fix(self-hosted): 身份改明碼 namespace（.env）+ path-based webhook trigger

壓測 §7.2：seed 通了但 creds push/push/runtime 全卡「缺少 api_key」——
self-hosted init 從不發 api_key，但三條路徑都建在多租戶 {api_key}:cred 模型上。

richblack 拍板：self-hosted 不需祕密 api_key，只需 namespace（分區標籤）：
- config：ENV_MAP 加 NAMESPACE/ENCRYPTION_KEY + .env 自動載入（無 dotenv 依賴）
- namespace 明碼用戶自填（.env NAMESPACE=leo），沿用 api_key 路徑 → 零分叉
- encryption_key 用戶 .env 自填（工具不生成不 hash），須與 worker secret 一致
- creds/push/init：缺值改引導設 .env，不再叫去 register
- runtime：cypher 加 POST /webhooks/named/:ns/:name/trigger（namespace 走 path，
  公開表單免 header）；與 header 路徑共用 triggerNamed，不分叉
- push：self-hosted 顯示 path-based 公開 webhook URL

誠實限制：namespace 明碼非密碼；防外部呼叫靠 webhook 保護（mindset §6）。
CLI 1.3.0 → 1.3.1。SDD: self-hosted-init.md §7.7。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

cli/src/commands/init.ts

@@ -245,13 +245,21 @@ async function initSelfHosted(
   console.log(chalk.green('  ✓ 設定寫入 ~/.arcrun/config.yaml'));
   console.log(chalk.green('  ✓ 建立 credentials.yaml'));
 
-  // 手動 secret 提示（secret 不進自動化，rule 05）
-  console.log(chalk.bold('\n  下一步（手動設定 runtime secret）：'));
+  // 下一步：身份設定（self-hosted 單租戶——namespace 明碼用戶自填、encryption_key 用戶自保管）。
+  // 工具不生成、不 hash、不外傳任何 key（守 rule 05 精神：secret 不進自動化，由用戶持有）。
+  console.log(chalk.bold('\n  下一步 ①：在這個專案建 .env（你自己填，工具不碰）：'));
+  console.log(chalk.cyan('    NAMESPACE=leo                 # 你的資料分區標籤（明碼即可，不是密碼）'));
+  console.log(chalk.cyan('    ENCRYPTION_KEY=<64+ hex>      # credential 加密金鑰，你自己保管'));
+  console.log(chalk.gray('    生成 key：node -e "console.log(require(\'crypto\').randomBytes(32).toString(\'hex\'))"'));
+  console.log(chalk.gray('    （NAMESPACE 是分區標籤非密碼；要防外部呼叫請對 webhook 加保護。'));
+  console.log(chalk.gray('     ENCRYPTION_KEY 忘了 = 解不開已上傳的 credential。.env 已被 gitignore。）'));
+
+  console.log(chalk.bold('\n  下一步 ②：把同一把 ENCRYPTION_KEY 設進你的 worker（runtime 解密要用）：'));
   for (const w of SECRET_TARGET_WORKERS) {
     console.log(chalk.cyan(`    wrangler secret put ENCRYPTION_KEY --name ${w}`));
   }
-  console.log(chalk.gray('  三個 Worker 共用同一把 ENCRYPTION_KEY（256-bit hex）。'));
-  console.log(chalk.gray('  生成：node -e "console.log(require(\'crypto\').randomBytes(32).toString(\'hex\'))"\n'));
+  console.log(chalk.gray(`  ${SECRET_TARGET_WORKERS.length} 個 Worker 共用同一把（與 .env 的 ENCRYPTION_KEY 一致）。`));
+  console.log(chalk.gray('  不想自己跑？跑 acr init 時授權（明示同意）我可代設——但預設由你自己 put（你持有 key）。\n'));
 }
 
 /**