feat(kbdb): recipe 公庫/私庫雙向機制 + UUID 身份 + KBDB Base + 市場數據

kbdb-base SDD §7.5（公庫/私庫雙向機制，richblack 2026-06-07 拍板）。

## KBDB Base worker（新）
- kbdb/：D1-only 核心三表（entries/templates/entry_values）+ CRUD + LIKE search
  + recipe-stats 端點（市場數據）+ 0001_base.sql migration（含 recipe_stat seed）

## Phase 2.3：init 建 D1 + 套 migration
- cli cf-api.ts 加 listD1Databases/ensureD1Database；init 建 arcrun-kbdb D1
- deploy.ts 部署後對 D1 套 0001_base.sql（CF /d1/query API，idempotent）+ 注入 database_id

## Phase 5.1：recipe 成功記錄（市場數據來源）
- GraphExecutor 收集本次用到的 recipe uuid（usedRecipeKeys）
- executeWebhookGraph 執行結束一次性記 per-uuid 成功/失敗到 KBDB（fire-and-forget）

## Phase 7.5：recipe UUID 身份 + app-store 模型
- recipe 領 uuid=唯一身份；canonical_id/author/公私=屬性（§7.5.5）
- recipe:{uuid} + idx:canonical/installed/hash；resolveRecipe 向後相容不破執行鏈
- POST /recipes/submit=領新 uuid 新增作者版本（非覆蓋，app-store）
- GET /public-recipes 搜尋（多作者+per-uuid 市場星數）/ :id pull（選市場最佳）
- 落空→found:false 創作引導（§7.5.6 閉環）
- POST /recipes/migrate-uuid 一次性轉舊 key（增量寫不刪舊、冪等）
- init-seed 用 UUID（author=system）

## 薄殼（rule 07 §5：CLI + MCP 覆蓋同組能力）
- CLI: acr recipe search/pull/submit-p（config 加 DEFAULT_PUBLIC_LIBRARY_URL）
- MCP: arcrun_recipe_search/pull/submit_p/push/list/delete（補齊漂移）

## 壓測修正
- api-recipe-seeds: google_sheets_append PUT→POST（:append 正確動詞，階段12）

四 worker tsc 全綠（cypher/cli/kbdb/mcp）。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

cli/src/lib/cf-api.ts

@@ -144,6 +144,25 @@ export class CfAccountClient {
     const result = await this.cf<{ subdomain: string }>('/workers/subdomain');
     return result.subdomain;
   }
+
+  // D1 (KBDB Base). Free on Workers Free plan, no credit card (kbdb-base Q4 verified).
+  async listD1Databases(): Promise<Map<string, string>> {
+    const result = await this.cf<Array<{ uuid: string; name: string }>>('/d1/database?per_page=100');
+    const map = new Map<string, string>();
+    for (const db of result) map.set(db.name, db.uuid);
+    return map;
+  }
+
+  async ensureD1Database(name: string, existing?: Map<string, string>): Promise<string> {
+    const known = existing ?? (await this.listD1Databases());
+    const found = known.get(name);
+    if (found) return found;
+    const result = await this.cf<{ uuid: string; name: string }>(
+      '/d1/database',
+      { method: 'POST', body: JSON.stringify({ name }) },
+    );
+    return result.uuid;
+  }
 }
 
 /** AES-GCM 加密 credential（與 cypher-executor credential-injector 解密邏輯對應）*/

cli/src/lib/config.ts

@@ -67,6 +67,15 @@ const ENV_MAP: Record<string, keyof ArcrunConfig> = {
  */
 export const DEFAULT_MCP_URL = 'https://mcp.arcrun.dev';
 
+/**
+ * 公庫 URL（recipe pull/search/submit-p 的對象，kbdb-base §7.5）。
+ * 公庫 = 官方 SaaS cypher（唯一公共真相）。self-hosted 用戶的「私庫」是自己的 cypher
+ * （getCypherExecutorUrl），但 pull/搜尋/投稿都對著**官方公庫**這個固定 URL。
+ * fork 者可用 ARCRUN_PUBLIC_LIBRARY_URL env 覆蓋。
+ */
+export const DEFAULT_PUBLIC_LIBRARY_URL =
+  process.env.ARCRUN_PUBLIC_LIBRARY_URL ?? 'https://cypher.arcrun.dev';
+
 export function configExists(): boolean {
   return existsSync(CONFIG_PATH) || findProjectConfig() !== undefined;
 }

cli/src/lib/deploy.ts

@@ -47,6 +47,7 @@ export interface DeployContext {
   apiToken: string;
   workerSubdomain: string;
   kvNamespaceIds: Record<string, string>; // title → id
+  d1DatabaseId?: string; // KBDB Base D1 (arcrun-kbdb); injected into kbdb wrangler.toml
 }
 
 export interface DeployResult {
@@ -111,6 +112,23 @@ export async function downloadAndDeploy(ctx: DeployContext, ref = 'main'): Promi
     }
   }
 
+  // 3.5 KBDB Base: D1 建好後套 migration（建三表 + recipe_stat seed）。
+  //     建 D1（cf-api ensureD1Database）只產生空資料庫，schema 要靠這步套。
+  //     migration 檔來自同一份 tarball（root/kbdb/migrations/0001_base.sql），與 wasm 同源，
+  //     不依賴本地 CLI 安裝路徑。0001_base.sql 全用 IF NOT EXISTS / INSERT OR IGNORE → 可重複套（idempotent）。
+  if (ctx.d1DatabaseId) {
+    const migPath = join(root, 'kbdb', 'migrations', '0001_base.sql');
+    if (existsSync(migPath)) {
+      try {
+        await applyD1Migration(ctx, readFileSync(migPath, 'utf8'));
+      } catch (e) {
+        failures.push(`D1 migration (${ctx.d1DatabaseId}): ${e instanceof Error ? e.message : String(e)}`);
+      }
+    } else {
+      failures.push(`D1 migration: 部署物缺 kbdb/migrations/0001_base.sql（${migPath}）`);
+    }
+  }
+
   const cypherExecutorUrl = ctx.workerSubdomain
     ? `https://arcrun-cypher-executor.${ctx.workerSubdomain}.workers.dev`
     : undefined;
@@ -132,6 +150,30 @@ export async function downloadAndDeploy(ctx: DeployContext, ref = 'main'): Promi
   };
 }
 
+/**
+ * 對 D1 套 SQL migration（透過 CF API `/d1/database/{id}/query`，非 wrangler）。
+ * 用 init 已驗的 ctx.apiToken + accountId；query 端點接受多語句檔，一次送整份 0001_base.sql。
+ */
+async function applyD1Migration(ctx: DeployContext, sql: string): Promise<void> {
+  const url = `https://api.cloudflare.com/client/v4/accounts/${ctx.accountId}/d1/database/${ctx.d1DatabaseId}/query`;
+  const res = await fetch(url, {
+    method: 'POST',
+    headers: {
+      Authorization: `Bearer ${ctx.apiToken}`,
+      'Content-Type': 'application/json',
+    },
+    body: JSON.stringify({ sql }),
+    signal: AbortSignal.timeout(60_000),
+  });
+  const json = (await res.json().catch(() => null)) as
+    | { success?: boolean; errors?: Array<{ message?: string }> }
+    | null;
+  if (!res.ok || !json?.success) {
+    const detail = json?.errors?.map(e => e.message).filter(Boolean).join('; ') || `HTTP ${res.status}`;
+    throw new Error(detail);
+  }
+}
+
 /** 下載 codeload tarball 解壓到暫存目錄，回傳解壓出的 repo root 路徑。*/
 async function downloadRepoTarball(ref: string): Promise<string> {
   const url = `https://codeload.github.com/${ARCRUN_REPO}/tar.gz/${ref}`;
@@ -212,6 +254,14 @@ function injectWranglerConfig(tomlPath: string, ctx: DeployContext): void {
     );
   }
 
+  // KBDB Base: inject user's D1 database_id into [[d1_databases]] (placeholder in repo toml)
+  if (ctx.d1DatabaseId && /database_id\s*=/.test(toml)) {
+    toml = toml.replace(
+      /(database_id\s*=\s*")[^"]*(")/,
+      `$1${ctx.d1DatabaseId}$2`,
+    );
+  }
+
   toml = stripOfficialOnlyBindings(toml);
 
   writeFileSync(tomlPath, toml, 'utf8');