落帳：youlin 登入修好（瀏覽器實證）＋連線中斷 vs 密碼錯誤是決定性差別

含誠實限制：驗的是程式碼修對了，不是安裝器裝出來的結果。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

system-dev/wiki/status.md

@@ -389,3 +389,39 @@ arcrun 不自管加密金鑰，`crypto_decrypt` host function 已成永遠回失
 |------|------|
 | 2026-06-08 | 初建。MCP bug 修正完成、wiki 系統搭建、壓測 Haiku 進行中 |
 | 2026-06-08（補） | Haiku 壓測發現 Cold 驗證缺陷：init 無強制檢查點 → 假綠風險。記入 mistakes.md §11 |
+
+## ✅ 2026-08-08 深夜｜leo 的 youlin 登入修好了（瀏覽器實證）
+
+📍 **repo**：`matrix/arcrun`（`cypher-executor/src/index.ts` CORS 自動放行，commit `07cc7f5`）
+＋ `matrix/arcrun/.github-public/installer/scripts/deploy-all.mjs`（有注入的部署路徑）
+
+三元組：`登入從斷到通 >> 靠 >> matrix/arcrun:cypher-executor/src/index.ts 從 WORKER_SUBDOMAIN 自動推導 portal origin`
+
+### 決定性的一個差別
+```
+修復前  按登入 → 「連線中斷——請檢查網路後重試」   ← 請求根本送不出去（CORS 擋掉）
+修復後  按登入 → 「email 或密碼錯誤」              ← 請求送到了、後端回答了
+```
+**「連線中斷」vs「密碼錯誤」就是全部**——我用假帳號，被拒絕才是正確行為。
+
+### 對外四件（stage 環境，`*.workers.dev` 依 leo 08-07 判準屬例外）
+```
+② DNS      172.67.138.117
+③ apiBase  https://arcrun-cypher-executor.youlin-hsieh-dev.workers.dev  ← 已注入
+④ CORS     access-control-allow-origin: https://arcrun-rag-ui.youlin-hsieh-dev.workers.dev
+   頁內實測 fetch /console/auth-status → {ok:true, status:200}
+```
+📌 **console 那幾行紅字是部署前的殘留**——同一個分頁不會清空。
+用**頁內 `fetch` 實跑**才是可信的判準，不是讀 console 歷史。
+
+### 部署方式與它的誠實限制
+用 `deploy-all.mjs`（**有注入**的腳本路徑，非手動 wrangler）：
+`KV 9/9 齊、D1 有、subdomain ✓、24 顆全部成功、3 個 secret 完好未被洗掉`。
+收工後 `git checkout` 清掉它弄髒的 15 個 `wrangler.toml`（已知行為，工作區歸零）。
+
+🔴 **限制要說清楚**：這驗的是「**程式碼修對了**」，**不是「安裝器裝出來的結果**」。
+**環境分離（t217）沒做完之前，這是能做到的最接近的驗證。**
+
+### 今天真正被根治的
+不是「補上 UI_ORIGINS」，是**讓它不再需要被注入**——portal 與 cypher 是同一子網域的兄弟，
+位址推導得出來。**少一個必須注入的變數，就少一個會被漏掉的東西。**