feat(t122 🔴🔴): 萃取引擎雲端設定＋隨連線下發——封測者終於萃得出東西

真兇（總管查證）：daemon/config 寫死 extractor='claude' 且不下發金鑰 ⇒ 封測者 100% 萃取失敗
（leo：「地端沒有 AI 根本不能萃，那它就不能玩」）。
- POST/GET /portal/admin/extractor（admin 閘；GET 只回 has_key 不回明文）
- daemon/config 改讀設定：未設定→gemma 無金鑰；設定後→含 gemini_api_key
- portal 設定頁加「萃取引擎」區（Gemini 推薦＋aistudio 連結，存後提示「小幫手點連上知識庫重連即可」）
測試 3 條新綠（vitest 17 passed；1 紅＝console HTML 搬遷陳舊測試，非本案）。
（實作＝子 CC；驗證+commit＝總管）

system-dev/docs/3-specs/portal-auth/tasks.md

@@ -215,6 +215,33 @@
   kbdb 與 cypher 兩個 worker；workflow yaml 同批替換 `__KBDB_TOKEN__`（見規格）即封口。
   kbdb_upsert_block WASM 指向死路由 `/blocks`（設 token 前後都壞，不新增破壞）。
 
+- [x] **t116 圖搜尋靜默失敗——portal 補傳 kbdb_base（2026-07-29，任務層小改）**：
+  診斷：graph_neighbors workflow 的 fetch_triplets url 含 `{{input.kbdb_base}}/records/...`，
+  但 portal 呼叫 executeWebhookGraph 時未傳 kbdb_base → URL 解析失敗 → `HTTP request failed`。
+  修法（b 案 雙保險）：portal-data.ts 補傳 `kbdb_base: env.KBDB_BASE_URL ?? ''`；
+  yaml 端（`__KBDB_BASE__` 安裝期替換）由總管派 arcrun-rag，詳見本項末規格段。
+  執行範圍：`cypher-executor/src/routes/portal-data.ts`（補傳 kbdb_base）。
+
+- [x] **t117 三元組寫入靜默失敗——FOREACH 全失敗浮出水面（2026-07-29，任務層小改）**：
+  診斷：youlin 實例 triplet=0，懷疑 post_triplet http_request 401 被靜默吞掉；
+  FOREACH 收集到全 `success:false` 的 iterResults 後回 `{success:true, data:{results:[...]}}` —— 呼叫端不知失敗。
+  兩層修法：
+  ① wasi-shim.ts http_request catch：改寫錯誤 envelope（含 fetch 原始 message）到 WASM 輸出，
+    取代只 return 1（WASM 寫 "HTTP request failed"）；
+  ② graph-executor.ts FOREACH：若全部 iterResults 均 `success===false`，拋 Error（含首項 status code）
+    → catch 轉 ExecutionError → executeWebhookGraph 回 `{success:false, error:"..."}`。
+  執行範圍：`cypher-executor/src/lib/wasi-shim.ts`、`cypher-executor/src/graph-executor.ts`。
+  測試：vitest 新增兩條（FOREACH 全失敗→error 含 status；wasi-shim catch 路徑）。
+
+- [x] **t122 萃取引擎金鑰雲端下發（2026-07-29）**：
+  來源＝總管確認：daemon/config 回傳 extractor:'claude' 寫死且不含金鑰，封測者萃取全滅。
+  修：① `POST /portal/admin/extractor`（admin 閘）存 `{engine, gemini_api_key?, llm_model?}` 到 KV
+      key=`{tenant}:portal:extractor_config`，金鑰不落 log；
+      ② `GET /portal/admin/extractor`（回 engine + has_key:bool，不回明文）；
+      ③ `POST /portal/daemon/config` 回傳改讀上述設定（未設→預設 gemma；gemma+有 key → 含金鑰下發）；
+      ④ `console-ui/public/portal/index.html` 設定頁新增「萃取引擎」區塊（引擎選擇＋金鑰輸入＋提示重連）。
+  測試：vitest 新增 3 案（未設定→下發 gemma 無金鑰；設定後→下發含金鑰；GET 不回明文）。
+
 ## 第二波（不在本 SDD 動工範圍，掛號）
 
 - MCP token 綁庫集合（design §9；PR#15 擴充，只動 `mcp/`）