refactor: 移除已廢棄的自管加密金鑰機制（credential 全面託管 CF Workers Secrets）

leo 2026-07-20 明令：「已經改用 cf 自己的 secrets，不要再說它了」
「我希望以後再也看不到這個詞再出現」

背景：credential 早已遷移至 CF Workers per-script Secrets + D1 目錄，
舊的自管金鑰（client 端 AES-GCM + KV 密文 + crypto_decrypt）是遷移期遺留。
本次連根移除，含一併作廢的死 SaaS 碼。

移除：
- 舊 KV 密文解密路徑（credential-injector.ts 整檔、dual-read fallback）
  前置驗證：leo21c / youlin 兩帳號 CREDENTIALS_KV 實測 *:cred:* 皆 0 筆
- migrate-to-workers-secrets 搬家端點（回填已完成，無可回填）
- /register 路由與 generateApiKey（HMAC 產 ak_ key 是 SaaS 遺物；
  self-hosted 走 namespace 明碼 D21，已無人使用）
- platform_crypto component（三帳號實測 404 已退役，無 workflow 引用）

保留（附理由）：
- crypto_decrypt 保留為永遠回失敗的 stub——現役三個 auth .wasm 仍宣告該
  import，缺項會讓 WASM instantiate 直接失敗。待零件重編後可真正刪除。

順帶修復（原不在範圍，但會實際壞事）：
- /auth/callback 有 `if (!key) redirect(server_error)` 閘，未設該 secret 的
  實例會登入直接失敗 → 已移除
- OAuth 兩處把 provider token 寫進舊加密 KV（租戶鍵與實際 api_key 在 rotate
  後必然分歧，已失效）→ 改導向 Workers Secrets，包 try/catch 不影響登入
- acr init Standard 模式呼叫已刪除的 /register → 改引導 OAuth 取 key
- .claude/rules 與 system-dev/docs 是同一規範的兩份鏡像，先前只改 rules
  導致鏡像仍在教舊做法 → 已同步（此類雙檔同步應納入檢查）

新用戶安裝從此零 secret 前置。
測試 187/188（唯一 fail 為 pre-existing，stash 驗證與本次無關）；
cypher-executor 與 cli typecheck 全綠。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

cypher-executor/src/graph-executor.ts

@@ -1,7 +1,6 @@
 // arcrun 圖遍歷引擎 — 支援完整 Cypher 語意關係
 import type { ExecutionGraph, GraphNode, TraceStep, ComponentRunner, KVContextStore, EdgeType, Bindings } from './types';
 import { kvSetNodeOutput, kvGetNodeOutput, ExecutionError, WorkflowPaused } from './types';
-import { injectCredentials } from './actions/credential-injector';
 import { tryAuthDispatch, resolveCredentialRefs } from './actions/auth-dispatcher';
 import { expandPromptRecipe } from './lib/recipe-expander';
 import { resolveRecipe } from './routes/recipes';
@@ -246,8 +245,8 @@ export class GraphExecutor {
           };
 
           // 用戶面 {{credential.NAME}} 展開（design §8）：偵測 node.data 裡用戶寫的
-          // {{credential.X}} → 交 auth_static_key WASM resolve_credentials 解密回填。
-          // 解密在 WASM（rule 02 §2.2），此處只偵測+回填，不碰 ENCRYPTION_KEY。
+          // {{credential.X}} → 交 auth_static_key WASM resolve_credentials 取值回填。
+          // 取值在 WASM（rule 02 §2.2），此處只偵測+回填，不碰任何秘密值。
           if (this.env && this.apiKey) {
             mergedContext = await resolveCredentialRefs(mergedContext, this.env, this.apiKey);
           }
@@ -283,19 +282,13 @@ export class GraphExecutor {
             }
           }
 
-          // Credential 注入：在 WASM 執行前自動注入 credentials_required 中宣告的 token
-          if (this.env) {
-            // 先試 auth dispatcher（新路徑，走 auth primitive WASM Worker via HTTP）
-            // 命中才 return；否則 fallback 到舊 injectCredentials（Phase 1.9 會刪除）
-            if (this.apiKey) {
-              const dispatched = await tryAuthDispatch(node.componentId, mergedContext, this.env, this.apiKey);
-              if (dispatched) {
-                mergedContext = dispatched;
-              } else {
-                mergedContext = await injectCredentials(node.componentId, mergedContext, this.env, this.apiKey);
-              }
-            } else {
-              mergedContext = await injectCredentials(node.componentId, mergedContext, this.env, this.apiKey);
+          // Credential 注入：在 WASM 執行前自動注入 credentials_required 中宣告的 token。
+          // 走 auth dispatcher（auth primitive WASM Worker via HTTP）——值住 CF Workers
+          // Secrets，由 WASM 內 secret_get 取用。
+          if (this.env && this.apiKey) {
+            const dispatched = await tryAuthDispatch(node.componentId, mergedContext, this.env, this.apiKey);
+            if (dispatched) {
+              mergedContext = dispatched;
             }
           }