fix(cypher): auth primitive 改走 service binding（解 self-hosted CF 1042）

壓測階段 11：self-hosted 帳號 cypher 用 fetch(workers.dev) 打同帳號
auth worker 被 CF 子請求限制回 1042，service account token 換不到 →
表單寫不進 Google Sheets。token/解密鏈本身正常（直打 auth worker 回真 ya29）。

架構演化（richblack 2026-06-06 拍板）：用戶產生的是 recipe（KV 資料，不 deploy），
primitive 是平台固定基礎設施、用戶不新增 → 解除「auth primitive 禁 service binding」
舊禁令。service binding 是 CF 內部 RPC，繞開同 zone 522 + 同帳號 workers.dev 1042。

- wrangler.toml：加 SVC_AUTH_STATIC_KEY/SERVICE_ACCOUNT/OAUTH2（已部署者；mtls 未部署留註解）
- auth-dispatcher.ts：binding 優先 svc.fetch()，無 binding fallback fetch(workers.dev)
- types.ts：4 個 optional SVC_AUTH_*
- deploy.ts 無需改：stripOfficialOnlyBindings 不碰 services，tier1 auth 先於 tier2 cypher
- 已驗證 self-hosted（leo21c）13 邏輯零件 binding 實綁成功，auth binding 走同路

規範同步：rule 02 / 03 / CLAUDE.md / pre-bash-guard 例外。SDD: Phase 7。tsc exit 0。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

cypher-executor/wrangler.toml

@@ -91,6 +91,24 @@ service = "arcrun-date-ops"
 binding = "SVC_VALIDATE_JSON"
 service = "arcrun-validate-json"
 
+# Auth primitive service bindings（credential-primitives-wasm Phase 7，2026-06-06）
+# 為何：auth-dispatcher 原用 fetch(workers.dev) 打同帳號 auth worker，self-hosted 帳號踩 CF 1042
+#       （壓測階段 11）。service binding 是 CF 內部 RPC，繞開同 zone 522 + 同帳號 1042。
+# 範圍：只綁「已部署」的 auth worker。auth_mtls 尚未部署（.component-builds 無、官方 404），
+#       綁不存在的 worker 會讓 deploy 報 "referenced Worker not found"（見上 ai_transform 教訓），
+#       故 mtls 待它部署後再加。auth-dispatcher 對無 binding 的 primitive 自動 fallback fetch。
+[[services]]
+binding = "SVC_AUTH_STATIC_KEY"
+service = "arcrun-auth-static-key"
+
+[[services]]
+binding = "SVC_AUTH_SERVICE_ACCOUNT"
+service = "arcrun-auth-service-account"
+
+[[services]]
+binding = "SVC_AUTH_OAUTH2"
+service = "arcrun-auth-oauth2"
+
 # ai_transform_compile / ai_transform_run 已於 Phase 2（2026-05-29）刪除
 # （Arcrun 是 AI 呼叫的工具，工作流不該內嵌 AI 節點）。對應 worker 已 wrangler delete，
 # service binding 一併移除（否則 deploy 報 referenced Worker not found）。