feat(mcp): OAuth 2.1 server for claude.ai remote connector; close plaintext-namespace bearer hole

在 arcrun-mcp worker 實作 MCP Authorization 規範（OAuth 2.1 + PKCE S256），
讓 claude.ai 遠端 connector 安全登入；並修掉「Bearer 明碼 namespace 直接放行」漏洞。

安全模型
- /authorize 同意頁以 owner secret（CF Secrets MCP_OWNER_SECRET）把關，只有 owner 知道 →
  只知 URL 的人走不完 OAuth、拿不到 token。
- access_token 是 /mcp 唯一接受的 bearer（預設）；明碼 namespace 舊路徑移除（步驟 5 直接 401）。

實作 endpoint（掛 worker 根路徑）
- RFC 9728 /.well-known/oauth-protected-resource（+/mcp 變體）＋ 401 帶
  WWW-Authenticate: Bearer resource_metadata=...
- RFC 8414 /.well-known/oauth-authorization-server（response_types=code, S256, none）
- RFC 7591 /register（public client，無 secret，無狀態不落地）
- GET/POST /authorize（PKCE S256 + owner-secret 閘 + redirect_uri 白名單）
- POST /token（authorization_code + PKCE 驗證 → access_token 綁定 owner namespace）

儲存鐵律
- authorization code / access token → 短效 KV OAUTH_KV（key 用 SHA-256 hash、帶 TTL、code 一次性）
- owner secret / static token → CF Secrets（非 KV、非明碼 var）
- DCR client / refresh token → 不落地（無狀態 / 不實作，避免長效機密進 KV）

相容決策
- 本機 CLI/GUI/Claude Code → 用真祕密 MCP_STATIC_TOKEN（CF Secret）取代舊明碼 namespace
- 官方 SaaS partner-key 路徑行為不變
- ALLOW_PLAINTEXT_NAMESPACE 逃生門預設關（僅遷移期）

驗證：tsc exit 0；vitest 42/42（oauth 22 + partner-auth 10 改測真實 middleware + 既有 10）；
wrangler deploy --dry-run 打包過、OAUTH_KV binding 正確識別。設計文件 mcp/OAUTH.md。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015d5jDbuqT5Htwv3Q88XXKk

mcp/src/types.ts

@@ -15,6 +15,29 @@ export interface Env {
   //   未設 / "true" = 官方 SaaS：維持 partner-key 驗證（行為完全不變）。
   // SDD: sdk-and-website/mcp-account-source.md；HANDOFF §3b。
   MULTI_TENANT?: string;
+
+  // ── OAuth 2.1 server（claude.ai 遠端 connector 安全登入，見 mcp/OAUTH.md）──────────
+  // 短效認證儲存：authorization code（TTL ~600s）+ access token（TTL = MCP_TOKEN_TTL）。
+  // 只放「取得的暫時性認證」，key 用 SHA-256 hash（KV list 不外洩可用 token）。長效機密不進 KV。
+  OAUTH_KV?: KVNamespace;
+  // Owner 祕密（CF Secret，非 KV、非明碼 var）：/authorize 同意頁的把關密碼。
+  // 只有 owner 知道 → 「只知 URL + 明碼 namespace」的人走不完 OAuth，拿不到 token。
+  // 未設 → OAuth /authorize 回 503（拒絕在無把關下發碼，不留不安全預設）。
+  MCP_OWNER_SECRET?: string;
+  // OAuth 換發出的 access_token 綁定的 namespace（owner 的資料分區）。預設 "leo"。
+  MCP_OWNER_NAMESPACE?: string;
+  // access_token 存活秒數（同時是 KV TTL）。字串（toml var）。預設 2592000（30 天）。
+  // 過期後 claude.ai 重走 OAuth（owner 重輸祕密）——刻意不做 refresh token 以免長效機密落地。
+  MCP_TOKEN_TTL?: string;
+  // 本機 CLI / GUI / 本機 Claude Code 的相容用「真祕密 token」（CF Secret）。
+  // 設了才啟用：Bearer 精確等於此值 → 解成 MCP_OWNER_NAMESPACE。取代舊「明碼 namespace 當 bearer」漏洞路徑。
+  MCP_STATIC_TOKEN?: string;
+  // 【不安全】相容逃生門：="true" 時恢復舊「Bearer 明碼即 namespace」行為（self-hosted）。
+  // 預設 undefined = 關（安全）。僅供遷移期，設了等於重新打開被修掉的漏洞——別在正式環境開。
+  ALLOW_PLAINTEXT_NAMESPACE?: string;
+  // 允許的 redirect_uri host 白名單（逗號分隔）。DCR 無狀態故靠此擋 open-redirect/釣魚。
+  // 未設 → 預設只允許 claude.ai / claude.com / anthropic.com（含子網域）＋ localhost。
+  MCP_ALLOWED_REDIRECT_HOSTS?: string;
 }
 
 export interface ToolContext {