fix(cli): deploy 注入 MULTI_TENANT=false 到 self-hosted worker（修 MCP 401 注入缺口）

根因（非 code bug）：partner-auth.ts MULTI_TENANT 分支邏輯對，但部署沒注入
→ worker c.env.MULTI_TENANT===undefined → 走 partner-key → self-hosted 401。
mcp/wrangler.toml 的 MULTI_TENANT 原是註解掉的，injectWranglerConfig 注了
KV/WORKER_SUBDOMAIN/D1 卻漏 MULTI_TENANT。只取消註解不夠（只修手動 fork，
沒修 acr update 自動部署這條 mira 走的路）。

修法（方案①，注 vars 非 secret，self-hosted 零填寫）：
- deploy.ts：DeployContext 加 selfHosted；新增 injectMultiTenant（active/註解/無行三態
  → 加進 [vars]）；injectWranglerConfig 在 selfHosted 時呼叫。
- init.ts：deployCtx selfHosted:true（本就是 --self-hosted 分支）。
- update.ts：ctx selfHosted = mode==='self-hosted' || multi_tenant===false（mira 走這條）。
- mcp/wrangler.toml：# [vars] 改 active [vars]（官方不含 MULTI_TENANT=多租戶；
  注入加行在 [vars] 下，結構正確）。

本地驗注入（真實 export 函式 dry-run）：mcp/cypher 注入後各 1 行 active
MULTI_TENANT="false" 在 active [vars] 下 → PASS。cli tsc exit 0。
端到端交棒 mira：leo21c 重跑 acr update → curl Bearer leo /mcp 應 200。
SDD: mcp-account-source.md §5.5.1。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

mcp/wrangler.toml

@@ -5,13 +5,13 @@ compatibility_flags = [ "nodejs_compat" ]
 workers_dev = true   # 對齊 arcrun 部署慣例（rule 05）：deploy 掃描自動啟用 workers.dev URL
 
 # ── 租戶模式（self-hosted fork 必看）─────────────────────────────────────────────
-# 官方 SaaS：不設 MULTI_TENANT（預設多租戶）→ MCP 走 partner-key 驗證（pk_live）。
-# self-hosted 單租戶：fork 後設 MULTI_TENANT = "false" → MCP 接受 Bearer = namespace 明碼，
-#   不打 KBDB partner 驗證，直接當 org_namespace（與 cypher-executor 的 MULTI_TENANT=false 對齊）。
-#   self-hosted 用戶用 namespace 明碼即可連 MCP（不需平台 partner key）。
-# SDD: sdk-and-website/mcp-account-source.md（self-hosted 認證）；HANDOFF §3b。
-# [vars]
-# MULTI_TENANT = "false"
+# 官方 SaaS：[vars] 不含 MULTI_TENANT（預設多租戶）→ MCP 走 partner-key 驗證（pk_live）。
+# self-hosted 單租戶：acr init/update 部署時 **自動注入** MULTI_TENANT="false" 進此 [vars]
+#   （cli/src/lib/deploy.ts injectMultiTenant，依 config.mode='self-hosted'）→ MCP 接受 Bearer =
+#   namespace 明碼，不打 KBDB partner 驗證，直接當 org_namespace（與 cypher 的 MULTI_TENANT=false 對齊）。
+#   用戶零填寫（不必手動取消註解）。手動 fork 不走 CLI 者，自行在此加 MULTI_TENANT = "false"。
+# SDD: sdk-and-website/mcp-account-source.md §5.5；HANDOFF §3b。
+[vars]
 
 # Service Bindings
 # 2026-05-07：COMPONENT_REGISTRY 從 inkstone-component-registry 改為 arcrun-registry