feat(auth): 認證與資料分離——搬動知識資料時登入不再跟著壞掉（D61 / arcrun-rag#55）

leo 2026-08-10 下令：「登入認證資料要分離⋯⋯就算只有我一個人存在單獨的 json 檔也好，它不能被改資料庫的連結導致無法登入。」「昨天不能登入 portal，今天不能登入 mcp，這根本就是一個問題。」病：portal 帳號住 KBDB（owner_id = {CONSOLE_TENANT}::portal），console 管理員帳密住 SESSIONS_KV。兩者都靠 binding 指過去，重裝/遷移一定會被重新指一次 ⇒ 保險箱的鑰匙放在保險箱裡。2026-08-09 leo 資料一個位元組都沒動，卻被鎖在門外。修：認證搬到 CF Workers per-script Secrets（掛在 script 上，與 bindings 兩套資源，重部不會洗掉；journeys/gemini-key-lost-on-reinstall.md 與 installer worker.js:1148 皆有實證）。 - 新增 lib/portal-auth-store.ts：自足的 JSON，讀取零網路呼叫，>4.6KB 自動溢位分片 - portal.ts 的帳號讀寫全部改走它；KBDB 只留為舊實例的回退讀路徑，登入成功順手搬過去 - console-auth.ts 的第二份認證資料同樣搬離 KV - 不牴觸 D38：KBDB 三張核心表不增不減，本案是把東西搬出去 - 沿用 credentials.ts 既有的 putWorkerSecret/deleteWorkerSecret，不另造第二套寫入路徑（D36）明顯失敗（把 #10「寧可明顯失敗，不要靜默錯置」套到門鎖上）： - 「這台實例讀不到任何登入資料」回 503 + code=auth_store_empty，且**不計入 5 次鎖定** （08-09 leo 就是被系統自己的誤判鎖了 15 分鐘） - /console/setup 遇既有帳號改說「你剛才輸入的密碼沒有被採用」，不再只說「已設定過」 - /health 與 /console/auth-status 吐 auth_store 狀態（住哪、寫不寫得進去） stage 實測撞到並修掉的坑：改 secret 會產生 worker 新版本，既有 isolate 讀到的還是舊 env ⇒ 「建好帳號立刻登入」有 15 秒以上 401，還被算進鎖定。加一層短 TTL 的 KV 加速器（非真相源，只在 secret 查不到/密碼對不上時問一次），換 KV 不影響不變量。驗收：stage（youlin）把知識資料庫換成另一顆空的 + 換租戶代號 + SESSIONS_KV 換成空的，三樣一起換之後 portal / MCP /authorize / console 三條登入路徑仍全綠（複跑 3 次）。對照組（舊版程式碼同樣換庫）：登入回「email 或密碼錯誤」，5 次後鎖 15 分鐘。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-10 14:13:37 +08:00
parent ae81d22775
commit c4cee35adb
10 changed files with 1149 additions and 142 deletions
@@ -0,0 +1,101 @@
+/**
+ * console-auth.ts —— D61 舊實例相容（帳密只在舊 SESSIONS_KV，尚未搬遷過）
+ *
+ * 拆成獨立檔案的理由：portal-auth-store.ts 的 per-isolate overlay 是模組級全域變數，
+ * 一旦某個測試讓 console 帳密的認證儲存寫入成功，overlay.console 就會在**同一支測試檔案**
+ * 剩下的測試裡持續存在（不同檔案＝不同 worker 執行個體，互不污染，已用小型探針驗證過）。
+ * tests/console-auth.test.ts 一開始就會走一次「首次設定成功」，之後整支檔案都是「已設定」
+ * 的世界；「認證儲存還是空的、帳密只活在舊 KV」這個起始狀態只有在全新檔案才測得出來。
+ */
+import { SELF, env, fetchMock } from 'cloudflare:test';
+import { beforeAll, afterEach, describe, it, expect } from 'vitest';
+
+const CF_API = 'https://api.cloudflare.com';
+const CREDS_KEY = 'console:credentials';
+
+beforeAll(() => {
+  fetchMock.activate();
+  fetchMock.disableNetConnect();
+});
+afterEach(() => fetchMock.assertNoPendingInterceptors());
+
+function json(method: string, path: string, body?: unknown) {
+  return SELF.fetch(`http://localhost${path}`, {
+    method,
+    headers: { 'Content-Type': 'application/json' },
+    body: body === undefined ? undefined : JSON.stringify(body),
+  });
+}
+
+function mockAuthStoreWrite(times = 1): { puts: () => Array<{ name: string; text: string }> } {
+  const captured: Array<{ name: string; text: string }> = [];
+  fetchMock
+    .get(CF_API)
+    .intercept({ path: (p: string) => p.includes('/secrets'), method: 'PUT' })
+    .reply(200, (opts) => {
+      const body = JSON.parse(String(opts.body)) as { name: string; text: string };
+      captured.push(body);
+      return { success: true };
+    })
+    .times(times);
+  return { puts: () => captured };
+}
+
+/** 複刻 console-auth.ts 內未 export 的私有迭代雜湊（sha256(salt+password) 迭代 3 次），
+ *  單純為了在測試端準備一筆能通過驗證的 legacy fixture，不是重新實作生產邏輯。 */
+async function legacyHash(password: string, salt: string): Promise<string> {
+  async function sha256Hex(input: string): Promise<string> {
+    const digest = await crypto.subtle.digest('SHA-256', new TextEncoder().encode(input));
+    return Array.from(new Uint8Array(digest)).map((b) => b.toString(16).padStart(2, '0')).join('');
+  }
+  let h = `${salt}:${password}`;
+  for (let i = 0; i < 3; i++) h = await sha256Hex(h);
+  return h;
+}
+
+const EMAIL = 'legacy-owner@example.com';
+const PASSWORD = 'legacy-owner-pw-1';
+const SALT = 'deadbeef00112233';
+
+describe('D61 舊實例相容：console 帳密只在舊 KV（尚未搬遷）', () => {
+  it('GET /console/auth-status：讀到舊 KV 這筆、順手搬進認證儲存', async () => {
+    const hash = await legacyHash(PASSWORD, SALT);
+    await env.SESSIONS_KV.put(
+      CREDS_KEY,
+      JSON.stringify({ email: EMAIL, salt: SALT, hash, created_at: '2026-01-01T00:00:00.000Z' }),
+    );
+    const { puts } = mockAuthStoreWrite();
+
+    const res = await json('GET', '/console/auth-status');
+    expect(res.status).toBe(200);
+    const data = (await res.json()) as {
+      configured: boolean;
+      credentials_source: string;
+      auth_store: { console_configured: boolean };
+    };
+    expect(data.configured).toBe(true);
+    expect(data.credentials_source).toBe('legacy-kv'); // 這次是靠回退讀到的
+    // loadCredentials 內的 best-effort 搬遷在回應組出來之前就已 await 完成，
+    // 故 authStoreStatus 已經反映搬遷後的狀態
+    expect(data.auth_store.console_configured).toBe(true);
+
+    const shards = puts();
+    expect(shards.length).toBe(1);
+    const shard = JSON.parse(shards[0].text) as { console: { email: string; hash: string } };
+    expect(shard.console.email).toBe(EMAIL);
+    expect(shard.console.hash).toBe(hash); // 原樣搬過去，不重新雜湊
+  });
+
+  it('搬遷後再打一次：新家已經有了，直接命中新家（不用再查舊 KV）', async () => {
+    const res = await json('GET', '/console/auth-status');
+    const data = (await res.json()) as { credentials_source: string };
+    expect(data.credentials_source).toBe('secrets');
+  });
+
+  it('用搬遷過去的帳密登入 → 200（搬遷沒有讓帳密變得登不進去）', async () => {
+    const res = await json('POST', '/console/login', { email: EMAIL, password: PASSWORD });
+    expect(res.status).toBe(200);
+    const data = (await res.json()) as { success: boolean };
+    expect(data.success).toBe(true);
+  });
+});
@@ -0,0 +1,201 @@
+/**
+ * console-auth.ts 測試（D61：console 管理員帳密搬進認證儲存，ADR D61 / Leo/arcrun-rag#55）
+ *
+ * 這組帳密（/console/setup、/console/login…）原本住 SESSIONS_KV `console:credentials`
+ * （沒有 TTL）——KV 靠 binding 指過去，重裝會被指到新建的空 KV ⇒ 帳密憑空消失
+ * （console-auth.ts 檔頭「KV＝暫存、非長期真相源」第三次被違反，這次違反的是大門的鎖）。
+ * D61 起改存進認證儲存（CF Workers Secrets），SESSIONS_KV 只留為回退讀路徑。
+ *
+ * 覆蓋（本檔在此之前不存在，D61 交辦要求的新增覆蓋）：
+ *   1. 全新實例：auth-status 回 configured:false；login 回「讀不到認證資料」（不是密碼錯）。
+ *   2. 首次設定成功：POST /console/setup 寫進認證儲存（CF Workers Secrets），不再寫 KV。
+ *   3. 已設定過 → 409，訊息明講「你剛才輸入的密碼沒有被採用」（D61 明顯失敗，取代舊版
+ *      只說「已設定過」卻不說清楚剛才那組密碼發生了什麼事的誤導文案）。
+ *   4. 登入對錯：帳密正確 200；密碼錯 401。
+ *   5. /console/setup/reset：舊密碼驗證＋新密碼寫進新家；換密碼後舊密碼立即失效。
+ *
+ * 認證儲存寫入會呼叫 `https://api.cloudflare.com/.../secrets`（PUT），走 fetchMock 假 host
+ * 攔截（同 portal-auth.test.ts 的 mockAuthStoreWrite），不外連；wrangler.test.toml 已預設
+ * CF_SECRETS_API_TOKEN/CF_ACCOUNT_ID 就緒。
+ *
+ * ⚠️ 測試順序不可打亂：portal-auth-store.ts 的 per-isolate overlay 是模組級全域變數，
+ * 一旦某則測試讓 /console/setup 或 reset 真的寫成功，overlay.console 就會在**這支檔案**
+ * 剩下的測試裡持續存在（同檔案不會在測試之間重置模組全域，只有 KV/D1 等 storage 才有
+ * isolatedStorage 重置）。因此本檔刻意排成一條線性故事：先驗證「全新、尚未設定」的分支，
+ * 再做一次成功的 /console/setup（之後永久變成「已設定」），後面的測試都建立在這個已設定
+ * 的基礎上。「帳密只存在舊 KV（尚未搬遷過）」這個分支需要 overlay 是空的，因此另開一支
+ * 檔案 tests/console-auth-legacy.test.ts（不同檔案＝不同 worker 執行個體，狀態不互相污染）。
+ */
+import { SELF, env, fetchMock } from 'cloudflare:test';
+import { beforeAll, afterEach, describe, it, expect } from 'vitest';
+
+const CF_API = 'https://api.cloudflare.com';
+
+beforeAll(() => {
+  fetchMock.activate();
+  fetchMock.disableNetConnect();
+});
+afterEach(() => fetchMock.assertNoPendingInterceptors());
+
+function json(method: string, path: string, body?: unknown, headers: Record<string, string> = {}) {
+  return SELF.fetch(`http://localhost${path}`, {
+    method,
+    headers: { 'Content-Type': 'application/json', ...headers },
+    body: body === undefined ? undefined : JSON.stringify(body),
+  });
+}
+
+/** D61：認證儲存寫入路徑（同 portal-auth.test.ts 的同名 helper，那邊有完整說明）。 */
+function mockAuthStoreWrite(times = 1): { puts: () => Array<{ name: string; text: string }> } {
+  const captured: Array<{ name: string; text: string }> = [];
+  fetchMock
+    .get(CF_API)
+    .intercept({ path: (p: string) => p.includes('/secrets'), method: 'PUT' })
+    .reply(200, (opts) => {
+      const body = JSON.parse(String(opts.body)) as { name: string; text: string };
+      captured.push(body);
+      return { success: true };
+    })
+    .times(times);
+  return { puts: () => captured };
+}
+
+const OWNER_EMAIL = 'owner@example.com';
+const OWNER_PW = 'owner-first-pw-1';
+
+// ═══════════════ 1. 全新實例（尚未設定過，必須排最前面）═══════════════
+
+describe('全新實例（尚未設定過任何管理員帳密）', () => {
+  it('GET /console/auth-status → configured:false，不洩漏 email', async () => {
+    const res = await json('GET', '/console/auth-status');
+    expect(res.status).toBe(200);
+    const data = (await res.json()) as { configured: boolean; credentials_source: string; auth_store: { present: boolean } };
+    expect(data.configured).toBe(false);
+    expect(data.credentials_source).toBe('none');
+    expect(JSON.stringify(data)).not.toContain('@'); // 不洩漏 email
+  });
+
+  it('POST /console/login → 400「讀不到認證資料」，不是密碼錯（D61 明顯失敗）', async () => {
+    const res = await json('POST', '/console/login', { email: 'anyone@example.com', password: 'whatever-pw-1' });
+    expect(res.status).toBe(400);
+    const data = (await res.json()) as { code: string; error: string };
+    expect(data.code).toBe('auth_store_empty');
+    expect(data.error).not.toBe('email 或密碼錯誤'); // 不是密碼錯誤路徑用的那句通用訊息
+  });
+
+  it('POST /console/setup/reset（還沒設定過就想換密碼）→ 400，叫去用 /console/setup', async () => {
+    const res = await json('POST', '/console/setup/reset', {
+      current_password: 'whatever', email: 'x@y.co', password: 'newpassword1',
+    });
+    expect(res.status).toBe(400);
+  });
+});
+
+// ═══════════════ 2. 首次設定：成功寫進認證儲存（D61 起唯一寫入路徑）═══════════════
+
+describe('POST /console/setup — 首次設定', () => {
+  it('成功：寫進認證儲存（不再寫 SESSIONS_KV），回 session_token', async () => {
+    const { puts } = mockAuthStoreWrite();
+    const res = await json('POST', '/console/setup', { email: OWNER_EMAIL.toUpperCase(), password: OWNER_PW });
+    expect(res.status).toBe(200);
+    const data = (await res.json()) as { success: boolean; session_token: string; tenant: string };
+    expect(data.success).toBe(true);
+    expect(typeof data.session_token).toBe('string');
+
+    // 寫入認證儲存：一片、含小寫 email，明碼密碼絕不落地
+    const shards = puts();
+    expect(shards.length).toBe(1);
+    expect(shards[0].name).toBe('ARCRUN_AUTH_STORE');
+    expect(shards[0].text).not.toContain(OWNER_PW);
+    const shard = JSON.parse(shards[0].text) as { console: { email: string; salt: string; hash: string } };
+    expect(shard.console.email).toBe(OWNER_EMAIL); // 存小寫
+    expect(typeof shard.console.salt).toBe('string');
+    expect(typeof shard.console.hash).toBe('string');
+
+    // D61：不再寫舊 KV——這是本次變更的核心（舊版寫 SESSIONS_KV，重裝就蒸發）
+    expect(await env.SESSIONS_KV.get('console:credentials')).toBeNull();
+  });
+});
+
+// ═══════════════ 3. 已設定過 → 409（D61 明顯失敗：說得出「沒有被採用」）═══════════════
+
+describe('POST /console/setup — 已設定過（重複設定）', () => {
+  it('409，訊息明講「你剛才輸入的密碼沒有被採用」，不誤導成「設定成功」', async () => {
+    const res = await json('POST', '/console/setup', { email: 'attacker@example.com', password: 'trying-to-hijack-1' });
+    expect(res.status).toBe(409);
+    const data = (await res.json()) as {
+      error: string; code: string; password_applied: boolean; reset_path: string;
+    };
+    expect(data.code).toBe('already_configured');
+    expect(data.password_applied).toBe(false);
+    expect(data.error).toContain('沒有被採用');
+    expect(data.reset_path).toBe('/console/setup/reset');
+    // 攻擊者填的帳密真的沒有生效：用它登入應該失敗（下一個 describe 也會正面驗證原帳密仍有效）
+  });
+
+  it('GET /console/auth-status → configured:true，credentials_source:secrets（新家優先命中）', async () => {
+    const res = await json('GET', '/console/auth-status');
+    const data = (await res.json()) as { configured: boolean; credentials_source: string; auth_store: { console_configured: boolean } };
+    expect(data.configured).toBe(true);
+    expect(data.credentials_source).toBe('secrets');
+    expect(data.auth_store.console_configured).toBe(true);
+  });
+});
+
+// ═══════════════ 4. 登入對錯（用第 2 節設定的帳密）═══════════════
+
+describe('POST /console/login', () => {
+  it('帳密正確 → 200，發 session token', async () => {
+    const res = await json('POST', '/console/login', { email: OWNER_EMAIL, password: OWNER_PW });
+    expect(res.status).toBe(200);
+    const data = (await res.json()) as { success: boolean; session_token: string };
+    expect(data.success).toBe(true);
+    expect(typeof data.session_token).toBe('string');
+  });
+
+  it('密碼錯 → 401', async () => {
+    const res = await json('POST', '/console/login', { email: OWNER_EMAIL, password: 'wrong-password-x' });
+    expect(res.status).toBe(401);
+  });
+
+  it('攻擊者在第 3 節試圖搶注的帳密登不進來（證明真的「沒有被採用」）', async () => {
+    const res = await json('POST', '/console/login', { email: 'attacker@example.com', password: 'trying-to-hijack-1' });
+    expect(res.status).toBe(401);
+  });
+});
+
+// ═══════════════ 5. /console/setup/reset：換密碼，寫進新家 ═══════════════
+
+describe('POST /console/setup/reset', () => {
+  const NEW_PW = 'brand-new-owner-pw-1';
+
+  it('舊密碼錯 → 401，不寫入', async () => {
+    const res = await json('POST', '/console/setup/reset', {
+      current_password: 'still-wrong', email: OWNER_EMAIL, password: NEW_PW,
+    });
+    expect(res.status).toBe(401);
+  });
+
+  it('舊密碼對 → 200，新 hash 寫進新家；換完後舊密碼立即失效、新密碼生效', async () => {
+    const { puts } = mockAuthStoreWrite();
+    const res = await json('POST', '/console/setup/reset', {
+      current_password: OWNER_PW, email: OWNER_EMAIL, password: NEW_PW,
+    });
+    expect(res.status).toBe(200);
+    const data = (await res.json()) as { success: boolean };
+    expect(data.success).toBe(true);
+
+    const shards = puts();
+    expect(shards.length).toBe(1);
+    expect(shards[0].text).not.toContain(NEW_PW); // 明碼不落地
+    const shard = JSON.parse(shards[0].text) as { console: { email: string } };
+    expect(shard.console.email).toBe(OWNER_EMAIL);
+
+    // 舊密碼立即失效
+    const oldLogin = await json('POST', '/console/login', { email: OWNER_EMAIL, password: OWNER_PW });
+    expect(oldLogin.status).toBe(401);
+    // 新密碼生效
+    const newLogin = await json('POST', '/console/login', { email: OWNER_EMAIL, password: NEW_PW });
+    expect(newLogin.status).toBe(200);
+  });
+});
@@ -4,9 +4,10 @@
 * 覆蓋（=tasks.md P4＋總管派工驗收重點）：
 *   1. **最後一個 active admin 鎖死保護**：停用 → 409；降級 role=user → 409；
 *      「還有另一個 active admin」才放行；另一個 admin 是 disabled 不算數。
- *   2. 一次性密碼：新增未帶密碼 → generated_password 只在回應出現一次、明碼不落 KBDB
- *      （庫裡只有 pbkdf2 hash）；自帶密碼 → 回應無 generated_password。
- *   3. reset-password：回一次性新密碼；PATCH 進 KBDB 的是 hash 非明碼。
+ *   2. 一次性密碼：新增未帶密碼 → generated_password 只在回應出現一次、明碼不落地
+ *      （新家只有 pbkdf2 hash，D61 起帳號建立走認證儲存不再落 KBDB）；自帶密碼 → 回應無 generated_password。
+ *   3. reset-password：回一次性新密碼；PATCH 落地的是 hash 非明碼（目標帳號沿用舊家 fixture，
+ *      仍走 KBDB PATCH——見下方 mockPatchPrelude 的說明）。
 *   4. 庫權限：PATCH libraries=["*"]（全庫）合法；空陣列/壞庫名 → 400。
 *   5. 庫目錄：POST 建庫寫 {tenant}::portal 子 namespace；PATCH graph_source boolean。
 *   6. /portal HTML 殼（P4 admin 頁）：admin view 存在；**仍零租戶字串、零 /kbdb/、
@@ -14,12 +15,21 @@
 *
 * KBDB 打 fetchMock 假 host（wrangler.test.toml KBDB_BASE_URL=https://kbdb.test）＋
 * disableNetConnect——絕不外連。UI 全流程由本機隔離雙 worker 端到端 curl 驗證（PR 證據表）。
+ *
+ * D61（ADR D61 / Leo/arcrun-rag#55）：本檔測試裡的帳號 fixture（rec_admin/rec_u1/rec_admin2…）
+ * 全部沿用「record_id 不是 auth: 開頭」這個既有慣例——這正是 portal.ts 的相容分流點
+ * （isAuthStoreId(recordId)），非 auth: 開頭的 id 一律走原本的 KBDB 路徑，行為與 D61 之前
+ * 完全一致，故本檔絕大多數測試不需要改。**只有「新建帳號」這個動作**（POST /portal/admin/users、
+ * POST /portal/admin/bootstrap 走同一支 createPortalUser）改成寫進認證儲存（CF Workers
+ * Secrets），需要額外攔截 `https://api.cloudflare.com/.../secrets`（PUT）——見 mockAuthStoreWrite。
 */
 import { SELF, env, fetchMock } from 'cloudflare:test';
 import { beforeAll, afterEach, describe, it, expect } from 'vitest';
 import { hashPassword, PBKDF2_ITERATIONS } from '../src/lib/portal-auth';
+import { AUTH_ID_PREFIX } from '../src/lib/portal-auth-store';

 const KBDB = 'https://kbdb.test';
+const CF_API = 'https://api.cloudflare.com';
 const NS = 'leo::portal'; // wrangler.test.toml CONSOLE_TENANT=leo → 子 namespace

 let storedHash: string;
@@ -39,6 +49,21 @@ function json(method: string, path: string, body?: unknown, headers: Record<stri
  });
 }

+/** D61：認證儲存寫入路徑（同 portal-auth.test.ts 的同名 helper，見那邊檔頭的完整說明）。 */
+function mockAuthStoreWrite(times = 1): { puts: () => Array<{ name: string; text: string }> } {
+  const captured: Array<{ name: string; text: string }> = [];
+  fetchMock
+    .get(CF_API)
+    .intercept({ path: (p: string) => p.includes('/secrets'), method: 'PUT' })
+    .reply(200, (opts) => {
+      const body = JSON.parse(String(opts.body)) as { name: string; text: string };
+      captured.push(body);
+      return { success: true };
+    })
+    .times(times);
+  return { puts: () => captured };
+}
+
 function mockHeadLookup(email: string, recordId: string | null) {
  const needle = new URLSearchParams({ page_name: email }).toString();
  fetchMock
@@ -177,23 +202,11 @@ describe('last-admin 鎖死保護（PATCH /portal/admin/users/:id）', () => {
 // ═══════════════ 2. 一次性密碼（新增帳號）═══════════════

 describe('POST /portal/admin/users（一次性密碼）', () => {
-  it('未帶 password → generated_password 回一次（16 碼）；KBDB 落的是 hash 非明碼', async () => {
+  it('未帶 password → generated_password 回一次（16 碼）；認證儲存落的是 hash 非明碼（D61）', async () => {
    await seedAdminSession();
    mockGetRecord('rec_admin', adminValues());
-    mockHeadLookup('new@example.com', null); // email 未占用
-    let recordBody = '';
-    fetchMock
-      .get(KBDB)
-      .intercept({ path: '/records', method: 'POST' })
-      .reply(200, (opts) => {
-        recordBody = String(opts.body);
-        return { success: true, record: { record_id: 'rec_new', template_id: 'tpl_pu', values: {} } };
-      });
-    fetchMock
-      .get(KBDB)
-      .intercept({ path: '/entries', method: 'POST' })
-      .reply(200, { success: true, entry: { id: 'e_head' } });
-    mockGetRecord('rec_new', userValues({ email: 'new@example.com' })); // 回應用的回讀
+    mockHeadLookup('new@example.com', null); // email 未占用（新家找不到 → 回退查舊家）
+    const { puts } = mockAuthStoreWrite();
    const res = await json(
      'POST',
      '/portal/admin/users',
@@ -205,26 +218,23 @@ describe('POST /portal/admin/users（一次性密碼）', () => {
    expect(typeof data.generated_password).toBe('string');
    expect(data.generated_password!.length).toBe(16);
    expect('password_hash' in data.user).toBe(false);
-    // 一次性密碼不落庫：KBDB 收到的 record body 只有 hash、無明碼
-    expect(recordBody).not.toContain(data.generated_password!);
-    const rec = JSON.parse(recordBody) as { owner_id: string; values: Record<string, string> };
-    expect(rec.owner_id).toBe(NS);
-    expect(rec.values.password_hash.startsWith(`pbkdf2-sha256$${PBKDF2_ITERATIONS}$`)).toBe(true);
+    expect((data.user as { record_id: string }).record_id.startsWith(AUTH_ID_PREFIX)).toBe(true); // 住新家
+
+    // 一次性密碼不落地：認證儲存收到的 shard 只有 hash、無明碼
+    const shards = puts();
+    expect(shards.length).toBe(1);
+    expect(shards[0].text).not.toContain(data.generated_password!);
+    const shard = JSON.parse(shards[0].text) as { users: Array<{ email: string; password_hash: string }> };
+    const stored = shard.users.find((u) => u.email === 'new@example.com');
+    expect(stored).toBeDefined();
+    expect(stored!.password_hash.startsWith(`pbkdf2-sha256$${PBKDF2_ITERATIONS}$`)).toBe(true);
  });

  it('自帶 password → 回應**無** generated_password', async () => {
    await seedAdminSession();
    mockGetRecord('rec_admin', adminValues());
    mockHeadLookup('own@example.com', null);
-    fetchMock
-      .get(KBDB)
-      .intercept({ path: '/records', method: 'POST' })
-      .reply(200, { success: true, record: { record_id: 'rec_own', template_id: 'tpl_pu', values: {} } });
-    fetchMock
-      .get(KBDB)
-      .intercept({ path: '/entries', method: 'POST' })
-      .reply(200, { success: true, entry: { id: 'e_head2' } });
-    mockGetRecord('rec_own', userValues({ email: 'own@example.com' }));
+    mockAuthStoreWrite();
    const res = await json(
      'POST',
      '/portal/admin/users',
@@ -4,7 +4,7 @@
 * 覆蓋（=tasks.md P2 測試項）：
 *   1. KDF：pbkdf2-sha256$100000$… 格式（CF Workers runtime 上限 100k，2026-07-14 真雲實撞）、
 *      驗證對錯、壞格式誠實 false、600k 舊 hash 相容（迭代數從儲存值解析）
- *   2. bootstrap 閘：無 console session → 401；建 admin 寫 {tenant}::portal 子 namespace；
+ *   2. bootstrap 閘：無 console session → 401；建 admin 寫進**認證儲存**（D61）；
 *      已有 admin → 409
 *   3. 登入對錯：成功發 token（回應**無租戶字串**）、密碼錯 401、停用 403、未知 email 401
 *   4. 節流：5 次失敗 → 429（KV TTL 計數）
@@ -12,16 +12,28 @@
 *   6. 改密碼：驗舊密；新 hash 以 100k 格式落 slot
 *   7. role 閘：非 admin 打 admin 端點 → 403；admin 列表**剝除 password_hash**
 *
+ * D61（ADR D61 / Leo/arcrun-rag#55）補的覆蓋（原本沒有，這次變更的重點）：
+ *   8. 整台實例沒有任何認證資料 → 登入回「讀不到認證資料」（不是密碼錯），且不計入鎖定
+ *   9. 舊實例相容：帳號只存在 KBDB（舊家）時仍登得進去，登入成功後自動搬進認證儲存
+ *
 * KBDB 打 fetchMock 假 host（wrangler.test.toml KBDB_BASE_URL=https://kbdb.test）＋
 * disableNetConnect——絕不外連。子 namespace 隔離的「搜 email 搜不到」由本機雙 worker
 * 端到端 curl 驗證（PR 驗收證據表），這裡驗「寫入時 owner_id=leo::portal」的機械事實。
+ *
+ * D61 起，帳號的家從 KBDB 換成認證儲存（CF Workers Secrets）——寫入會呼叫
+ * `https://api.cloudflare.com/.../secrets`（PUT），同樣走 fetchMock 假 host 攔截，不外連。
+ * wrangler.test.toml 已預設 CF_SECRETS_API_TOKEN/CF_ACCOUNT_ID 就緒（比照真實裝妥的實例）。
 */
 import { SELF, env, fetchMock } from 'cloudflare:test';
 import { beforeAll, beforeEach, afterEach, describe, it, expect } from 'vitest';
 import { hashPassword, verifyPassword, PBKDF2_ITERATIONS } from '../src/lib/portal-auth';
 import { PORTAL_TEMPLATE_SEEDS } from '../src/lib/portal-seeds';
+import { AUTH_ID_PREFIX } from '../src/lib/portal-auth-store';
+import { portalRouter } from '../src/routes/portal';
+import type { Bindings, ExecutionContext } from '../src/types';

 const KBDB = 'https://kbdb.test';
+const CF_API = 'https://api.cloudflare.com';
 const NS = 'leo::portal'; // wrangler.test.toml CONSOLE_TENANT=leo → 子 namespace
 const EMAIL = 'user@example.com';
 const PASSWORD = 'correct-horse-9';
@@ -44,6 +56,34 @@ function json(method: string, path: string, body?: unknown, headers: Record<stri
  });
 }

+/**
+ * D61：認證儲存的寫入路徑（單元測試層級——一次呼叫＝一片，測試資料量小不會觸發溢位分片）。
+ * 攔截 CF Workers Scripts secrets 管理 API 的 PUT，捕捉 body 供斷言（片名／內容）。
+ * 用法：每個會觸發寫入的測試呼叫一次，回傳的 `puts()` 拿到依序捕捉到的 {name, text}[]。
+ *
+ * ⚠️ 讀路徑沒有對應的「seed 進 env」捷徑可用：`cloudflare:test` 的 `env` 物件是傳給
+ * `vitest` 主 context 用的，對 `SELF.fetch()` 打的那個 worker isolate **不生效**（實測驗證，
+ * mutate `env.XXX` 後 SELF 端讀到的仍是 wrangler.test.toml 的原值）。因此「舊實例相容」
+ * 一類的讀路徑測試，一律靠**既有的 KBDB fetchMock**（新家預設空，天然等於「帳號只在舊家」）；
+ * 要驗證「新家已經有資料」則靠**真的呼叫一次寫入端點**（bootstrap/新增同仁），讓 portal-auth-store
+ * 模組內的 per-isolate overlay 落地——這個 overlay 在同一支測試檔案裡的後續測試\*也讀得到\*
+ * （模組級全域變數不隨 test 重置，只有 KV/D1 等 storage 才有 isolatedStorage 重置），
+ * 這是刻意善用而非意外：想要「乾淨無帳號」的情境，該測試必須排在檔案裡**第一個寫入動作之前**。
+ */
+function mockAuthStoreWrite(times = 1): { puts: () => Array<{ name: string; text: string }> } {
+  const captured: Array<{ name: string; text: string }> = [];
+  fetchMock
+    .get(CF_API)
+    .intercept({ path: (p: string) => p.includes('/secrets'), method: 'PUT' })
+    .reply(200, (opts) => {
+      const body = JSON.parse(String(opts.body)) as { name: string; text: string };
+      captured.push(body);
+      return { success: true };
+    })
+    .times(times);
+  return { puts: () => captured };
+}
+
 // ── KBDB mock helpers ──────────────────────────────────────────────────────

 /** head entry 查找（GET /entries?page_name=…&entry_type=portal_user&owner_id=ns&limit=1） */
@@ -134,6 +174,33 @@ describe('PBKDF2 模組（lib/portal-auth）', () => {
  });
 });

+// ═══════════════ 1.5 D61：整台實例沒有任何認證資料 ═══════════════
+//
+// 🔴 這個 describe 必須留在檔案裡「第一個會寫入認證儲存的測試」之前（下面 2. bootstrap
+// 的「console session OK」那則）——見 mockAuthStoreWrite 檔頭註解：portal-auth-store.ts
+// 的 per-isolate overlay 是模組級全域變數，同一支測試檔案跑起來不會在測試之間重置，
+// 一旦有測試寫入過，後面的測試都會看到那筆資料，「乾淨無帳號」的前提就不成立了。
+describe('D61：整台實例沒有任何認證資料（arcrun-rag#55，leo 2026-08-09 被誤鎖 15 分鐘的事故）', () => {
+  it('登入回「讀不到認證資料」而不是「密碼錯誤」，且不計入失敗鎖定', async () => {
+    // 新家（overlay/env bag）此刻還是空的（本測試特意排在任何寫入測試之前）；
+    // 舊家（KBDB）也回空——head lookup 查無此人＋by-template 列表也空，兩邊都沒有帳號，
+    // 才是「這台實例真的沒有認證資料」。
+    mockHeadLookup('anyone@example.com', null);
+    mockListByTemplate('portal_user', []);
+    const res = await json('POST', '/portal/login', { email: 'anyone@example.com', password: 'whatever-pw-1' });
+    expect(res.status).toBe(503);
+    const data = (await res.json()) as { error: string; code: string; auth_store: { present: boolean; users: number } };
+    expect(data.code).toBe('auth_store_empty');
+    // 分得出來的錯：這句要誠實講「不是密碼錯」，而且**不能**是密碼錯誤那句通用訊息
+    // （文案含混是 leo 被鎖 15 分鐘的根因——他的密碼從頭到尾是對的）。
+    expect(data.error).toContain('不是密碼錯');
+    expect(data.error).not.toBe('email 或密碼錯誤'); // 不是密碼錯誤路徑用的那句通用訊息
+    expect(data.auth_store.users).toBe(0);
+    // 不計入鎖定：lockfail 計數器完全沒被寫入
+    expect(await env.SESSIONS_KV.get('portal_lockfail:anyone@example.com')).toBeNull();
+  });
+});
+
 // ═══════════════ 2. bootstrap 閘 ═══════════════

 describe('POST /portal/admin/bootstrap', () => {
@@ -142,28 +209,12 @@ describe('POST /portal/admin/bootstrap', () => {
    expect(res.status).toBe(401);
  });

-  it('console session OK → 建第一個 admin：record + head entry 都寫 {tenant}::portal 子 namespace', async () => {
+  it('console session OK → 建第一個 admin：寫進認證儲存（D61，不再落 KBDB）', async () => {
    await env.SESSIONS_KV.put('console_sess:owner-token', JSON.stringify({ created_at: Date.now() }));
    mockTemplatesExist();
-    mockListByTemplate('portal_user', []); // 尚無 admin
-    mockHeadLookup('admin@example.com', null); // email 未占用
-
-    let recordBody = '';
-    fetchMock
-      .get(KBDB)
-      .intercept({ path: '/records', method: 'POST' })
-      .reply(200, (opts) => {
-        recordBody = String(opts.body);
-        return { success: true, record: { record_id: 'rec_admin', template_id: 'tpl_pu', values: {} } };
-      });
-    let headBody = '';
-    fetchMock
-      .get(KBDB)
-      .intercept({ path: '/entries', method: 'POST' })
-      .reply(200, (opts) => {
-        headBody = String(opts.body);
-        return { success: true, entry: { id: 'e_head' } };
-      });
+    mockListByTemplate('portal_user', []); // 尚無 admin（新家空，舊家也空）
+    mockHeadLookup('admin@example.com', null); // email 未占用（新家找不到 → 回退查舊家）
+    const { puts } = mockAuthStoreWrite();

    const res = await json(
      'POST',
@@ -174,23 +225,25 @@ describe('POST /portal/admin/bootstrap', () => {
    expect(res.status).toBe(200);
    const data = (await res.json()) as Record<string, unknown>;
    expect(data.success).toBe(true);
-    expect(data.record_id).toBe('rec_admin');
+    expect(typeof data.record_id).toBe('string');
+    expect((data.record_id as string).startsWith(AUTH_ID_PREFIX)).toBe(true); // 住新家（D61）
    expect(data.email).toBe('admin@example.com'); // 存小寫（design §2.1）

-    const rec = JSON.parse(recordBody) as { owner_id: string; values: Record<string, string>; template: string };
-    expect(rec.template).toBe('portal_user');
-    expect(rec.owner_id).toBe(NS); // ← D-2 子 namespace 機械斷言
-    expect(rec.values.role).toBe('admin');
-    expect(rec.values.status).toBe('active');
-    expect(rec.values.libraries).toBe('["*"]');
-    expect(rec.values.password_hash.startsWith(`pbkdf2-sha256$${PBKDF2_ITERATIONS}$`)).toBe(true);
-    expect(recordBody).not.toContain('bootstrap-pw-1'); // 明碼絕不落 KBDB
-
-    const head = JSON.parse(headBody) as Record<string, string>;
-    expect(head.owner_id).toBe(NS);
-    expect(head.entry_type).toBe('portal_user');
-    expect(head.page_name).toBe('admin@example.com');
-    expect(head.content).toBe('rec_admin');
+    // D61：一次寫入＝一片，落進認證儲存（Workers Secrets），不再有 KBDB record/head entry
+    const shards = puts();
+    expect(shards.length).toBe(1);
+    expect(shards[0].name).toBe('ARCRUN_AUTH_STORE');
+    const shard = JSON.parse(shards[0].text) as {
+      users: Array<{ email: string; role: string; status: string; libraries: string[]; password_hash: string }>;
+    };
+    expect(shard.users.length).toBe(1);
+    const stored = shard.users[0];
+    expect(stored.email).toBe('admin@example.com');
+    expect(stored.role).toBe('admin');
+    expect(stored.status).toBe('active');
+    expect(stored.libraries).toEqual(['*']);
+    expect(stored.password_hash.startsWith(`pbkdf2-sha256$${PBKDF2_ITERATIONS}$`)).toBe(true);
+    expect(shards[0].text).not.toContain('bootstrap-pw-1'); // 明碼絕不落地
  });

  it('已有 admin → 409 拒絕重複 bootstrap', async () => {
@@ -210,6 +263,12 @@ describe('POST /portal/admin/bootstrap', () => {
 // ═══════════════ 3. 登入對錯 ═══════════════

 describe('POST /portal/login', () => {
+  // 🔴 這一區塊全部共用 EMAIL/'rec_1' 這組舊家 fixture（原本就是），**故意不**在這裡驗證
+  // 「登入成功後搬進新家」——promoteLegacyUser 一旦真的寫成功，會把 EMAIL 留進 overlay，
+  // 而 overlay 是模組級全域、同檔案後面的測試都讀得到，會讓後面每一則「查 KBDB 的 EMAIL」
+  // 全部改成「命中新家」而跳過 KBDB mock，導致假性的 pending-interceptor 骨牌。
+  // 搬遷本身的驗證另開一組使用**專屬、不共用**email 的 describe（見檔案最後
+  // 「D61：舊實例登入自癒」），避免污染這裡的既有 fixture。
  it('成功：發 session token；回 display_name/role/libraries；**無任何租戶字串欄位**', async () => {
    mockHeadLookup(EMAIL, 'rec_1');
    mockGetRecord('rec_1', activeUserValues());
@@ -227,6 +286,11 @@ describe('POST /portal/login', () => {
    const sess = await env.SESSIONS_KV.get(`portal_sess:${data.session_token}`);
    expect(sess).toBeTruthy();
    expect((JSON.parse(sess!) as { record_id: string }).record_id).toBe('rec_1'); // 只存 record_id
+    // D61：promoteLegacyUser 的實際寫入嘗試沒有掛 CF API mock，disableNetConnect 之下
+    // 該次 fetch 會失敗，但函式本身 best-effort 吞掉（見 portal.ts promoteLegacyUser 的
+    // try/catch）——這正是要驗的事：搬不動不影響本次登入已經成功這件事實（上面兩個
+    // expect 已經成立）。afterEach 的 assertNoPendingInterceptors 只檢查「有登記但沒用到」
+    // 的 mock，一次沒登記過 mock 的失敗呼叫不算數，故這裡不需要（也不能）額外掛 CF API mock。
  });

  it('密碼錯 → 401 通用訊息＋lockfail 計數 +1', async () => {
@@ -464,3 +528,57 @@ describe('t130 — triplet template seed（PORTAL_TEMPLATE_SEEDS 補 triplet，e
    expect(data.portal_templates.existing).not.toContain('triplet');
  });
 });
+
+// ═══════════════ D61：舊實例登入自癒（搬進新家）═══════════════
+//
+// 🔴 放在檔案最後、用**專屬 email**（不與上面任何一則共用）：portal-auth-store.ts 的
+// per-isolate overlay 是模組級全域變數，寫入一旦成功就會留在同一支測試檔案的後續測試裡
+// （見 mockAuthStoreWrite 檔頭的長註解）。這裡就是要驗證那次「留下」，所以刻意隔離在最後，
+// 不會有更後面的測試共用這個 email 而被污染。
+describe('D61：舊實例登入自癒（帳號只在 KBDB，登入成功後 best-effort 搬進認證儲存）', () => {
+  const LEGACY_EMAIL = 'legacy-promote@example.com';
+
+  it('登入成功；promoteLegacyUser 把這筆帳號寫進認證儲存（一片、含正確 email/hash）', async () => {
+    mockHeadLookup(LEGACY_EMAIL, 'rec_legacy_1');
+    mockGetRecord('rec_legacy_1', activeUserValues({ email: LEGACY_EMAIL }));
+    const { puts } = mockAuthStoreWrite();
+
+    const res = await json('POST', '/portal/login', { email: LEGACY_EMAIL, password: PASSWORD });
+    expect(res.status).toBe(200);
+    const data = (await res.json()) as { success: boolean };
+    expect(data.success).toBe(true);
+
+    const shards = puts();
+    expect(shards.length).toBe(1);
+    expect(shards[0].name).toBe('ARCRUN_AUTH_STORE');
+    const shard = JSON.parse(shards[0].text) as { users: Array<{ email: string; password_hash: string }> };
+    const promoted = shard.users.find((u) => u.email === LEGACY_EMAIL);
+    expect(promoted).toBeDefined();
+    expect(promoted!.password_hash).toBe(storedHash); // 原樣搬過去，不重新雜湊
+  });
+
+  it('若新家寫入路徑未就緒（缺 CF_SECRETS_API_TOKEN），照樣登入成功——搬不動不擋門', async () => {
+    // 直接呼叫 router、帶一份缺寫入路徑的 env（health.test.ts 已有的直呼叫慣例），
+    // 證明 promoteLegacyUser 的失敗被 best-effort 吞掉，不影響登入本身。
+    const email = 'legacy-promote-writeless@example.com';
+    mockHeadLookup(email, 'rec_legacy_2');
+    mockGetRecord('rec_legacy_2', activeUserValues({ email }));
+    const fakeEnv = { ...env, CF_SECRETS_API_TOKEN: undefined, CF_ACCOUNT_ID: undefined } as unknown as Bindings;
+    const res = await portalRouter.fetch(
+      new Request('http://localhost/portal/login', {
+        method: 'POST',
+        headers: { 'Content-Type': 'application/json' },
+        body: JSON.stringify({ email, password: PASSWORD }),
+      }),
+      fakeEnv,
+      {} as ExecutionContext,
+    );
+    expect(res.status).toBe(200);
+    const data = (await res.json()) as { success: boolean };
+    expect(data.success).toBe(true);
+    // 沒掛 CF API mock：若程式碼真的嘗試網呼叫且被 disableNetConnect 擋下，錯誤仍會被
+    // best-effort 吞掉（不影響上面的 200 斷言）；若程式碼正確地在 authStoreWritable() 檢查
+    // 就提前短路，則根本不會嘗試呼叫——兩種情況這裡都驗不出差異，差異由 afterEach 的
+    // assertNoPendingInterceptors 間接把關（沒有殘留 mock 代表沒有意外多打的請求）。
+  });
+});