↑ 需求首頁 ⌂ 需求中心

FR-119 差異盤點——總表第 118～180 項對到總報告了沒、該進哪一頁

差異盤點：總表第 118～180 項 → 給 PM 看的總報告

盤點卡 CM-2151（母卡 CM-2139）｜盤點日期 2026-09-25｜只盤點、不改總報告——首腦核完才進第二步回寫。 對照的兩份：總表＝docs/features/security-scan-consolidated/README.md §3（工作底稿，用「第 M 項」）；總報告＝docs/security-report/（SUMMARY.md 問題總表用「#N」、各模組頁用「M11-3」這種頁內編號）。本文一律寫「總表第 M 項」與「總報告 #N」，不混用。

§1

一、結論

  • 總表第 118～180 項共 63 項，總報告已經有的只有 6 項（第 118／119／120／121／122 項，加上第 134 項實質已併在總報告 #46），另外 57 項完全沒進去。
  • 57 項的嚴重度（照總表）：高 4 項（第 123／125／128／154 項）、中 32 項、低 21 項。
  • 要動的頁：SUMMARY、README、GUIDE-01、M11（整頁重寫）、M12（整頁重寫）、M04、M05、M06、M07、M09、M10，共 11 頁。M19、M23 沒有新條目（FR-115 W6 那棒掃了資產與議題並排，零發現），只需在檢視軌跡補一列「這一輪有查、沒找到」。
  • 另有兩件既有條目要改寫：總表第 66 項從中升高（總報告 #57／M10-4）、總表第 75 項修法改裁「只給平台管理員」（總報告 #19／M09-1）。
  • 有四處總表與總報告對不上，要你裁（見第四節）——最要緊的是卡上寫「145 → 214 條」這兩個數字不是同一種算法，不能直接替換。
§2

二、逐項對照表（63 項）

欄位說明：「總報告現況」＝現在 docs/security-report/ 裡有沒有；「該進哪頁」＝第二步要寫進的模組頁；「預定 #」＝SUMMARY 問題總表接在 #145 後面續編的號碼（既有 #1～#145 不重編，避免派工時「總報告第 N 件」對不上）。模組頁的頁內編號第二步排序時再定。

2.1 合規文件核心——主專案接線（FR-113 O 系列，第 118～133 項）→ M11

總表 一句話 總表嚴重度 總報告現況 該進哪頁 預定 #
118 刪控制項底下的佐證文件，檢查的是網址上那份計畫、刪的是另外給的文件編號 中 ✅ 已有：#64（與 119 併一條），但「出自」欄寫「掃描總表」、沒有模組頁 M11（補進頁內表） 沿用 #64
119 文件庫刪除同一個病，還會連帶刪關聯、可能永久銷毀實體檔 中 ✅ 已有：#64 M11 沿用 #64
120 改別家公司（或原廠公版）範本的適用控制項清單，整批刪掉實作說明 🔴 高 ✅ 已有：#46（併總表第 67 項＋M10-11），但總報告評中——見第四節第 2 件 M11（主頁）＋M10-11 互指 沿用 #46
121 建立資源庫的入口只驗登入、沒有權限檢查 中 ✅ 已有：#65 M11 沿用 #65
122 匯出 Word 沒做跳脫，匯出的稽核文件可夾帶偽造內容 中 ✅ 已有：#102 M11 沿用 #102
123 Excel 匯入「蓋掉既有範本」那條路從頭到尾沒問你是誰 🔴 高 ❌ 沒有 M11 #146
124 上傳 Excel 只擋壓縮後大小、讀檔整份塞進記憶體 中 ❌ 沒有 M11 #150（建議與 130 併）
125 Word 匯入三條路守門不一，「蓋掉既有範本」那條漏掉 🔴 高 ❌ 沒有 M11 #147
126 匯出控制項現況 Excel，使用者寫的字會被當成公式執行 中 ❌ 沒有 M11 #151
127 上傳 Word 同樣只擋壓縮後大小（壓縮炸彈） 中 ❌ 沒有 M11 #152
128 任何登入者知道計畫編號，就能把別家公司整份系統安全計畫下載成 Excel（跨客戶） 🔴 高 ❌ 沒有 M11 #148
129 把別人的程序書掛到自己控制項上，再從回應讀到檔案代號去下載 中 ❌ 沒有 M11 #153
130 試算表炸彈讓整個產品停擺 中 ❌ 沒有 M11 建議併入 #150（見第三節）
131 版本號比對規則可被卡死，四個請求讓系統沒回應 中 ❌ 沒有 M11 #154
132 解析 PDF 失敗，把程式當掉的原始訊息整段回給前端 中 ❌ 沒有；修法要照 FR-118 V4b 擴大（try 也要包住寫資料庫） M11 #155
133 刪框架／刪版本後端不檢查還有沒有客戶在用，交給前端擋 中 ❌ 沒有；後果與修法要照 FR-118 V4a 改寫（引用檢查正常流程永遠不擋、刪框架只連鎖刪版本） M11 #156

2.2 合規範本 module_frame 八棒（FR-113 B 系列，第 134～153 項）→ M11

總表 一句話 總表嚴重度 總報告現況 該進哪頁 預定 #
134 範本的適用控制項清單可被沒資格的人整批換掉，隔四行明明有檢查 中 ⚠️ 實質已在 #46：#46 的修法「把那道檢查從只在改分享身分時搬到只要有寫入就檢查」講的就是這條；總表也寫「與第 67／120 項同一張卡」 M11（列一條，註明同 #46） 不另編，#46「出自」欄補總表 134
135 沒被授權看範本的員工，打網址就讀走全公司範本清單與完整內容 中 ❌ 沒有 M11 #157
136 看範本稽核流程圖不用權限，同檔新增修改刪除都要 中 ❌ 沒有 M11 #158
137 改範本流程圖時不問範本是不是你家的，檢查被包在 if 裡 中 ❌ 沒有（未經三人投票，要在 M11 檢視軌跡講清楚） M11 #159
138 刪或改範本子項，檢查網址上的編號、動手改的是另外送的編號 中 ❌ 沒有 M11 #160
139 列出範本掛了哪些程序書不用權限，清單附檔案編號可去下載 中 ❌ 沒有 M11 #161
140 讀範本的稽核目標預設內容不用權限 中 ❌ 沒有 M11 #162
141 範本人員名單（姓名、email、電話、地址）任何登入帳號跨公司讀得到 中 ❌ 沒有 M11 #163（建議 141～144 併一條）
142 範本設備清單（資產編號、IP、主機名稱）跨公司讀得到 中 ❌ 沒有 M11 建議併入 #163
143 範本系統元件清單（通訊協定、開放埠）跨公司讀得到 中 ❌ 沒有 M11 建議併入 #163
144 範本繼承授權清單與系統特性跨公司讀得到（總表已兩支併一條） 中 ❌ 沒有 M11 建議併入 #163
145 範本「設備／資訊系統對照」清單讀得到，附真實資產主檔內部編號 低 ❌ 沒有 M11 #178
146 範本底下六類附屬資料的寫入，一支都不問範本是不是你家的（總表已六支併一條） 中 ❌ 沒有 M11 #164
147 Excel 批次存檔範本控制項清單，只查範本存不存在 中 ❌ 沒有 M11 #165
148 上傳時塞的惡意公式，別人下載範本 Excel 打開時執行 中 ❌ 沒有 M11 #166
149 下載「空白範本」附贈全公司 email、設備與 IP、資訊系統清單 低 ❌ 沒有 M11 #179
150 改自己的暱稱，就能在全公司下載的每份範本裡埋公式 中 ❌ 沒有 M11 #167
151 幾 KB 的 YAML 檔讓伺服器算到當掉 低 ❌ 沒有 M11 #180
152 Excel 匯入檢核送很長的怪字串，一個請求佔住處理程序兩分鐘 低 ❌ 沒有 M11 #181
153 只有「建立範本」權限的人，用 Excel 整批匯入把既有範本整份改掉 中 ❌ 沒有 M11 #168

2.3 五支套件的主專案接線（FR-115 W 系列，第 154～165 項）→ 分散到各模組頁

總表 一句話 總表嚴重度 總報告現況 該進哪頁 預定 #
154 不必登入，用特製請求內容讓整個產品對所有客戶停止回應（遮密碼那段比對規則） 🔴 高 ❌ 沒有 M04（中介層與比對規則都在共用基礎）；M09 檢視軌跡互指 #149
155 規劃頁任務清單不問你是不是這個專案的人 中 ❌ 沒有 M06 #169
156 批次匯入任務 Excel 的「確認」可順便改掉別的專案的任務 中 ❌ 沒有 M06 #170
157 匯出任務 Excel，檢查的專案和實際匯出的專案可以是兩個 低 ❌ 沒有 M06 #182
158 匯入任務的「驗證」「重新驗證」兩步完全沒檢查身分 低 ❌ 沒有 M06 #183
159 甲專案管理人可以把乙專案卡住的任務「強制開始」 中 ❌ 沒有 M06 #171
160 「查卡住狀態」誰都能查別的專案 低 ❌ 沒有 M06 #184
161 「AI 金鑰只限平台管理員」開關一放開，原廠 AI 金鑰會送到客戶指定的伺服器 中 ❌ 沒有 M07（卡片沒列，但這條是證據分類金鑰鏈 W7，歸這頁最自然） #172
162 證據分類逾時，原廠 AI 金鑰以明文寫進後端日誌 中 ❌ 沒有 M07（同上）；M09 互指（外洩出口是日誌轉送） #173
163 把網址加長，這次操作就不會出現在操作日誌裡 中 ❌ 沒有 M09 #174
164 操作日誌的「來源 IP」全部記成前端代理伺服器 低 ❌ 沒有 M09 #185
165 沒買問卷模組的客戶，照樣能用問卷的「填答」那一半 低 ❌ 沒有 M05 #186

2.4 稽核輪次管理（FR-116 C 系列，第 166～168、176～180 項）→ M12

總表 一句話 總表嚴重度 總報告現況 該進哪頁 預定 #
166 同客戶任何登入帳號，都看得到任何專案的「任務設定樹」 低 ❌ 沒有；M12 第 110 行「任務設定沒追過」要改成「追完、屬實」 M12 #187
167 同客戶的非成員，知道專案編號就問得出該專案目前的 SSP 編號與狀態 低 ❌ 沒有；同上（「目前 SSP 沒追過」→ 屬實；「待辦清單」→ 不成立） M12 #188
168 專案經理可以改寫、再刪掉稽核人員寫的「改善建議」 低 ❌ 沒有 M12 #189
176 稽核計畫 Word 匯入的壓縮炸彈（病灶在套件共用讀檔器） 中 ❌ 沒有 M12；M11 互指（與總表第 124／127 項同卡） #176
177 稽核計畫 Word 解析器三條比對規則遇超長文字卡住 低 ❌ 沒有 M12 #196
178 兩張「解析工作單」表的資料庫隔離規則照抄 5 月已判壞的寫法，子公司看得到母公司的工作單 低 ❌ 沒有 M12；M20 互指（隔離規則寫錯同一組） #197
179 稽核結果 Excel 匯入一路讀到上傳者決定的最後一列 中 ❌ 沒有 M12 #177
180 確認匯入稽核結果時，佐證資料照前端送來的存，不核是不是這一輪的 低 ❌ 沒有 M12；M02 互指（檔案那半依附總表第 34 項） #198

2.5 合規文件核心——套件本體（FR-118 V／W 系列，第 169～175 項）→ M11

總表 一句話 總表嚴重度 總報告現況 該進哪頁 預定 #
169 把稽核「判定」接到「風險」時，套件不檢查兩者是不是同一份稽核結果（地雷，現在呼叫端有擋） 低 ❌ 沒有 M11 #190
170 「重新產生稽核計畫草稿」不守「過了規劃階段就唯讀」 低 ❌ 沒有 M11（卡片指定；程式在主專案稽核計畫服務，M12 互指） #191
171 頁數極多的 CMMC PDF 讓解析時記憶體撐爆 低 ❌ 沒有 M11 #192
172 PDF 塞一行超長的字，判斷目錄行的比對卡住工作程序 低 ❌ 沒有 M11 #193
173 幾 KB 的特製 Word 讓 SSP 匯入解析卡到逾時，四個請求讓全站停擺（六處併一條） 中 ❌ 沒有 M11 #175
174 Word 打不開時，錯誤訊息把伺服器暫存檔完整路徑回給前端 低 ❌ 沒有 M11（與 #155 同卡） #194
175 建資源庫不檢查框架版本發佈了沒，草稿版本也能被拿去複製 低 ❌ 沒有 M11（與 #65 同卡） #195

預定 # 的算法：新增項照總表嚴重度排（高→中→低、同級照總表順序），接在 #145 後面。上表已採第三節兩組合併（#150 吃第 124＋130 項、#163 吃第 141～144 項），號碼是 #146～#198；若你裁不併，第二步照裁定重排（會到 #202）。總表第 66 項從中升高，沿用 #57 不改號，只移到高風險那一段。

§3

三、建議合併的兩組（照總報告既有的去重規則②「同一套修法、同一支程式的併成一條」）

組 建議 理由 不併的代價
總表第 124＋130 項 併成一條 總表自己寫「124 與 130 指的是同一行程式」（excel_parser/parser.py:42），一個從上傳端看到、一個在解析器看到 同一行程式在總報告出現兩次，派工會開兩張卡
總表第 141～144 項 併成一條（第 145 項評低、留著分開） 同一張修正卡、同一種修法（讀取入口補一行權限檢查），先例是總報告 #3「同一個洞的四個出口」併成一條 總報告多三條中風險，但實際是一次修完

不建議併的：第 123／125 項與 #46（總表第 120 項）雖是「同一個設計缺口的三個入口、要一起修」，但三個入口在不同程式（Excel 匯入／Word 匯入／編輯控制項清單），且 #46 在總報告評中、另兩條評高——分開列、在修法欄互指。

併了之後的數字：新增 57 − 1 − 3 ＝ 53 件，總報告從 145 件變 198 件（最嚴重 2／高 34→39／中 72→99／低 37→58）。高多 5 件＝新 4 件＋總表第 66 項從中升高（#57 移到高）。不併則是 202 件。

§4

四、總表與總報告對不上、要你裁的四處

  1. 卡上寫「145 → 214 條」，兩個數字算法不同，不能直接替換。 145 是總報告「去重、併掉同一套修法之後」的件數（最嚴重與高有 1 件已修好的最嚴重算在內）；214 是總表 §3 全部項次（資安 180＋非資安 32＋掃描補洞 2），沒有去重、也包含總報告刻意分到「非資安」的項。建議：一頁摘要寫「去重後 198 件」（照第三節），另加一句「總表工作底稿共 214 項，含 32 項非資安程式錯誤與 2 項掃描補洞」，兩個數字並列、各自講清楚是什麼。卡上的「1 最嚴重／41 高／97 中／72 低」同理，是總表口徑，不是總報告口徑。
  2. 總表第 120 項：總表評🔴高，總報告 #46 評中。 這是內化時決策者刻意降的（SUMMARY 第 49 行寫明理由：打得到的範圍限於有上下層關係的客戶之間）。但 module_frame 八棒後，同一片地的第 128 項已升為跨客戶高、第 134 項確認原廠公版也改得動。要不要把 #46 升回高？我傾向維持中（第 134 項的前提②仍是「自己公司的管理員」），但這是評級決策，等你裁。
  3. 總表第 118／119 項（總報告 #64）的狀態：總表寫「CM-2041 已修在 fix/security-b1、未合回」。模組頁規格說狀態一律照總表 §3 的兩次複查結果，那兩次複查沒涵蓋這條——照規則維持 ⬜ 未修，但我建議狀態欄補一句「修正分支上已有、還沒合回主線」，免得 PM 以為沒人動。要不要加？
  4. 總表第 154 項放 M04 還是 M09：它是在日誌那棒（FR-115 W5）抓到的，但出問題的中介層與比對規則都在共用基礎（common/middleware/app_mw.py、jedi-common 的 mark_password），修法也動那裡。我放 M04 為主、M09 檢視軌跡互指。同理第 161／162 項卡片沒列 M07，我放 M07（證據分類金鑰鏈）。你若要照卡片放 M22（系統設定）或 M09，第二步照改。
§5

五、既有條目要改寫的（不是新增）

總表 總報告位置 要改什麼
66 SUMMARY #57（中）、M10 第 4 條、M12 從中移到高：FR-116 C3 面板一致評高——看得到的不只輪次清單，還有別的專案的稽核判定、風險評等、改善計畫與負責人姓名；範圍從 1 支擴成主專案 8 支讀取＋另 2 支（稽核計畫選單、儀表板，不在修正卡 CM-2037 範圍、修正分支沒修）；其中稽核團隊名單那支跨客戶打得到；CM-2037 團隊名單修法「查得到輪次才檢查」擋不住跨客戶。M12 要寫進去（這是稽核輪次那塊的主要發現）
75 SUMMARY #19、M09 第 1 條與「怎麼修（已拍板）」一節 原拍板「只給客戶總部管理員改」失效，改裁「只給平台管理員改」：設定全系統只有一列、轉送鏈一個程序一條，總部管理員一改照樣是全部客戶的日誌送去他那台。「每家客戶各自轉送」是新功能不是修正，未採。修好也同時關掉第 162 項的外洩出口
132 新條 #155 修法擴大：不只回前端那段要改，try 也要包住寫資料庫那段（FR-118 V4b）
133 新條 #156 後果與修法改寫：原寫的「引用檢查」在正常流程永遠不擋（DEV 591 筆基準線引用 0 筆指向公版）；刪框架只連鎖刪版本、控制項一筆不少；修法改看資源庫表的版本編號欄
— M12 第 108～113 行 「稽核員待辦清單、任務設定、目前 SSP 那幾條沒追過，既不能說有問題也不能說沒問題」→ 改成：C1b 已追完，任務設定與目前 SSP 屬實（總表第 166／167 項，前端已無畫面在叫，裁拆網址）、待辦清單不成立
§6

六、非逐條的改動（第二步一併做）

頁 要改什麼
SUMMARY 一頁摘要 「21 塊查過、2 塊沒查」→ 23 塊全部查過；檢視輪數、檔數要重算（77 輪／1,810 檔 → 加 FR-113 十棒＋module_frame 八棒＋FR-115 八棒＋FR-116 九棒＋FR-118 八棒；檔數我會照各批盤點表的檔數加總、不自己估）；加一句「主專案還有 425 支沒碰，其中 119 支有判斷邏輯該掃，排下一階段」
SUMMARY 最要緊的五件 照卡片重排：第 154 項（唯一不必登入就讓全產品停擺）、第 66 項升高、第 173 項（幾 KB Word 卡死）、第 128 項（跨客戶整份計畫下載＋45 張表零隔離全貌）、第 178 項（壞的隔離規則被照抄）。⚠️ 原本五件（代理程式、儲存帳密、稽核證據、防竄改、資料庫密碼）若整批換掉，最嚴重那件（代理程式）就不在五件裡了——建議改成「原本五件＋這一輪新增最要緊的五件」兩張表，或擴成七件，第二步前請你定
SUMMARY「為什麼有兩塊完全沒查」 整段改寫：兩塊都查完了；換成「主專案 119 支排下一階段」與 FR-119 裁完的掃描範圍（14 棒）
SUMMARY「我們打算怎麼修」 補十九件裁定摘要（decision-draft.md 第 36～54 項）與套件發版清單
SUMMARY 分析與結論 十一種形狀那張表補：「有人守了一半」八種長相、壓縮炸彈四個入口兩個 repo、壞隔離規則照抄、45 張表零隔離全靠呼叫端
**README（總報告首頁） 三十秒版的數字；一覽表 jedi-oscal-v2、jedi-compliance-audit 兩列從「⬜ 完全沒查」改成「✅ 完成」＋主要發現；底下「關於完全沒查那兩塊」那段改寫。卡片沒列這頁，但不改會跟 SUMMARY 打架**
M11、M12 整頁重寫（現在是「沒查」頁），照 _module-page-spec.md 五段
M04／M05／M06／M07／M09 檢視軌跡表補 FR-115 對應那棒一列；問題表插新列（頁內編號續編不重編，照 M09 既有先例按嚴重度插位置），SUMMARY「出自」欄對應
M10 第 4 條（總表第 66 項）改高
M19／M23 只在檢視軌跡補 FR-115 W6 一列「有查、沒找到」（這一頁的價值就是證明有查）
GUIDE-01 方法段補三件：①零發現棒靠實測（V4b／W1／W2／C4a／C4b 手做惡意檔）；②兩次掃描配對切（工具範圍不能跨 repo，跨 repo 會被靜默丟掉）；③「有人守了一半」八種長相清單
§7

七、範圍外順手看到的（不在第 118～180 項，但同一批掃描帶出、總報告也沒有）

總表 是什麼 建議
§3.2 第 36 項 複製 SSP 時三種內部互指沒換新編號，DEV 凍結快照 47/47 指錯（非資安） 卡片有點名，進 M11「非資安但真 bug」小表
§3.2 第 37 項 專案 SSP 再匯入時人員等編號每次換新、外部服務與設備每次多一份（非資安，與 36 同卡） 同上
§3.2 第 34 項 弱點掃描規則包解壓上限三套數字、一套是死設定（FR-115 W3，非資安） 進 M03 非資安小表（卡片沒列，第二步要不要做請你定）
§3.2 第 35 項 授權簽發站方案表單可把基礎包模組取消勾選（FR-115 W6，已裁鎖死） 進 M18 或 M19 非資安小表（同上）

沿革見 LOG 與 git log。