feat(auth): 認證儲存搬回 D1/KV——落實方案C（leo confirm「走C」，arcrun-rag#99）

實作 pending-changes.md「認證儲存要不要搬回 D1/KV」提案（commit 8286c8a）：
D61 的病根「重裝時 binding 被安裝器照名字重新指到新建空資源」已被更通用的
shared/resource-rule（Arcrun#97，2026-08-13）解掉，故不再需要繞開 binding
去躲這個病——而繞開的代價正是這次要收的債：Workers Secrets 寫入需要外部
CF_SECRETS_API_TOKEN，這把 token 從安裝那天起就沒被種過，止血版只解掉
「建第一個帳號」這一格，之後的每一次寫入（換密碼／加帳號／改權限）仍卡死。

改動：
- console 管理員帳密：家改回 SESSIONS_KV（binding，console-auth.ts）
- portal 多人帳號：家改回 KBDB（binding，走 base HTTP API，D38 零 SQL，portal.ts）
- D61 認證儲存（CF Workers Secrets）留為舊實例的唯讀回退路徑：讀取零成本、
  零外部憑證需求（只有寫入才要 token）；登入成功即 best-effort 自動搬進新家，
  且**這次登入發出的 session 就直接指向新 record_id**（不必等下一次登入）
- D61 的三項「明顯失敗」語意全部保留：auth_store_empty（讀不到不算密碼錯、
  不計入鎖定）、/console/setup 遇既有帳號說清楚密碼沒被採用、/health 與
  /console/auth-status 吐儲存狀態
- 移除止血版的 x-arcrun-install-token 表頭傳遞機制（installToken 參數）——
  帳號寫入從此不需要任何外部 CF token，這個結構性缺口已從根拔除

測試：cypher-executor 全套 vitest 439/453（14 個既存失敗與本改動無關，已用
git stash 對照 clean checkout 逐一比對檔名確認完全相同）；tsc --noEmit
無新增錯誤（3 個既存錯誤同上核實無關）。已跑 build-worker-artifacts.mjs
重打 tier2 bundle，grep 複驗 createKbdbUserRecord/promoteToKbdb 進了成品、
promoteLegacyUser／x-arcrun-install-token 完全從成品消失。

未覆蓋：POST /credentials（一般 workflow API 金鑰儲存）仍依賴
CF_SECRETS_API_TOKEN——這是 01-tech-stack.md 既有的、獨立於 D61 之外的
credential 儲存架構（D19「擁有目錄不擁有內容物」），本提案範圍只涵蓋「認證」
（登入帳密），不涵蓋一般 credential 儲存；07-29 已知缺口仍待另案處理。

不准 merge 進 main（SDD 鐵律③，等總管審過再併）；不准部署（D20 出貨閘）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

cypher-executor/src/routes/health.ts

@@ -1,9 +1,26 @@
 import { Hono } from 'hono';
 import type { Bindings } from '../types';
-import { authStoreStatus } from '../lib/portal-auth-store';
+import { readAuthStore } from '../lib/portal-auth-store';
 
 export const healthRouter = new Hono<{ Bindings: Bindings }>();
 
+/**
+ * 認證儲存狀態（2026-08-14 起：console 帳密住 SESSIONS_KV、portal 帳號住 KBDB，
+ * 兩者皆 binding-based，不再需要外部 CF token 才寫得進去——見 console-auth.ts／portal.ts
+ * 檔頭「D61 補充」說明）。`legacy_*_present` 只回是否還有 D61 時代留在認證儲存（CF Workers
+ * Secrets）裡尚未搬遷的資料，不洩漏任何 email／雜湊內容。
+ */
+function authStoreStatus(env: Bindings): {
+  console: { home: 'sessions-kv'; writable: true; legacy_secrets_present: boolean };
+  portal_users: { home: 'kbdb'; writable: true; legacy_secrets_present: boolean };
+} {
+  const legacy = readAuthStore(env);
+  return {
+    console: { home: 'sessions-kv', writable: true, legacy_secrets_present: legacy.console !== null },
+    portal_users: { home: 'kbdb', writable: true, legacy_secrets_present: legacy.users.length > 0 },
+  };
+}
+
 // t162（leo 07-31 實撞：「小幫手一直顯示知識庫需要更新…重新更新後並不會消失」）：
 // daemon cloudVersionStale() 讀 /health 的 `bundle_version` 判斷是否過舊——
 // 但本端點過去只回 {ok:true}，**從沒吐這個欄位** ⇒ daemon 恆讀到空字串