fix(self-hosted): 修壓測四阻斷項 + 設定分層 + init 非互動

壓測（docs/壓測報告.md）發現 acr init --self-hosted 對任何非官方 CF
帳號都裝不起來，且設定寫死全域單檔 + 強制 TTY。本次一併修：

R2 dead storage 全清（#3#4，registry-canon Phase 1.5 補完）：
- cypher-executor wrangler.toml/test.toml/types.ts 移除 WASM_BUCKET binding
- CLI deploy.ts/init.ts/cf-api.ts/config.ts 移除 R2 建立邏輯與 wasm_bucket
- R2 綁信用卡違背「開源免費自架」核心；bucket 名 WASM_BUCKET 本就非法
  → self-hosted 改為只需 Workers + KV（皆免費額度、不綁卡）

fork 帳號部署阻斷（#1#2）：
- deploy.ts 新增 stripOfficialOnlyBindings()，注入暫存副本時移除
  [[routes]]/zone_name/[[r2_buckets]]/[ai]（fork 沒有 arcrun.dev zone）
- 不刪 repo 內 toml（官方 prod CI 部署仍需 routes），只在 CLI self-hosted 路徑 strip

設定分層 + 非互動（#7#8）：
- config.ts loadConfig 改三層：env > 專案層 .arcrun.yaml（就近往上找）> 全域
- init 支援 --account-id/--api-token flag + CLOUDFLARE_* env，缺才互動
- 新增 acr config --where 顯示每個值的來源層（token 自動遮罩）
- gitignore 一併排除 .arcrun.yaml

驗收：tsc 全綠；三層 merge 端對端測試 8/8；strip 對真實 toml 驗證
routes/R2/AI 移除而 name/workers_dev/KV 保留。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

cli/src/lib/deploy.ts

@@ -28,9 +28,6 @@ export const REQUIRED_KV_NAMESPACES = [
   'EXEC_CONTEXT',
 ] as const;
 
-/** init 要建立的 R2 bucket。*/
-export const REQUIRED_R2_BUCKET = 'WASM_BUCKET';
-
 /** 部署後要提示用戶手動 `wrangler secret put ENCRYPTION_KEY` 的 Worker。*/
 export const SECRET_TARGET_WORKERS = [
   'arcrun-cypher-executor',
@@ -172,7 +169,19 @@ function discoverWorkerDirs(root: string): { tier1: string[]; tier2: string[] }
   return { tier1, tier2 };
 }
 
-/** 注入用戶的 KV namespace id（取代 wrangler.toml 中各 binding 的 id）+ cypher WORKER_SUBDOMAIN。*/
+/**
+ * 注入用戶的 KV namespace id（取代 wrangler.toml 中各 binding 的 id）+ cypher WORKER_SUBDOMAIN，
+ * 並 strip 掉只有 arcrun 官方帳號才有的綁定（self-hosted fork 帳號沒有）。
+ *
+ * 為何 strip 而非刪 repo 內 toml（壓測 2026-06-04 阻斷項 #1#2#3#4）：
+ *   - repo 內各 worker toml 的 `[[routes]] zone_name="arcrun.dev"` 是**官方 prod CI 部署**需要的
+ *     （對外開放零件）。直接從 repo 刪會破壞官方部署。
+ *   - 但 fork 用戶**沒有 arcrun.dev zone** → wrangler deploy 找不到 zone 而失敗。
+ *   - deploy.ts 只在 self-hosted 路徑跑，且改的是「暫存目錄副本」（SDD self-hosted-init.md §3 step 4），
+ *     不碰用戶 repo。所以在注入時 strip 掉這些官方專屬綁定 = 對的層級。
+ *   - 每個 worker toml 都有 `workers_dev = true` → strip routes 後純靠 workers.dev URL，自架可達。
+ *   - R2（`[[r2_buckets]]`）是 dead storage（registry-canon Phase 1.5），且綁卡違背開源免費 → 一併移除。
+ */
 function injectWranglerConfig(tomlPath: string, ctx: DeployContext): void {
   if (!existsSync(tomlPath)) return;
   let toml = readFileSync(tomlPath, 'utf8');
@@ -196,9 +205,47 @@ function injectWranglerConfig(tomlPath: string, ctx: DeployContext): void {
     );
   }
 
+  toml = stripOfficialOnlyBindings(toml);
+
   writeFileSync(tomlPath, toml, 'utf8');
 }
 
+/**
+ * 移除 self-hosted fork 帳號沒有、會導致 wrangler deploy 失敗的官方專屬 TOML 區塊：
+ *   - `[[routes]]`（含 pattern/zone_name）：fork 沒有 arcrun.dev zone
+ *   - `[[r2_buckets]]`：dead storage + 綁卡違背開源免費（registry-canon 1.5）
+ *   - `[ai]`（Workers AI binding）：免費帳號未必啟用，且自架預設不需要
+ * 純文字行級移除（TOML table 以空行 / 下一個 `[` 區塊結束）。worker 仍靠 `workers_dev = true` 對外。
+ */
+export function stripOfficialOnlyBindings(toml: string): string {
+  const lines = toml.split('\n');
+  const out: string[] = [];
+  let skipping = false;
+
+  const isBlockHeader = (l: string) =>
+    /^\s*\[\[?(routes|r2_buckets|ai)\]?\]\s*$/.test(l);
+
+  for (const line of lines) {
+    if (isBlockHeader(line)) {
+      skipping = true; // 進入要移除的區塊，連同 header 一起丟
+      continue;
+    }
+    if (skipping) {
+      // 區塊結束條件：遇到下一個 table header（`[...]`）或空行
+      if (/^\s*\[/.test(line)) {
+        skipping = false; // 這行是新區塊的開頭，保留並由下方邏輯處理
+      } else if (line.trim() === '') {
+        skipping = false; // 空行結束區塊；空行本身丟掉避免堆疊空白
+        continue;
+      } else {
+        continue; // 仍在被移除區塊內（pattern/zone_name/binding/bucket_name 等）
+      }
+    }
+    out.push(line);
+  }
+  return out.join('\n');
+}
+
 /** 在 worker 目錄跑 wrangler deploy（用用戶的 CF token + account）。*/
 function runWranglerDeploy(dir: string, ctx: DeployContext): void {
   // 先裝依賴（cypher-executor/registry 是 TS，wrangler 內建 esbuild bundle 需 node_modules）