FR-132 LOG（append-only）

commits：BE 36393a257（討論稿定案＋design.md 落地＋README 登記）、6dc9b5a8f（開 Notion 卡＋design.md 回填卡號）；本交接雙檔另一 commit。皆未 push。 Notion：母卡 CM-2510＋子卡 CM-2511～2541（A.1 2511–2516／A.2 2517–2522／A.3 2523–2530／A.4 2531–2535／A.5 2536–2541），全 Not started；CM-2517、CM-2534 append 首腦補裁。T-1.1（CM-2511）決策者當日已派 runner。

做了

• FR-132 資料夾：discussion.md（722 行）、design.md（447 行）、README.md、inventory 三份探脈、notion-cards-spec.json、notion-cards.json。
• DEV 修資料：role 38「Billows 系統管理員」補 43 個能力點至 103（與 Billows Admin 一致），一個 transaction，只動 DEV。
• 三環境唯讀盤點：STG is_admin 角色 121／能力點 101（落後兩個）；190 為 123／103 乾淨但 user_roles 82 筆全掛部門；DEV 39 筆部門指派。
• A.1 五棒派工 prompt 交給決策者（CM-2511～2515）。

決策

• D1–D12 全照建議。D4 涵蓋子部門；D6 系統管理員 *.*.* 內建不可刪、三範例角色可改刪；D12 做機制＋租戶開關預設關。理由：多數客戶的部門只是組織標記，預設關升級無感。
• 部門繼承採方式乙（範圍套在資料列 org_unit_id，使用者所屬部門不參與）。理由：方式甲會讓隸屬稽核部、被指派管財務部專案的人用不到那筆指派，且管理員無法從指派畫面推出結果。
• require_capability_on 單筆寫入守門要做、直接擋；只記錄模式改為每能力點旗標；T-2.1 改名連程式內宣告一起改。
• is_admin 轉換：能力點等於租戶全集者轉 *.*.*，同租戶多個取最早建，其餘保留旗標、能力點原樣轉。
• 首腦不切 branch：A.2 起由決策者開 branch 後通知；A.1 唯讀不等 branch。FR-B 另開，時間待決策者與 PM 討論。

推翻了什麼

• 部門繼承原寫方式甲（使用者所屬部門與指派部門互比）→ 改方式乙。
• 原估「19 支 service 硬編能力點」→ 實為約 70 處。
• 原估兩套能力點命名寫法 → 實為三套。
• 原計畫升級時自動補租戶層指派 → 方式乙下開關關即等同整租戶，不需要。

教訓

• 開卡棒中途 Notion API 500 中斷一次；重派前先查 Notion 有沒有建了一半的卡，避免 Case No 重複或跳號。

留給下一棒：等 A.1 五棒回來，首腦做 T-1.6 合併並裁四項模組歸屬爭議。

commits：3190788c5（T-1.1 Done、CM-2513 補裁、開 T-4.6）、d8d3f0579（T-1.5 定案）、5f8b92a15（T-1.4 定案）、ad1f3bd9c（T-1.2／1.3 定案、三通則、12 模組）、32c0ee9ed（修模組表四列）、本交接一 commit。runner 側：7bc95380f／9ef0079f9（T-1.1）、ebef8fa9c（T-1.5）、27cf23dae（T-1.4）、1f0b6e221（T-1.2）、bda34a909（T-1.3）。T-1.1 兩支已 push，其餘未 push。 Notion：CM-2511～2515 Done；新開 CM-2542 T-4.6；CM-2513 補裁 device 歸 asset。

做了

• 驗收五份盤點（每份開檔對程式碼抽查 4-6 處守門宣稱＋DEV 能力點數），全部通過。
• 決策者逐條裁 46 項（grc 10、platform 8、system-iam 8、detection 12、oscal 10，部分批次）。
• 立三條情境通則；模組 9→12。

決策

• 模組 12 個（grc、oscal、flow、detection、evidence、survey、system、iam、platform、asset、ai、workspace），表在 design §6.1；三條情境通則 A／B／C，原廠層兩道都過。
• information-system→asset；storage-config→system 且五門拆開；ai-quota 拆兩個；ai 獨立；公告與回饋→workspace；license 原廠端→platform.license。
• 填答、檢測執行、任務問卷設定、專案雲端資料夾歸 grc.job／grc.project，不開 survey.response（決策者質疑後首腦修正，理由通則 A）。
• flow 維持獨立並開 flow.template.publish（首腦推翻 runner「併 grc」建議，理由 grc.*.* 萬用字元會順帶拿到範本設計權）。
• 部門資源名採 iam.org-unit（決策者推翻首腦建議，理由「以前改版過、跟程式統一才不亂」）。
• workflow.* 刪除；grc.audit 不拆；project.approve 名字移給 grc.audit.approve；jedi-* 套件該動就動；拆 jedi-remote-agent 守門插槽為讀寫兩個。

教訓

• 回寫棒會把定案寫反（公告歸 platform），首腦驗收必開檔對定案源、不信自報。
• 批次裁決前先把低爭議 11 條挑出整批過、取捨的逐條，決策者接受度高。
• 決策者看不懂 API 路徑，T-1.6 產出要以功能（畫面／按鈕）為主軸。
• 「套件」一詞對決策者有歧義（jedi-* BE 程式庫 vs Agent 安裝包），講時要指明。
• Notion 改狀態常撞 504，重試後讀回確認即可。

推翻了什麼

• design 草案「platform＝16 個原廠能力點集中地」前提不成立（實查 16 個散在 oscal／system，platform 範圍只有 log.read）。
• T-1.1「process-definition 是舊入口可退役」→ T-1.2 查明被四支活頁面用、必須保留。
• 卡上 feedback.export、cloud_integration.update「孤兒」→ 都有 route 守；system_config.*「純孤兒」→ 是 GROUP 分流 fallback。

留給下一棒：T-1.6（CM-2516）。

commits：16ed89083（決策者 session 產出三檔：a1-capability-tree／a1-shipped-roles.json／a1-d12-tables）、本棒一 commit（裁示寫入三檔＋design D6／D12＋STATE／LOG）。未 push。 Notion：CM-2516 修正待驗證。

做了

• 派兩支 opus：B 棒（角色 JSON＋D12 表）完成並驗收；A 棒（能力點樹）撞閘道 500 兩次中斷，決策者改自己開 session 做完。
• 驗收：附錄 B 對 DEV 123 列逐列比對無缺無多；41 個畫面涵蓋 ui_routes 49 條；B 棒四條關鍵斷言（tenant 指派 140/141 帶部門值、job_executions 只看 tenant、26 個跨部門資源庫引用、feedback export 不濾 owner）全部實查屬實。
• 首腦裁 10 條（見 STATE「已定裁示」最後三點）；決策者裁 3 條。

決策

• D12 本版不做，全放（決策者）：理由「目前版本什麼都沒擋」，維持現狀；跨部門成員放行與 SSP 軟參照名稱問題隨之延後。T-3.6／T-5.6 整卡延後，T-2.3／T-3.8／T-4.4 拿掉隔離段。
• 補第五個範例角色「一般成員」（決策者）：受稽方人員沒有合適角色可套，今天範本靠 project.update 做任務動作，新模型改由 grc.job.update 承接。
• 稽核員 job 不給 create／delete、audit 加 create；可改角色不給 feedback.export；三支挑選下拉走通則 B；taxonomy 寫入不新開資源。

教訓

• subagent 跑長文件（讀 2,400 行＋查 DB＋寫 1,400 行）撞閘道 500 兩次，續跑一次後決策者改自己開 session 跑完。長產出類工作派 subagent 前先評估「中斷重跑成本」，要嘛拆小、要嘛直接開 session。
• B 棒查 DB 查出的事實（140/141 租戶指派帶部門值）推翻了 design 6.3「租戶指派為空」的措辭——文件措辭要以 DB 實況為準，下一版開 D12 時先改。

推翻了什麼

• design D6「唯讀＝*.*.read」→ 改列舉業務模組 read（*.*.read 會露出 SMTP／LDAP 設定頁與全部帳號）。
• design D12「做機制＋開關預設關」→ 本版不做。
• 首腦派工單「四角色」→ 五角色。

留給下一棒：決策者核功能表；發令後改五張卡與 design §7；A.2 等 branch。

commits（首腦側）：5776cdf09（T-2.3 補登 manifest）、806cab92c／29558ac87（STATE 記 A.5 重設計）、8a2777491（無基線庫新裝另開 FR）、本棒 STATE/LOG 一 commit。 runner 側：T-2.1 BE 5aac0e37c＋jedi 5c6d2f0c＋FE 113646d3；T-2.2 23c87b602＋7039e820；T-2.3 1161e0280；T-2.5 d863799ff；T-3.1 a20837d6d＋3d78746b＋FE 031795f3；T-4.1 3efa9a998＋2a70e12cf＋44f9836c；T-2.4 bd0979055＋f19ab9f9；T-3.3 fe9cc2ab6＋006a635c。皆未 push。pyproject.toml 是 16 支套件 path dependency 模式未 commit。 Notion：CM-2517～2521、2523、2525、2531 修正待驗證；CM-2526／2527／2532／2533 派出跑中。

做了

• 驗收八張（每張：DB SELECT、跑測試、實打 admin／blsit 端點）。T-2.3 漏登 manifest 自己補。T-4.1 全量 pytest 兩支紅＝caplog 污染，退回 runner 改 patch 模組 logger 後綠。
• 全量 pytest test 用 518931af9 worktree 跑基線比對：開工前就 61 紅，三棒只新增 5（3 條是 seed 未重產、2 條 T-4.1 已修）。
• A.5 mockup 兩版（opus subagent）皆退回。

決策

• 新租戶管理員角色名 System Manager→系統管理員（T-2.4 runner 定、首腦認可）；test repo 兩處要跟改。
• TENANT_ADMIN_EXCLUDED_RESOURCE_TYPES 清空（T-3.3 查清五個舊鍵對應能力點全不存在）。
• 出貨角色 JSON 放 resources/roles/shipped-roles.json 不放 scripts/init/（打包不帶 scripts）。
• T-3.5 本版 require_capability_on 開關固定 False（D12 延後），邏輯與測試全寫。
• 派工分兩批各四張、不一棒多張：同時八張會在 jedi-iam 同區互踩；一棒多張 context 重且撞 500 整棒報廢。

教訓

• subagent 跑長產出撞閘道 500 兩次；mockup 類視覺產出 subagent 兩版都不中決策者口味——下次先要決策者給基準截圖再做。
• 「非 root *.*.*＝188」是首腦憑記憶估的，runner 實查 164；補裁寫數字要先 SELECT。
• 全量 pytest 基線本來就紅 61 條，驗收必用 worktree diff 不看絕對數。

推翻了什麼

• T-2.5 原卡範圍大半被 T-2.1 順手做掉→縮成三件。
• T-3.3 原估殘留舊名 BE 116 處→實掃 0（T-2.1 已全換）。
• 首腦補裁「T-2.4 先用臨時展開」→runner 直接用 T-3.1 正式函式，T-3.3 不必回頭換。

留給下一棒：驗第一批四張；A.5 設計討論前先要基準截圖。

• T-4.3（3490700b6）、T-4.2（42cb17bc2）驗收通過：對照附錄 A、AST 守衛測試綠、DB 29 顆 log_only（20＋9）。
• 🔴 首腦自己踩了夾帶事故：交接 commit bd1ad4a10 時 T-4.2 runner 的 16 個檔已 staged，git add 三個 docs 路徑後 commit 把 index 全部帶進去，T-4.2 掛點掛在 docs commit 裡且裝飾器重複兩次；runner 用 42cb17bc2 去重補救。未改寫歷史（兩棒並行、未 push，rebase 風險更高）。教訓：平行 runner 在跑時，首腦 commit 前必 git status 看第一欄，有別人 staged 的檔要 git commit -- <自己的路徑> 限定路徑或先 git restore --staged 別人的（同 memory feedback_parallel_runner_git_add_only_own_files，這次是首腦違規不是 runner）。
• 剩第一批 T-3.4／3.5 跑中。

commits：首腦側 42e115ba1（開 T-4.7a/b/c 三張子卡）、本棒 STATE/LOG 一 commit。runner 側（已驗收）：T-3.4 jedi f741d36b；T-3.5 jedi eff7b8e5＋BE 5e44907de。皆未 push。 Notion：CM-2526（T-3.4）、CM-2527（T-3.5）驗收通過，維持修正待驗證等決策者手測收 Done；第二批 CM-2524／2529／2534／2542 四張各 append 一段「首腦補裁（第 4 棒）」並由決策者凌晨派出；新開 CM-2543（T-4.7a 任務線）、CM-2544（T-4.7b 檢測證據線）、CM-2545（T-4.7c 其他六套件），卡號登入 notion-cards.json、規格在 notion-cards-spec-t47.json。

做了

• 驗收 T-3.4：選單可見性、選單明細、JWT is_admin 三處改吃 get_active_capability_names／get_active_roles_brief；新增 UserService.is_admin_by_active_roles；UiRouteRepoImpl.get_viewable_by_user_uid 改名 get_viewable_by_capability_names（改收能力點名集合）。兩條突變各自紅（claim 改回 user.roles 2 紅、明細改回 1 紅），jedi-iam 整包 698 綠；DEV 把 blsadmin／blsit 三筆 user_roles.ends_at 改成昨天後重登：blsadmin claim 變 false、兩人選單只剩 3 個無需求路由；改回後 web-menu 與基準逐 byte 相同，資料已還原。BE 無程式碼變更。
• 驗收 T-3.5：get_active_assignments 帶回部門 path（org_units outer join）、新檔 jedi_iam/authz/org_scope.py 純判定、require_capability_on／viewer_has_capability_on service 層函式、org_unit_isolation_enabled() 固定 False、BE shim re-export＋DI 多注入 org_unit_domain_service、守衛測試登記。29 條綠、兩條突變紅（前綴改相等 4 紅、開關開不過濾 6 紅）；BE 守衛測試 114 綠 3 紅（既有 seed 基線）；DEV 真 DI 六組合（開關關 99／98／None 全放行；開 99 放行、98 與 None 擋 GRC_403022）與回寫相同；沒掛任何 route。
• 兩棒共用檔 user_role_repo_impl.py 沒互蓋：T-3.4 的 is_system 欄與 T-3.5 的 get_active_assignments 都在 HEAD。
• 第二批四張補裁：T-3.2 快取掛 CapabilityExpansionService.expand_roles，jedi-iam 不加 redis 硬依賴、開可選 port 由宿主注入 core/extensions.py 的 redis_client，版本號在 system_configs（tenant_id=1、group CAPABILITY_CATALOG、key VERSION），版本號加一靠 migration 慣例＋守衛測試掃 scripts/sql；T-3.7 新增 iam.role.export／iam.role.import 兩顆（enforce、license_module=role）、版本號改 2，匯入走既有角色寫入方法（T-3.2 在那裡掛失效）；T-4.4 縮到主專案六個 route 檔（system_config、ai_quota、diagnostic_bundle、recent_error、drive_app_credential_verify、setup 只登豁免）＋jedi_system_core 5 支 system config route＋豁免清單擴進既有 test/security/code/test_route_guard_inventory.py；T-4.6 缺口二只剩授權軸、缺口四 FE 仍在用（api.js:100、WorkflowSetupForm.vue）、多一支 GET /oscal-framework-parse-jobs/<uid>→oscal.framework.read、缺口三拿 is_admin 旁路前先 grep 呼叫端。
• 開 T-4.7 三張：附錄 A 標「無」的套件 route 143 支，扣附錄 C 豁免 108 支，拆成任務線 49（task-platform／compliance-audit／survey）、檢測證據線 36（detection／evidence-classification／remote-agent，remote-agent 4 支全豁免只核對）、其他六套件 21（license-runtime／iam／system-core／bulletin／ai-bot／issue）。各套件 plugin contract 有 capability_required 插槽的：survey／detection／system-core／bulletin／issue／iam；要補 port 的：task-platform／compliance-audit／evidence-classification／license-runtime／ai-bot。三張依賴 T-4.4 完成才派。
• 決策者凌晨離座，首腦掛 Monitor 盯四張卡回寫，回寫即驗收。

決策

• JWT is_admin 口徑維持跨租戶（登入時 tenant_id=None、任一租戶有效管理員指派即真），側欄選單按作用租戶算。理由：這是舊行為非本案新增，真正守門在能力點判定、已按作用租戶，claim 只影響前端入口顯示。記待辦不改，A.5 前端重設計時一起看。
• T-4.7 現在就開卡、不等第二批過。理由：卡號 auto_increment 要連號；開卡不等於派。

教訓

• 交接文寫「第一批四張跑中」，實際 Notion 狀態是 T-3.4 In progress、T-3.5 Not started、T-4.2／4.3 已驗收。接手要以 Notion 狀態與 git log 為準，不抄交接文。
• 驗收腳本用 zsh 把 psql 指令放進變數字串，被當成單一指令、UPDATE 根本沒跑，而 probe 結果看起來像「過期沒生效」。手測腳本的 DB 寫入要先確認回了 UPDATE N 才看結果。
• python -I 會忽略 .env 載入的環境變數，create_app 會因缺 DRIVE_TOKEN_ENCRYPTION_KEY 炸；跑 BE 內 script 要先 source .env。

推翻了什麼

• 交接文「第一批四張跑中」→ 實為 T-4.2／4.3 已驗收、T-3.4 在跑、T-3.5 還沒開始（上一棒夾帶 commit 的事故也讓 T-4.2 掛點先入了 docs commit）。
• T-4.4 原範圍含全部套件 route → 改成只做主專案六檔＋system_core 五支，其餘 138 支拆去 T-4.7。
• T-3.7 建議 model sonnet → opus（匯入要走既有寫入方法、牽涉 T-3.2 失效，不是機械活）。

留給下一棒：驗第二批四張（回寫即驗）；T-4.4 過後派 T-4.7a／b／c；A.5 設計討論前先要基準截圖；等決策者裁基線重產與 T-2.6 dump。

commits（首腦側）：42e115ba1（T-4.7 三卡）、31f555923（STATE/LOG）、31397a22d（T-3.9 開卡＋STATE）、879eeb4c0（STATE 記 T-4.4 驗收通過）。 runner 側：T-4.6 BE 131779220＋jedi 595fdf7f；T-3.2 BE 62ed50b89＋jedi 193df352；T-3.7 BE 2ba80eff6＋jedi 2aec6fd0＋FE 7aa2f015；T-4.4 BE 11cfa8a17＋jedi 9007cb2b。皆未 push。 Notion：CM-2524／2529／2534 修正待驗證（首腦驗過，各卡末段有「首腦驗收」）；CM-2542 退回 In progress（弄紅 T-4.2 的 test_fr132_t42_route_capability_mounts.py，MOUNTS 表沒加 WorkflowExecutionRoute.get → flow.template.read，其餘三項通過）；新開 CM-2543～2545（T-4.7a／b／c）、CM-2546（T-3.9）。

做了

• 驗收四張（每張：開檔核 diff、跑測試、首腦自選突變、DEV 真 DI／真 Redis／實打端點）。T-3.2 真 Redis 寫入命中清除全對（鍵 authz:exp:102:2:4）；T-3.7 實打四情境（零命中 400 列出、同名 409、系統管理員同名另存且內建不動、blsit 403），測試角色已清；T-4.4 blsit 讀 SMTP 設定 200＋log_only、支援頁平台門照擋 403。全量 pytest 與基線比無新增紅。
• 開 T-4.7a／b／c 三卡：附錄 A 標「無」守門的套件 route 143 支，扣附錄 C 豁免 108 支，依套件 plugin contract 有無 capability_required 插槽拆三棒。開卡後實查 venv 發現 path 模式只有 16 支，task-platform／evidence-classification／ai-bot／oscal-v2 仍是 Nexus pin，三卡各 append 補正。
• 開 T-3.9：T-3.7 順帶發現、首腦實查屬實——jedi-iam RoleDomainService.add_role／update_role 只寫舊表 role_capabilities，FE 角色表單送能力點 id，T-3.3 之後判定只讀 role_capability_patterns，畫面新建的角色沒權限、改過的角色判定不變且不報錯。拆分表沒有任何卡負責，A.5 前端開工前必修。

決策

• T-4.6 退回不收：守衛測試紅就是沒驗完，不因「不是我弄壞的檔」放過。
• T-4.4「改名兩組也認舊名」收下但記拿掉：DEV 舊名能力點已不存在，多認等於沒放寬。
• T-4.4 PENDING_GUARD_ROUTES 用包含斷言是守衛弱點（新裸端點加進去也會過），111 條待 T-4.7／T-4.5 清到 0 後改集合相等。
• T-4.7 三張依賴 T-4.4，現已可派，等決策者令。

教訓

• runner 回寫「相關測試全過」要問跑了哪幾支：T-4.6 只跑 T-4.3 的 AST 測試，沒跑 T-4.2 那支，弄紅了沒發現。驗收固定跑 test/test_fr132_*＋test/security/code/ 全部。
• 卡上「套件全部已是 path 模式」是首腦憑 STATE 寫的，開卡後查 .pth 才發現只有 16 支——環境斷言開卡前要 ls .venv/.../*.pth 實查。
• T-3.7 手測的 is_admin 是整數不是布林，送 false 回 COMMON_400001，看起來像端點壞掉；回寫手測清單要標欄位型別。
• 平行四棒同時改 jedi-iam authz/capability.py（T-3.2／3.7／4.4）與 BE common/authz/，靠 runner 各自只 add 自己的 hunk 撐過去，沒撞；但 T-4.6 與 T-4.4 各自維護不同的守衛清單（MOUNTS 與 JWT_ONLY_ROUTES），一棒掛點另一棒清單就紅，派工時要在卡上寫「掛點後更新哪幾份清單」。

推翻了什麼

• T-4.6 缺口二「補 require_license」→ 摘要報告在 FR-062 §6 屬基礎包，不補，缺口關閉。
• T-4.6 缺口四「退役端點」→ FE 四支活頁仍在用，改掛 flow.template.read log_only；注意出貨角色只有唯讀持有這顆，真擋前要調角色。
• 首腦補裁「T-3.2 版本號只由 migration 加」→ runner 查出 flatten_pkg_migrations.sh 每次升級重跑 _capabilities.sql 也會新增能力點，改成產生器檔尾固定加一。

留給下一棒：T-4.6 補 MOUNTS 後驗收收尾；派 T-4.7a／b／c（等令）與 T-3.9（優先）；派前先把 jedi-task-platform／evidence-classification／ai-bot 切成 path 並重啟 BE（T-4.6 缺口一在 DEV 才生效）；A.5 討論前要基準截圖；JWT is_admin 口徑等裁。

commits（首腦側）：189fa259c（STATE 終局）、47360bc71（E2E 專案清理）、f1261adf0（e2e 帳號清理）、96156fc0e／7a0e05755（MEMORY.md 瘦身）、0a79ad1f3（T-6.1 卡＋memory）、bc880617c（T-5.6 卡）、7b53efb40／aa87e822d（D12 analysis）、8eff09605（第五類動詞）、6aa0ae2fd／f4526dcc5（T-3.9／3.10 登記）。 runner 側：T-3.10 jedi 9698dfe2；T-5.1 FE b194d460＋jedi 19dec3ec＋BE cafbce81f；T-5.2 FE e4cc8188＋jedi 8b0a8847；T-5.3 FE 26e5f52e＋jedi c9a07dc8；T-5.4 FE d2b7b6d4；T-5.5 FE caaaf1be＋BE 91b9bc650＋jedi a664ae8a；T-1.7 BE 0346f3a4f。皆未 push。 Notion：CM-2546／2548～2553／2547 修正待驗證（首腦驗過）；CM-2528／2541 Done（D12 結案）；新開 CM-2554（T-6.1 手測清單，未派）、CM-2555（T-5.6 回饋）。

做了

• 驗收 T-3.10／T-5.1～5.5／T-1.7 七張：headless 實開三頁、HTTP 實打、突變。
• DEV 清 164 個 e2e 帳號（甲）與 1,055 個 E2E 專案（乙）。乙案三次 dry-run ROLLBACK 看數字才 COMMIT；OSCAL import 鏈三層 NO ACTION，要留 5 AP＋5 SSP。
• 清 3 筆髒指派與 user_change_pwd_logs；重起前後端。
• 三張 mockup 定稿 → design §6.6 改寫 → A.5 五卡重開。
• 給決策者 15 步驗證路徑。
• MEMORY.md 瘦身並補回被讀取上限吃掉的 10 條。

決策

• 決策者：D12 不做、記為設計決定；介面用語「權限」；角色不分類型欄；指派這版不開部門範圍；第五類獨立動詞 execute；T-1.7 兩項高優先併 T-3.8 補件；稽核證據是法規紀錄、不能用 housekeeping 自動清除；刪 e2e 帳號與 E2E 專案。
• 首腦：T-5.6 四件回饋開一張卡；公用角色預設不做、等裁；角色與指派維持分頁，另加「指派給人」鈕。

教訓

• 🔴 subagent transcript 只有 192 bytes 不是死訊，兩次砍掉活 agent（T-1.7、T-6.1）。已記 memory feedback_subagent_transcript_size_not_liveness_signal，判準只認完成通知或硬期限。
• 決策者要的是「怎麼驗 FR 對不對」，不是「27 張卡的手測清單」。派工前先問目的。
• 大型刪除一律 dry-run ROLLBACK 看數字再 COMMIT；OSCAL import 參照是 NOT NULL＋NO ACTION，會逐層擋。
• headless 注入 token 要連 permissions（web-menu）一起塞進 cm_store，否則 hasCap 全假，頁面顯示沒權限，會誤判成 bug。

推翻了什麼

• T-6.1 開了又不派（決策者只要驗證路徑）。
• 「60 天回收桶到期硬刪」建議整個撤回（法規證據不能自動清）。
• T-4.4 原卡「拿掉指派相關部分」→ T-5.5 保留租戶／部門編輯，否則沒畫面能把人加進第二租戶。

留給下一棒：接決策者手測回饋；T-5.6 等派；公用角色等裁；舊資料討論等開；收口等裁。

Notion：CM-2555 append 兩段補件（六件小修）；未開新卡，兩件待裁。

做了

• 接三批回饋，逐條開檔、查 DB、實打 API 分類。小修六件併進 T-5.6；兩件要裁的寫進 STATE 待裁第 0、6 條。
• 實打 API 時用 .env.e2e 的管理員帳號登入失敗三次，把 blsadmin 鎖了 15 分鐘（決策者正在用）。已用 SQL 把失敗次數歸零解鎖。

決策

• 角色列表「權限」「可見頁面」欄的值是前端另打 stats 算的，BE 不能排；收「只排本頁」，不為排序落統計欄。
• 「佐證」統一成「證據」（FE 目前證據 109 處、佐證 19 處，功能名也是證據分類）。
• 「角色這批是舊資料嗎」答：不是。匯入匯出是 T-3.7 今天新加的兩顆，舊角色沒有是因為沒人補給它們——併進待裁第 0 條。

教訓

• 🔴 首腦實打 API 前先確認帳密有效：.env.e2e 的管理員密碼與 DEV 不一致，三次失敗就鎖，鎖到的是決策者正在手測的帳號。實打一律先打一次、失敗就停、改用 SQL 或另一個帳號。
• 「轉換 migration 只改名不補新拆出的權限」是拆分表沒有任何卡負責的缺口，和 T-3.9 同一型：每張卡都對，卡與卡之間的空隙沒人管。

留給下一棒：T-5.6 等派；待裁第 0、6 條等決策者。

17:10 驗收 CM-2557 通過（BE 147036106／beedf0247、jedi c8204b44、FE 3f16ebc4）。守衛兩突變皆紅。發現 CM-2556 已先 commit 補授 migration（c059265a8），兩支 ON CONFLICT 互不衝突。教訓：平行棒的「誰給了這顆」要看 git log 不要看回寫——回寫只寫自己那支。

17:25 驗收 CM-2556 通過（舊庫排練除外）（c059265a8／0074073d0）。抽查六顆歸類、冪等重跑、自選突變「改類別不刪列」皆過。runner 查出升級補授模板寫舊表→開 CM-2562。教訓：runner 回寫「其他發現」要當線索立刻核實，核實屬實就當場開卡，不要堆到收尾——這條若漏掉，下一版新增權限就是靜默缺授。

17:55 驗收 CM-2555 通過（FE 2a065f6f／da8c129c、jedi 298254bb／67b0c991）。runner 誠實標「沒實打」，首腦用 DEV 臨時帳號（已刪）headless 實開四頁補驗，十五件全對、console 零錯。順帶抓到樹不認三層選單→開 CM-2563。教訓：runner「打折處」寫得清楚時，首腦驗收就該直接補那一塊，不重驗它已驗的；臨時帳號建法記 scratch（users 要 created_at、user_tenants 要 starts_at／is_default，trigger 會擋非成員指派）。

18:20 驗收 CM-2558／2560／2561 通過（2558：jedi a66f3bd7＋FE 4f7c5159，匯入裁回單角色；2560：jedi f4b08dcd＋FE e0dc67a8＋BE 84c9a9520；2561：BE 3d25e410d 盤點 428 顆）。2560 的「沒權限→按鈕消失」runner 沒驗到（DEV 所有角色都有小幫手權限，是 2556 B 類補授的副作用），首腦建無權限臨時角色＋帳號補驗（已清）。2561 四題首腦裁：專案情境看專案權限、合規框架保留 isPlatformAdmin 第二層、批次建帳號要 assign、清除對話非按鈕結案。決策者再裁：角色列表「可見頁面」欄拿掉改預覽 Dialog，併 CM-2563。六棒全收。 教訓：平行棒會互相改變對方的驗證前提（2556 補權限讓 2560 找不到反例）——驗收時「找不到反例」要自己造，不能接受「DEV 沒這種帳號」當通過。

19:50 驗收 CM-2567 通過（FE 1b0b4973）。runner 標「沒看 console」，首腦臨時帳號 headless 開四頁補驗零錯。教訓：抽 DEV 樣本要用活旗標（projects 是 deleted_at 不是 is_delete），按 id 抽到軟刪列會誤判成頁面壞掉；本棒 runner 的三種引用查法（import／動態載入／router）加 i18n 三條件可當日後死碼清理的標準做法。

20:05 驗收 CM-2568 通過（jedi 0754938a＋BE dc7712094）。突變用 if False: 包住呼叫，不能用 # 註解單行（多行呼叫會變語法錯，測試報 error 不是 failed，看不出守衛有沒有牙）。runner 發現 PUT /role 缺 tenant_id 變 500→併 CM-2564。

20:40 驗收 CM-2565 甲通過（FE 81f22827＋BE cd33a4675）。runner 讀完卡自判做不完、先拆再做，是這輪最乾淨的一棒。首腦突變「CAP 換成存在但錯的常數」仍綠——這不是漏，是甲的守衛界線（乙三向核對才抓掛錯顆），回寫有講明。教訓：守衛測試要寫清楚「抓什麼、不抓什麼」，驗收才知道哪個突變該紅哪個該綠。

21:05 驗收 CM-2562 通過（21b90c2c8）。runner 標「沒跑完整 flatten」，首腦只重現它那一行 sed 替換、產物進交易跑完 ROLLBACK——補驗打折處不必重跑整條管線，找到最小可重現的那一步就夠。突變用「另加一段寫舊表」而非改名，守衛仍紅。

21:30 驗收 CM-2563 通過（FE 47744ad3）。突變選「拿掉 url 判斷」而非 runner 的「改回兩層」，兩紅。headless 補驗四項皆對。

22:10 驗收 CM-2564 通過（三 repo）。突變「多綁第二顆 ALL」紅。runtime 稽核人員直打內頁→403 頁帶缺哪顆。runner 漏做補件四（tenant_id），卡尾堆太多補件是首腦的錯——補件超過兩段就該拆卡，不該繼續往上疊。教訓已在 2565 吃過一次，這次又犯。

23:05 CM-2571 退回（FE 9a4b511f＋BE db74efce2 留著，補一個 commit）。composable 測試綠、畫面沒變——同一份 grouped 在 RoleDetail 與 PermissionTree 各算一次，只改了一邊。教訓：驗收「顯示層」的卡一定要數 DOM，不能只看 vitest；runner 標「未做瀏覽器實測」時首腦就該預期這類洞。

23:30 CM-2571 複驗通過（FE 3c3c572c）。runner 補的元件測試有對照組（不給 labelOf 會三列），首腦突變 aliases 也紅。首腦第一次數列用 innerText 第一行，漏掉同列後段的「3 個入口」，差點誤判標記沒出——數 DOM 要看整列不要只看首行。

00:15 驗收 CM-2566 通過（三 repo）。runner 實測出 .claude/rules 不吃絕對路徑／--add-dir，改成各 repo 放複本＋守衛逐字同步——比首腦補件寫的備案更對。首腦突變 jedi 複本一字→同步守衛紅。CM-2564 補件三兩度漏做→拆 CM-2573，不再往 2569 疊（今晚第三次學這條）。

00:55 驗收 CM-2572 通過（FE 2fd541ad）。首腦突變第一次打錯層（2571 的 key），第二次對準 groupInnerByGate 才紅——同一支檔疊了三層合併，突變要先確認打的是哪一層。27→25：卡上數字把原廠門檻算進去，runner 用 DEV 實數對。

01:20 驗收 CM-2573 通過（jedi 6899d225＋FE c911558c）。首腦實打先用自己拼的 body 拿到 500，查 traceback 才知是多帶了 is_admin——實打 API 要用 FE 真實 body（useRoleEditor.js save），不要憑 GET 回應反推。順帶挖出 schema／DTO 欄位不對稱的潛在 500，記待辦。

02:00 CM-2569 退回。機制本身乾淨（突變「存在但錯的常數」紅，補上 2565 甲的洞）。但 runner 回寫說「要首腦裁」之後 20:19 又自己 commit 兩個、方向還裁反（前端迎合套件錯誤守門），回寫完全沒提。首腦 revert 兩 repo。教訓：驗收一定 git log --grep=CM-xxxx 對回寫列的 commit，多出來的每一個都要開——回寫外的 commit 比沒回寫更危險。另：交辦進別張卡的事項要在那張卡的驗收清單上逐條點名，不然就會像這次兩條登記改法靜默消失。

02:30 CM-2569 根因：追到底是 asset.device.import／export 從未進 jedi-asset 的 CAPABILITIES tuple——宣告、DEV、常數檔三處都 206，只有出貨 seed 與設計文件說有。首腦傍晚回報的「208」是錯的（當時 DB 查到的數字來源已不可考，之後 flatten upsert 把兩顆沒宣告的列也沒刪，純粹是我少驗一層）。runner 撞到真矛盾但往反方向修；正確是補宣告修 route。教訓：「DB 有」「seed 有」「文件有」三個都不等於「宣告有」——權限的真相鏈最上游是套件 contract tuple，驗任何權限存不存在要從那裡起算。

03:10 CM-2569 複驗通過；更正 02:30 的根因。「import／export 從未進宣告、全鏈 206」是首腦誤判：兩顆一直在 contract.py:38-39，首腦 sed|cut 截斷了行，又在 runner 工作樹刪了那兩行、DEV 被未入版控刪除腳本動過的過渡時刻查 DB，就把過渡狀態寫成根因。runner 退回後自報了那支刪除腳本並以 DEV-only migration 修復，誠實。兩棒各錯一次：runner 在「等首腦裁」期間動手且方向反；首腦寫根因前沒 git log -L 核那兩行的歷史。教訓：①權限存不存在要看 git show HEAD:contract.py，不看工作樹、不看當下 DB；②寫進 LOG 的根因必須附「怎麼核的」，核法不能只有一個來源；③決策者說「你們兩棒都有點失智」是對的。

05:20 驗收 2574／2575／2578 通過。八棒各自撞到的「套件 route 守門比盤點表粗」收斂成七組，開 CM-2582 統一修，不讓豁免清單變成第二套真相。2578 沒用共用的 Menu 過濾機制自己手寫——九棒平行時共用 composable 要寫在卡上「用哪支、在哪登記」，不能只寫「登記豁免」讓 runner 自己找。2581 挖出 v_user_capabilities view 還建在退役表上、license 通知在讀：T-3.3 改判定時「找出所有讀取端」漏了一個 view，印證 [[feedback_grep_sql_keywords_misses_orm_writes]] 反過來也成立——view 和 SQL 字串是守衛盲區。

06:10 驗收 2579 通過。首腦差點退回：headless 選 .p-inputswitch 與含「已發布」文字的元素，抓到的是狀態篩選分頁與計數，不是發布開關；開檔核三個真開關都掛了 v-can 才發現。教訓：DOM 斷言要選到「那顆控制元件本身」（v-can 掛點的元素），不能用文字或 class 泛選；要退回之前先開檔對一次 runner 說的那幾行。CM-2582 收到第八組（問卷 release route 守 update／delete 而非 publish）。

07:10 八棒全驗完。守門落差最後收成十一組進 CM-2582——每棒都誠實登記了豁免並回寫問首腦，首腦的工作是把它們收攏成一棒而不是讓十一條豁免永遠留著。九棒共用矩陣 JSON 撞了三次（2580↔︎2574、2577↔︎2579、2576 只補行號），每次都被後 commit 的棒自己發現並補回：共用檔「改完立刻 commit」有效，但收口時仍要整份重產一次對帳。首腦 headless 選擇器今天錯兩次（2571 數列、2579 發布開關），規則記進 LOG：斷言要選到掛點元素本身。

08:05 九棒全收。2570 通過；首腦做了承諾的「全收後對帳」：重產矩陣只動行號、兩份守衛與三向守衛 9 綠，commit adf47dcf4。九棒期間矩陣撞三次、基線撞一次，都被後棒自己發現補回；對帳只剩行號，證明「共用檔改完立刻 commit」撐住了。接下來 2582 收十一組守門落差，然後重啟 BE、全量守衛、總測。

09:05 CM-2582 驗收通過。首腦實打先三次 403 才通：同一角色逐顆加 pattern＋手動 bump 版本號不會清該使用者的 Redis 展開快取（快取跟角色改動事件走），每次新登入仍拿舊集合。測權限變化要「新角色一次給齊」或走角色編輯 API，不要直接改 DB 再 bump。這條與 CM-2560 runner 回寫的提醒同源，首腦自己又踩一次。決策者裁開獨立 session 重驗全部產出——今晚首腦誤判三次（2569 根因、2571 數列、2579 開關），該驗。

10:30 CM-2583 獨立驗收：首腦驗過的 28 張沒有一張被推翻，但驗收員找到首腦完全沒驗到的一層——CM-2556 補進新表的權限，會被角色頁一次「儲存」蓋掉，因為勾選來源還是舊表。首腦驗 2556 只驗「補進去了沒」，沒驗「之後存檔還在不在」；驗 T-3.9（UI 寫 pattern 表）時也沒想到「讀」還在舊表。兩表並存期的教訓：改寫入端時，所有讀取端一起列，不然寫得再對、下一次存檔就被讀取端的舊真相覆蓋。開 CM-2585 阻斷手測。決策者裁開獨立驗收是對的：同一雙眼睛驗三十張，盲區會一路帶到底。

11:40 CM-2584 通過（FE 76c54535）。首腦量字級第一次 selector 打到樹的 span 讀到 14px，差點誤判「沒變」；改看截圖才對。這是今晚第四次 DOM 選擇器出錯，規則不變：量「那一顆元素本身」，量不到就看圖。

12:00 CM-2584 退回：字級「放大一級」只寫了頁名與分組，卡片標題與工具列沒寫，runner 照做就把層級做反了；首腦驗收截圖看到了頁名變大就算過，沒看整張卡的大小關係。教訓：字級／間距類的卡要寫「整組層級」不寫「某一層放大」，驗收看圖要看相對關係不看單一元素。

00:05 CM-2585 通過、CM-2584 複驗過，手測阻斷解除。2585 把回填做在 model 層而不是回應層，順手堵了卡上沒寫的第二個讀舊表處（存角色時的授權檢查）——這是 runner 比首腦看得深的一次，記下來：兩表並存期的修法要掃「所有讀者」，不是只修卡上點名那一個。另一個教訓：首腦對決策者說 Drive folders「零 403」，是 grep 用 google-drive/projects/fff5b047.*folders 配到的是 before_request 行而不是回應行，就斷言沒擋；決策者拿 DevTools 截圖打臉。log 查「有沒有 403」要抓回應行或 error_code，不能抓請求行。下棒第一件事把這支查完。

commits（首腦側）：FE 988d0f3f（勾選框 SVG 圖示）、FE 09d54f1b（帳號頁角色區塊重做成指派表）、本棒 STATE/LOG 一 commit。runner 側：CM-2586 FE 82368c97＋BE 65477cbc6（design 一句）；CM-2587 BE f3f906a3b；CM-2588 BE 1b0c0c1d0。皆未 push。 Notion：新開 CM-2587／2588；2586／2587／2588 皆修正待驗證，各卡末段有首腦驗收與明天手測清單。

做了

• 查清 Drive folders 403：api_logs 五筆 GRC_403022 required evidence.cloud-integration.read；根因 T-2.1 改名直翻、沒照附錄 D 第 4 條改 grc.project.read。IT Manager 新舊表都沒那顆，出貨五角色靠 evidence.*.read 剛好蓋住所以測不出。開 CM-2587。
• 待裁 2b 盤完：守 grc.audit.read 的讀取端點 BE 12 支＋套件 1 支，附錄 A 皆如此登記、非誤歸；DEV 命中「有 audit.* 或 project.read 卻無 audit.read」的角色三個（PM／IT Manager／IT執行人員），出貨五角色全有。建議乙、決策者裁乙，開 CM-2588。
• 既存紅燈實跑：module_boundaries 三條確實紅（基線重產附屬）；role_transfer 單跑與同批皆綠。
• 決策者令重啟 BE 測 2587：kill 79879 → 起 91549。
• 決策者截圖勾選框「V 疊一橫」令直做：根因三態元件 pi-check 字型圖示撞主題 theme.css:11394 的 CSS 畫勾；改 CheckIcon／MinusIcon，守衛三條、突變兩紅、headless 截圖三態分明。
• 決策者看 2586 畫面點名「應付」：runner 把新列貼在舊膠囊摘要下面，同一筆指派出現兩次。首腦重做成與指派頁同一套的 DataTable（七欄、同狀態判法、同授權唯讀），headless 開 blsadmin／blsit 編輯頁核對列數與欄位。
• 三棒驗收：2587 守衛 19 綠＋live 實打（臨時 IT Manager 200、臨時無專案權限角色 403 required 對）；2588 開檔核 migration＋DEV 實查三角色與版本號；2586 以首腦重做版為準。臨時帳號／角色全部刪除。

決策

• 2b 走乙不走甲：出貨五角色已假設「進專案的都有 audit.read」；甲要動 12 支端點歸屬，連帶路由登記與矩陣。
• 勾選框與 2586 重做由首腦直做（決策者明令），不另開卡；commit message 記 CM-2586。

教訓

• 🔴 「有沒有 403」要查 api_logs 的 response 欄，app.log 沒有回應行——第 5 棒用 app.log grep 請求行斷言「零 403」就是這樣錯的。
• psql -c "... RETURNING id" 的輸出會夾 INSERT 0 1，拿去當變數會把後續 SQL 弄壞；要 -Atq 或分開跑。第一次建臨時帳號因此留下孤兒列，已清。
• runner 做「加功能」類 UI 卡會傾向在既有畫面旁邊疊一塊而不是重整；卡上要寫清楚「取代」還是「並列」，驗收要看截圖不能只數 DOM。
• 決策者插問時先回一句狀態再查，連續十幾個 tool call 不出聲會被當成卡住（本棒被問兩次「又卡住了？」）。

推翻了什麼

• 第 5 棒「Drive folders 端點不是問題、零 403」→ 是問題，實作掛錯權限。
• 第 5 棒傾向甲 → 決策者裁乙。
• 第 5 棒待裁 2c「4 條紅燈」→ 實為 3 條（role_transfer 不紅），且屬基線重產附屬不另開卡。

留給下一棒：決策者手測 2586／2587／2588＋勾選框（清單在 CM-2586 卡末段）；「專案管理員不能做專案自動分類」待決策者給帳號；GET /user/<uid> 停用列 500 收尾前順手收；待裁 3／4／5 不變。

commits（首腦側，FE）：988d0f3f 勾選框 SVG、09d54f1b／fe72834e 帳號頁角色表＋文案統一、e108b482→1d131897→2fa5173c 角色樹三版到定案（內頁併母頁權限「可進入頁面／可使用功能」）、8e15f56c 工具列分兩排、637a6f94 拿掉主要權限星號、5c6d6c7b 儀表板不打統計 API、ba87b821 拿掉「即時預覽」字樣。BE：e9106cc2e 產生器 FE_NOT_WIRED、7a58a440a 回收 feedback.export migration、STATE 數次。runner 側：CM-2587 f3f906a3b、CM-2588 1b0c0c1d0、CM-2589 BE 1609503b1＋FE 28243b64／08f78305、CM-2590 FE cb51fd33、CM-2591（另一 session）FE 0987cb8b＋BE cf281a0e5。皆未 push。 Notion：CM-2589／2590 新開並收（2589 退回一次後首腦直做收尾）；2591 另一 session 開與做。九張修正待驗證。

做了

• 決策者整個上午對角色樹連續回饋，首腦逐條查證分類：AI 小幫手 CRUD（空殼）、公告／問卷／回饋底下多出項目與「少一層」（內頁壓扁）、證據分類設定檔四顆（後端有前端沒接）、「建立角色跟新增角色差在哪」（內頁重列母頁權限）、儀表板 403（頁 fail-open 但 API 守 project.read）、回饋匯出殘廢（只有 export 沒 review.read）、主要權限星號（設定入口已消失且無運行時用途）、「即時預覽」（純說明字被當按鈕）。
• 角色樹呈現改到定案：內頁不上樹，權限上移母頁，母頁權限下列「可進入頁面：…；可使用功能：…」。空殼判準加 FE_NOT_WIRED 明列＋自檢（不用「沒按鈕就藏」寬判準——會連 grc.audit.close 等 21 顆前端有用的一起藏）。
• 開 CM-2590 文案專業化（規範＋範例＋守衛）派 runner；CM-2591 由另一 session 以方案 C 處理「同一顆權限列多頁連動」。

決策（決策者）

• 甲：內頁歸母頁走後端 pid，不前端 meta；公告瀏覽頁拿掉管理鈕；可見選單預覽只列側欄。
• 樹只列可設定的權限；內頁併進主要權限的涵蓋說明；文案「可進入頁面／可使用功能」。
• 證據分類設定檔四顆先藏（前端沒接）；主要權限拿掉顯示欄位保留；回饋匯出跟審閱權限走。

教訓

• 🔴 接畫面回饋先給終局圖再動手：角色樹改了四版（門檻列→頁名列→說明列→拿掉），決策者點名「我說一步改一步，改得亂七八糟」。正確做法是第一次看到「建立角色跟新增角色差在哪」就畫出終局三層圖請決策者裁，一次改完。
• 「是不是殘廢權限」要分三種：真空殼（無端點無頁面）、後端有前端沒接、功能在別顆門檻的頁上；處置各不同（藏／明列藏／改補授規則），不能一條寬判準打死。
• 突變驗證前先 git stash 或分 commit，git checkout 單檔會把同檔未 commit 的正式改動一起還原（本棒踩一次、重做了一遍）。
• 共用元件以 :view="true" 嵌入的頁，矩陣掃描器靜態抓不到 view 條件；CM-2589 已讓掃描器認 !props.view，但執行期才決定的（回饋頁 feedbackScope）仍要豁免登記。

留給下一棒：接決策者下一批回饋；九張等收 Done；「專案管理員不能做自動分類」待帳號；GET /user/<uid> 停用列 500 未開卡；待裁 3（基線重產，migration 累計 22 支）／4／5 不變。

做了：ui_routes 加 tree_page，專案規劃／專案總覽／稽核計畫三支內頁上角色樹成專案管理底下的子頁；稽核寫入五顆從我的稽核改綁稽核計畫頁。migration 2026-10-08-fr132-tree-work-faces.sql 只套 DEV。

推翻了什麼：第 6 棒定案「內頁一律不上樹」→「內頁預設不上樹，tree_page=true 者上樹成第三層」（決策者 2026-10-08 裁）。

卡上沒寫、runner 補做

• 專案規劃／專案總覽原本 pid 掛在稽核計畫底下，輪次版、證據分類、專案設定等也都掛稽核計畫；只標 tree_page 會長成「稽核計畫 › 專案規劃」且輪次頁按鈕全倒進稽核計畫。migration 一併把十支內頁改掛對應子頁（依 FE breadcrumb）。
• home_route_name 升級時照套件宣告覆寫，只改 DB 會被打回；jedi-compliance-audit 的 close／import 宣告同步拿掉 home_route。
• 三支子頁 sort 同為 900，改 910／920／930 定順序；pageTitle 相鄰同名去重，輪次版才能併回同一列。

教訓：pattern 授權有 Redis 展開快取，直接 SQL 塞 role_capability_patterns 不會清快取——臨時角色要一次建好 pattern 再指派，先建空角色登入一次就會快取到空集合。

留給下一棒：專案總覽與終局圖仍有落差（修改任務歸專案規劃、檢視／審閱任務歸專案管理、留言證據歸待辦任務），擁有者規則下無法只靠本卡收斂，待決策者裁（選項見 CM-2594 卡）。出貨基線待重產（本 arc 累計 25 支）。

commits（首腦側）：FE cb3308e0（問卷非指派人員判定＋抽屜三區塊照權限藏）、1005d2e6（角色樹找回檢視任務＋審閱任務文案）、4b838449（抽屜 hasCap→v-can 守衛修回）、b0ff4b3d（藏依資源切換）、a9c15c1d（擁有者規則 home_route 優先）、3b1ff397（指派頁分組列照 mockup）；BE 97a6aaf26（稽核員收窄）、d519efe7c（10 顆 home_route 改專案總覽＋migration＋補 2593 manifest）、STATE 數次。runner 側：CM-2592 FE 0b225b74；CM-2593 套件 56e6866b／BE b380dec5a／FE a0859a87（決策者另 session）；CM-2594 套件 997ecba3／BE 4dffee9e8／FE e8adc932；CM-2595 套件 4c5e3fe3／FE bd6dafbf／BE 6df5edc20。皆未 push。 Notion：開 CM-2592／2593／2594／2595 並全部驗收通過（各卡末段有首腦驗收段）；決策者手測四張「應該都 OK」，尚未收 Done。

做了

• 回饋一：blspan 非指派人員被標「填寫人員」→ 根因抽屜找不到自己就落 filler；共用 composable 判定，不在名單且非 manager → 無身份唯讀；順手把抽屜證據／留言／問卷區塊照讀取權限藏、開啟鈕看能否進填答頁；文案「匯入稽核計畫／審閱任務」。
• 回饋二：角色樹沒有「檢視任務」可勾 → 根因它唯一矩陣列是填答頁的進入列，被歸到無母頁內頁上；歸頁不看進入列、無母頁內頁不收權限。
• 回饋三～六（開卡）：任務卡不可點 2592；結案問卷與掃描紀錄以證據權限可讀 2593（決策者裁甲）；專案管理拆三工作面子頁＋稽核七顆歸稽核計畫 2594；問卷本體依情境守門 2595（2593 runner 抓到的缺口，裁甲治根）。
• 裁示落地：稽核員範本任務組收窄為 read＋update；藏依資源切換；指派頁分組列照 mockup。
• 驗收四棒：每張從 git HEAD 核 diff、自跑測試、臨時帳號 headless 或 curl 實打，runner 打折處首腦補驗；2594 擁有者與終局圖不符 → 決策者裁改歸屬宣告，首腦直做。
• 證據／專案規劃控管盤點：三種證據與規劃頁端點全守、按鈕全擋；手測看不出效果是任務組 17 顆仍 log_only，前端不需再補。

決策（決策者）

• 結案問卷與檢測執行紀錄視為證據：持 grc.job-evidence.read 可讀；未結案只認 grc.job.read（通則 A 例外）。
• 問卷本體端點依情境：帶 task_survey_uid 看任務權限、不帶看設計器（通則 C）；情境由前端明示不反查。
• 內頁預設不上樹、tree_page=true 例外上樹；三子頁用側欄既有頁名。
• 擁有者：直綁 → home_route_name → 同資源數；任務執行面 10 顆歸專案總覽。
• 稽核員不給 assign／import／export，保留 update 讓他做完自己的任務。
• 依資源視角先藏（一般管理員看不懂）。

教訓

• 🔴 卡上寫「擁有者規則不改」等於沒定擁有者：同一顆權限多頁時誰可勾是看得見的 UI 結果，要在卡上畫明（本棒 2594 因此多一輪）。
• 🔴 自己也會踩守衛：cb3308e0 在抽屜散寫 6 處 hasCap 弄紅 v-can 守衛，runner 跑守衛抓到並正確不越權修。首腦直做也要跑該檔對應守衛再 commit。
• runner 偏離卡片先驗它對不對：2593 保留 ALL 不改 ANY（零 ALL 列＝全開）、2594 改掛十支內頁與套件宣告——三處都是 runner 對、卡錯。驗收不是對卡，是對設計意圖。
• 「看不出效果」要先分 log_only 與真擋：決策者一整天拿掉任務類權限都沒反應，全因那組 17 顆仍只記錄；先講清楚省掉很多「是不是沒做」。
• 用 headless 讀 TreeTable 結構，靠文字 indexOf 三次都失敗（同名列、label 帶計數後綴）；「本頁另需」的指向字串反而是最可靠的結構證據。
• source .env 在 zsh 會把含空格的註解行當指令（.env:45: command not found: AI），無害但吵；要查值用 python 解析。

推翻了什麼

• 第 6 棒「內頁一律不上樹」→ tree_page 例外（決策者裁）。
• 第 6 棒驗證路徑假設「出貨稽核員帶 assign」→ 拿掉。
• STATE 待裁 2b 一直標 🔴 未裁，實際凌晨已裁乙並做完 CM-2588 → 改為已裁。
• CM-2594 runner block「擁有者落差待裁」→ 本棒已裁甲做完（FE a9c15c1d／BE d519efe7c）。
• 本棒卡上 2593 寫「ALL 改 ANY」是錯的（零 ALL 列會讓所有登入者進得去），runner 已糾正。

留給下一棒：見 STATE「下一步」。四張待收 Done；基線重產（26 支）／舊客戶庫 dump／push 三件等決策者裁；T-4.5 轉真擋與收口動作之後才排。

commits（BE main）：a70536d69 基線重產一（25 支）、a256816da 基線重產二（真擋）、73d5bc375 進版 1.26.0（RN／stamp／spec 快照）、7bf292077 19 支釘版（runner）、1fc0b484a jedi-log 加 error-tracking extra、01dca31a4 sentry_sdk 整包編＋smoke 探針④c、8d452760e RN 補 SBOM；FE 0e2b1799 版號；jedi 143c309e 19 支版號。runner：CM-2522 e18a3fc40、CM-2535 45391c556＋jedi 82de16de、CM-2596 7bf292077、CM-2599 8e6817909。三 repo 皆併回 main 並 push。 Notion：CM-2522／2535／2596／2599 驗收通過；CM-2597 裁不做、CM-2598 裁停；CM-2600 進版紀錄。

做了

• 基線重產兩次（188 基線庫備份 guidant_ai_baseline_20261008_1536_before_FR-132.dump）；test_module_boundaries 三條紅轉綠。
• CM-2522 排練用 190（決策者裁）：190 唯讀 dump，本機 guidant_ai_rehearsal／_pre 走 migrate.sh，首腦自己 SQL 展開逐列 diff 遺失 0（8 筆差異皆裁定刪除的 workflow.*／bulletin.read）。排練庫未 drop。
• CM-2535 真擋：決策者裁不觀察直接擋（DEV 三小時 243 筆 log_only 全是手測帳號）。首腦 blspan 實打 403、重啟後 log_only 零筆。
• 收口拆五卡 CM-2596～2600：A（19 支 jedi 發 Nexus、jedi-iam 1.5.0）、D（spec 四頁＋手冊）過；B arc-review 裁不做（三 repo 7 萬行超出一次審閱範圍）；C e2e 裁停（site-regression 過時，重建前不作 gate，memory project_site_regression_gate_suspended_until_rebuild）。
• 進版 1.26.0（功能版），spec 快照 docs/spec-site/v1.26.0/。
• GitLab pipeline 出包四次：2925839814 紅 classifier（jedi main 未含 1.6.3 → 併 main）；2925933217 綠但缺 sentry-sdk；2926571216 綠但缺 sentry_sdk/integrations/；2926721749 最終。190 第一次 deploy 容器起不來（主機 seccomp errno 524，unattended-upgrades 新核心未重開）→ 決策者重開 → sudo guidantai start。
• Sentry：主專案釘 jedi-log 沒帶 [error-tracking]，sentry-sdk 從沒進 lock；修後 Nuitka 又漏收整個 integrations 子包（SDK 用 importlib 字串載 49 支）；整包 add_pkg sentry_sdk＋smoke 探針①帶假 DSN＋探針④c 斷言「已啟用」。190 最終 log「已啟用（environment=PRD, release=guidant-ai@1.26.0+01dca31a4…）」，決策者在落地版 Sentry 核過事件。
• STG／POC（決策者放行）：各先 pg_dump 備份；deploy_only pipeline 2928782083／2928798069（POC manual 首腦按 play）皆 success，三環境對齊 311 支／208 全 enforce。

決策（決策者）

• 不觀察直接真擋；舊庫排練用 190；jedi-iam 進 1.5.0 其餘 patch；壞包同版號重出（甲）；arc-review 不做、e2e 不跑直接進版；site-regression 重建前發版不以 e2e 為 gate；三 repo 併回 main；授權首腦 push 與放行 STG／POC。

教訓

• 🔴 首腦盤點漏判三支套件（flow-engine／evidence-classification／notification 有 FR-132 改動），runner 把 Nexus wheel 抓下來逐檔比對才抓到；釘回舊版會讓出貨帶舊能力點名、守門整個對不上。盤「哪些套件有改」要用 git log main..HEAD -- <pkg>/ 逐支，不要靠 diff --stat 的目錄名 grep。
• 🔴 STATE 沒更新害兩棒抄錯：CM-2562 10/7 就修完驗過，STATE 待裁段一直寫「新開未派」，CM-2522／2535 兩 runner 都抄成「缺口驗不到」，首腦還據此問決策者要不要修。待裁段每棒要對 Notion 狀態核一次。
• 🔴 smoke 沒設 DSN 等於沒測錯誤追蹤：選用相依在 init 第一行就回頭，整段子包漏收 smoke 全綠；選用功能要在 smoke 用假值逼它走完 init 並斷言成功訊息。
• 🔴 Nuitka 對「字串動態 import 子模組」的套件一律整包 add_pkg（gunicorn、sentry_sdk 同病）；症狀是 init 吞例外只記 warning、服務照常起。一次列完「該在／實在」diff（容器內 ls /app/<pkg>/ 對本機 site-packages）再修，不逐輪補。
• .env 密碼鍵是 DB_PASSWORD 不是 CLAUDE.md 寫的 DB_SECRET；讀成空字串 psql 會改互動問密碼、看起來像掛住。
• 取消的 GitLab pipeline 不殺 188 上的 Nuitka／scons 子程序，重跑前要 pgrep 手動 kill，否則 verify 守門擋或互撞。
• 主機 reboot-required 旗標＝升級後容器可能起不來（seccomp errno 524）；三台都有旗標但只有 190 重演，升級前看一眼、起不來就重開再 guidantai start，不重跑 upgrade。
• jedi monorepo 的 gitlab push 在這台機器可用，舊 memory「無憑證」已不成立。

推翻了什麼

• 第 7 棒 STATE「CM-2562 新開未派」→ 早於 10/7 修完（21b90c2c8）。
• 首腦「16 支套件發版」→ 19 支（runner 糾正）。
• 收口 B／C 原計畫 → 決策者裁不做／停。
• 「同版號重出一次」→ 三次才對。

留給下一棒：見 STATE。FR-132 實作與上版皆完成；剩決策者打 tag、收 Done；follow-up 清單在 STATE 備忘。