feat(mcp): OAuth 2.1 server for claude.ai remote connector; close plaintext-namespace bearer hole

在 arcrun-mcp worker 實作 MCP Authorization 規範（OAuth 2.1 + PKCE S256），
讓 claude.ai 遠端 connector 安全登入；並修掉「Bearer 明碼 namespace 直接放行」漏洞。

安全模型
- /authorize 同意頁以 owner secret（CF Secrets MCP_OWNER_SECRET）把關，只有 owner 知道 →
  只知 URL 的人走不完 OAuth、拿不到 token。
- access_token 是 /mcp 唯一接受的 bearer（預設）；明碼 namespace 舊路徑移除（步驟 5 直接 401）。

實作 endpoint（掛 worker 根路徑）
- RFC 9728 /.well-known/oauth-protected-resource（+/mcp 變體）＋ 401 帶
  WWW-Authenticate: Bearer resource_metadata=...
- RFC 8414 /.well-known/oauth-authorization-server（response_types=code, S256, none）
- RFC 7591 /register（public client，無 secret，無狀態不落地）
- GET/POST /authorize（PKCE S256 + owner-secret 閘 + redirect_uri 白名單）
- POST /token（authorization_code + PKCE 驗證 → access_token 綁定 owner namespace）

儲存鐵律
- authorization code / access token → 短效 KV OAUTH_KV（key 用 SHA-256 hash、帶 TTL、code 一次性）
- owner secret / static token → CF Secrets（非 KV、非明碼 var）
- DCR client / refresh token → 不落地（無狀態 / 不實作，避免長效機密進 KV）

相容決策
- 本機 CLI/GUI/Claude Code → 用真祕密 MCP_STATIC_TOKEN（CF Secret）取代舊明碼 namespace
- 官方 SaaS partner-key 路徑行為不變
- ALLOW_PLAINTEXT_NAMESPACE 逃生門預設關（僅遷移期）

驗證：tsc exit 0；vitest 42/42（oauth 22 + partner-auth 10 改測真實 middleware + 既有 10）；
wrangler deploy --dry-run 打包過、OAUTH_KV binding 正確識別。設計文件 mcp/OAUTH.md。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015d5jDbuqT5Htwv3Q88XXKk

mcp/src/index.ts

@@ -5,8 +5,15 @@ import { partnerAuthMiddleware } from "./middleware/partner-auth.js";
 import { handleMcpRequest } from "./mcp-handler.js";
 import { inspectorHtml } from "./pages/inspector.js";
 import { kbdbFetch } from "./lib/kbdb-client.js";
+import { registerOAuthRoutes } from "./oauth/routes.js";
 
 const _app = new Hono<{ Bindings: Env; Variables: { org_namespace: string; partner_token: string } }>();
+
+// ── OAuth 2.1 server 路由（掛在 worker 根路徑，非 /mcp）──────────────────────────
+// well-known / authorize / token / register 必須在 origin 根，claude.ai 遠端 connector 才發現得到。
+// 安全模型見 mcp/OAUTH.md。註冊在 basePath 之前，落在同一份共享 router。
+registerOAuthRoutes(_app);
+
 const app = _app.basePath('/mcp');
 
 app.use("*", cors({
@@ -239,4 +246,6 @@ app.post("/", partnerAuthMiddleware, async (c) => {
   return handleMcpRequest(c.req.raw, c.env, orgNamespace, partnerToken);
 });
 
-export default app;
+// 輸出根 app（_app）：與 basePath('/mcp') 的 app 共享同一份 router，故 OAuth 根路由與
+// /mcp 路由都能被分派。（若輸出 app 則根路徑的 well-known 分派行為依賴 basePath 細節，改輸出 _app 明確。）
+export default _app;