feat: KBDB self-hosted 查詢 + embed 模組 + thin-shell 收窄 + search_workflow（code done 待端到端）

按 issue 分段標明（檔 #5/#8 改動交疊處無法乾淨拆檔，故併一個 commit）：

#4 thin-shell §3.1 自力救濟階梯 + code-node 規則（純文檔/規則，code-node 零件未實作）
#5 KBDB source filter（json_extract metadata_json 零建表）+ 能力對照；documents 聚合與
   DELETE proxy 部分擱置等頂層 T8
#7 base embed 模組（kbdb/src/embed.ts）+ vectorize 開關（deploy/config/wrangler.toml 註解範本）
   + 語義查詢降級閉環（mode=semantic 未開→LIKE+capability_hint）
#8 部分（workflow-discovery）：
   - KBDB /entries/search 加 base 通用 entry_type filter（entry-crud/embed/route/kbdb-proxy 透傳）
   - /webhooks/named 強制 description（空→400，訊息要求操盤 AI 據實寫一句）
   - 部署雙寫 entry_type=workflow embeddable entry（waitUntil 非阻塞，供 search）
   - cypher GET /workflows/search + MCP u6u_search_workflows（優先語意、降級 hint）
   - cypher POST /workflows/backfill-search-entries（無 desc 列出不編造）
   - GET /webhooks/named 補回 description/created_at 欄位（為 list 來源收斂備）

⚠️ tsc 綠 = code done，非完成（mindset §7 禁假綠）：
- #7/#8 端到端待 leo21c 部署驗（Vectorize 需官方憑證、CC 跑不了）
- #8 ①-a（MCP deploy 改打 /webhooks/named）未做、MCP deploy 那半仍 404
- #8 端到端（強制填擋空/語義命中/租戶隔離/降級 hint）未驗

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

mcp/src/tools/registry.ts

@@ -6,6 +6,7 @@ import { registerDeployWorkflow } from "./u6u_deploy_workflow.js";
 import { registerPublishComponent } from "./u6u_publish_component.js";
 import { registerListWorkflows } from "./u6u_list_workflows.js";
 import { registerGetWorkflow } from "./u6u_get_workflow.js";
+import { registerSearchWorkflows } from "./u6u_search_workflows.js";
 import { registerListComponents } from "./u6u_list_components.js";
 import { registerGetComponent } from "./u6u_get_component.js";
 import { registerGetComponentGuide } from "./u6u_get_component_guide.js";
@@ -30,6 +31,7 @@ export function registerAllTools(server: McpServer, env: Env, orgNamespace: stri
   registerPublishComponent(server, env, orgNamespace);
   registerListWorkflows(server, env, orgNamespace);
   registerGetWorkflow(server, env, orgNamespace);
+  registerSearchWorkflows(server, env, orgNamespace, partnerToken);  // workflow-discovery R2
   registerListComponents(server, env, orgNamespace);
   registerGetComponent(server, env, orgNamespace);
   registerGetComponentGuide(server, env, orgNamespace);