fix(mcp): address PR #15 review — aud validation, OAUTH_KV auto-inject, TTL/​sunset docs, drift test

leo review 5 條逐條處理：

1. RFC 8707 aud 驗證（真缺口）：partner-auth OAuth 路徑補「at.aud === resourceUri(originOf(url))」，
   不符回 401 invalid_token（防別的 arcrun-mcp 部署簽的 token passthrough）。加 aud 不符→401 測試。

2. deploy.ts injectWranglerConfig 涵蓋 OAUTH_KV（在 PR 內補）：OAUTH_KV 納入 REQUIRED_KV_NAMESPACES →
   acr init/update 自動建 namespace + 注入用戶帳號真 id（比照 SUBMISSIONS_KV 家族）。wrangler.toml 註解
   更新（CLI 路徑自動、手動直推才需手建）。注入 regex 已驗證命中。

3. MCP_TOKEN_TTL 預設維持 30 天（leo 拍板不改）：OAUTH.md 明寫為有意取捨（無 refresh token → 到期重走
   OAuth＝再輸 owner secret），MCP_TOKEN_TTL 可調、7 天為更保守選項。per-owner 可調另開 issue #19（非阻塞）。

4. ALLOW_PLAINTEXT_NAMESPACE 逃生門標 SUNSET（code + wrangler.toml + OAUTH.md），開 issue #18 追蹤
   「遷移完成後移除整段 code path + Env 欄位」。

5. 防 drift 測試：spy KV 攔所有 put，斷言對 OAUTH_KV 的每一次 put 都帶 expirationTtl>0（完整流程 +
   store 層兩道），防未來往這顆短效 KV 塞長效資料。

驗證：mcp tsc exit 0、vitest 45/45（+aud +drift×2）；cli tsc exit 0。

Refs #15 #18 #19

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015d5jDbuqT5Htwv3Q88XXKk

mcp/src/middleware/partner-auth.ts

@@ -2,7 +2,7 @@ import { Context, Next } from "hono";
 import { Env } from "../types.js";
 import { getAccessToken } from "../oauth/store.js";
 import { constantTimeEqual } from "../oauth/crypto.js";
-import { originOf, wwwAuthenticateHeader } from "../oauth/metadata.js";
+import { originOf, resourceUri, wwwAuthenticateHeader } from "../oauth/metadata.js";
 
 /**
  * MCP / GUI 端點認證中介層。
@@ -41,6 +41,13 @@ export async function partnerAuthMiddleware(
   if (c.env.OAUTH_KV) {
     const at = await getAccessToken(c.env.OAUTH_KV, token);
     if (at) {
+      // RFC 8707 audience 驗證：token 只能用在它被簽發的目標 MCP server。
+      // token 的 aud 是簽發時綁定的 resource；須等於「本次請求 origin 算出的 canonical resource URI」，
+      // 否則拒絕（防別的 arcrun-mcp 部署簽的 token 拿來這裡用 = token passthrough）。
+      const expectedAud = resourceUri(origin);
+      if (at.aud !== expectedAud) {
+        return unauthorized("Access token audience mismatch", "invalid_token");
+      }
       c.set("org_namespace", at.namespace);
       c.set("partner_token", at.namespace); // 下游 cypher 用 namespace 當 X-Arcrun-API-Key（與 CLI 同一份身份）
       await next();
@@ -76,7 +83,9 @@ export async function partnerAuthMiddleware(
     return;
   }
 
-  // 4)【預設關，不安全】遷移逃生門：恢復舊明碼 namespace 行為。
+  // 4)【預設關，不安全，SUNSET】遷移逃生門：恢復舊明碼 namespace 行為。
+  //    ⚠️ 這是暫時相容路徑，遷移驗收完即刪整段（含 Env.ALLOW_PLAINTEXT_NAMESPACE 欄位）。
+  //    追蹤 issue：見 OAUTH.md §5 / wrangler.toml 註解。留著只為遷移期，別當長期選項。
   if (c.env.ALLOW_PLAINTEXT_NAMESPACE === "true") {
     c.set("org_namespace", token);
     c.set("partner_token", token);