feat(kbdb,mcp): KBDB 資料層薄殼 + self-hosted MCP 認證 + cypher KBDB proxy

三件一條鏈（HANDOFF §2/§3b，kbdb-base Phase 9）：

A. KBDB MCP 薄殼（9.1）：mcp/src/tools/kbdb_data.ts 6 工具
   template/record/query/search，調基本盤 API。鐵律：不給建表/SQL，只 template+slot。

B. MCP self-hosted 認證 401（mcp-account-source §5.5）：
   - partner-auth.ts：MULTI_TENANT=false 時 Bearer 明碼直接當 org_namespace，
     繞 KBDB partner 驗證（對齊 cypher 的 opaque-key 模型）。官方 SaaS 行為不變、共用同碼。
   - mcp-setup.ts：把 namespace/api_key 寫進 .mcp.json headers.Authorization。
   - 新增 self-hosted vs SaaS 分支單測（9 tests 綠）。

C. cypher KBDB proxy（9.5）+ CLI 薄殼（9.2）：
   - routes/kbdb-proxy.ts 純轉發 /kbdb/* → KBDB 基本盤（KBDB_BASE_URL HTTP fetch，
     不新增 service binding）。讓 CLI（只認證到 cypher）能達獨立 KBDB worker。
   - 租戶隔離：X-Arcrun-API-Key 自動當 owner_id 注入 records/entries（強制覆寫防跨租戶）；
     templates 全域共享（虛擬表定義是 schema 非資料）。
   - cli/src/commands/kbdb.ts：acr kbdb template/record/query/search，與 MCP kbdb_* 同能力。
   - kbdb base：entries 加 page_name 過濾（9.3）。

cypher + cli + mcp tsc exit 0。未驗收：端到端需 deploy + KBDB_BASE_URL 可達後實測。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

cli/src/index.ts

@@ -24,6 +24,14 @@ import { cmdLogs } from './commands/logs.js';
 import { cmdUpdate } from './commands/update.js';
 import { cmdInstallHarness } from './commands/install-harness.js';
 import { cmdMcpSetup } from './commands/mcp-setup.js';
+import {
+  cmdKbdbTemplateCreate,
+  cmdKbdbTemplateList,
+  cmdKbdbRecordCreate,
+  cmdKbdbRecordGet,
+  cmdKbdbQuery,
+  cmdKbdbSearch,
+} from './commands/kbdb.js';
 import { cmdAuthRecipeList, cmdAuthRecipeInfo, cmdAuthRecipeScaffold } from './commands/auth-recipe.js';
 
 const program = new Command();
@@ -160,6 +168,37 @@ authRecipeCmd
   .description('輸出 credentials.yaml 範本 + workflow.yaml 使用範例')
   .action((service: string) => cmdAuthRecipeScaffold(service));
 
+// acr kbdb — KBDB 資料層薄殼（kbdb-base 9.2，透過 cypher KBDB proxy；與 MCP kbdb_* 同能力）
+const kbdbCmd = program.command('kbdb').description('KBDB 資料層（template/record/query/search；不建表、不寫 SQL）');
+const kbdbTemplateCmd = kbdbCmd.command('template').description('template = 虛擬表定義（name + slots）');
+kbdbTemplateCmd
+  .command('create <name>')
+  .description('建一個 template（虛擬表定義），如 --slots name,email,phone')
+  .requiredOption('--slots <list>', '欄位名清單，逗號分隔，如 name,email,phone')
+  .action((name: string, opts: { slots: string }) => cmdKbdbTemplateCreate(name, opts));
+kbdbTemplateCmd
+  .command('list')
+  .description('列出所有 template')
+  .action(() => cmdKbdbTemplateList());
+const kbdbRecordCmd = kbdbCmd.command('record').description('record = 依 template 填的一筆資料');
+kbdbRecordCmd
+  .command('create <template>')
+  .description('填一筆 record，如 --values name=Leo --values email=x@y.com（可重複）')
+  .option('--values <pair...>', 'slot=內容（可重複）')
+  .action((template: string, opts: { values?: string[] }) => cmdKbdbRecordCreate(template, opts));
+kbdbRecordCmd
+  .command('get <record_id>')
+  .description('取單筆 record 全文')
+  .action((recordId: string) => cmdKbdbRecordGet(recordId));
+kbdbCmd
+  .command('query <template>')
+  .description('列某 template 下本租戶的所有 record')
+  .action((template: string) => cmdKbdbQuery(template));
+kbdbCmd
+  .command('search <q>')
+  .description('關鍵字搜尋本租戶內容（LIKE，基本盤）')
+  .action((q: string) => cmdKbdbSearch(q));
+
 // acr list
 program
   .command('list')