feat(harness): 用戶 CC harness（acr install-harness）+ 公開 repo 只留對外

讓「用 arcrun 開發」的用戶，他的 CC 自動載入 arcrun 防護、不退回自寫 Python。新增 user-cc-harness（SDD: .agents/specs/user-cc-harness，本機）： - acr install-harness：冪等裝進用戶當前專案（新/舊專案皆可），acr init 末尾也順便裝 - CLAUDE.md arcrun 區塊（標記包夾，append 不破壞既有） - .claude/skills/arcrun-mindset（世界觀 + 資源去哪取 acr parts/auth-recipe） - .claude/commands/arcrun.md（/arcrun slash command） - .claude/hooks/arcrun-guard.sh（python→提醒不硬擋、暴露→exit 2、每條含正路） - settings.json 合併 hook（不覆蓋用戶既有 hooks/設定） - llms.txt + README「給 AI」段：第一接觸點（用戶丟連結，CC 讀了知道第一步 install-harness）含 CF 憑證白話照抄式引導（不對用戶講 KV/Worker/R2 術語） - harness 素材內嵌 npm 套件（cli/harness/，files 帶上），不依賴用戶有 arcrun repo - 實測：空目錄/冪等/既有檔合併皆通過，tsc exit 0，npm pack 含 harness 5 檔公開 repo 清理（richblack：用戶要用不要開發 arcrun）： - git rm --cached 移除開發痕跡 + 思考過程出公開 repo（本機保留供 richblack 開發）： .claude/CLAUDE.md/AGENTS.md/.agents/docs/DECISIONS/BACKLOG/landing/.github - .gitignore 防回流；補 MIT LICENSE MCP（P7）納入 install-harness/update 的接點已設計，實作待 MCP 對齊（BACKLOG 另一條線）。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2026-06-03 20:02:44 +08:00
parent 922a57fe34
commit 037cf9b6a4
139 changed files with 442 additions and 30768 deletions
@@ -1,76 +0,0 @@
-# 技術棧硬限制
-
-## 三層語言對應（絕對不可混用）
-
-| 層級 | 語言 | 位置 | 職責 |
-|-----|------|------|------|
-| 零件（Component） | **TinyGo 或 AssemblyScript → WASM** | `registry/components/{name}/` | 所有業務邏輯 |
-| 零件 Worker 包裝 | TypeScript（固定模板，不寫業務邏輯） | `.component-builds/{name}/` | WASI shim，stdin/stdout JSON |
-| Orchestration Worker | TypeScript + Hono | `cypher-executor/` | HTTP routing、workflow 執行排程、host functions |
-| CLI | TypeScript + Node.js | `cli/` | `acr` 指令 |
-| Python SDK | Python | `python-sdk/` | HTTP thin wrapper + client 端加密 |
-| JS SDK | TypeScript + Web Crypto | `js-sdk/` | HTTP thin wrapper + client 端加密 |
-| Frontend | React 19 + Vite + Tailwind v4 | `landing/` | Cloudflare Pages |
-
-## 零件實作規範
-
-### 只有兩種合法語言
- **TinyGo**：`tinygo build -target=wasi -o {name}.wasm main.go`
- **AssemblyScript**：`asc main.ts --target release -o {name}.wasm`
-
-### I/O 模型
- **stdin**：JSON input
- **stdout**：JSON output
- 不用 HTTP server，不監聽 socket（WASI preview1 沒 socket）
-
-### Host Functions（零件呼叫外部能力的唯一管道）
-在 `u6u` namespace 下：
-
-| Host Function | 用途 |
-|---|---|
-| `u6u.http_request` | 發 HTTP 請求 |
-| `u6u.kv_get` | 讀 Cloudflare KV（Worker 側依 key 前綴路由到正確 KV） |
-| `u6u.crypto_decrypt` | AES-GCM 解密（encryption key 永不暴露給 WASM） |
-| `u6u.crypto_sign_rs256` | RSA-SHA256 簽章（PKCS8 bytes 傳入） |
-
-**所有 host function 在 `cypher-executor/src/lib/wasi-shim.ts` 實作**。零件透過 WASI import 使用。
-
-## 資料儲存
-
-| 儲存 | 用途 | Key 格式 |
-|-----|------|---------|
-| Cloudflare KV `WEBHOOKS` | workflow 定義（cypher binding YAML） | `webhook:{api_key}:{name}` |
-| Cloudflare KV `CREDENTIALS_KV` | 加密 credential | `{api_key}:cred:{name}` |
-| Cloudflare KV `RECIPES` | auth recipe / 動態 API recipe | `auth_recipe:{service}`, `rec_{hash}` |
-| Cloudflare KV `USERS_KV` | 用戶資料 | `user:{api_key}` |
-| Cloudflare KV `SESSIONS_KV` | session | `session:{token}` |
-| Cloudflare KV `ANALYTICS_KV` | 執行分析 | `execution:{timestamp}:{id}` |
-| Cloudflare KV `EXEC_CONTEXT` | workflow 執行中的 context | `ctx:{execution_id}:{node_id}` |
-| Cloudflare R2 `WASM_BUCKET` | **只用於用戶自製零件**（Phase 5 以後啟用） | `{api_key}:cmp:{hash}` |
-
-**警告：R2 不存平台內建零件的 WASM**。平台零件已 bundle 進各自的 Worker binary（`[[wasm_modules]]` 或 `import ... assert { type: 'webassembly' }`）。
-
-## 加解密規範
-
- **演算法**：AES-GCM 256-bit
- **加密位置**：Client 端（CLI / Python SDK / JS SDK）
-  - Python：`cryptography` 套件
-  - JS：Web Crypto API（`crypto.subtle`）
- **解密位置**：Server 端 **WASM primitive**（透過 host function `crypto_decrypt`）
-  - cypher-executor TS **不解密**，只提供 host function
-  - `ENCRYPTION_KEY` 只在 Worker host function 內部讀取，**永不經 stdin / 回傳值傳給 WASM**
- **傳輸格式**：`{ name, encrypted, iv }`（iv base64、encrypted base64）
-
-## 網路部署
-
- **平台 API（對外）**：`cypher.arcrun.dev`（cypher-executor）
- **Landing**：`arcrun.dev`
- **每個零件 Worker**：
-  - **對內（cypher-executor 用來 fetch component，避開同 zone 死鎖）**：`arcrun-{kebab}.{WORKER_SUBDOMAIN}.workers.dev`
-    - 例：`arcrun-kbdb-get.uncle6-me.workers.dev`
-    - cypher-executor 從 `wrangler.toml [vars] WORKER_SUBDOMAIN` 組出此 URL
-  - **對外（可選，零件對全網開放被 curl 用）**：`{kebab}.arcrun.dev`
-    - 例：`gmail.arcrun.dev`、`kbdb-get.arcrun.dev`
-    - 仍允許保留，但**禁止 cypher-executor 透過此 URL fetch**（會撞同 zone 自循環，見 [docs/incidents/2026-05-13-cypher-outbound-522.md](../../docs/incidents/2026-05-13-cypher-outbound-522.md)）
-  - **新增 component worker 部署清單**：`name = "arcrun-{kebab}"` + `[[routes]]` 對外（可選）+ dashboard 啟用 workers.dev（必須）
- **部署工具**：Wrangler