portal-auth P2（#24 #25）：portal_user 模型＋認證 API（不 merge，待總管審）

- lib/portal-auth.ts：PBKDF2-SHA256 600k（WebCrypto deriveBits）、pbkdf2-sha256$… 格式、
  常數時間比對（UI session 登入，console-auth 同類先例，非 workflow credential 原語）
- lib/portal-seeds.ts + init-seed：portal_user / portal_library template 冪等種入（零新表）
- routes/portal.ts：login/logout/session/me-password/bootstrap（console owner 閘）/
  admin users CRUD + reset-password / 庫目錄 CRUD；帳號資料全寫 {tenant}::portal 子 namespace
  （D-2）＋ email head entry O(1) 查找（§2.3）；session KV 只存 record_id、每請求回讀 record
  → 停用即時生效；絕不回租戶字串；登入節流 5 次/15 分（KV TTL）
- [vars] PORTAL_SESSION_TTL（預設 604800）+ types.ts
- 順修 kbdb record-crud updateRecord grow-slot 漏 owner_id（design §2.2）＋回歸測試

驗證：kbdb 20/20、cypher 133/134（1 失敗 stash 複驗＝pre-existing）、雙包 tsc 0；
本機雙 worker 端到端 33/33（含搜尋隔離實測：租戶 ns 搜 email/雜湊 0 筆、對照組
leo::portal 搜得到；明碼落地抽查 0 筆）。console-auth 既有行為未動；demo 8787/8788 未碰。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

cypher-executor/wrangler.toml

@@ -138,6 +138,10 @@ KBDB_BASE_URL = "https://arcrun-kbdb.uncle6-me.workers.dev"
 # （登入系統只擋外人看頁面，不做多租戶）。Self-hosted fork：改成你自己資料實際所在的租戶字串。
 CONSOLE_TENANT = "leo"
 
+# Portal session TTL 秒數（portal-auth P2，#24/#25，routes/portal.ts）。預設 7 天（604800）——
+# issue 要求比 console 30 天短效。停用帳號的即時性不靠這個 TTL（每請求回讀 user record）。
+PORTAL_SESSION_TTL = "604800"
+
 # 駕駛艙「等你的事」活資料源（fix/console-dashboard-live-data，2026-07-07）：
 # InkStoneCo sprint 檔「## 等 leo 清單」（progress-guard 每日維護）——KBDB dash_wait 沒有
 # 活的維護管線（07-04 之後沒人寫、銷案不同步），不再當首選資料源。