fix(cli): 更新完還看得到版本號——CLI 重部署不再把版本標籤（和你的設定）洗掉

leo 08-12 實撞：更新完 leo21c，Portal 設定頁的「版本」變成
「無法讀取目前版本（知識庫服務可能正在啟動）」。版本號是 leo 唯一的驗收介面，
看不到就等於他無法自己確認任何一次更新有沒有生效。

根因（Arcrun#106）：`bundle_version` 來自部署時注入的 plain_text var
`ARCRUN_BUNDLE_VERSION`，而**只有安裝器會注入**。wrangler deploy 是整份覆蓋，
toml 沒寫的 var 直接消失 ⇒ CLI 更新那條路每跑一次就把標籤洗掉一次。
#97 修好了「櫃子」（KV/D1/Vectorize 沿用既有），沒修「櫃子上的標籤」。

修法（兩種 var 走相反的規則，這是本次的判斷）：
· 設定類 var ＝ 使用者實例的事實 → **沿用**（讀綁定時同一份回應就帶回來，不多打 API）
  ——把 #97「已部署的 worker 上綁著什麼就是事實」原封不動套用到 plain_text var。
· 版本標籤 ＝ 這份成品的屬性 → **每趟重烙，絕不沿用舊值**。
  沿用舊值會得到一個永遠停在安裝當天的假標籤——比沒有標籤更糟，
  因為它會讓人以為驗收過了。
  版號取部署當下發行頻道公告的 release（Portal/daemon 就是拿它當「最新版」比），
  另外把**真正部署的 commit** 一起烙上去（/health 多吐 `bundle_commit`）→ 漂掉查得出來。
  查不到 release 就誠實退成 `YYYY-MM-DD+<commit7>`，不掰一個 semver 假裝已是最新。

順帶（都是同一條路上的東西）：
· ref 先解析成 commit sha 再用 sha 下載 archive——不可變，順手解掉 branch tarball 被快取的老病
· Portal 版本行接受帶 build metadata 的 semver（`1.4.41+d61` 這種先前一律被當成「較舊版本」）
· cli 測試在 node 22 上本來一支都跑不起來（.js→.ts 解析 + parameter property），補上 resolve hook
  ——#97 那份「使用者的東西還在不在」的迴歸守衛也在其中，跑不起來的守衛等於沒有守衛
· types.ts 的 ARCRUN_BUNDLE_VERSION 重複宣告（TS2300）併回一處

驗證見 PR：cli 49/49 綠、cypher health 4/4 綠、Portal 版本行原始碼實跑五種情境、
對真實已部署 worker 的唯讀 dry-run。**未做**：真實實例上的 acr update 端到端
（本機唯一有憑證的帳號是 leo21c＝紅線禁碰，youlin 無憑證）。

Refs: Leo/Arcrun#106, #97, #95

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

cli/src/lib/resource-resolver.ts

@@ -41,6 +41,16 @@ export interface ScriptBindings {
   /** false = 這顆 worker 在帳號上還不存在（全新部署），不是「讀取失敗」。讀取失敗要 throw。 */
   deployed: boolean;
   bindings: LiveBinding[];
+  /**
+   * 這顆 worker 現在掛著的 `plain_text` var（名 → 值）。
+   *
+   * 🔴 Arcrun#106：#97 只把「資源類」綁定當成事實沿用（KV/D1/Vectorize），
+   *   plain_text var 整批沒人管 ⇒ 重部署把它們洗成 repo toml 的預設值。
+   *   最痛的一個是 `ARCRUN_BUNDLE_VERSION`（安裝器注入的版本標籤）——
+   *   更新完就消失，Portal 設定頁變成「無法讀取目前版本」。
+   *   **保留了櫃子，沒保留櫃子上的標籤**。這個欄位就是那些標籤。
+   */
+  vars?: Record<string, string>;
 }
 
 /** resolver 需要的 CF 能力（收窄成介面，方便離線測試餵假帳號）。 */
@@ -87,6 +97,14 @@ export interface ResourcePlan {
   create: PlannedCreate[];
   /** 非空 = 整趟停手。applyResourcePlan 會拒絕執行。 */
   blockers: string[];
+  /**
+   * 每顆**已部署** worker 現在掛著的 plain_text var（script → 名/值）。未部署的不在裡面。
+   *
+   * Arcrun#106：讀綁定的時候本來就把整份 `bindings[]` 拿回來了，var 就在同一份回應裡——
+   * 順手帶出來，**不另外打一次 API**，也不新增一種「查不到」的失敗模式
+   * （讀不到綁定這件事已經在上面 blockers 那一關擋掉了）。
+   */
+  liveVars: Map<string, Record<string, string>>;
 }
 
 export interface ResolvedResource {
@@ -137,11 +155,16 @@ export async function planResources(
   // 讀取失敗 ≠ 沒有綁。#97 的災情就是把「我查不到」當成「它不存在」。
   const scripts = [...new Set(requirements.map((r) => r.worker))].sort();
   const live = new Map<string, LiveBinding[]>();
+  const liveVars = new Map<string, Record<string, string>>();
   let readFailed = false;
   for (const script of scripts) {
     try {
       const res = await api.getScriptBindings(script);
-      if (res.deployed) live.set(script, res.bindings);
+      if (res.deployed) {
+        live.set(script, res.bindings);
+        // #106：同一份回應裡的 plain_text var 一起收下（呼叫端要拿它決定哪些 var 該沿用）。
+        liveVars.set(script, res.vars ?? {});
+      }
     } catch (e) {
       readFailed = true;
       blockers.push(
@@ -242,7 +265,7 @@ export async function planResources(
     });
   }
 
-  return { adopt, create: shareSameResource(adopt, create, byKey), blockers };
+  return { adopt, create: shareSameResource(adopt, create, byKey), blockers, liveVars };
 }
 
 /**