refactor: 移除已廢棄的自管加密金鑰機制（credential 全面託管 CF Workers Secrets）

leo 2026-07-20 明令：「已經改用 cf 自己的 secrets，不要再說它了」
「我希望以後再也看不到這個詞再出現」

背景：credential 早已遷移至 CF Workers per-script Secrets + D1 目錄，
舊的自管金鑰（client 端 AES-GCM + KV 密文 + crypto_decrypt）是遷移期遺留。
本次連根移除，含一併作廢的死 SaaS 碼。

移除：
- 舊 KV 密文解密路徑（credential-injector.ts 整檔、dual-read fallback）
  前置驗證：leo21c / youlin 兩帳號 CREDENTIALS_KV 實測 *:cred:* 皆 0 筆
- migrate-to-workers-secrets 搬家端點（回填已完成，無可回填）
- /register 路由與 generateApiKey（HMAC 產 ak_ key 是 SaaS 遺物；
  self-hosted 走 namespace 明碼 D21，已無人使用）
- platform_crypto component（三帳號實測 404 已退役，無 workflow 引用）

保留（附理由）：
- crypto_decrypt 保留為永遠回失敗的 stub——現役三個 auth .wasm 仍宣告該
  import，缺項會讓 WASM instantiate 直接失敗。待零件重編後可真正刪除。

順帶修復（原不在範圍，但會實際壞事）：
- /auth/callback 有 `if (!key) redirect(server_error)` 閘，未設該 secret 的
  實例會登入直接失敗 → 已移除
- OAuth 兩處把 provider token 寫進舊加密 KV（租戶鍵與實際 api_key 在 rotate
  後必然分歧，已失效）→ 改導向 Workers Secrets，包 try/catch 不影響登入
- acr init Standard 模式呼叫已刪除的 /register → 改引導 OAuth 取 key
- .claude/rules 與 system-dev/docs 是同一規範的兩份鏡像，先前只改 rules
  導致鏡像仍在教舊做法 → 已同步（此類雙檔同步應納入檢查）

新用戶安裝從此零 secret 前置。
測試 187/188（唯一 fail 為 pre-existing，stash 驗證與本次無關）；
cypher-executor 與 cli typecheck 全綠。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

cli/src/lib/cf-api.ts

@@ -164,43 +164,3 @@ export class CfAccountClient {
     return result.uuid;
   }
 }
-
-/** AES-GCM 加密 credential（與 cypher-executor credential-injector 解密邏輯對應）*/
-export async function encryptCredential(value: string, encryptionKey: string): Promise<string> {
-  if (!encryptionKey || encryptionKey.length < 64) {
-    throw new Error(
-      'ARCRUN_ENCRYPTION_KEY 未設定或長度不足（需要 256-bit hex，即 64 個十六進位字元）\n' +
-      '生成指令：node -e "console.log(require(\'crypto\').randomBytes(32).toString(\'hex\'))"'
-    );
-  }
-
-  const keyBytes = hexToUint8Array(encryptionKey);
-  const cryptoKey = await crypto.subtle.importKey(
-    'raw',
-    keyBytes.buffer as ArrayBuffer,
-    { name: 'AES-GCM' },
-    false,
-    ['encrypt'],
-  );
-
-  const iv = crypto.getRandomValues(new Uint8Array(12));
-  const encoded = new TextEncoder().encode(value);
-  const cipherBuffer = await crypto.subtle.encrypt({ name: 'AES-GCM', iv }, cryptoKey, encoded);
-
-  return JSON.stringify({
-    encrypted: uint8ArrayToBase64(new Uint8Array(cipherBuffer)),
-    iv: uint8ArrayToBase64(iv),
-  });
-}
-
-function hexToUint8Array(hex: string): Uint8Array {
-  const bytes = new Uint8Array(hex.length / 2);
-  for (let i = 0; i < hex.length; i += 2) {
-    bytes[i / 2] = parseInt(hex.slice(i, i + 2), 16);
-  }
-  return bytes;
-}
-
-function uint8ArrayToBase64(arr: Uint8Array): string {
-  return Buffer.from(arr).toString('base64');
-}

cli/src/lib/config.ts

@@ -12,7 +12,6 @@ export interface ArcrunConfig {
   mode: 'local' | 'standard' | 'self-hosted';
   // Standard 模式
   api_key?: string;           // arcrun.dev API Key（ak_前綴）
-  encryption_key?: string;    // AES-GCM key，與 cypher-executor ENCRYPTION_KEY secret 一致
   // Self-hosted 模式
   cloudflare_account_id?: string;
   user_kv_namespace_id?: string;
@@ -58,8 +57,6 @@ const ENV_MAP: Record<string, keyof ArcrunConfig> = {
   NAMESPACE: 'api_key',
   ARCRUN_NAMESPACE: 'api_key',
   ARCRUN_API_KEY: 'api_key',
-  ARCRUN_ENCRYPTION_KEY: 'encryption_key',
-  ENCRYPTION_KEY: 'encryption_key',
   ARCRUN_CYPHER_EXECUTOR_URL: 'cypher_executor_url',
   ARCRUN_MCP_URL: 'mcp_url',
   CLOUDFLARE_ACCOUNT_ID: 'cloudflare_account_id',
@@ -117,7 +114,7 @@ function readProjectConfig(): Partial<ArcrunConfig> | undefined {
 
 /**
  * 載入 .env（就近往上找，同 .arcrun.yaml）到 process.env，讓用戶照 Node/Python 慣例
- * 在 .env 設 NAMESPACE / ENCRYPTION_KEY 等即生效。不覆蓋「已存在於 shell」的 env（shell > .env）。
+ * 在 .env 設 NAMESPACE / CLOUDFLARE_* 等即生效。不覆蓋「已存在於 shell」的 env（shell > .env）。
  * 自己解析（不引入 dotenv 依賴）。只認單純 KEY=VALUE，忽略空行/註解/引號。
  */
 let _envFileLoaded = false;
@@ -193,7 +190,7 @@ export function resolveConfigSources(): Array<{ field: keyof ArcrunConfig; value
   const project = readProjectConfig() ?? {};
   const env = readEnvOverrides();
   const fields: (keyof ArcrunConfig)[] = [
-    'mode', 'api_key', 'encryption_key', 'cloudflare_account_id',
+    'mode', 'api_key', 'cloudflare_account_id',
     'cf_api_token', 'cypher_executor_url', 'mcp_url',
   ];
   const rows: Array<{ field: keyof ArcrunConfig; value: string; source: ConfigSource }> = [];

cli/src/lib/deploy.ts

@@ -129,13 +129,6 @@ export const REQUIRED_KV_NAMESPACES = [
   'OAUTH_KV',
 ] as const;
 
-/** 部署後要提示用戶手動 `wrangler secret put ENCRYPTION_KEY` 的 Worker。*/
-export const SECRET_TARGET_WORKERS = [
-  'arcrun-cypher-executor',
-  'arcrun-auth-static-key',
-  'arcrun-auth-service-account',
-] as const;
-
 /** 共享部署依賴（downloadAndDeploy 2.5：tarball root 裝一次，各 worker 往上 resolve）。
  *  含全部 worker 的 runtime deps：tier1 component 只要 hono；tier2 cypher/registry/mcp/kbdb
  *  另需 zod / @hono/zod-openapi / @modelcontextprotocol/sdk / js-yaml / yaml；