docs(sdd): credential-primitives-wasm 封存進 archive（T10 完成，卷已結案）

leo 2026-07-21 明令封存：卷已完成，留主目錄會讓未來 session 誤以為進行中。
最後一項 T10（廢除自管加密金鑰）已於 20c7610 完成（移除約 2500 行）。

- git mv 整卷 → system-dev/docs/3-specs/archive/credential-primitives-wasm/
  design.md status: closed；superseded_by 留空（據實：非被另一卷取代，是機制整個換掉）
- 卷首補「封存時仍未完成的項目」——逐條查 code 核實，不當作完成：
  真缺口＝auth_mtls 從未實作、7.6 self-hosted auth 鏈端到端從未驗；
  另有勾選過期（auth_oauth2 其實已完成）與驗收條件已作廢（與現行 rule 07 牴觸）者
- 修好 14 處引用（原盤點 10 處，實際更多）：session-start-load-sdd.sh 內容嚴重過期
  （把已完成 Phase 寫成進行中）→ 改為以 frontmatter 為判準；四份 rules、CLAUDE.md、
  BACKLOG、3-specs/README、deploy.ts、credentials.ts、wrangler.toml 逐一按性質處理
- 額外：system-dev/docs/2-architecture/ 有四個規則檔重複副本（06-08 遷移遺留）
  → 同步修好，否則留一份過期真相（今日第三次撞到「同一資訊兩份副本」的債）
- 02-forbidden.md §2.1 列的三個「待刪違規 TS」其實早已不存在
  → 改標刪除線＋禁止重新引入（過期文件同時製造假待辦與假進行中）

驗證：sdd-active-check exit 0（active 仍恰一份＝portal-auth）；
session-start-load-sdd.sh exit 0；cypher-executor 與 cli typecheck 全綠；
測試 187/188（唯一 fail 為 pre-existing，stash 覆驗相同）。

未動：pre-write-guard.sh 的 KNOWN_SDDS 白名單不含 archive 路徑
（放寬 guardrail 需明確授權，留待決定）。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

system-dev/docs/2-architecture/03-component-architecture.md

@@ -79,7 +79,7 @@ Service binding 需要 `wrangler.toml` 裡寫死 `[[services]]`，且要 redeplo
 
 **禁止新增任何 Service Binding**。所有新零件（含 auth primitive）都走 HTTP URL 路徑。
 
-**same-zone 1042 的解（credential-primitives-wasm Phase 7，2026-06-06）**：self-hosted 的 cypher 與 auth worker 同在 `{sub}.workers.dev` zone，cypher `fetch()` 打 auth 觸發 CF **1042**（官方 docs：「fetch from another Worker on the **same zone**」；官方 cypher 在 `cypher.arcrun.dev`、打 `*.workers.dev` 屬跨 zone 故不踩——非官方有 flag）。**解法不是 service binding**（評估後廢：靜態、加/改要重 deploy），而是 cypher wrangler.toml 加 **`global_fetch_strictly_public` flag**——讓 same-zone fetch 走公網前門 → 同 zone 也通。auth 維持 HTTP fetch、不加 binding。官方加此 flag 行為不變（本就跨 zone），self-host 被修好 → **官方與 self-host 共用同一份 toml**。
+**same-zone 1042 的解**（來源：credential-primitives-wasm Phase 7，2026-06-06；該卷已封存於 `system-dev/docs/3-specs/archive/`，**但本段規則仍現行有效**）：self-hosted 的 cypher 與 auth worker 同在 `{sub}.workers.dev` zone，cypher `fetch()` 打 auth 觸發 CF **1042**（官方 docs：「fetch from another Worker on the **same zone**」；官方 cypher 在 `cypher.arcrun.dev`、打 `*.workers.dev` 屬跨 zone 故不踩——非官方有 flag）。**解法不是 service binding**（評估後廢：靜態、加/改要重 deploy），而是 cypher wrangler.toml 加 **`global_fetch_strictly_public` flag**——讓 same-zone fetch 走公網前門 → 同 zone 也通。auth 維持 HTTP fetch、不加 binding。官方加此 flag 行為不變（本就跨 zone），self-host 被修好 → **官方與 self-host 共用同一份 toml**。
 
 **仍禁止**：為**用戶自製 / 服務專屬零件**（`gmail-worker`、`notion-worker` 之類）新增 binding——那些是 recipe 的事，不該有 binding。**workflow 層（用戶串零件）一律 HTTP URL 不變。**