🔴 一頁看完

已盤完。 完整報告：scan-T1-isolation-gap-audit.md。

這批的來源是 FR-080 併入當天的交接：決策者實測發現切換到被指派的子租戶之後，還是看得到別家客戶的待辦任務與專案。決策者裁定隔離修正歸資安線這邊做，與 FR-086「只驗身分不驗歸屬」那批一起看。

產品是多家客戶共用一套系統的，靠資料庫的一道機制把各家資料隔開（RLS，就是「每個客戶只能看自己資料」的資料庫隔離機制）。

這一棒要把**「哪些資料該被誰看到」逐張表盤清楚**，列出現況與應有狀態的差距，交給決策者決定怎麼修。不修、不改、不套任何 SQL。

拿一把指向不存在租戶的鑰匙去查（首腦在 DEV 用受隔離的應用帳號重跑過，數字與交接檔一致）：

目前客戶端還沒炸：跨租戶指派在 STG／POC 是 0 筆。但那個功能已經可用了，所以是「還沒有人踩到」而不是「踩不到」。

這是一個修好一個洞才露出來的更大洞。 以前沒人切過租戶——切租戶要先被指派成別租戶的角色，而那個功能在 CM-1661 修好前根本不能用。修好之後才看見後面的隔離沒做。

垂直向下可管理（父租戶看得到子孫），不同分支互相隔離；平台級資源（法規框架、控制項目錄、內建範本）全租戶可讀、只有原廠可寫。

這個模型 2026-06-29 就定了，原文在 docs/changelog/2026-06-29-feat-tenant-scope-data-model-b2.md。

⚠️ 交接檔摘要寫「三支 view」，實際是四支（正文清單有列全）。以四支為準。

另有一條應用層的同型洞（決策者裁定歸本棒）：任務詳細 API 收了專案編號卻從頭到尾沒用它（api/flow_control/routes/job_route.py:75-92，首腦已開檔核對屬實）。與 FR-086 B1 完全同型，修法可併。

• 背景任務會受影響：每天凌晨 3:10 有一支自動清理程式（找「已刪除任務仍留著的綁定資料」）掃描 job_executions 全表，它能看到全部客戶資料，靠的正是「無身分時暫時給最高權限」那條規則（CM-1559）。開隔離本身不會斷它（它沒有「自己的租戶」這個概念），但若之後 CM-1559 那條規則被收緊，這支清理程式會安靜地停止運作、不報錯——兩件事必須排進同一輪規劃。另一支每天凌晨 1:00 清舊工作紀錄的排程同款成因、影響較小。
• 平台管理功能不受影響（已更正原本待查項目）：追查後確認原廠管理者判斷「我是不是平台管理員」，走的正是 RLS 判斷「我是不是最上層租戶」同一段邏輯（_session_paths_have_root）——不是靠隔離沒開才看得到全部客戶，是合法的『上層看下層』。開隔離不影響平台管理後台。
• AI 儀表板 27 支查詢是獨立的洞，不是同一個機制：FR-083 查出的問題是「動態組查詢，完全不檢查權限」，走的程式路徑跟本棒盤點的資料庫層隔離不是同一批，修一邊不會弄斷或修好另一邊，兩者分開處理。

這一棒的答案在資料庫狀態與 SQL，不在程式碼的漏洞模式，工具幫不上忙。人工查快又準，而且這樣才能與 FR-086 B1b 平行跑不搶額度。

• 甲組（純開關即可）：compliance.projects（開前先查當初關閉原因）、public.tenant_drive_integrations
• 乙組（補規則再開開關）：job_executions、information_systems、poams、evidence_classification_runs、evidence_classification_ground_truth、framework_parse_jobs、user_roles、user_tenants
• 丙＋丁組（要一起修）：workflow_executions（補 SELECT 規則）＋ 4 支 view（加 security_invoker）——vw_user_job_queue 跨 12 張表，含丙組那張，必須同一輪驗證
• 戊組（先處理資料才能開）：workflow_templates——191 筆凍結副本無客戶歸屬，要先回填
• 庚組（等決策者裁）：surveys／survey_folders 要不要加平台旗標（報告 §7 給三個選項）
• 辛組（建議重新分類，不當隔離缺口）：log_forwarding_settings——本質是平台層設定，已有能力點守門
• 壬組（應用層洞，與 FR-086 併）：任務詳細 API 不驗 project_uid（GET/PUT/DELETE 三支）

（依決策者裁定，修正卡先不開，發現登記進跨 arc 總表 §3。）

• 來源交接檔：FR-080/handoff/fr080-to-fr075-HANDOFF.md §二（證據與修法方向已寫全）
• 三層模型原文：docs/changelog/2026-06-29-feat-tenant-scope-data-model-b2.md
• 標準規則寫法：docs/system-design/database/RLS_DESIGN.md
• 同型前案：FR-086（四層全空）、CM-1559（無身分時隔離關掉）、FR-083（AI 儀表板 27 支查詢不經權限檢查）
• 跨 arc 總表：security-scan-consolidated/

FR-080 的其餘收口七項（M3 裁決、五支發版、pin 還原、e2e 假綠、SPEC、母卡、release note）歸 FR-080 首腦，不在本 arc。

以下全部由 build 掃資料夾產生，新增檔案重 build 即自動出現。標題連結指向渲染後的 HTML，md 連向源檔。

其他文件

卡片內容（決策紀錄、驗收條件）以 Notion 為準，本頁只記座標。

相關需求：

• FR-080 — jedi-consolidation-and-service-path
• FR-086 — file-upload-security-scan
• FR-085 — common-security-scan
• FR-083 — ai-dashboard-security-scan