feat(#11): CLI/MCP 薄殼對齊 — P0 run 死端點修 + P1 list 同源 + R4 防複發機制

P0 CLI run 改打 /webhooks/named/:name/trigger 真端點（原打 /webhooks/<name> 死端點 404）。
P1 CLI/MCP list 收斂到 GET /webhooks/named（KV 同源）：
   - CLI list 停 CfKvClient 直連 KV，順手修 key 前綴 bug（原讀 workflow: 對不上部署的 {apiKey}:wf:）
     + self-hosted 不再需 CF API token。
   - MCP u6u_list_workflows 從讀 KBDB record 改讀 GET /webhooks/named（registry 簽名加 partnerToken）。
R4 防複發機制：
   - cli-mcp-capability-matrix.md（13 能力對照，docs/ gitignored 不進此 commit，僅本機）
   - thin-shell-smoke.sh（對真端點斷言非 404，本機手動跑非 CI/cron）
   - 機制自驗：注入故意死端點當場攔下、exit 1。

依賴關係：本批依賴 #8（webhooks-named GET 補 description/created_at 欄位、search/backfill 端點），
故疊在 feat/issue-8 branch 上、作獨立 commit。

⚠️ tsc 綠 = code done 非完成。端到端待 leo21c（CLI/MCP 真打通 200 非 404、smoke 對已部署 prod
全綠——目前 smoke 揭 #8 search/backfill 在 prod 仍 404=未部署）。P2 validate 收斂待 #10、
tag resource_id 語意債待方向①。#11 留 open。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

mcp/src/tools/registry.ts

@@ -29,7 +29,7 @@ export function registerAllTools(server: McpServer, env: Env, orgNamespace: stri
   registerExecuteWorkflow(server, env, orgNamespace, partnerToken);
   registerDeployWorkflow(server, env, orgNamespace);
   registerPublishComponent(server, env, orgNamespace);
-  registerListWorkflows(server, env, orgNamespace);
+  registerListWorkflows(server, env, orgNamespace, partnerToken);  // thin-shell-alignment P1: list 改讀 /webhooks/named
   registerGetWorkflow(server, env, orgNamespace);
   registerSearchWorkflows(server, env, orgNamespace, partnerToken);  // workflow-discovery R2
   registerListComponents(server, env, orgNamespace);

mcp/src/tools/u6u_list_workflows.ts

@@ -3,33 +3,56 @@ import { z } from "zod";
 import { Env } from "../types.js";
 import { kbdbFetch } from "../lib/kbdb-client.js";
 
-export function registerListWorkflows(server: McpServer, env: Env, orgNamespace: string) {
+/**
+ * u6u_list_workflows — 列出本帳號已部署的工作流
+ *
+ * thin-shell-alignment P1（issue #11）：原讀 KBDB `/records?template=workflow_metadata`，
+ * 與 CLI `acr list`（讀 KV）不同源 → 列出的東西不一樣。改讀 cypher `GET /webhooks/named`
+ * （KV 源，與 CLI 收斂同源）。job 分：list 讀 KV（部署寫入處，權威），search 讀 KBDB entry。
+ * tag 過濾仍走 KBDB resource_tag（另一維度，非 workflow 清單來源）。
+ */
+export function registerListWorkflows(server: McpServer, env: Env, orgNamespace: string, partnerToken: string) {
   server.tool(
     "u6u_list_workflows",
     "列出當前命名空間下所有已部署的工作流，可選擇按 tag 篩選。",
     { tag: z.string().optional().describe("按 tag 名稱篩選（選填）") },
     async ({ tag }) => {
       try {
-        if (!env.KBDB) {
-          return { content: [{ type: "text", text: "Error: KBDB service binding unavailable" }], isError: true };
+        if (!env.CYPHER_EXECUTOR) {
+          return { content: [{ type: "text", text: "Error: CYPHER_EXECUTOR service binding is not configured." }], isError: true };
         }
-        let workflowIds: string[] | null = null;
+
+        // tag 過濾（選填）：先從 KBDB resource_tag 查出該 tag 下的 workflow_id 白名單。
+        let tagFilter: Set<string> | null = null;
         if (tag) {
+          if (!env.KBDB) {
+            return { content: [{ type: "text", text: "Error: KBDB service binding unavailable (tag 過濾需要)" }], isError: true };
+          }
           const tagResp = await kbdbFetch(env, `/records/search?template=resource_tag&user_id=${encodeURIComponent(orgNamespace)}&tag_name=${encodeURIComponent(tag)}&resource_type=workflow`);
           if (!tagResp.ok) {
             return { content: [{ type: "text", text: `Error querying tags: ${await tagResp.text()}` }], isError: true };
           }
           const tagData = await tagResp.json<{ records: Array<{ slots: { resource_id: string } }> }>();
-          workflowIds = tagData.records.map(r => r.slots.resource_id);
-          if (workflowIds.length === 0) return { content: [{ type: "text", text: JSON.stringify([], null, 2) }] };
+          tagFilter = new Set(tagData.records.map(r => r.slots.resource_id));
+          if (tagFilter.size === 0) return { content: [{ type: "text", text: JSON.stringify([], null, 2) }] };
         }
-        const resp = await kbdbFetch(env, `/records/search?template=workflow_metadata&user_id=${encodeURIComponent(orgNamespace)}`);
+
+        // 主清單：讀 cypher GET /webhooks/named（KV 源，與 CLI acr list 同源）。
+        const resp = await env.CYPHER_EXECUTOR.fetch("http://cypher-executor/webhooks/named", {
+          method: "GET",
+          headers: { "X-Arcrun-API-Key": partnerToken },
+        });
         if (!resp.ok) {
-          return { content: [{ type: "text", text: `Error querying workflows: ${await resp.text()}` }], isError: true };
+          return { content: [{ type: "text", text: `Error listing workflows: ${await resp.text()}` }], isError: true };
         }
-        const data = await resp.json<{ records: Array<{ slots: { workflow_id: string; name: string; deployed_at: string; org_namespace: string } }> }>();
-        let workflows = data.records.map(r => r.slots);
-        if (workflowIds !== null) workflows = workflows.filter(w => workflowIds!.includes(w.workflow_id));
+        const data = await resp.json<{ workflows: Array<{ name: string; description?: string; created_at?: string; webhook_url?: string }> }>();
+        let workflows = data.workflows ?? [];
+        // tag 過濾用 name 比對（KV 源主鍵＝name）。
+        // ⚠️ 語意債（SDD §4 記）：舊 tag 的 resource_id 可能存 UUID（舊 workflow_metadata workflow_id）
+        // 或 name，語意不明確。方向①收斂到 KV（主鍵＝name）後，resource_id 應統一為 name。
+        // 過渡期先用 name 比對（KV 源唯一鍵）；舊用 UUID tag 的會在 backfill/re-tag 後對齊。待總管確認 tag 收斂。
+        if (tagFilter !== null) workflows = workflows.filter(w => tagFilter!.has(w.name));
+
         return { content: [{ type: "text", text: JSON.stringify(workflows, null, 2) }] };
       } catch (error) {
         return { content: [{ type: "text", text: `Internal Error: ${error instanceof Error ? error.message : String(error)}` }], isError: true };