FR-048 Phase 2b 交接 prompt（照矩陣補資源層守門・軸③）

下面整段是給執行 session 的 prompt。前置：Phase 1 已 merge、Phase 2a 矩陣已產出且 user 已定調——缺任一就停下回報，不要自己往下做。

【接手主題】FR-048 統一授權守門 Phase 2b — 照端點授權矩陣補**專案域（軸③）**守門

必讀（照順序）：

1. docs/features/FR-048-2607-unified-auth-guard/endpoint-authz-matrix.md（工作清單＝矩陣中軸③且 Phase=2b 的列；只做 user 已定調的列，「需 user 定調」的跳過）
2. docs/analysis/2026-07-07-unified-auth-guard-design.md §2 軸模型、§5.1 補法、§7 Phase 2b 注意事項
3. common/authz/__init__.py 決策表（Phase 1 產物）

【branch】fix/v1.8.0-bugs，禁止切 branch。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 【每條的做法（三步，全在 app service 層）】

1. 找到該端點的 app service 寫入 method。
2. method 開頭加守門（一律從 common.authz 新路徑 import，不用舊 shim 路徑）：
   • 有 project_id 維度 → assert_project_manager(role_service, project_id, ...)（需要 role_service 就走 DI __init__ 注入＋container wiring，不要在 method 內自建）
   • ssp_uid 維度 → SspPermissionChecker.require_write_access(ssp_uid)（AP 狀態前置一起帶到）
   • 角色要求照矩陣該列（manager-only vs 任一參與者），不要自己升降級
3. 補單測：非 manager（或非參與者）打 → 403 對應 error code；manager 照舊通過。測試放 test/，注意 app service 測試要 patch logger（DBLogHandler 對 SessionLocal=None 會炸，見 memory 慣例）。

【順手項（矩陣 §4 A 類）】已用 canonical 守門的模組（participant/SSP/framework），把 import 從舊 shim 路徑換成 common.authz，零行為變更。 【不要動（矩陣 §4 B 類）】audit-round 家族 7 份私有 _check_role/_check_manager/_check_auditor 本波不收編——那是 Phase 2c 的事（泛化 assert_project_role 後委派），現在動純屬回歸風險。

【鐵則】

• 守門放 service 層，不掛 route decorator（那是 Phase 3 主體層的事）。
• 該 method 必須已在 @transaction scope（guard 需要 session）；沒有就照 CLAUDE.md DB Transaction 規範補。
• 不動 jedi-* 套件。
• 逐列銷帳：每完成一列，矩陣該列狀態改「已修待驗」＋ commit hash。

【flow_engine 守門復活（本 phase 壓軸，量大可拆下個 session）】 common/authz/workflow.py 的 assert_workflow_project_participant 目前函式開頭 return（FR-038 v2 暫拔）。要用 v2 鏈重建反查：workflow_execution → 輪次/SSP → project（v1 的 AP-task mapping 已 dark，不能用）。參考 memory：v2 job→輪次反查走 task_assignees.project_id，別比對 workflow_execution_uid。判定邏輯不變（任一參與者放行、fail-closed、admin 放行）——它是軸③的第三個解析器，不准另立新軸。改完移除開頭 return、補測試。

【驗收】

• pytest test/ 全綠
• 矩陣 2b 列全數「已修待驗」（或明列哪些留待下 session＋原因）
• 給 user 手測 checklist：挑 3-5 支代表端點（跨模組），用非 manager 帳號打寫入 API 應 403

【commit】按模組分批 commit（顯式 add、禁 -am、不 push），message 格式：fix(FR-048): <模組> 寫入端點補專案角色守門（軸③）。收尾等 user 下令。