refactor: vá 4 hồi quy, tách 4 file chạm trần LOC, docstring lên 100%

Hồi quy đã vá
-------------
F-12  Kéo–thả hoặc dán tệp vào ô chat ném NameError. R08 tách `_Input` sang
      `chat_input_box.py` nhưng để `_paths_from_mime()` ở lại
      `composer_widget.py`, nên hai hàm sự kiện Qt gọi một cái tên không tồn
      tại. Bốn hàm dùng chung chuyển sang `composer_mime.py` — module thứ ba
      là chỗ duy nhất không lặp lại được lỗi này. Đo lại: cả thả lẫn dán đều
      gắn 1 tệp, khớp bản trước refactor.

F-01  Đổi provider thì bộ chọn model AI-Edit không làm gì. Hook cũ kiểm
      `folder.ai_model_combo`, thuộc tính R08-T12 đã dời sang
      `ai_panel.resolver`. Làm mới vô điều kiện, đúng như tab cũ: lần lấy đầu
      tiên hỏng thì đổi provider chính là lúc phải thử lại.

F-07  Hàng chọn kỳ của Dashboard bị đẩy xuống dưới các thẻ số liệu. Hàng này
      lọc CẢ BA thẻ con chứ không riêng biểu đồ, nên để nó nằm dưới là bắt
      người dùng đọc con số trước khi thấy con số đó tính cho kỳ nào. Kèm
      theo: `TokenUsageCardWidget` bị bỏ sót `setContentsMargins(0,0,0,0)`
      mà hai thẻ con còn lại đã có, đẩy cả hàng thẻ lệch 9px.
      `check_layout_geometry` nay khớp TỪNG BYTE với bản trước refactor.

F-11  Hai lớp khai trùng tên phương thức; Python giữ bản sau nên bản đầu là
      mã chết. `co4e_tab.py::showEvent` bản đầu gọi `_narrow_guard.attach()`
      và không bao giờ chạy.

Tách file (F-09)
----------------
Bốn file chạm trần 400 dòng, mỗi lần cắt ra một trách nhiệm thật:

    graph_renderer.py         -> graph_scene_builder.py + graph_export.py
    co4e_workflow_service.py  -> co4e_run_history.py
    json_config_repository.py -> config_sections.py
    agents_admin_tab.py       -> shared/agent_kind_visuals.py

File cuối còn xoá 3 bản sao của hàm đã có trong `shared/formatters.py`,
giống hệt đến từng dòng — nay định dạng thời gian và avatar không lệch nhau
giữa các bảng Giám sát nữa.

Docstring
---------
41,6% -> 100% (3.478/3.478 định nghĩa production), kể cả module dormant và
phương thức dunder. Toàn bộ phần bổ sung viết bằng tiếng Việt; comment tiếng
Anh có sẵn giữ nguyên — dịch ngược là một đợt riêng.

Seam chưa nối dây (F-05)
------------------------
9 seam mang nhãn `SEAM · dựng <ngày>` kèm hai câu: được nối khi nào, và để
dormant thì hỏng gì. Ngày lấy từ lịch sử git, không phải hạn tự đặt. Gate O
đọc nhãn đó và nhắc khi quá 30 ngày.

859 test xanh · 4/4 cổng CASAN · 19/24 checker khớp từng byte bản cũ.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

security/attachment_validator.py

@@ -7,5 +7,6 @@ ATTACHMENT_DENIED_MESSAGE = "Attached content failed security validation."
 
 
 def validate_attachment(path: str, mime_type: str = "") -> bool:
+    """``True`` nếu tệp được phép đính kèm vào lượt chat."""
     result = classify_attachment(path, mime_type or None)
     return not result.blocked

security/audit_logger.py

@@ -21,6 +21,12 @@ logger = logging.getLogger("cowork_local.security.audit")
 
 @dataclass
 class AuditEntry:
+    """Một dòng nhật ký kiểm toán, đủ trường để dựng lại bối cảnh sau này.
+
+    Cố ý KHÔNG lưu nguyên văn lệnh: chỉ giữ ``command_hash`` (SHA-256, 16
+    ký tự đầu) để đối chiếu hai lần chạy có giống nhau không, mà không đưa
+    nội dung nhạy cảm vào file log.
+    """
     timestamp: str = ""
     user: str = ""
     project: str = ""
@@ -38,6 +44,11 @@ class AuditEntry:
     approval_status: str = ""  # auto, approved, rejected
 
     def __post_init__(self):
+        """Điền mốc thời gian và mã băm lệnh nếu bên gọi chưa đặt.
+
+        Mã băm thay cho nội dung lệnh gốc: nhật ký cần truy được về sau nhưng không
+        nên chứa nguyên văn thứ đã chạy.
+        """
         if not self.timestamp:
             self.timestamp = datetime.now(timezone.utc).isoformat()
         if not self.command_hash and self.action_type:
@@ -47,6 +58,7 @@ class AuditEntry:
 
 
 def _audit_dir() -> Path:
+    """Thư mục chứa nhật ký kiểm toán. Import muộn để tránh vòng import với ``config``."""
     from ..config import CONFIG_DIR
     return CONFIG_DIR / "audit"
 

security/command_risk_classifier.py

@@ -20,6 +20,11 @@ from typing import List, Optional
 
 
 class RiskLevel(str, Enum):
+    """Bậc rủi ro của một lệnh, prompt hay tệp đính kèm.
+
+    Kế thừa ``str`` để so sánh và ghi log thẳng bằng chuỗi mà không phải
+    ``.value`` ở từng chỗ dùng.
+    """
     SAFE = "safe"
     MODERATE = "moderate"
     HIGH = "high"
@@ -29,6 +34,11 @@ class RiskLevel(str, Enum):
 
 @dataclass
 class RiskResult:
+    """Kết quả một lần phân loại: điểm, bậc, lý do, và có chặn hẳn không.
+
+    ``reasons`` giữ lại đúng mẫu regex đã khớp — nhật ký kiểm toán phải trả
+    lời được "vì sao lệnh này bị chặn", không chỉ "bị chặn".
+    """
     score: int           # 0-100
     level: RiskLevel     # categorized bucket
     reasons: List[str]   # why this score was assigned
@@ -65,6 +75,13 @@ _MODERATE_PATTERNS = [
 
 
 def classify_command(command: str, is_cowork_mode: bool = True) -> RiskResult:
+    """Chấm điểm rủi ro một lệnh shell.
+
+    Ba tầng mẫu: ``_BLOCK_PATTERNS`` chặn thẳng (100 điểm, dừng ngay khi
+    khớp mẫu đầu tiên), ``_HIGH_PATTERNS`` và ``_MODERATE_PATTERNS`` cộng
+    dồn điểm. ``is_cowork_mode`` nới tay hơn cho màn Cowork, nơi người dùng
+    đang chủ động ngồi xem từng bước.
+    """
     score = 0
     reasons: List[str] = []
     blocked = False
@@ -114,10 +131,20 @@ def classify_command(command: str, is_cowork_mode: bool = True) -> RiskResult:
 
 
 def classify_prompt(prompt: str, is_cowork_mode: bool = True) -> RiskResult:
+    """Chấm điểm rủi ro một prompt — dùng chung bộ mẫu với lệnh shell.
+
+    Cố ý dùng chung: tấn công tiêm lệnh viết bằng văn xuôi ("ignore previous
+    instructions") và lệnh shell nguy hiểm đều nằm trong cùng danh sách mẫu.
+    """
     return classify_command(prompt, is_cowork_mode=is_cowork_mode)
 
 
 def classify_attachment(path: str, mime_type: Optional[str] = None) -> RiskResult:
+    """Chặn tệp đính kèm chạy được, theo đuôi tệp rồi tới kiểu MIME.
+
+    Chặn theo danh sách đen — mã nguồn và tệp thực thi không được đưa vào
+    ngữ cảnh chat. Tệp ngoài danh sách được coi là an toàn (30 điểm).
+    """
     import os
     _, ext = os.path.splitext(path.lower())
     blocked_ext = {
@@ -141,6 +168,11 @@ def classify_attachment(path: str, mime_type: Optional[str] = None) -> RiskResul
 
 
 def classify_action(action_type: str, action_details: Optional[dict] = None) -> RiskResult:
+    """Chấm điểm rủi ro một loại hành động theo từ khoá trong tên.
+
+    Hành động lạ nhận 50 điểm (mức trung bình) chứ không phải 0 — thứ chưa
+    biết thì không được mặc định là an toàn.
+    """
     a = action_type.lower()
     if any(kw in a for kw in ('execute', 'run', 'shell', 'system')):
         return RiskResult(70, RiskLevel.HIGH, [f"high: action '{action_type}'"])