D36 第0步：範例 workflow 金鑰統一走 credential（止血——範例是用戶照抄的樣板）

改前四種寫法並存、沒一個是 credential，而執行端只認 {{credential.X}}
（graph-executor.ts:247→resolveCredentialRefs）⇒ 用戶照抄必踩坑：
  {{api_key}} 13／{{gitea_token}} 2／{{secret.GITHUB_BOT_TOKEN}} 2／{{kbdb_api_key}} 1

改後（19 處統一）：
  {{credential.arcrun_namespace}} 15／{{credential.gitea_token}} 2／{{credential.github_bot_token}} 2

⚠️ 中途修正一次錯誤命名：我先改成 kbdb_partner_key（照零件契約舊敘述 ak_xxx），
leo 當場指正「現在沒有 partner key，改用 namespace，沒有發 API key 的機制」——
實際機制確為 X-Arcrun-API-Key: <namespace>（實例上活的 workflow 為證）。

不動：{{secret.LEO_TELEGRAM_CHAT_ID}} 3 處——chat_id 是聊天室 ID 不是金鑰，
無腦套規則會引進「找不到 credential」的錯誤。

驗：違規寫法歸零／12 個範例 YAML 全可解析。
殘：kbdb_upsert_block 契約仍寫『KBDB partner key（ak_xxx）』＝假資訊源（我就是被它騙的），
修它被 component-guard 擋（正確），需 leo 跑 scripts/component-arm.sh。

registry/examples/km-wiki-ingest/workflow.yaml

@@ -36,7 +36,7 @@ config:
     method: GET
     url: "https://git.uncle6.me/api/v1/repos/{{repo}}/contents/system-dev/wiki/cards?ref={{ref}}"
     headers:
-      Authorization: "token {{gitea_token}}"
+      Authorization: "token {{credential.gitea_token}}"
       Accept: "application/json"
     # 下游用 filter/set 取「游標之後第一張、且 .md、且非 00-INDEX」的一張。
 
@@ -46,7 +46,7 @@ config:
     method: GET
     url: "{{pick_next_card.next.download_url}}"
     headers:
-      Authorization: "token {{gitea_token}}"
+      Authorization: "token {{credential.gitea_token}}"
 
   # 4) ★ 機械解析 —— 通用 code 零件（sandbox inline JS，無 LLM、無 fs/網路，stdin→stdout JSON）。
   #    Arcrun#10 裁定：一次性解析邏輯走通用逃生口，不再鑄 domain 零件 km_wiki_card_parse。
@@ -414,7 +414,7 @@ config:
   #    metadata.embed=true → base embed 模組會補嵌 → 語意可搜。
   upsert_entry:
     component: kbdb_upsert_block
-    api_key: "{{kbdb_api_key}}"
+    api_key: "{{credential.arcrun_namespace}}"
     kbdb_url: "{{kbdb_url}}"
     page_name: "{{parse_card.data.entry.page_name}}"
     type: "{{parse_card.data.entry.entry_type}}"
@@ -438,7 +438,7 @@ config:
     url: "{{graph_url}}/triplets/ingest"
     headers:
       Content-Type: "application/json"
-      X-Arcrun-API-Key: "{{graph_api_key}}"
+      X-Arcrun-API-Key: "{{credential.arcrun_namespace}}"
     body_json: "{{envelope}}"      # envelope 已符合 ingest-candidate.json 契約（禁止欄位已排除）
 
 # ── 執行環境變數（部署時注入；此檔不放密鑰）──