FR-114 資安修正派工 — 收口 SUMMARY（2026-09-28）

本檔由 FR-114-LOG.md 第 1～13 棒 block 濃縮而成（含第 6 棒補記、第 11／12 棒補記），不憑記憶重建。 現況的權威來源：每件問題的狀態看 docs/security-report/SUMMARY.md §0「1.21.0 出貨基線」；使用者可見變更看 v1.21.0 release note。 母卡 CM-2019；收口母卡 CM-2282；延續 hotfix 母卡 CM-2289（FR-123）。

資安檢視總報告的問題從 2026-09-21 開始翻成派工單，經第 1～9 批修正、四輪測試版（1.21.0b1～b4）在 190 測試機實測，2026-09-28 以 1.21.0 正式版出貨到 190／188 STG／189 POC 三環境。總報告 234 件中 190 件已修，沒修完的 9 件歸 1.21.1 hotfix（FR-123）。

commits 範圍

• BE 主 checkout（feature/review）：c61254ddc（09-21，第 1 棒首筆）起，至 4e7e2f987（09-28，CM-2288 基線重產）；FR-114 資料夾相關 146 筆。
• 修正線 fix/security-b1（四 repo）：09-28 合回 feature/review——BE fbbbb6d40、套件 feac7698、FE feac690、agent 1355869；尾巴兩支 563355d22／54d171378 由 CM-2288 合回（27f601726）。
• 進版：BE 02f680835（1.21.0）、FE 50bda00（版號對齊）、agent 6c17d21（1.1.0）、85ae5aadc（升級排練抓到的 fr093-4d 修正）。

不重抄，見 v1.21.0 release note §2（使用者可見變更）、§3（Breaking Changes）、§4（DB Migration）。

派工方式

• 依序做不平行，開工作區只為不碰掃描線主 checkout（第 1 棒）；第 7 批起改平行六條線、線內依序（第 6 棒）。
• 首腦驗過直接 Done，不逐卡攢給決策者批；最後從安裝到功能整個重測（第 2 棒）。
• 不再開 subagent 做重工作：runner session 依序做、每 session ≤4 張（第 9 棒）。

技術方向

• 代理程式身分：雲端用既有 AGENT_JWT_PRIVATE_KEY 發長效通行證、每請求驗簽＋查 DB 撤銷；取代原規劃的短效通行證（第 4 棒）。
• 解鎖回執帶原廠 unlock token，閘門與回填都重驗（第 4 棒）。
• 開機查 DB 只收窄「權限不足」，表不存在維持放行（第 5 棒）。
• 補權限資料的 migration 一律 envs=* 隨出貨（第 3 棒）。
• 超級管理員不再免專案成員檢查（第 5 棒後段，b2）。
• 證據分類走常駐服務（C 案），一次到位用 HTTP（第 7～8 棒）。
• 資料庫統一存 UTC、畫面先固定台北時間，開 FR-121（第 9 棒）。
• 匯入原始檔一律保留到儲存後端（第 9 棒）。
• 群組／控制項成員功能退役；「補 project_id」作廢，改指派前核對任務所屬專案（第 6 棒）。

發版與環境

• 現在合回、在工作區發版、出貨基線整包重產；版號先出 1.21.0b1 測試版（第 5 棒）。
• 同一支套件改動全做完、驗完才發一次（第 5 棒）。
• 這版沒有 PROD 授權中心主機，封包 --skip-prod-key-check（第 5、12 棒）。
• 不跑全站自動回歸，收口後另派一棒重整（第 12 棒）。
• POC 升級撞 deadlock 走「停服重跑」；1.21.0 的兩個升級 bug 以 hotfix 補進基線、不 bump 版號（第 12～13 棒）。

收口

• 127 張修正待驗證全 Done；沒修完的 9 件另開 1.21.1 hotfix 母卡，後續加 AI 資安議題（第 13 棒）。
• SPEC／手冊先補前五處，其餘登記待補；v1.21.0 快照凍結不回改（第 13 棒）。

不修（已裁）：#101 Nexus https（內網）、#124 SeaweedFS secure、#75 前端打包帳密、#98／#99、BE log 印 request body、問卷清單只看作用租戶（#31）、/version 免登入端點。

派工與規格

• 一支 subagent 吞 145 件爆 context 兩次零產出；改三層（材料檔 → 分批 subagent → 本體總裝）後一次過。
• prompt 要寫 tool call 上限與落盤時限；「抄不到就標待補」會被理解成「查到為止」。
• 首腦給修法或「對齊 X」之前先開檔確認 X 存在，不憑表名推鏈路。
• Workflow 觸發原話會原文轉發給 runner 且優先——貼的 prompt 必須以 runner 視角寫。
• 卡上紀律要寫「不改任何腳本的範圍／模式參數」，runner 會為了讓檢查過而放寬（CM-2048 夾帶 242 檔）。
• 派「送超大請求驗上限」這類卡要用 QA 驗收語言，引資安報告原文的「炸彈／打垮」會被判成攻擊指令。
• 開卡時 M 頁條號要對報告表，不對 SUMMARY 出處欄；總表 # 編號曾重排，對照一律用 M 編號。

驗收

• 驗收真正抓到東西的地方：runner 沒跑的呼叫端測試、跨 repo 連帶（錯誤碼撞號、FE 文案、鏡像同步）、為了讓檢查過而放寬範圍。
• 驗證 agent 判過的卡，首腦再派獨立 opus 抽一次，第三、四輪各抓到真問題——雙驗是固定程序。
• 信任鏈類裁定，現況事實先由獨立 agent 開檔核對再裁；runner 的問題描述是它的視角不是事實。要問「驗的材料是誰產的、產的時候有沒有驗」。
• 套件卡 pytest 要帶 PYTHONPATH，並對照不帶時的結果證明測到新版。
• 新錯誤碼要跨 monorepo 全部 common 目錄 grep 號碼。
• 掛能力點前看公版 seed 把那顆給了誰；「不擋正常客戶」的判準是出貨公版 seed，不是 DEV 資料。
• 驗權限守門前先查測試帳號的實際能力點，不看角色名。
• 清憑證的卡，驗收第一件事是拿 .env 值 grep commit message 與 Notion（CM-2049 曾把密碼真值寫進 commit）。
• runner 說「實跑過」要找痕跡；驗 hash 鎖定不能用整個 Dockerfile build（layer cache 會騙人）。
• 盤「未修」要連到卡的實際狀態，總表狀態欄是人手改的、會落後。

發版、打包與升級

• 發版與改碼並行會一直補發（iam 1.4.1→1.4.2→1.4.3）；從 worktree 發版會漏不入版控的資產（.mo）。
• 動打包方式的卡要比對上一次成功 build，不要邊 build 邊撞。
• build 機禁止用 root 操作 git；跑 build 的 shell umask 077 會出壞產物。
• 🔴 升級驗證要拿真實舊版客戶庫排練——「上一個 beta 升上來」與「乾淨新裝」都覆蓋不到隔一版的舊庫（1.21.0 因此抓到 fr093-4d）。
• 修 migration 後要重 build init image 再封包，並用 image id 核 bundle 內是新那顆。
• installer 升級套 migration 前要先停 api／socketio，否則有人在打就 deadlock（POC 實踩）。
• 升級腳本判管理員要看旗標不看能力點；回填登記類 migration 要先驗物件存在。
• 代理程式升級前先確認註冊碼仍 enabled，否則自動重新註冊必 401。
• 基線庫 *_old 表重產前要清，否則會帶給新裝客戶。

首腦自身

• 排順序先看「輸入會不會再變」，依賴還在改的盤點現在做就是白工；不要替決策者決定延後。
• 收報型首腦每收完一批就中繼交接（第 9 棒 context 爆掉、compaction 失敗）。
• 回報問題必附分析與建議，用白話。
• 同一台機器兩個 session 同時動，要在 STATE 立刻互寫。

• 1.21.1 hotfix（CM-2289／FR-123）：資安總表沒卡未修的 9 件＋installer 升級鏈三個缺口（升級第③步不停 api 會 deadlock、schema_version 表升級不更新、代理程式註冊碼停用後自動重新註冊必 401）＋AI 資安議題預留；第一批子卡待決策者裁。
• 連 DEV 那台代理程式（123）：等 DEV 註冊碼後 re-enroll --endpoint http://10.8.0.6:8000。
• 出版前回歸測試重整：147 條非 UI 驗證中 72 條環境驗不到的收進 e2e。
• PROD 授權簽發公鑰（CM-2274 擱置）：等有 PROD 授權中心主機那一版。
• FR-117 出貨基線改依套件產生：1.21.0 後再排。
• 其餘見 release note §7。