Arcrun

Leo/Arcrun

Files

T

uncle6me-web 340b461f58 fix(cypher): credential 全部從新家取到時不再打 auth_static_key worker（Arcrun#124）

病：cypher 看到 {{credential.X}} 就無條件 fetch
arcrun-auth-static-key.{WORKER_SUBDOMAIN}.workers.dev。那顆 worker
**不在網頁安裝器的首裝清單裡**（只裝 cypher-executor / kbdb / http_request / code
四顆），也沒有「用到才長」的機制 ⇒ fetch 撞 CF 邊緣 404 `error code: 1042`
⇒ 凡是用到 {{credential.X}} 的節點全部 500。

實測兩台都一字不差地同死（唯讀證據）：
  leo21c  GET /q/bfezv28v/rag_chat  → 500 Node kw_search failed: ... 1042
  youlin  GET /q/yuga3bse/rag_chat  → 500 Node kw_search failed: ... 1042
  geek6688（手工維護、那顆在）      → 過得了這關
leo 的 8 支 RAG 工作流每一支都用 {{credential.}}（rag_chat 6 處、
rag_ingest_card 7 處）⇒ 問答與寫入同時死，不只 ingest。

修法：resolveCredentialRefs 在 resolveSecretsFromNewHome 之後，若 nameList
每一個都已取到明文，就直接 replaceCredentialRefs 回傳，不打那顆 worker。

為什麼是零行為變化：回填本來就在本檔做（replaceCredentialRefs）；那顆 worker
在這條路徑上唯一多做的事是幫「沒取到」的 name fallback 舊 KV（T7 雙讀）。
全取到時它收到 resolved_secrets 就是原樣回傳。只要有任一 name 沒取到，
仍照舊全量交給 WASM 走 T7——不縮減既有能力，只在等價時省掉那一跳。

證據那把金鑰早就在手上：leo21c 的 credential 目錄 last_used_at=1786715805，
與最後一次失敗執行的時間戳同一秒（touchLastUsed 只在真的從新家取到值時才寫）。

🔴 這個 1042 與 d2048e2／95a1462 那兩輪不是同一個病：那兩輪是 same-zone fetch
被擋（解＝global_fetch_strictly_public flag，service binding 的解法已被 revert
不要拿回來）；本案是目標 worker 根本不存在。同一個錯誤碼、兩種原因。

邊界：rule 02 §2.2 不變（不解密／不展開模板／不組 JWT）；rule 3.1 不變（不加
service binding）。明文來源仍是 secret_get host function，與改動前同一條路。

驗證：tsc 對本檔零錯誤；auth-dispatcher+credentials 測試 5 紅 8 綠，
與改動前基準線逐項相同（零回歸；那 5 紅是 7ba7855 註明的「刻意留紅燈」）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-14 23:25:26 +08:00