D38：credential 目錄改走 KBDB API（零原生 SQL）＋舊表退場；測試刻意留紅燈

存取層：credentials.ts / auth-dispatcher.ts / portal.ts 全改走 kbdbBase()+fetch
到 /entries（照 execution-logger.ts 既有慣例），.prepare/.exec/.batch 命中 0。
資料層：0005 seed credential template；0006 把舊表資料搬進 entries 後拆表；
0002 標退役、deploy.ts 不再套用（加 kbdb-sql-ok 留痕，純歷史對照）。

總管親驗四項（不聽 agent 自評）：
1 三個檔 .prepare/.exec/.batch 命中 0；六個檔全部通過 kbdb-api-wall-guard
2 0006 的 INSERT 欄位（id/entry_type/owner_id/page_name/metadata_json/
  created_at/updated_at）與 0001_base 的 entries 表逐一對得上
3 不可逆風險查官方：D1 batch 是 transaction、任一句失敗整批 rollback；
  exec 出錯則「執行停止、後續不執行」=> 兩種語意下 INSERT 失敗都不會跑到
  DROP TABLE，用戶 credential 目錄不會遺失
4 0006 搬在拆之前、冪等（NOT EXISTS 防重複）、豁免標記有留痕且理由正當
  （拆表是牆內施工，API 不提供也不該提供拆表）

🔴 抓到一個假綠並修正：agent 中途被中斷，把 111 行的 credentials.test.ts
砍成一行「// placeholder — see edit below」，那個 edit 從來沒發生，
且 setup.ts 被刪。vitest 對這種檔案回報「Tests: no tests」，
很容易被讀成「沒失敗＝通過」——正是 CP 記過的
「這條 route 曾整條消失過沒人發現」同型。
處置：還原 setup.ts/vitest.config.ts，credentials.test.ts 改成
**刻意會失敗的紅燈**並在檔頭列出要補的五項。空檔會被誤認為綠，紅燈不會。

未部署。本批要先上 stage 驗過才進 prod（leo 08-07 定）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

cli/src/lib/deploy.ts

@@ -336,20 +336,35 @@ export async function downloadAndDeploy(
       failures.push(`D1 migration: 部署物缺 kbdb/migrations/0001_base.sql（${migPath}）`);
     }
 
-    // 3.6 credentials 目錄表（api_key/name/service/sensitivity/secret_ref/created_at/last_used_at）。
-    //     現行 credential 規範見 .claude/rules/01-tech-stack.md「Credential 儲存規範」。
-    //     同一顆 D1（與 KBDB base 共用），冪等 IF NOT EXISTS，套用機制與 0001_base.sql 完全相同
-    //     （同一個 applyD1Migration helper，同一支 CF D1 query API）。D19：這張表不含密文，
-    //     密文本體住在 Workers per-script Secrets（見 cypher-executor/src/routes/credentials.ts）。
-    const credMigPath = join(root, 'kbdb', 'migrations', '0002_credentials.sql');
-    if (existsSync(credMigPath)) {
+    // 3.6 credential template seed（D38 圍牆修復，總管交辦，2026-08-07）：credential 目錄改走
+    //     KBDB template 機制（entries 表 entry_type='credential'，比照 recipe_stat/execution_log
+    //     慣例），取代舊的獨立 credentials 表（0002，已退役，見該檔頭部說明）。冪等，套用機制
+    //     與 0001_base.sql 完全相同。密文本體仍住 Workers per-script Secrets（見
+    //     cypher-executor/src/routes/credentials.ts），D19「擁有目錄不擁有內容物」不變。
+    const credTplMigPath = join(root, 'kbdb', 'migrations', '0005_credential_template.sql');
+    if (existsSync(credTplMigPath)) {
       try {
-        await applyD1Migration(ctx, readFileSync(credMigPath, 'utf8'));
+        await applyD1Migration(ctx, readFileSync(credTplMigPath, 'utf8'));
       } catch (e) {
-        failures.push(`D1 migration 0002_credentials (${ctx.d1DatabaseId}): ${e instanceof Error ? e.message : String(e)}`);
+        failures.push(`D1 migration 0005_credential_template (${ctx.d1DatabaseId}): ${e instanceof Error ? e.message : String(e)}`);
       }
     } else {
-      failures.push(`D1 migration: 部署物缺 kbdb/migrations/0002_credentials.sql（${credMigPath}）`);
+      failures.push(`D1 migration: 部署物缺 kbdb/migrations/0005_credential_template.sql（${credTplMigPath}）`);
+    }
+
+    // 3.6b 退役舊 credentials 表（D38，2026-08-07）：把該表殘留資料（若有）搬進 entries 後
+    //     拆表，讓 KBDB 回到「只有三張核心表」的狀態。冪等且對「從未跑過 0002」的全新實例
+    //     無害（表不存在時本檔第一步先補空殼再立刻拆掉，詳見檔頭）。每次部署都會重跑，
+    //     但真資料只搬一次（NOT EXISTS 判斷防重複）。
+    const dropCredMigPath = join(root, 'kbdb', 'migrations', '0006_drop_credentials_table.sql');
+    if (existsSync(dropCredMigPath)) {
+      try {
+        await applyD1Migration(ctx, readFileSync(dropCredMigPath, 'utf8'));
+      } catch (e) {
+        failures.push(`D1 migration 0006_drop_credentials_table (${ctx.d1DatabaseId}): ${e instanceof Error ? e.message : String(e)}`);
+      }
+    } else {
+      failures.push(`D1 migration: 部署物缺 kbdb/migrations/0006_drop_credentials_table.sql（${dropCredMigPath}）`);
     }
 
     // 3.7 execution_log template seed（KV 額度事故修復，2026-08-07）：workflow 執行紀錄改走