feat(mcp): OAuth 2.1 server for claude.ai remote connector; close plaintext-namespace bearer hole

在 arcrun-mcp worker 實作 MCP Authorization 規範（OAuth 2.1 + PKCE S256），
讓 claude.ai 遠端 connector 安全登入；並修掉「Bearer 明碼 namespace 直接放行」漏洞。

安全模型
- /authorize 同意頁以 owner secret（CF Secrets MCP_OWNER_SECRET）把關，只有 owner 知道 →
  只知 URL 的人走不完 OAuth、拿不到 token。
- access_token 是 /mcp 唯一接受的 bearer（預設）；明碼 namespace 舊路徑移除（步驟 5 直接 401）。

實作 endpoint（掛 worker 根路徑）
- RFC 9728 /.well-known/oauth-protected-resource（+/mcp 變體）＋ 401 帶
  WWW-Authenticate: Bearer resource_metadata=...
- RFC 8414 /.well-known/oauth-authorization-server（response_types=code, S256, none）
- RFC 7591 /register（public client，無 secret，無狀態不落地）
- GET/POST /authorize（PKCE S256 + owner-secret 閘 + redirect_uri 白名單）
- POST /token（authorization_code + PKCE 驗證 → access_token 綁定 owner namespace）

儲存鐵律
- authorization code / access token → 短效 KV OAUTH_KV（key 用 SHA-256 hash、帶 TTL、code 一次性）
- owner secret / static token → CF Secrets（非 KV、非明碼 var）
- DCR client / refresh token → 不落地（無狀態 / 不實作，避免長效機密進 KV）

相容決策
- 本機 CLI/GUI/Claude Code → 用真祕密 MCP_STATIC_TOKEN（CF Secret）取代舊明碼 namespace
- 官方 SaaS partner-key 路徑行為不變
- ALLOW_PLAINTEXT_NAMESPACE 逃生門預設關（僅遷移期）

驗證：tsc exit 0；vitest 42/42（oauth 22 + partner-auth 10 改測真實 middleware + 既有 10）；
wrangler deploy --dry-run 打包過、OAUTH_KV binding 正確識別。設計文件 mcp/OAUTH.md。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015d5jDbuqT5Htwv3Q88XXKk

mcp/wrangler.toml

@@ -31,6 +31,26 @@ service = "arcrun-cypher-executor"
 binding = "KBDB"
 service = "arcrun-kbdb"
 
+# ── OAuth 2.1 server（claude.ai 遠端 connector 安全登入，見 mcp/OAUTH.md）──────────────
+# 短效認證儲存（authorization code + access token，皆帶 TTL、key 用 SHA-256 hash）。
+# ⚠️ 部署前 leo/mira 需先建立此 KV namespace 並填入真實 id：
+#     wrangler kv namespace create OAUTH_MCP
+#   把回傳的 id 貼到下面（self-hosted 自動注入路徑尚未涵蓋此 binding → 需手動或補 deploy.ts injectWranglerConfig）。
+# 未設此 binding → OAuth /authorize、/token 回 503（誠實拒絕，不假綠），既有 MCP 路徑不受影響。
+[[kv_namespaces]]
+binding = "OAUTH_KV"
+id = "REPLACE_WITH_REAL_KV_ID"  # ← 部署前必填（wrangler kv namespace create OAUTH_MCP）
+
+# ── OAuth 相關機密與設定 ───────────────────────────────────────────────────────────
+# 機密走 CF Secrets（wrangler secret put，不進 toml、非 KV、非明碼 var）：
+#   wrangler secret put MCP_OWNER_SECRET   # /authorize 同意頁把關密碼（只有 owner 知道）
+#   wrangler secret put MCP_STATIC_TOKEN   # （選配）本機 CLI/GUI/Claude Code 相容用的真祕密 token
+# 非機密設定可放 [vars]（下方 [vars] table）：
+#   MCP_OWNER_NAMESPACE     access_token 綁定的資料分區，預設 "leo"
+#   MCP_TOKEN_TTL           access_token 存活秒數，預設 2592000（30 天）
+#   MCP_ALLOWED_REDIRECT_HOSTS  逗號分隔 redirect host 白名單，預設 claude.ai/claude.com/anthropic.com＋localhost
+#   ALLOW_PLAINTEXT_NAMESPACE  【不安全】="true" 恢復舊明碼 namespace 漏洞路徑，僅遷移期用，正式勿開
+
 # Route — MCP 搬進 arcrun 主庫後改用 arcrun.dev zone（與其他 worker 一致）。
 # 舊的 studio.finally.click 是 inkstone 平台 zone，arcrun 帳號沒有該 zone → 部署 route 失敗。
 # 對外正式 MCP URL = mcp.arcrun.dev；對內 / fork 仍可走 workers_dev=true 的 arcrun-mcp.<sub>.workers.dev。