feat(t54): 小幫手憑帳密自取設定——新端點 POST /portal/daemon/config（帳密驗證同 login，回連線設定不含知識內容）；portal 清單移除 config.json 下載（3 步→2 步）。leo 07-25：「最好的就是把它的帳密直接輸入」

cypher-executor/src/routes/portal.ts

@@ -699,6 +699,46 @@ function toPublicLibrary(rec: PortalRecord) {
   };
 }
 
+// POST /portal/daemon/config — body {email, password}。同步小幫手憑「用戶剛設的帳密」
+// 直接換到自己的設定（t54，leo 07-25：「最好的就是把它的帳密直接輸入」）——
+// 用戶不必再下載 config.json 丟隱藏資料夾，托盤第一次開啟輸入網址＋帳密就上工。
+// 認證＝與 /portal/login 同一把（同樣吃節流與停用檢查）；回傳只含連線設定，不含任何知識內容。
+portalRouter.post('/portal/daemon/config', (c) =>
+  run(c, async () => {
+    const body = (await c.req.json().catch(() => null)) as { email?: string; password?: string } | null;
+    const email = String(body?.email ?? '').trim().toLowerCase();
+    const password = String(body?.password ?? '');
+    if (!email || !password) return c.json({ error: 'email 與 password 必填' }, 400);
+    if (await isLocked(c.env, email)) {
+      return c.json({ error: '登入失敗次數過多，已暫時鎖定，請 15 分鐘後再試' }, 429);
+    }
+    const recordId = await findUserRecordId(c.env, email);
+    const rec = recordId ? await getRecordById(c.env, recordId) : null;
+    if (!rec) {
+      await recordLoginFail(c.env, email);
+      return c.json({ error: 'email 或密碼錯誤' }, 401);
+    }
+    if ((rec.values.status ?? '') !== 'active') return c.json({ error: '帳號已停用' }, 403);
+    if (!(await verifyPassword(password, rec.values.password_hash ?? ''))) {
+      await recordLoginFail(c.env, email);
+      return c.json({ error: 'email 或密碼錯誤' }, 401);
+    }
+    await clearLoginFail(c.env, email);
+    const tenant = portalTenant(c.env);
+    return c.json({
+      success: true,
+      config: {
+        cypher_url: new URL(c.req.url).origin,
+        namespace: tenant,
+        library: 'kb',
+        extractor: 'claude',
+        email,
+        instance_name: String(rec.values.display_name ?? ''),
+      },
+    });
+  }),
+);
+
 // POST /portal/admin/chat-key — body {key}。站內啟用 AI 問答（t53，leo 07-25：
 // 「他進到網站要去給 gemini API Key」——不再回安裝器）。手法＝G10 直嵌同款：
 // 改寫 tenant 的 rag_chat workflow 記錄，把 x-goog-api-key 換成實值（KV 覆寫＝重推）。