arcrun — AI workflow execution engine (clean history)

Self-hosted 開源：WASM 零件 + recipe + cypher-executor，跑在你自己的 Cloudflare。

此為重建的乾淨歷史起點（移除曾誤 commit 的 GCP SA 金鑰，舊歷史保留在
richblack/arcrun 與本地 backup 分支）。含：
- acr init --self-hosted installer（建 KV/R2 + codeload 拉預編譯 wasm + wrangler deploy + seed recipe）
- recipe push 把關（資料外流提醒 + 打通檢查）
- 19 個正當零件預編譯 wasm（claude_api/km_writer/kbdb_upsert_block 排除：違反 DECISIONS §1）
- CLI / cypher-executor / registry / 完整 SDD

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

cli/src/lib/config.ts

@@ -0,0 +1,56 @@
+/**
+ * CLI 設定檔管理（~/.arcrun/config.yaml）
+ */
+import { readFileSync, writeFileSync, mkdirSync, existsSync } from 'node:fs';
+import { homedir } from 'node:os';
+import { join } from 'node:path';
+import yaml from 'js-yaml';
+
+export interface ArcrunConfig {
+  mode: 'local' | 'standard' | 'self-hosted';
+  // Standard 模式
+  api_key?: string;           // arcrun.dev API Key（ak_前綴）
+  encryption_key?: string;    // AES-GCM key，與 cypher-executor ENCRYPTION_KEY secret 一致
+  // Self-hosted 模式
+  cloudflare_account_id?: string;
+  user_kv_namespace_id?: string;
+  cf_api_token?: string;
+  cypher_executor_url?: string;
+  credentials_kv_namespace_id?: string;
+  webhooks_kv_namespace_id?: string;
+  wasm_bucket?: string;
+  // 共用
+  multi_tenant?: boolean;
+  // 資料外流警示：本機記住「已同意暴露 / 選擇不再警示」的資源，避免每次 push 重問（§3 首次問記住）。
+  // key 格式：`{kind}:{resourceName}`（如 "webhook:contacts_lookup" / "recipe:kbdb_get"）。
+  // 注意：這只是 CLI 端 UX（不重問）；server 端獨立存法律憑證並強制（防 CLI 被繞過）。
+  exposure_consented?: Record<string, { confirmed_at: string; suppress_future?: boolean }>;
+}
+
+const CONFIG_DIR = join(homedir(), '.arcrun');
+const CONFIG_PATH = join(CONFIG_DIR, 'config.yaml');
+
+export function configExists(): boolean {
+  return existsSync(CONFIG_PATH);
+}
+
+export function loadConfig(): ArcrunConfig {
+  if (!existsSync(CONFIG_PATH)) {
+    // 未初始化時回傳 local 模式預設值，讓 validate --offline 等指令能在無設定下運作
+    return { mode: 'local' };
+  }
+  const raw = readFileSync(CONFIG_PATH, 'utf8');
+  return yaml.load(raw) as ArcrunConfig;
+}
+
+export function saveConfig(config: ArcrunConfig): void {
+  mkdirSync(CONFIG_DIR, { recursive: true });
+  writeFileSync(CONFIG_PATH, yaml.dump(config), 'utf8');
+}
+
+export function getCypherExecutorUrl(config: ArcrunConfig): string {
+  if (config.mode === 'self-hosted' && config.cypher_executor_url) {
+    return config.cypher_executor_url;
+  }
+  return 'https://cypher.arcrun.dev';
+}