Doorstep 的核心设计原则是模型决定选哪个地点，但永远不决定多远——距离在代码层面按可达范围过滤，模型只从已安全的列表中选择