Arcrun

Leo/Arcrun

Fork 0

Commit Graph

Author	SHA1	Message	Date
uncle6me-web	4b6cc159b8	feat(auth): 認證儲存搬回 D1/KV——落實方案C（leo confirm「走C」，arcrun-rag#99）實作 pending-changes.md「認證儲存要不要搬回 D1/KV」提案（commit 8286c8a）： D61 的病根「重裝時 binding 被安裝器照名字重新指到新建空資源」已被更通用的 shared/resource-rule（Arcrun#97，2026-08-13）解掉，故不再需要繞開 binding 去躲這個病——而繞開的代價正是這次要收的債：Workers Secrets 寫入需要外部 CF_SECRETS_API_TOKEN，這把 token 從安裝那天起就沒被種過，止血版只解掉「建第一個帳號」這一格，之後的每一次寫入（換密碼／加帳號／改權限）仍卡死。改動： - console 管理員帳密：家改回 SESSIONS_KV（binding，console-auth.ts） - portal 多人帳號：家改回 KBDB（binding，走 base HTTP API，D38 零 SQL，portal.ts） - D61 認證儲存（CF Workers Secrets）留為舊實例的唯讀回退路徑：讀取零成本、零外部憑證需求（只有寫入才要 token）；登入成功即 best-effort 自動搬進新家，且這次登入發出的 session 就直接指向新 record_id（不必等下一次登入） - D61 的三項「明顯失敗」語意全部保留：auth_store_empty（讀不到不算密碼錯、不計入鎖定）、/console/setup 遇既有帳號說清楚密碼沒被採用、/health 與 /console/auth-status 吐儲存狀態 - 移除止血版的 x-arcrun-install-token 表頭傳遞機制（installToken 參數）—— 帳號寫入從此不需要任何外部 CF token，這個結構性缺口已從根拔除測試：cypher-executor 全套 vitest 439/453（14 個既存失敗與本改動無關，已用 git stash 對照 clean checkout 逐一比對檔名確認完全相同）；tsc --noEmit 無新增錯誤（3 個既存錯誤同上核實無關）。已跑 build-worker-artifacts.mjs 重打 tier2 bundle，grep 複驗 createKbdbUserRecord/promoteToKbdb 進了成品、 promoteLegacyUser／x-arcrun-install-token 完全從成品消失。未覆蓋：POST /credentials（一般 workflow API 金鑰儲存）仍依賴 CF_SECRETS_API_TOKEN——這是 01-tech-stack.md 既有的、獨立於 D61 之外的 credential 儲存架構（D19「擁有目錄不擁有內容物」），本提案範圍只涵蓋「認證」（登入帳密），不涵蓋一般 credential 儲存；07-29 已知缺口仍待另案處理。不准 merge 進 main（SDD 鐵律③，等總管審過再併）；不准部署（D20 出貨閘）。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-14 12:52:07 +08:00
uncle6me-web	c4cee35adb	feat(auth): 認證與資料分離——搬動知識資料時登入不再跟著壞掉（D61 / arcrun-rag#55） leo 2026-08-10 下令：「登入認證資料要分離⋯⋯就算只有我一個人存在單獨的 json 檔也好，它不能被改資料庫的連結導致無法登入。」「昨天不能登入 portal，今天不能登入 mcp，這根本就是一個問題。」病：portal 帳號住 KBDB（owner_id = {CONSOLE_TENANT}::portal），console 管理員帳密住 SESSIONS_KV。兩者都靠 binding 指過去，重裝/遷移一定會被重新指一次 ⇒ 保險箱的鑰匙放在保險箱裡。2026-08-09 leo 資料一個位元組都沒動，卻被鎖在門外。修：認證搬到 CF Workers per-script Secrets（掛在 script 上，與 bindings 兩套資源，重部不會洗掉；journeys/gemini-key-lost-on-reinstall.md 與 installer worker.js:1148 皆有實證）。 - 新增 lib/portal-auth-store.ts：自足的 JSON，讀取零網路呼叫，>4.6KB 自動溢位分片 - portal.ts 的帳號讀寫全部改走它；KBDB 只留為舊實例的回退讀路徑，登入成功順手搬過去 - console-auth.ts 的第二份認證資料同樣搬離 KV - 不牴觸 D38：KBDB 三張核心表不增不減，本案是把東西搬出去 - 沿用 credentials.ts 既有的 putWorkerSecret/deleteWorkerSecret，不另造第二套寫入路徑（D36）明顯失敗（把 #10「寧可明顯失敗，不要靜默錯置」套到門鎖上）： - 「這台實例讀不到任何登入資料」回 503 + code=auth_store_empty，且不計入 5 次鎖定（08-09 leo 就是被系統自己的誤判鎖了 15 分鐘） - /console/setup 遇既有帳號改說「你剛才輸入的密碼沒有被採用」，不再只說「已設定過」 - /health 與 /console/auth-status 吐 auth_store 狀態（住哪、寫不寫得進去） stage 實測撞到並修掉的坑：改 secret 會產生 worker 新版本，既有 isolate 讀到的還是舊 env ⇒ 「建好帳號立刻登入」有 15 秒以上 401，還被算進鎖定。加一層短 TTL 的 KV 加速器（非真相源，只在 secret 查不到/密碼對不上時問一次），換 KV 不影響不變量。驗收：stage（youlin）把知識資料庫換成另一顆空的 + 換租戶代號 + SESSIONS_KV 換成空的，三樣一起換之後 portal / MCP /authorize / console 三條登入路徑仍全綠（複跑 3 次）。對照組（舊版程式碼同樣換庫）：登入回「email 或密碼錯誤」，5 次後鎖 15 分鐘。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-10 14:13:37 +08:00

Author

SHA1

Message

Date

uncle6me-web

4b6cc159b8

feat(auth): 認證儲存搬回 D1/KV——落實方案C（leo confirm「走C」，arcrun-rag#99）

實作 pending-changes.md「認證儲存要不要搬回 D1/KV」提案（commit 8286c8a）：
D61 的病根「重裝時 binding 被安裝器照名字重新指到新建空資源」已被更通用的
shared/resource-rule（Arcrun#97，2026-08-13）解掉，故不再需要繞開 binding
去躲這個病——而繞開的代價正是這次要收的債：Workers Secrets 寫入需要外部
CF_SECRETS_API_TOKEN，這把 token 從安裝那天起就沒被種過，止血版只解掉
「建第一個帳號」這一格，之後的每一次寫入（換密碼／加帳號／改權限）仍卡死。

改動：
- console 管理員帳密：家改回 SESSIONS_KV（binding，console-auth.ts）
- portal 多人帳號：家改回 KBDB（binding，走 base HTTP API，D38 零 SQL，portal.ts）
- D61 認證儲存（CF Workers Secrets）留為舊實例的唯讀回退路徑：讀取零成本、
  零外部憑證需求（只有寫入才要 token）；登入成功即 best-effort 自動搬進新家，
  且**這次登入發出的 session 就直接指向新 record_id**（不必等下一次登入）
- D61 的三項「明顯失敗」語意全部保留：auth_store_empty（讀不到不算密碼錯、
  不計入鎖定）、/console/setup 遇既有帳號說清楚密碼沒被採用、/health 與
  /console/auth-status 吐儲存狀態
- 移除止血版的 x-arcrun-install-token 表頭傳遞機制（installToken 參數）——
  帳號寫入從此不需要任何外部 CF token，這個結構性缺口已從根拔除

測試：cypher-executor 全套 vitest 439/453（14 個既存失敗與本改動無關，已用
git stash 對照 clean checkout 逐一比對檔名確認完全相同）；tsc --noEmit
無新增錯誤（3 個既存錯誤同上核實無關）。已跑 build-worker-artifacts.mjs
重打 tier2 bundle，grep 複驗 createKbdbUserRecord/promoteToKbdb 進了成品、
promoteLegacyUser／x-arcrun-install-token 完全從成品消失。

未覆蓋：POST /credentials（一般 workflow API 金鑰儲存）仍依賴
CF_SECRETS_API_TOKEN——這是 01-tech-stack.md 既有的、獨立於 D61 之外的
credential 儲存架構（D19「擁有目錄不擁有內容物」），本提案範圍只涵蓋「認證」
（登入帳密），不涵蓋一般 credential 儲存；07-29 已知缺口仍待另案處理。

不准 merge 進 main（SDD 鐵律③，等總管審過再併）；不准部署（D20 出貨閘）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-14 12:52:07 +08:00

uncle6me-web

c4cee35adb

feat(auth): 認證與資料分離——搬動知識資料時登入不再跟著壞掉（D61 / arcrun-rag#55）

leo 2026-08-10 下令：「登入認證資料要分離⋯⋯就算只有我一個人存在單獨的 json 檔也好，
它不能被改資料庫的連結導致無法登入。」「昨天不能登入 portal，今天不能登入 mcp，
這根本就是一個問題。」

病：portal 帳號住 KBDB（owner_id = {CONSOLE_TENANT}::portal），console 管理員帳密住
SESSIONS_KV。兩者都靠 binding 指過去，重裝/遷移一定會被重新指一次 ⇒ 保險箱的鑰匙
放在保險箱裡。2026-08-09 leo 資料一個位元組都沒動，卻被鎖在門外。

修：認證搬到 CF Workers per-script Secrets（掛在 script 上，與 bindings 兩套資源，
重部不會洗掉；journeys/gemini-key-lost-on-reinstall.md 與 installer worker.js:1148 皆有實證）。
- 新增 lib/portal-auth-store.ts：自足的 JSON，讀取零網路呼叫，>4.6KB 自動溢位分片
- portal.ts 的帳號讀寫全部改走它；KBDB 只留為舊實例的回退讀路徑，登入成功順手搬過去
- console-auth.ts 的第二份認證資料同樣搬離 KV
- 不牴觸 D38：KBDB 三張核心表不增不減，本案是把東西搬出去
- 沿用 credentials.ts 既有的 putWorkerSecret/deleteWorkerSecret，不另造第二套寫入路徑（D36）

明顯失敗（把 #10「寧可明顯失敗，不要靜默錯置」套到門鎖上）：
- 「這台實例讀不到任何登入資料」回 503 + code=auth_store_empty，且**不計入 5 次鎖定**
  （08-09 leo 就是被系統自己的誤判鎖了 15 分鐘）
- /console/setup 遇既有帳號改說「你剛才輸入的密碼沒有被採用」，不再只說「已設定過」
- /health 與 /console/auth-status 吐 auth_store 狀態（住哪、寫不寫得進去）

stage 實測撞到並修掉的坑：改 secret 會產生 worker 新版本，既有 isolate 讀到的還是舊 env
⇒ 「建好帳號立刻登入」有 15 秒以上 401，還被算進鎖定。加一層短 TTL 的 KV 加速器
（非真相源，只在 secret 查不到/密碼對不上時問一次），換 KV 不影響不變量。

驗收：stage（youlin）把知識資料庫換成另一顆空的 + 換租戶代號 + SESSIONS_KV 換成空的，
三樣一起換之後 portal / MCP /authorize / console 三條登入路徑仍全綠（複跑 3 次）。
對照組（舊版程式碼同樣換庫）：登入回「email 或密碼錯誤」，5 次後鎖 15 分鐘。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-10 14:13:37 +08:00

2 Commits