FR-118 jedi-oscal-v2 套件本體資安掃描

✅ 八棒全收（2026-09-24）。 掃的是 21 支套件裡最後一支完全沒掃過的：jedi-oscal-v2，合規文件（控制項目錄、系統安全計畫、稽核計畫與結果、改善計畫）的資料層套件，加上主專案側「Word 檔解析成 SSP」的解析器與稽核計畫服務。套件 363 支程式檔裡 294 支是純宣告檔不掃，實掃八棒約 80 檔。這條收完，整條套件掃描線就收完了：21 支套件 20 支掃完、1 支（任務平台）裁停，沒有完全沒碰的。

找到什麼：資安 7 條（總表第 169～175 項，0 高 1 中 6 低），加上 2 條不是資安、但確實寫錯的（總表 §3.2 第 36／37 項）。另外推翻總表第 133 項的修法前提（V4a）、把第 132 項的修法範圍擴大（V4b：錯誤處理也要包住寫資料庫那段）。

四個主題：

• 兩個交接假設被推翻。一是「XML 解析攻擊」：全套件零支 XML 解析器、匯出只出 JSON，這條路不存在。二是「同一個人員 uuid 會出現在兩份 SSP」：Word（W2 查）與 Excel（V3 查）兩條路，uuid 全部由伺服器產生、複製也換新，不成立。
• 風險形狀是「套件開放只認編號的方法，全靠呼叫端先找父層」。套件服務層有 33 支讀改刪只認編號，底下 45 張表沒有客戶欄位也沒有資料庫隔離。八棒追下來，現在每個呼叫端都有先從有隔離的表往下找；但任何一個新呼叫端漏掉這一步，就是跨客戶讀寫，資料庫沒有第二道防線。
• 實測抓出資源耗盡。V4b、W1、W2 三棒的工具要嘛零候選、要嘛只估步數，是 runner 自己做惡意 PDF／Word 實跑才定案（例：3,200 個空白 66 秒、1.5KB 的表格宣告一億欄六分鐘沒跑完）。
• 「用 uuid 字串互指」的欄位，uuid 一換就斷。複製（V1）與再匯入（V3）兩條路各斷一次，不是資安，但會讓稽核證據裡的「提供者」對不上任何人。

修正線處理結果（全部隨 1.21.0 出貨，2026-10-01 對照 docs/security-report/M11-oscal.md 與 SUMMARY）：7 條資安 6 條已修、1 條（第 170 項重新產生草稿）裁定拆除（CM-2177，SUMMARY #191）；2 條非資安已修。六件對應如下：

1. 第 121／175 項同一張卡（建資源庫時的檢查）：✅ 已修（CM-2179，SUMMARY #195）。
2. 第 133 項修法改看資源庫表上的版本編號欄；原本寫的「照叫編輯路徑那支引用檢查」在正常流程永遠不擋：✅ 已修（CM-2180，SUMMARY #156）。
3. 第 171／172／173 項資源耗盡：✅ 已修（171／172＝CM-2184 SUMMARY #192／#193；173＝CM-2182 SUMMARY #175）。第 173 項六處一張卡，W1 與 W2 各有一條比對規則會被同一份檔先後跑到，只修一邊等於沒修，驗收要用同一份惡意檔整條跑。
4. 第 169 項守在套件的「判定接風險」方法裡，呼叫端現有那道留著：✅ 已修（CM-2184，SUMMARY #190）。
5. §3.2 第 36／37 項同一張卡，修在套件一處、Word 與 Excel 兩條路都受益；已產生的快照要不要修補資料，由總表 §7 第 40 項一起裁——已裁修程式、舊快照不動（凍結證據不事後改），✅ 已修（CM-2185）。
6. 兩個「有能力、沒入口」的地雷：套件匯入信任字典裡的 uuid 與陣列長度；主專案匯出服務對 SSP／稽核結果／改善計畫不檢查文件歸屬。將來開放「上傳 OSCAL JSON」或「匯出 SSP JSON」之前，必須先補守門（總表 §5）。

可信度：「這幾條存在嗎」高——每條都有檔名行號，多數有實測或 DEV 數字，首腦逐條開檔或重查。「只有這幾條嗎」各棒不同：V2 低（runner 沒逐支通讀）、V1 中，其餘六棒中偏高到高。打折處寫在各棒報告的「可信到什麼程度」一節。

✅ 八棒全收。母卡 CM-2122（掃描收口；發現已由 FR-114 修正線全數處理）。套件七棒 78 檔／10,103 行＋V8 1 檔／742 行；294 支純宣告檔不掃（盤點檔附錄 A）。

• 2026-09-24 第二十一任首腦：V3 驗收通過、FR-118 八棒全收。runner 逐行通讀 1,660 行、跨 repo 追完呼叫端、三組實測、DEV 唯讀 8 組查詢；首腦重查外部服務 604 筆提供者查無 17、人員 uuid 跨份 0，一致。資安淨新增 0；V3-1 登總表 §3.2 第 37 項，與第 36 項同卡、併 §7 第 40 項一起裁（已裁修程式、CM-2185 已修），不新增待裁；卡片七件記 §3.4；兩個「有能力沒入口」地雷記 §5；第 123／125／169 項格內補句。收口：7 條資安（0 高 1 中 6 低）＋2 條非資安，jedi-oscal-v2 移入總表「已掃完」，完全沒碰改 0 支；母卡 CM-2122 改修正待驗證。
• 2026-09-24 第二十一任首腦：V4a 驗收通過。runner 逐支通讀 14 檔、5 張資料表模型全欄位列過、DEV 唯讀實查 9 張表隔離與外鍵；首腦重查 profile_imports 591 筆、指向框架版本目錄 0 筆，一致，並開檔核實 resource_library_app_service.py:460-467。V4a-1 登第 175 項（低，併第 121 項同卡，§4 與第 88 項同病）；V4a-2 不是新洞，是第 133 項更正——修法前提與後果兩處改寫、原修法句劃線，嚴重度維持中（後果變輕，但門檻與缺口不變）；刪主版本與刪有子版本的版本吐 500 併同卡。目錄複製、刪改發佈入口、source_catalog_id 寫入、list_catalogs() 四件記總表 §3.4；兩個小陷阱記 §5；編輯與匯入覆蓋兩道檢查要不要同卡換進 §7 第 46 項。七棒收，剩 V3。
• 2026-09-24 第二十一任首腦：W1、W2 驗收通過，兩棒逐支通讀、比對規則逐條量，研究員只估步數的四條 runner 全部實測成立，另補 W1-4 合併儲存格、W1-5 吐路徑、W2-2 兩處慢點。六處卡死併成總表第 173 項（中，門檻一般帳號＋資源庫編號＝第 125 項缺口；與 V4b 定低的尺度一致，差在門檻），W1-5 登第 174 項（低，併第 132 項同卡）；第 125／127／132／148 項格內補句；V3 前提推翻（Word 路不會照抄 uuid），V3 卡 CM-2126 已補改寫；§7 不新增待裁。
• 2026-09-24 第二十一任首腦：V4b 驗收通過，runner 做得最好的一棒（7 種惡意 PDF、3,000 次亂數變造、11 個比對規則逐一量、修法對照實測）。V4b-1／V4b-2 登第 171／172 項，維持低、不與第 132 項對齊成中（第 132 項是資訊直接外洩；這兩條後果是資源耗盡、門檻平台管理員，該角色本來就能刪改所有框架）；首腦 grep 核實零處 page.close()、import_framework_version 全庫零呼叫。第 132 項格內補「try 也包住寫資料庫」、第 148 項驗收清單補控制項名稱／評估目標名稱兩欄；defusedxml／pyyaml／零入口四支記 §5，發版時機進 §7 第 45 項。
• 2026-09-24 第二十一任首腦：V8 驗收通過。runner 做滿（15 支方法逐支列、5 支守在呼叫端跨 repo 開到呼叫端那一行、DEV 實查 13 張表）。V8-1／V8-2 併第 66 項；V8-3 登第 170 項（低），修正分支對該方法零改動（首腦 diff 核實）；首腦開修正分支 list_ap_parties:718-722 核實 CM-2037 跨客戶缺口，進 §7 第 42 項建議退回；get_ap 全庫零呼叫併 FR-092 死碼。
• 2026-09-24 第二十一任首腦：V1 驗收通過。runner 做滿（主專案 25 處呼叫端逐處追、21 檔逐支通讀、DEV 唯讀實查 4 組），跟 V2 相反。凍結竄改不成立（首腦逐行核實主專案擋凍結那條路）；V1-1 定為非資安、登總表 §3.2 第 36 項，不進 §3.1；盤點寫 list_ssps 6 處、實查 5 處，不影響結論。兩件待裁進總表 §7 第 40／41 項；ssp_service 11 支零呼叫與主專案 require_write_access／require_read_access（欄位名寫錯、範本分支永遠不成立）併 FR-092 死碼清理。
• 2026-09-24 第二十一任首腦：V2 驗收通過。runner 推回的四件首腦全查清、不進待裁：link_findings 唯一呼叫端有限定本輪；update_poam_item／get_by_assignee 全庫零呼叫者，併 FR-092 死碼清理；upsert_remediation 兩個呼叫端傳具名參數、白名單成立。淨新增第 169 項。品質打折：runner 把卡片明寫可做的跨 repo grep 推回（「只掃不修」是不改碼、不是不讀碼），且沒逐支通讀 26 檔。
• 2026-09-24 第二十一任首腦：盤點驗收通過；決策者裁 assessment_plan_app_service.py（FR-113／116 都漏掃）併進本批當第 8 棒；八張掃描子卡一次建完。
• 2026-09-24 第二十一任首腦：開母卡與盤點卡。決策者裁「FR-116 之後接這支」，盤點與 FR-116 掃描並行（盤點唯讀、不搶掃描資源）。

以下全部由 build 掃資料夾產生，新增檔案重 build 即自動出現。標題連結指向渲染後的 HTML，md 連向源檔。

證據與盤點