feat(self-hosted): acr init --self-hosted installer + recipe push 把關 + commit 部署 wasm

讓任何 CC 用自己的 CF 帳號一鍵 self-host arcrun（戰法轉 self-hosted 開源）。

Task 1 — acr init --self-hosted installer（用戶只給 CF Account ID + token，其餘自動）：
- cli/src/lib/cf-api.ts: CfAccountClient（驗 token / 建 KV 冪等 / 建 R2 / 查 workers.dev subdomain）
- cli/src/lib/deploy.ts: 從 GitHub codeload tarball 拉部署物 → 注入用戶 KV id → wrangler deploy
  （tier1 component-builds 先、tier2 cypher-executor/registry 後；部分失敗誠實回報不假綠）
- cli/src/lib/api-recipe-seeds.ts: 10 個現役 API recipe 種子（KBDB 採 Supabase 模式）
- cli/src/commands/init.ts: initSelfHosted() 改寫成 installer 流程
- cli/src/commands/update.ts: acr update（拉新 ref 重部署）
- cypher-executor/scripts/seed-api-recipes.ts: prod 補灌腳本

Task 2 — recipe 入庫把關（封鎖自製零件後，CC 唯一能擴充的是 recipe）：
- cli/src/commands/recipe.ts: 新增 probeRecipeEndpoint 打通檢查（提醒級不硬擋，
  含模板誠實說明待 run 才知，401/403 標多半缺 credential 非 bug）
- 資料外流提醒沿用既有 obtainExposureConsent（非 TTY 拒絕）

部署物產製：commit 預編譯 wasm 進 repo（推翻 rule 05「wasm 不 commit」）：
- .gitignore: 放行 .component-builds/**/component.wasm（registry 中間產物仍排除）
- 只 commit 19 個正當零件 wasm；claude_api / km_writer / kbdb_upsert_block 排除
  （非薄殼、是把工作流硬塞進零件，違反 DECISIONS §1，待降級）
- rule 05 同步記錄此慣例變更 + 膨脹 trade-off

SDD: sdk-and-website/self-hosted-init.md（installer 定案）、
     component-gatekeeping/recipe-push-gatekeeping.md（recipe 把關）
README 重寫成單一 self-hosted 路徑。CLI typecheck exit 0。

未完（待 richblack）：push 此 commit 到 GitHub 後 codeload 才拿得到 wasm；
用第二 CF 帳號端對端驗收 acr init --self-hosted。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

cli/src/lib/cf-api.ts

@@ -75,6 +75,91 @@ export class CfKvClient {
   }
 }
 
+/**
+ * Cloudflare Account-level API wrapper（self-hosted installer 用）。
+ *
+ * 負責 acr init --self-hosted 的資源建立：驗 token、建/列 KV namespace、建 R2 bucket、查 workers.dev subdomain。
+ * 與 CfKvClient（綁單一 namespace 的 KV 操作）職責不同——這個是帳號層級的資源管理。
+ * 對應 SDD：.agents/specs/arcrun/sdk-and-website/self-hosted-init.md §3 step 1-2
+ */
+export class CfAccountClient {
+  private accountBase: string;
+  private headers: Record<string, string>;
+
+  constructor(accountId: string, apiToken: string) {
+    this.accountBase = `${CF_API_BASE}/accounts/${accountId}`;
+    this.headers = {
+      'Authorization': `Bearer ${apiToken}`,
+      'Content-Type': 'application/json',
+    };
+  }
+
+  private async cf<T>(path: string, init?: RequestInit): Promise<T> {
+    const res = await fetch(`${this.accountBase}${path}`, {
+      ...init,
+      headers: { ...this.headers, ...(init?.headers ?? {}) },
+    });
+    const data = await res.json().catch(() => null) as
+      | { success: boolean; result: T; errors?: Array<{ message: string }> }
+      | null;
+    if (!res.ok || !data?.success) {
+      const msg = data?.errors?.map(e => e.message).join('; ') ?? `HTTP ${res.status}`;
+      throw new Error(`CF API ${path} 失敗：${msg}`);
+    }
+    return data.result;
+  }
+
+  /** 驗證 token 能存取此 account（權限不足會在後續建立操作報錯，這裡先確認 account 可達）。*/
+  async verifyAccess(): Promise<void> {
+    // GET /accounts/{id} 能通 = token 有此 account 的基本讀權限
+    await this.cf<{ id: string; name: string }>('');
+  }
+
+  /** 列出現有 KV namespace（冪等用：已存在就重用，不重建）。回傳 title → id 對照。*/
+  async listKvNamespaces(): Promise<Map<string, string>> {
+    const result = await this.cf<Array<{ id: string; title: string }>>(
+      '/storage/kv/namespaces?per_page=100',
+    );
+    const map = new Map<string, string>();
+    for (const ns of result) map.set(ns.title, ns.id);
+    return map;
+  }
+
+  /** 建立 KV namespace（若同名已存在則回傳既有 id，冪等）。*/
+  async ensureKvNamespace(title: string, existing?: Map<string, string>): Promise<string> {
+    const known = existing ?? (await this.listKvNamespaces());
+    const found = known.get(title);
+    if (found) return found;
+
+    const result = await this.cf<{ id: string; title: string }>(
+      '/storage/kv/namespaces',
+      { method: 'POST', body: JSON.stringify({ title }) },
+    );
+    return result.id;
+  }
+
+  /** 建立 R2 bucket（已存在則略過，冪等）。*/
+  async ensureR2Bucket(name: string): Promise<void> {
+    try {
+      await this.cf<{ name: string }>('/r2/buckets', {
+        method: 'POST',
+        body: JSON.stringify({ name }),
+      });
+    } catch (e) {
+      // bucket 已存在 → CF 回 10004 之類；視為冪等成功
+      const msg = e instanceof Error ? e.message : String(e);
+      if (/already exists|10004/i.test(msg)) return;
+      throw e;
+    }
+  }
+
+  /** 查 workers.dev subdomain（cypher-executor WORKER_SUBDOMAIN 用，組對內 component URL）。*/
+  async getWorkersSubdomain(): Promise<string> {
+    const result = await this.cf<{ subdomain: string }>('/workers/subdomain');
+    return result.subdomain;
+  }
+}
+
 /** AES-GCM 加密 credential（與 cypher-executor credential-injector 解密邏輯對應）*/
 export async function encryptCredential(value: string, encryptionKey: string): Promise<string> {
   if (!encryptionKey || encryptionKey.length < 64) {