo, requiere un principal autenticado. |
+| `OS_MCP_SERVER_ENABLED` | No | Gobierna el servidor Model Context Protocol sobre Streamable HTTP en `/api/v1/mcp` — y solo esa superficie HTTP. **Activado por defecto** (16.0+): sin definir, el endpoint se sirve; establezca un valor falso explícito (`false`/`0`/`off`/`no`) para desactivarlo. Requiere un principal autenticado. Legado: `OS_MCP_SERVER_ENABLED=true` también arranca el transporte stdio durante una versión más (con aviso de obsolescencia) — use `OS_MCP_STDIO_ENABLED` en su lugar. |
+| `OS_MCP_STDIO_ENABLED` | No | Establézcalo en un valor verdadero (`true`/`1`/`on`/`yes`) para arrancar automáticamente el transporte MCP **stdio** de larga duración. Desactivado por defecto y separado de `OS_MCP_SERVER_ENABLED` (que gobierna solo la superficie HTTP). Requiere `OS_MCP_STDIO_API_KEY`. |
+| `OS_MCP_STDIO_API_KEY` | Cuando stdio está habilitado | Clave de API (`osk_...`) a cuyo principal se vincula el transporte stdio. Se resuelve por la misma cadena de verificación y autorización que HTTP MCP, por lo que se aplican RLS/FLS y el alcance de tenant. Falla cerrado: con el autoarranque de stdio habilitado y sin una clave resoluble, el servidor se niega a iniciar el transporte stdio. |
 | `OS_CLOUD_URL` | Opcional | URL base del plano de control para el proxy del marketplace y la instalación local de paquetes. Establézcalo en `off` o `local` para deshabilitar las funciones del marketplace. Ya no se usa para el enrutamiento por nombre de host del host-stack en la distribución independiente. |
 | `OS_MULTI_ORG_ENABLED` | No | Establézcalo en `true` para habilitar el enrutamiento multiinquilino / cambio de organización (por defecto `false`). Alias heredado: `OS_MULTI_TENANT`. |
 | `OS_RUNTIME_PORT` | Solo desarrollo | Puerto de localhost utilizado para construir las URL de callback de SSO de plataforma al desarrollar en `http://localhost:<port>`. |

content/docs/reference/environment-variables.fr.mdx

@@ -27,7 +27,9 @@ Utilisez les paramètres système pour la configuration applicative modifiable p
 | `OS_PROJECT_ID` | Optionnel | Alias hérité pour `OS_ENVIRONMENT_ID`, accepté par la configuration ObjectOS pour des raisons de rétrocompatibilité. Préférez `OS_ENVIRONMENT_ID` dans les nouveaux déploiements. |
 | `OS_ENVIRONMENT_ID` | Optionnel | Identifiant d'environnement pour le stack autonome (par défaut `proj_local`). Également utilisé pour dériver le secret d'authentification par projet. La configuration ObjectOS accepte aussi l'alias hérité `OS_PROJECT_ID`. |
 | `OS_ORGANIZATION_ID` | Optionnel | Identifiant d'organisation par défaut pour le mode adossé à un fichier (par défaut `org_local`). |
-| `OS_MCP_SERVER_ENABLED` | Non | Définissez-le à `true` pour exposer le serveur Model Context Protocol via Streamable HTTP sur `/api/v1/mcp` (8.0+). Désactivé par défaut : l'endpoint renvoie `404` jusqu'à activation, puis requiert un principal authentifié. |
+| `OS_MCP_SERVER_ENABLED` | Non | Gouverne le serveur Model Context Protocol via Streamable HTTP sur `/api/v1/mcp` — et uniquement cette surface HTTP. **Activé par défaut** (16.0+) : non défini, l'endpoint est servi ; définissez une valeur explicitement fausse (`false`/`0`/`off`/`no`) pour le désactiver. Requiert un principal authentifié. Héritage : `OS_MCP_SERVER_ENABLED=true` démarre aussi le transport stdio pendant encore une version (avec avertissement de dépréciation) — utilisez plutôt `OS_MCP_STDIO_ENABLED`. |
+| `OS_MCP_STDIO_ENABLED` | Non | Définissez une valeur vraie (`true`/`1`/`on`/`yes`) pour démarrer automatiquement le transport MCP **stdio** de longue durée. Désactivé par défaut et distinct de `OS_MCP_SERVER_ENABLED` (qui ne gouverne que la surface HTTP). Requiert `OS_MCP_STDIO_API_KEY`. |
+| `OS_MCP_STDIO_API_KEY` | Quand stdio est activé | Clé d'API (`osk_...`) au principal de laquelle le transport stdio est lié. Résolue via la même chaîne de vérification et d'autorisation que MCP HTTP : RLS/FLS et le périmètre de tenant s'appliquent. Fail-closed : si le démarrage automatique stdio est activé sans clé résoluble, le serveur refuse de démarrer le transport stdio. |
 | `OS_CLOUD_URL` | Optionnel | URL de base du plan de contrôle pour le proxy du marketplace et l'installation locale de paquets. Définissez-le à `off` ou `local` pour désactiver les fonctionnalités du marketplace. N'est plus utilisé pour le routage par nom d'hôte du host-stack dans la distribution autonome. |
 | `OS_MULTI_ORG_ENABLED` | Non | Définissez-le à `true` pour activer le routage multi-locataire / le changement d'organisation (par défaut `false`). Alias hérité : `OS_MULTI_TENANT`. |
 | `OS_RUNTIME_PORT` | Dev uniquement | Port localhost utilisé pour construire les URL de rappel SSO de la plateforme lors du développement sur `http://localhost:<port>`. |

content/docs/reference/environment-variables.ja.mdx

@@ -27,7 +27,9 @@ description: ObjectOS ランタイムの環境変数リファレンス。
 | `OS_PROJECT_ID` | 任意 | `OS_ENVIRONMENT_ID` のレガシーエイリアスで、後方互換性のために ObjectOS の設定が受け付けます。新しいデプロイメントでは `OS_ENVIRONMENT_ID` を優先してください。 |
 | `OS_ENVIRONMENT_ID` | 任意 | standalone stack の環境 id（デフォルト `proj_local`）。プロジェクトごとの認証シークレットの導出にも使用されます。ObjectOS の設定はレガシーエイリアス `OS_PROJECT_ID` も受け付けます。 |
 | `OS_ORGANIZATION_ID` | 任意 | ファイルバックモードのデフォルト組織 id（デフォルト `org_local`）。 |
-| `OS_MCP_SERVER_ENABLED` | いいえ | `true` に設定すると、Model Context Protocol サーバーを Streamable HTTP 経由で `/api/v1/mcp` に公開します（8.0+）。デフォルトはオフ——有効化するまでエンドポイントは `404` を返し、有効化後は認証済みプリンシパルが必要です。 |
+| `OS_MCP_SERVER_ENABLED` | いいえ | Streamable HTTP の `/api/v1/mcp` で提供される Model Context Protocol サーバー——この HTTP サーフェスのみ——を制御します。**デフォルトはオン**（16.0+）：未設定ならエンドポイントは提供され、明示的な偽値（`false`/`0`/`off`/`no`）で無効化します。認証済みプリンシパルが必要です。レガシー：`OS_MCP_SERVER_ENABLED=true` はあと 1 リリースの間、非推奨警告付きで stdio トランスポートも自動起動します——代わりに `OS_MCP_STDIO_ENABLED` を使用してください。 |
+| `OS_MCP_STDIO_ENABLED` | いいえ | 真値（`true`/`1`/`on`/`yes`）に設定すると、長寿命の **stdio** MCP トランスポートを自動起動します。デフォルトはオフで、`OS_MCP_SERVER_ENABLED`（HTTP サーフェスのみを制御）とは別のスイッチです。`OS_MCP_STDIO_API_KEY` が必要です。 |
+| `OS_MCP_STDIO_API_KEY` | stdio 有効時 | stdio トランスポートをプリンシパルに束縛する API キー（`osk_...`）。HTTP MCP と同じ検証・認可チェーンで解決されるため、RLS/FLS とテナントスコープが適用されます。フェイルクローズド：stdio 自動起動が有効で解決可能なキーがない場合、サーバーは stdio トランスポートの起動を拒否します。 |
 | `OS_CLOUD_URL` | 任意 | marketplace プロキシとローカルパッケージインストールのためのコントロールプレーンのベース URL。`off` または `local` に設定すると marketplace 機能を無効化できます。standalone ディストリビューションでは host stack のホスト名ルーティングには使用されなくなりました。 |
 | `OS_MULTI_ORG_ENABLED` | いいえ | マルチテナントルーティング／組織切り替えを有効にするには `true` に設定します（デフォルト `false`）。レガシーエイリアス: `OS_MULTI_TENANT`。 |
 | `OS_RUNTIME_PORT` | 開発のみ | `http://localhost:<port>` で開発する際にプラットフォーム SSO のコールバック URL を構築するために使用するローカルホストポート。 |

content/docs/reference/environment-variables.ko.mdx

@@ -27,7 +27,9 @@ description: ObjectOS 런타임 환경 변수 참조.
 | `OS_PROJECT_ID` | 선택 | `OS_ENVIRONMENT_ID`의 레거시 별칭으로, 하위 호환성을 위해 ObjectOS 구성에서 허용됩니다. 새 배포에서는 `OS_ENVIRONMENT_ID`를 사용하는 것이 좋습니다. |
 | `OS_ENVIRONMENT_ID` | 선택 | standalone stack의 환경 id(기본값 `proj_local`). 프로젝트별 인증 시크릿을 파생하는 데에도 사용됩니다. ObjectOS 구성은 레거시 별칭 `OS_PROJECT_ID`도 허용합니다. |
 | `OS_ORGANIZATION_ID` | 선택 | 파일 기반 모드의 기본 조직 id(기본값 `org_local`). |
-| `OS_MCP_SERVER_ENABLED` | 아니오 | `true`로 설정하면 Model Context Protocol 서버를 Streamable HTTP로 `/api/v1/mcp`에 노출합니다(8.0+). 기본값은 꺼짐 — 활성화하기 전에는 엔드포인트가 `404`를 반환하며, 활성화 후에는 인증된 주체가 필요합니다. |
+| `OS_MCP_SERVER_ENABLED` | 아니오 | Streamable HTTP의 `/api/v1/mcp`로 제공되는 Model Context Protocol 서버 — 오직 이 HTTP 표면만 — 를 제어합니다. **기본값은 켜짐**(16.0+): 설정하지 않으면 엔드포인트가 제공되며, 명시적인 거짓 값(`false`/`0`/`off`/`no`)으로 비활성화합니다. 인증된 주체가 필요합니다. 레거시: `OS_MCP_SERVER_ENABLED=true`는 한 릴리스 동안 사용 중단 경고와 함께 stdio 전송도 자동 시작합니다 — 대신 `OS_MCP_STDIO_ENABLED`를 사용하세요. |
+| `OS_MCP_STDIO_ENABLED` | 아니오 | 참 값(`true`/`1`/`on`/`yes`)으로 설정하면 장수명 **stdio** MCP 전송을 자동 시작합니다. 기본값은 꺼짐이며 `OS_MCP_SERVER_ENABLED`(HTTP 표면만 제어)와는 별개의 스위치입니다. `OS_MCP_STDIO_API_KEY`가 필요합니다. |
+| `OS_MCP_STDIO_API_KEY` | stdio 활성화 시 | stdio 전송이 주체에 바인딩되는 API 키(`osk_...`). HTTP MCP와 동일한 검증·인가 체인으로 해석되므로 RLS/FLS와 테넌트 범위가 적용됩니다. 실패 시 닫힘(fail-closed): stdio 자동 시작이 활성화되었는데 해석 가능한 키가 없으면 서버는 stdio 전송 시작을 거부합니다. |
 | `OS_CLOUD_URL` | 선택 | marketplace 프록시 및 로컬 패키지 설치를 위한 컨트롤 플레인 기본 URL. `off` 또는 `local`로 설정하면 marketplace 기능을 비활성화합니다. standalone 배포판에서는 더 이상 host stack의 호스트명 라우팅에 사용되지 않습니다. |
 | `OS_MULTI_ORG_ENABLED` | 아니오 | 멀티 테넌트 라우팅/조직 전환을 활성화하려면 `true`로 설정합니다(기본값 `false`). 레거시 별칭: `OS_MULTI_TENANT`. |
 | `OS_RUNTIME_PORT` | 개발 전용 | `http://localhost:<port>`에서 개발할 때 플랫폼 SSO 콜백 URL을 구성하는 데 사용되는 localhost 포트. |

content/docs/reference/environment-variables.mdx

@@ -27,7 +27,9 @@ Use system settings for tenant/user-editable application configuration.
 | `OS_PROJECT_ID` | Optional | Legacy alias for `OS_ENVIRONMENT_ID`, accepted by the ObjectOS config for backward compatibility. Prefer `OS_ENVIRONMENT_ID` in new deployments. |
 | `OS_ENVIRONMENT_ID` | Optional | Environment id for the standalone stack (default `proj_local`). Also used to derive the per-project auth secret. The ObjectOS config also accepts the legacy alias `OS_PROJECT_ID`. |
 | `OS_ORGANIZATION_ID` | Optional | Default organization id for file-backed mode (default `org_local`). |
-| `OS_MCP_SERVER_ENABLED` | No | Set to `true` to expose the Model Context Protocol server over Streamable HTTP at `/api/v1/mcp` (8.0+). Off by default — the endpoint returns `404` until enabled, and requires an authenticated principal once on. |
+| `OS_MCP_SERVER_ENABLED` | No | Governs the Model Context Protocol server over Streamable HTTP at `/api/v1/mcp` — and only that HTTP surface. **On by default** (16.0+): unset means the endpoint is served; set an explicit falsy value (`false`/`0`/`off`/`no`) to disable it. Requires an authenticated principal. Legacy: `OS_MCP_SERVER_ENABLED=true` also auto-starts the stdio transport for one more release with a deprecation warning — use `OS_MCP_STDIO_ENABLED` instead. |
+| `OS_MCP_STDIO_ENABLED` | No | Set to a truthy value (`true`/`1`/`on`/`yes`) to auto-start the long-lived **stdio** MCP transport. Off by default and separate from `OS_MCP_SERVER_ENABLED` (which governs only the HTTP surface). Requires `OS_MCP_STDIO_API_KEY`. |
+| `OS_MCP_STDIO_API_KEY` | When stdio is enabled | API key (`osk_...`) the stdio transport is principal-bound to. Resolved through the same verify + authorization chain as HTTP MCP, so RLS/FLS and tenant scoping apply. Fails closed: with stdio auto-start enabled and no resolvable key, the server refuses to start the stdio transport. |
 | `OS_CLOUD_URL` | Optional | Control-plane base URL for the marketplace proxy and local package install. Set to `off` or `local` to disable marketplace features. No longer used for host-stack hostname routing in the standalone distribution. |
 | `OS_MULTI_ORG_ENABLED` | No | Set to `true` to enable multi-tenant routing / organization switching (default `false`). Legacy alias: `OS_MULTI_TENANT`. |
 | `OS_RUNTIME_PORT` | Dev only | Localhost port used to build platform-SSO callback URLs when developing on `http://localhost:<port>`. |

content/docs/reference/environment-variables.zh-Hans.mdx

@@ -24,7 +24,9 @@ description: ObjectOS 运行时环境变量参考。
 | `OS_PROJECT_ID` | 可选 | `OS_ENVIRONMENT_ID` 的旧别名,ObjectOS 配置为向后兼容接受。新部署中优先使用 `OS_ENVIRONMENT_ID`。 |
 | `OS_ENVIRONMENT_ID` | 可选 | standalone stack 的环境 id（默认 `proj_local`）。也用于派生项目级 auth 密钥。ObjectOS 配置也接受旧别名 `OS_PROJECT_ID`。 |
 | `OS_ORGANIZATION_ID` | 可选 | 文件支持模式下的默认组织 id（默认 `org_local`）。 |
-| `OS_MCP_SERVER_ENABLED` | 否 | 设为 `true` 以通过 Streamable HTTP 在 `/api/v1/mcp` 暴露 Model Context Protocol 服务器（8.0+）。默认关闭——开启前端点返回 `404`,开启后需要已认证的主体。 |
+| `OS_MCP_SERVER_ENABLED` | 否 | 控制通过 Streamable HTTP 在 `/api/v1/mcp` 提供的 Model Context Protocol 服务器——且仅控制该 HTTP 表面。**默认开启**（16.0+）：未设置时端点即被提供；设置显式假值（`false`/`0`/`off`/`no`）可将其关闭。需要已认证的主体。遗留行为：`OS_MCP_SERVER_ENABLED=true` 在接下来一个版本内仍会附带弃用警告地自动启动 stdio 传输——请改用 `OS_MCP_STDIO_ENABLED`。 |
+| `OS_MCP_STDIO_ENABLED` | 否 | 设为真值（`true`/`1`/`on`/`yes`）以自动启动长驻的 **stdio** MCP 传输。默认关闭，且与 `OS_MCP_SERVER_ENABLED`（仅控制 HTTP 表面）相互独立。需要 `OS_MCP_STDIO_API_KEY`。 |
+| `OS_MCP_STDIO_API_KEY` | 启用 stdio 时必需 | stdio 传输绑定到的 API 密钥（`osk_...`）对应的主体。通过与 HTTP MCP 相同的校验 + 授权链解析，因此 RLS/FLS 与租户隔离同样生效。失败即关闭（fail-closed）：启用 stdio 自动启动但没有可解析的密钥时，服务器会拒绝启动 stdio 传输。 |
 | `OS_CLOUD_URL` | 可选 | marketplace 代理与本地 package 安装的控制平面基础 URL。设为 `off` 或 `local` 可禁用 marketplace 功能。在 standalone 分发中不再用于 host stack 的主机名路由。 |
 | `OS_MULTI_ORG_ENABLED` | 否 | 设为 `true` 以启用多租户路由/组织切换（默认 `false`）。旧别名:`OS_MULTI_TENANT`。 |
 | `OS_RUNTIME_PORT` | 仅开发 | 当在 `http://localhost:<port>` 开发时,用于构建平台 SSO 回调 URL 的本地端口。 |