bugfix（#24 #25）：PBKDF2 600k→100k（CF Workers runtime 上限，真雲 bootstrap 500）＋http_request 補 global_fetch_strictly_public（1042） (#56)

system-dev/docs/3-specs/portal-auth/design.md

@@ -102,6 +102,12 @@ kbdb-graph-plugin 的 `/graph/neighbors/:name` 只吃節點名，**無 owner/庫
 | argon2id | 記憶體硬化更強，但 Workers 無原生，要引 WASM 模組（新依賴＋冷啟成本）；Workers 128MB 記憶體下參數也開不大 |
 | bcrypt | 純 JS 實作燒 CPU（Workers CPU limit），無原生 |
 - 格式 `pbkdf2-sha256$600000$<salt_b64>$<hash_b64>` 存 `password_hash` slot（見 D-6）；驗證用常數時間比對（同 PR#15 慣例）。
+- **【修訂 2026-07-14，T6-cloud 真雲實撞】迭代數 600k → 100k**：CF Workers **正式 runtime** 的
+  PBKDF2 上限是 100,000（`crypto.subtle.deriveBits` 超過直接拒絕）→ `/portal/admin/bootstrap`
+  真雲 500；miniflare 無此限制＝本機全綠假象（證據：arcrun-rag `docs/manual/uncle6-deploy-record.md`）。
+  OWASP 建議 600k 但平台封頂——儲存格式自帶迭代數（verify 從儲存值解析），未來平台放寬可無痛升。
+  誠實記：600k 舊 hash 的「漸進遷移」只在 miniflare/放寬後成立，真雲 deriveBits 同樣封頂；
+  所幸真雲 bootstrap 從未成功，雲端不存在 600k hash，無實際遷移面。
 - 順帶：**不動 console-auth 既有 3 輪 SHA-256**（Admin Console 現狀不動鐵律）；portal 是新面、直接用對的。
 
 ### 4.2 決策 D-6：雜湊放 slot（KBDB），不放 CF Secrets【建議＝定案傾向強】