feat: KBDB self-hosted 查詢 + embed 模組 + thin-shell 收窄 + search_workflow（code done 待端到端）

按 issue 分段標明（檔 #5/#8 改動交疊處無法乾淨拆檔，故併一個 commit）：

#4 thin-shell §3.1 自力救濟階梯 + code-node 規則（純文檔/規則，code-node 零件未實作）
#5 KBDB source filter（json_extract metadata_json 零建表）+ 能力對照；documents 聚合與
   DELETE proxy 部分擱置等頂層 T8
#7 base embed 模組（kbdb/src/embed.ts）+ vectorize 開關（deploy/config/wrangler.toml 註解範本）
   + 語義查詢降級閉環（mode=semantic 未開→LIKE+capability_hint）
#8 部分（workflow-discovery）：
   - KBDB /entries/search 加 base 通用 entry_type filter（entry-crud/embed/route/kbdb-proxy 透傳）
   - /webhooks/named 強制 description（空→400，訊息要求操盤 AI 據實寫一句）
   - 部署雙寫 entry_type=workflow embeddable entry（waitUntil 非阻塞，供 search）
   - cypher GET /workflows/search + MCP u6u_search_workflows（優先語意、降級 hint）
   - cypher POST /workflows/backfill-search-entries（無 desc 列出不編造）
   - GET /webhooks/named 補回 description/created_at 欄位（為 list 來源收斂備）

⚠️ tsc 綠 = code done，非完成（mindset §7 禁假綠）：
- #7/#8 端到端待 leo21c 部署驗（Vectorize 需官方憑證、CC 跑不了）
- #8 ①-a（MCP deploy 改打 /webhooks/named）未做、MCP deploy 那半仍 404
- #8 端到端（強制填擋空/語義命中/租戶隔離/降級 hint）未驗

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

cypher-executor/src/routes/kbdb-proxy.ts

@@ -121,17 +121,20 @@ kbdbProxyRouter.get('/kbdb/records/:recordId', async (c) => {
 
 // ── search（限本租戶範圍內）────────────────────────────────────────────────────
 
-// GET /kbdb/search?q= — entries LIKE 關鍵字搜尋，限本租戶 owner_id。
+// GET /kbdb/search?q=&entry_type=&source=&mode= — entries 搜尋，限本租戶 owner_id。
+// 透傳 entry_type（base 通用 filter，workflow-discovery Q4）/ source / mode 給 KBDB /entries/search。
 kbdbProxyRouter.get('/kbdb/search', async (c) => {
   const owner = tenant(c);
   if (!owner) return c.json(NEED_KEY, 401);
   const q = c.req.query('q');
   if (!q) return c.json({ error: 'q 必填' }, 400);
   const { base, headers } = kbdbBase(c.env);
-  const res = await fetch(
-    `${base}/entries/search?q=${encodeURIComponent(q)}&owner_id=${encodeURIComponent(owner)}`,
-    { headers },
-  );
+  const params = new URLSearchParams({ q, owner_id: owner });
+  for (const k of ['entry_type', 'source', 'mode']) {
+    const v = c.req.query(k);
+    if (v) params.set(k, v);
+  }
+  const res = await fetch(`${base}/entries/search?${params.toString()}`, { headers });
   return new Response(res.body, { status: res.status, headers: { 'Content-Type': 'application/json' } });
 });
 
@@ -165,7 +168,7 @@ kbdbProxyRouter.get('/kbdb/entries', async (c) => {
   const { base, headers } = kbdbBase(c.env);
   const params = new URLSearchParams();
   params.set('owner_id', owner); // 強制本租戶，不接受 caller 覆寫
-  for (const k of ['entry_type', 'parent_id', 'page_name', 'limit', 'offset']) {
+  for (const k of ['entry_type', 'parent_id', 'page_name', 'source', 'limit', 'offset']) {
     const v = c.req.query(k);
     if (v) params.set(k, v);
   }