bugfix（#24 #25）：PBKDF2 600k→100k（CF runtime 上限，真雲 bootstrap 500）＋http_request 補 1042 flag

- portal-auth.ts PBKDF2_ITERATIONS 600_000→100_000：CF Workers 正式 runtime 的
  PBKDF2 上限 100k，crypto.subtle.deriveBits 超過直接拒絕 → /portal/admin/bootstrap
  真雲 500（2026-07-14 uncle6 T6-cloud 實撞，證據 arcrun-rag docs/manual/
  uncle6-deploy-record.md）；miniflare 無此限制＝本機全綠假象。儲存格式自帶迭代數，
  平台放寬可無痛升。
- 補測試「驗 600k 舊 hash 仍通」（verify 從儲存值解析 iterations；誠實邊界：真雲
  deriveBits 同樣封頂，但真雲 bootstrap 從未成功→零存量 hash 無遷移面）。
- .component-builds/http_request/wrangler.toml 補 global_fetch_strictly_public
  （self-hosted 同帳號 fetch 1042 正解，Arcrun#33 同族；官方跨 zone 行為不變，
  原理同 cypher 前例 rules/03 1042 段）。
- SDD：design D-5 修訂註＋tasks Bugfix 記錄；wiki status 更新。
- 驗證：cypher tsc 0；169/170（唯一失敗 pre-existing）；portal 三套 56/56；
  http_request wrangler --dry-run 過。不 merge 待總管審。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

.component-builds/http_request/wrangler.toml

@@ -1,7 +1,11 @@
 name = "arcrun-http-request"
 main = "src/index.ts"
 compatibility_date = "2025-02-19"
-compatibility_flags = ["nodejs_compat"]
+# global_fetch_strictly_public：self-hosted 同帳號部署時，http_request 零件外呼同 workers.dev
+# zone 的目標會撞 CF same-zone 1042——此 flag 讓 fetch 走公網前門（Arcrun#33 同族；
+# 正解同 cypher 前例，見 .claude/rules/03 的 1042 段）。官方部署本就跨 zone（arcrun.dev route），
+# 加此 flag 行為不變 → 官方/self-hosted 共用同一份 toml。
+compatibility_flags = ["nodejs_compat", "global_fetch_strictly_public"]
 workers_dev = true
 
 [vars]