fix(mcp): MCP 用登入者的身分查詢，不再去找一把服務內部金鑰

leo 2026-08-12：「人類進 Portal 輸入帳密表示你是主人，可以查到你權限所有東西；
AI 透過輸入帳密的 MCP 查詢表示是授權的 AI，可以查到主人允許查的任何東西。」
「掛上 MCP 並輸入帳密，那個動作本身就是授權」⇒ 下游不得再要求第二次認證。

病根（不是金鑰沒同步，是身分沒接住）：
  oauth/routes.ts 驗完 Portal 帳密只留下 `loginOk = res.ok` 一個布林值，身分當場丟棄，
  namespace 改從 `MCP_OWNER_NAMESPACE || "leo"` 拿。於是查詢時手上沒有身分可帶，
  只好用 KBDB_INTERNAL_TOKEN 直打 KBDB——那條路繞過 portal 所有庫過濾，
  而且不管誰登入都看到同一格、看到全部。CLI 也從不注入 MCP_OWNER_NAMESPACE，
  所以那個 "leo" 預設值是每台實例的實際行為，不是理論上的邊角。

修法（走既有那條路，不發明新的）：
1. 接住身分：/authorize 解析 /portal/login 回應，把 portal session token ＋
   display_name/role/libraries 存進 authorization code → access token。
   /portal/login 補回 session_expires_in，access_token TTL 夾成
   min(自己的 TTL, portal session TTL)——不讓「MCP 還連著、底下 session 早死」。
   cypher 回 200 但沒給 session_token（舊版）→ 不發碼，不簽一張沒有身分的 token。
2. 攜帶身分：kbdb_* 全部改走 cypher `/portal/data/*`，Authorization 帶登入者的
   session。庫過濾／租戶注入／停用即時生效全在 server 側，與人類走 portal 網頁同一道閘。
   kbdb_graph_neighbors 因此不再需要 kbdb_base（server 自己知道查哪個庫）。
   藏書地圖（含連線時注入 instructions 的那份）同樣只回有權限的庫，快取改 per-session
   分格——地圖本身就是情報，不能讓先連上的人把視野留給下一個。
3. fail-closed：舊 token 沒有身分 → 誠實要求重新連線，不偷偷退回服務金鑰那條老路。
   服務級憑據（static token / partner key）維持既有 KBDB 直連，arcrun_* 零回歸。

新增 cypher portal 資料面端點（能力長在 API，MCP 只暴露；rule 07）：
  GET  /portal/data/map、/portal/data/map/:library
  GET  /portal/data/templates、POST /portal/data/templates
  GET  /portal/data/records/by-template/:t、GET /portal/data/records/:id
  POST /portal/data/records
全部：呼叫端自帶 owner_id 一律不生效；越權與不存在同回 404；寫入 owner_id 由 server 定死。

KBDB base：`GET /records/:id` 與 by-template 補回 owner_id 欄位——原本不回，
呼叫端無從判斷「這筆是不是我的」，按 id 直讀等於沒有租戶邊界。

沒動：KBDB fail-closed 閘、任何金鑰、租戶字串仍不下發給呼叫端。

驗證：
  mcp        tsc 綠；vitest 113/113 綠（改前 48 綠 29 紅）
  cypher     vitest 400 綠 / 14 紅，14 紅與 base commit a24f291 逐條相同（既有）
  kbdb       vitest 208 綠 / 5 紅，5 紅同為既有（migrations/*.sql 被 gitignore）
  端到端     ◐ 未驗：需部署到 leo21c，那道閘要 leo 親手解（見 PR）

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

mcp/src/oauth/routes.ts

@@ -14,6 +14,7 @@ import {
   consumeAuthCode,
   putAccessToken,
   AUTH_CODE_TTL_SECONDS,
+  type PortalIdentity,
 } from "./store.js";
 import {
   originOf,
@@ -34,10 +35,25 @@ const CORS_JSON = {
   "Cache-Control": "no-store",
 } as const;
 
-function ownerNamespace(env: Env): string {
+/**
+ * **工作流面**（arcrun_* 工具）的租戶代號。知識面（kbdb_*）已不再讀它——
+ * 那邊改成跟著登入者的 portal session 走（見 store.ts PortalIdentity）。
+ *
+ * 為什麼這裡還留著、而且還有預設值：cypher 的 workflow API 是用「租戶代號當 opaque key」
+ * （X-Arcrun-API-Key）認的，不吃 portal session；要拆掉它得先在 cypher 開一組
+ * 吃 portal session 的 workflow 端點。那是下一步，不在本次範圍——
+ * 硬拆會把現在好好的 arcrun_* 弄壞。**誠實記在這裡，不假裝已經解決。**
+ *
+ * ⚠️ 預設值 "leo" 的**知識面**用法已消滅：它曾經是「不管誰登入都看到同一格」的根因
+ * （namespace 直接當 KBDB 的 owner_id 用）。現在它只當工作流面的 API key。
+ */
+function workflowTenant(env: Env): string {
   return env.MCP_OWNER_NAMESPACE || "leo";
 }
 
+/** portal session TTL 讀不到時的保守假設（秒）：短的那邊贏，寧可早點要求重連。 */
+const FALLBACK_PORTAL_SESSION_TTL = 604800; // 7 天（cypher portal.ts 的預設值）
+
 function tokenTtl(env: Env): number {
   const n = parseInt(env.MCP_TOKEN_TTL ?? "", 10);
   return Number.isFinite(n) && n > 0 ? n : DEFAULT_TOKEN_TTL;
@@ -248,7 +264,13 @@ export function registerOAuthRoutes<
     }
     // 認證下沉到 cypher 的 /portal/login（唯一真相源；同樣吃它的節流與停用檢查）。
     // 走 service binding（MCP 與 cypher 同帳號，屬 D28 允許的零件級組合）。
-    let loginOk = false;
+    //
+    // 🔴 2026-08-12（leo：「用登入能做的 mcp 就應該能做，結果要你去打 MCP 時自己找
+    //    credential 問題很大」）：這裡**接住登入回來的身分**，不再只留 `res.ok`。
+    //    舊版把身分丟掉 ⇒ 查詢時無身分可帶 ⇒ 只好去撈服務內部金鑰（KBDB_INTERNAL_TOKEN）
+    //    直打 KBDB ⇒ 繞過所有庫過濾、而且不管誰登入都看到同一格。根因就在這幾行。
+    let portal: PortalIdentity | null = null;
+    let portalTtl = FALLBACK_PORTAL_SESSION_TTL;
     try {
       const res = await c.env.CYPHER_EXECUTOR.fetch(
         new Request("https://cypher/portal/login", {
@@ -257,11 +279,34 @@ export function registerOAuthRoutes<
           body: JSON.stringify({ email, password }),
         }),
       );
-      loginOk = res.ok;
+      if (res.ok) {
+        const body = (await res.json().catch(() => null)) as {
+          session_token?: unknown;
+          display_name?: unknown;
+          role?: unknown;
+          libraries?: unknown;
+          session_expires_in?: unknown;
+        } | null;
+        const session = typeof body?.session_token === "string" ? body.session_token : "";
+        if (session) {
+          portal = {
+            session,
+            display_name: typeof body?.display_name === "string" ? body.display_name : "",
+            role: typeof body?.role === "string" ? body.role : "user",
+            libraries: Array.isArray(body?.libraries)
+              ? body.libraries.filter((x): x is string => typeof x === "string")
+              : [],
+          };
+          const ttl = Number(body?.session_expires_in);
+          if (Number.isFinite(ttl) && ttl > 0) portalTtl = ttl;
+        }
+      }
     } catch {
       return c.html(consentPage(consent, "暫時無法驗證帳密，請稍後再試。"), 503);
     }
-    if (!loginOk) {
+    if (!portal) {
+      // 帳密不對，或這台 cypher 舊到還不回 session_token。兩者都不可以發碼——
+      // 發了也是一張沒有身分的 token，查什麼都得再找一次 credential，正是要修的病。
       return c.html(consentPage(consent, "帳號或密碼不正確，請重試。"), 401);
     }
     if (!c.env.OAUTH_KV) {
@@ -275,7 +320,9 @@ export function registerOAuthRoutes<
       code_challenge_method: "S256",
       scope: consent.scope,
       resource: consent.resource,
-      namespace: ownerNamespace(c.env),
+      namespace: workflowTenant(c.env),
+      portal,
+      portal_session_expires_in: portalTtl,
     });
     const location = redirectWith(redirectUri, {
       code,
@@ -318,7 +365,9 @@ export function registerOAuthRoutes<
       return err("invalid_grant", "PKCE verification failed");
     }
 
-    const ttl = tokenTtl(c.env);
+    // token 活不過它底下的 portal session：否則第 8 天會出現「MCP 還連著、卻什麼都查不到」
+    // ——使用者看到的是壞掉，實際是身分過期。兩者一起到期，重連就是重新輸入帳密，一次搞定。
+    const ttl = Math.min(tokenTtl(c.env), data.portal_session_expires_in || FALLBACK_PORTAL_SESSION_TTL);
     const accessToken = randomToken(32);
     await putAccessToken(
       c.env.OAUTH_KV,
@@ -327,6 +376,7 @@ export function registerOAuthRoutes<
         namespace: data.namespace,
         client_id: data.client_id,
         scope: data.scope,
+        portal: data.portal,
         // RFC 8707：aud 一律用「本 server canonical resource URI」（非 client 原樣值）。
         // authorize 已只存 canonical，這裡再以當前 origin 重算一次確保與 partner-auth 嚴格比對一致。
         aud: resourceUri(originOf(c.req.url)),

mcp/src/oauth/store.ts

@@ -4,6 +4,28 @@
 // KV key 一律用 SHA-256 hex（不把 raw code/token 當 key）→ 就算 KV list 也拿不到可用憑證。
 import { sha256Hex } from "./crypto.js";
 
+/**
+ * 登入者的身分（authorize 時用帳密換到，之後跟著 token 走）。
+ *
+ * leo 2026-08-12：「掛上 MCP 並輸入帳密，那個動作本身就是授權。」
+ * ⇒ 驗完帳密**不能只留一個布林值**——身分要接住並攜帶，下游才不必再要一次認證。
+ *
+ * `session` 是 cypher `/portal/login` 發的 portal session token，與人類在 portal 網頁上
+ * 拿到的完全同一種。它是「取得的暫時性認證」，正合本檔開頭的儲存鐵律（可進 KV、帶 TTL）；
+ * access_token 的 TTL 會被夾到不超過它（見 routes.ts），兩者一起到期，不會出現
+ * 「MCP 還連著、底下 session 早死」的鬼打牆。
+ *
+ * display_name / role / libraries 只是**給人看的回報值**（arcrun_whoami）。
+ * 真正的權限判定每次都由 cypher 回讀 user record 現算——這裡的副本不是判準，
+ * 所以管理員改權限或停用帳號會立刻生效，不必等 token 過期。
+ */
+export interface PortalIdentity {
+  session: string;
+  display_name: string;
+  role: string;
+  libraries: string[];
+}
+
 /** authorization code 綁定的資料（一次性；/token 驗證後即刪）。 */
 export interface AuthCodeData {
   client_id: string;
@@ -15,6 +37,10 @@ export interface AuthCodeData {
   resource: string;
   /** 換發後 token 綁定的資料分區（owner namespace）。 */
   namespace: string;
+  /** 這張 code 是誰換的（帳密驗過的那個人）。 */
+  portal: PortalIdentity;
+  /** portal session 剩餘秒數（authorize 當下）；access_token TTL 不得超過它。 */
+  portal_session_expires_in: number;
 }
 
 /** access token 綁定的資料。 */
@@ -26,6 +52,11 @@ export interface AccessTokenData {
   aud: string;
   /** 過期時間（epoch 秒），與 KV TTL 雙保險。 */
   exp: number;
+  /**
+   * 持這張 token 的是誰。**舊 token（本次改版前簽發的）沒有這欄** → undefined，
+   * 知識面工具會誠實要求重新連線，而不是偷偷退回服務金鑰那條老路（fail-closed）。
+   */
+  portal?: PortalIdentity;
 }
 
 const CODE_PREFIX = "oauth:code:";