token scope L2 実装着手。spec=memory project_kneume_token_scope_direction.md。tokens.allowed_groups 追加 / filter は DID∩scope / 既存=NULL legacy / 新 API は scope 必須 / SPA checkbox 初期 OFF / cli issue-token / migration + docs。5min 待ち、なければ proceed。