A.1 盤點：檢測、證據、問卷三模組（加資產的設備）端點 × 三段式能力點

卡片 CM-2513（FR-132 T-1.3）。唯讀盤點，不改程式、不改 DB。

• 範圍：設備（device，歸 asset）、遠端代理（remote-agent-manage）、檢測工具外掛與執行（plugin）、檢測基準（detection-profile）、授權掃描網段（scan-zone）、雲端整合（cloud_integration）、AI 證據分類（jedi-evidence-classification）、儲存設定（storage-config）與檔案上傳下載（jedi-file-upload）、問卷（survey）。
• 主專案 route 檔 6 支、17 個 method：api/cloud_integration/routes/ 4 支（13）、api/remote_agent/routes/agent_file_route.py（1）、api/system_config/routes/system_config_route.py 中屬 storage-config 的 2 個 Resource（3；該檔其餘端點屬 T-1.4）。
• 外部套件 route 檔 20 支、150 個 method：jedi-detection 4 支（46：工具外掛與執行 18、基準 18、分類字典 5、掃描網段 5）、jedi-remote-agent 1 支（19）、jedi-asset 設備 2 支（11）、jedi-evidence-classification 3 支（21）、jedi-file-upload 1 支（6）、jedi-survey 9 支（47：設計 29、填答 18）。讀的是 .venv/lib/python3.11/site-packages/ 內實際執行的版本（jedi-detection 1.2.7、jedi-remote-agent 1.4.0、jedi-asset 1.2.2、jedi-evidence-classification 1.6.2、jedi-file-upload 1.3.4、jedi-survey 1.2.3）。
• 合計 26 支檔、167 個 method。泛用系統設定端點 /system/config/*（jedi-system-core）雖會依 GROUP 守 storage-config.*，屬 T-1.4 範圍，本卡只記它的分流規則不逐支列。
• DEV 查詢時間：2026-10-06 17:32（本機 localhost:5432/guidant_ai_dev）。範圍內舊能力點 30 個（8 種 resource_type）。

1. 檢測三合一、雲端整合、問卷三個加值包都能各自整包落在一個模組，對照驗證表在文末。唯一跨界的是 AI 證據分類設定借用了 storage-config.update（見第 5 點）。
2. 檢測執行（開始、取消、重跑、刪除紀錄）9 個 method 沒有能力點，只有授權照＋專案任務操作人檢查。它是專案任務的一部分，建議歸 grc.job，不放 detection——放 detection 會讓「買了檢測包、但公司角色沒勾 detection」的稽核員在任務頁按開始掃描時 403。見文末定案結論。
3. 遠端代理管理 15 個 method 全部守同一顆 remote-agent-manage.create，連列表都是。原因是套件只給一個 admin_required 插槽、不分讀寫（core/plugins/remote_agent.py:147-168）。改名時要麼請套件拆成讀寫兩欄，要麼宿主自掛 route；不拆的話新名四個動詞只有一個有作用。
4. 問卷填答端 18 個 method 有 16 個沒有能力點，只有授權照＋任務指派人／專案成員檢查；另 2 個（改、刪留言）反而要問卷設計權。定案：不另開 survey.response，歸 grc.job.read／update（見文末定案 2）。
5. storage-config.* 一顆鑰匙開了五扇門：儲存設定頁、Google 應用程式憑證頁、AI 服務設定頁、支援頁、AI 證據分類設定（套件寫入端借 storage-config.update）。拆不拆、歸哪個模組都見文末定案結論，建議見「storage-config 歸屬建議」。
6. 證據分類套件 21 個 method 沒有任何能力點，全靠專案成員角色（manager／參與者）；它也沒有授權照守門。

• detection.profile 不叫 detection.detection-profile：模組名已是 detection，資源段重複前綴只是噪音。detection.scan-zone、detection.remote-agent 同理把 -manage 拿掉（manage 是頁名，不是資源）。
• evidence.cloud-integration 用連字號：舊名 cloud_integration 是底線，三段式規定資源段內用連字號。license 鍵仍是 cloud_integration（D10 的 license_module 欄存原值），授權照不受影響。
• survey.survey 兩段同名，但資源段要有值；若 T-1.6 合併時傾向 survey.questionnaire，主表照換即可。
• 不開 survey.response：填答端歸 grc.job.read／update（通則 A，見文末定案 2）。
• detection.scan-zone 補 create／delete：今天只有 read／update 兩顆，新增與刪除都掛 update。依「固定四個」規則補齊，route 改守對應動詞。

欄位：route 路徑 ｜ HTTP ｜ 程式位置 ｜ 現有守門 ｜ 新三段名 ｜ 現有能力點 ｜ 對應 UI ｜ 可指派範圍層 ｜ 備註。

守門縮寫：J＝jwt_required；L(x)＝授權照守門 require_license("x")；C(x)＝能力點守門；PA＝平台管理員；成員：＝專案層角色檢查（參與者＝任何成員）。所有路徑前綴 /api/1.0。套件 route 檔的路徑以 jedi_xxx/api/routes/ 起算。

設備（asset.device）

jedi-asset 的 route 守門：auth_required（宿主注入的 jwt）＋capability_required(rt.config.device_*_capability)，能力點名預設值在 jedi_asset/plugin/contract.py:77-80。無授權照守門（設備屬基礎包）。

主專案另有兩處拿 device.read 判斷：app/module_frame/service/template_lookup_scope.py:16（沒有就不給設備 IP）、di_containers/dashboard_apis/device.py:19（儀表板資料源）。

遠端代理（detection.remote-agent）

套件 jedi_remote_agent/api/routing.py:15-62 的路由表第三欄宣告每支的認證等級；管理端點（AUTH_ADMIN）由宿主的 admin_required 套上，內容是 J＋L(remote-agent-manage)＋C(remote-agent-manage.create)（core/plugins/remote_agent.py:147-168）。代理呼入的控制面端點驗代理通行證，不帶使用者身分。

套件路由表 15 條路徑、19 個 method（管理 15、代理呼入 4），加主專案宿主自掛 1 支。

跨頁下拉：GET /remote-agents 被三個非代理管理頁拿來當下拉（工具外掛設定、儲存設定、專案規劃的檢測任務）。今天要 remote-agent-manage.create 才拿得到，等於「會設儲存的人一定要有代理建立權」。新名掛 detection.remote-agent.read 後，出貨角色範本要確認儲存設定管理人與專案規劃者都帶這顆 read。

檢測工具外掛與執行（detection.plugin）

jedi-detection 所有 route 都由 jedi_detection/api/routing.py:175-192 的動態子類套上宿主的 jwt_required（core/plugins/detection.py:388），再加各自的 L 與 C。能力點名預設在 jedi_detection/plugin/contract.py:32-54。

「任務操作人」＝assert_job_operator（jedi_detection/app/service/detection_orchestration_service.py:209,913,969,1061,1090,1159,1189,1532），列表走 assert_project_participant（:1736），實作由宿主的流程執行 service 注入。

檢測基準（detection.profile）

守門 _profile_read／_create／_update／_delete 定義在 jedi_detection/api/routes/detection_profile_route.py:58-61。分類字典 4 個寫入端點走平台管理員（全域字典表）。

detection_profile_route.py 18 個、detection_profile_taxonomy_route.py 5 個。另外 core/plugins/_file_ownership.py:224-225 用 detection-profile.read／delete 判基準來源檔的下載與刪除權，改名要一起動。

授權掃描網段（detection.scan-zone）

基礎設施豁免：scan-zone 在 common/authz/license.py:107-121 的 INFRASTRUCTURE_MODULES，授權照守門恆放行。仍要歸模組：它是檢測的安全邊界，只有買了檢測包才有意義，歸 detection。

FE 常數在 src/config/scanZone.js（SCAN_ZONE_READ／SCAN_ZONE_UPDATE），改名要一起動。

雲端整合（evidence.cloud-integration）

主專案 api/cloud_integration/__init__.py 掛載，前綴 /api/1.0。

google_drive_integration_route.py 4 個、google_drive_sync_route.py 7 個、drive_app_credential_verify_route.py 1 個、google_drive_webhook_route.py 1 個。

cloud_integration.update 不是孤兒：有 3 支 route 守它（retry、rebuild-all、webhook register），FE GoogleDriveIntegrationCard.vue:219、SyncJobHistoryDialog.vue:18 也讀它，10 個角色持有。它沒出現在 /settings/cloud-integrations 選單綁定（該頁只綁 create／delete／read），所以「選單反查」會把它誤判成沒人用。

AI 證據分類（evidence.classification）

jedi-evidence-classification 所有 route 由動態子類套上宿主 jwt_required（core/plugins/evidence_classification.py:608），沒有授權照守門、沒有能力點（套件 CAPABILITIES 為空，jedi_evidence_classification/plugin/contract.py:25）。專案層檢查在 service：_require_participant／_require_manager（jedi_evidence_classification/app/service/evidence_batch_service.py:1472-1481），宿主實作為精確查 participant.role == "manager"（core/plugins/evidence_classification.py:72-114）。

evidence_batch_route.py 15 個、classification_profile_route.py 5 個、evidence_classification_route.py 1 個。

「分類設定」該不該跟批次同一資源：批次的寫入看專案成員角色、分類設定看租戶管理員，兩者授權對象不同。建議拆成 evidence.classification（批次與結果）與 evidence.classification-profile（AI 分類設定），列入見文末定案結論。主表暫填前者。

儲存設定與檔案（storage-config）

storage-config.* 四顆宣告在 jedi_file_upload/plugin/contract.py:33-37。route 不直接守它，而是三條路徑間接用：

1. 泛用系統設定端點（jedi_system_core，T-1.4 範圍）依 GROUP 分流：STORAGE_CONFIG 與 AI_PROVIDER_CONFIG 兩組映到 storage-config.*（core/plugins/system_core.py:64,78）。
2. 主專案兩支專屬端點（下表）。
3. 套件與 service 層借用：AI 分類設定（上一段）、Google 應用程式憑證驗證（雲端整合段）。

jedi-file-upload 的檔案端點（不開能力點，歸屬由檔案登記表決定）：

檔案端點不開能力點的理由：一個檔案屬於哪個功能是登記表查出來的，同一支端點服務十幾種檔案，掛任何單一能力點都會讓其他功能的檔案打不開。權限已由「該檔案所屬功能的原本守門」代判。

問卷設計（survey.survey）

jedi-survey 的守門 decorator 是宿主注入的 port（jedi_survey/api/guards.py）；授權照 require_license("survey") 全端點都有，能力點名預設在 jedi_survey/plugin/contract.py:32-35,89-91。讀取端點全部沒有 survey.read，只有授權照。

題目與頁面的增刪歸問卷 update 是依「其他動作歸 update」規則：使用者在問卷編輯器裡加一題，語意是「編輯這份問卷」，不是「建立一個題目資源」。今天的守法（加題守 create、刪題守 delete）讓「能改問卷但不能刪問卷」的角色連題目都刪不掉，改名時順手校正。

問卷填答與任務問卷（歸 grc.job）

填答端（mount_answer_routes，jedi_survey/api/routing.py:73-109）全部 J＋L(survey)，沒有能力點。專案層檢查在 service：assert_task_survey_reader（專案參與者）、assert_task_survey_writer（被指派人本人或專案 manager）、assert_task_survey_manager（專案 manager），定義在 jedi_survey/app/common/task_survey_guard.py。

討論串放在填答這一組：它掛在任務問卷（ref_id=task_survey_uid）上，是受訪者與審核者的對話，不是問卷設計。今天改／刪留言要 survey.update／delete，等於只會填問卷的人留了言就改不掉。

沒有任何 route 用到的能力點（孤兒）

remote-agent-manage.read／update／delete（3）、plugin.create／read／delete（3）、survey.read（1），共 7 個。全都綁在選單上、角色也持有，孤兒不等於沒用：今天它們決定「看不看得到那一頁」，改名後由主表對應 route 掛上。storage-config.create／delete 只被泛用設定端點（T-1.4）間接守，不算孤兒。

卡片提到的孤兒 cloud_integration.update：不是孤兒，3 支 route 守它，只是沒綁選單。

注意兩處會讓加值包「看起來」跨界：

1. 檢測執行 9 支若照套件歸屬放 detection，grc.job 的任務操作就有一部分在 detection 模組下，客戶買檢測包後還要另外勾 detection 才能在任務頁跑掃描。建議歸 grc.job，授權照守門 L(plugin) 照留——授權照與能力點是兩層，任務端點受檢測包管制不需要它的能力點也在 detection。
2. 填答端不另開能力點：歸 grc.job.read／update；授權照 L(survey) 照留，問卷包的能力點仍整包在 survey（survey.survey）。

建議歸 system，名字 system.storage-config.*；同時把借用它的兩頁拆出去。

• 歸 system 的理由：它設定的是「檔案存到哪台物件儲存、帳密是什麼」，與 SMTP、LDAP 同屬機房設定。客戶授權時會把它跟其他系統設定一起交給 IT，不會跟「證據審閱」交給同一個人。證據模組管的是證據內容，不是儲存媒介；歸 evidence 會讓「能審閱證據分類的人」跟「能改儲存帳密的人」在矩陣上靠在一起，容易誤勾。
• 今天一顆鑰匙開五扇門：儲存設定、Google 應用程式憑證（平台層）、AI 服務設定、支援頁、AI 證據分類設定。理由是「不新開一顆、省得補 seed 給每個租戶」（core/plugins/evidence_classification.py:126-129、common/constant/ai_service_config.py:11）。FR-132 本來就要整批改名與補 seed，正是拆開的時機：
  • AI 服務設定（金鑰、模型）＋ AI 證據分類設定 → 另開資源，歸屬與 T-1.5 的 ai-quota 一起裁（同屬「AI 怎麼用」）。
  • Google 應用程式憑證 → 平台層（T-1.5），今天就已要求平台管理員。
  • 支援頁 /system/support → 交 T-1.4 確認它實際讀什麼，再決定。
• 反悔條件：若決策者希望「證據」模組涵蓋所有跟證據檔有關的設定（讓客戶一次授權給文管人員），改成 evidence.storage-config，主表只換前綴。

D12 候選表本卡相關四張：public.devices、compliance.evidence_batches、compliance.detection_executions、survey.surveys。DEV 實查各表都開 RLS；下表看「有 API 直接列子表」時，子表的 RLS 是否也跟著父表收緊。

決策者 2026-10-06 逐條裁決。

1. 檢測執行 9 支歸 grc.job；開始、取消、重跑歸 update，不算 assign。授權照 L(plugin) 照留。
2. 不開 survey.response。 填答端 API 歸 grc.job.read／update，授權照 L(survey) 照留；兩支守錯的（改、刪自己留言要求問卷設計權）改 grc.job.update。survey.survey 只剩問卷設計那組。理由：填問卷的人是任務指派人、在任務頁填，身分由任務決定；授權照與能力點是兩層，硬規則管的是能力點模組，填答不需要自己的能力點，故不違反。
3. 任務問卷設定歸 grc.job.update。
4. 遠端代理核准歸 update，不開 approve。
5. 拆 jedi-remote-agent 套件守門插槽為讀／寫兩個，宿主 core/plugins/remote_agent.py 塞兩顆（讀 detection.remote-agent.read、寫對應動詞）；落點 T-2.1 順帶，套件發版等令。決策者裁示：FR-132 屬整體大改，jedi-* 該動就動、不逐條問。
6. AI 證據分類拆兩個資源：evidence.classification（批次與結果）與 evidence.classification-profile（分類設定）；license_module 填 evidence-classification，視為基礎包。
7. storage-config 歸屬：儲存設定 → system.storage-config.*；AI 服務設定＋AI 分類設定 → ai.ai-provider-config.*；Drive 應用程式憑證 → platform 層；支援頁 → platform.support.*（已隨 T-1.4／T-1.5 裁）。
8. 雲端整合三支專案端點歸 grc.project（folders 歸 read、init／repair 歸 update），L(cloud_integration) 照留。
9. GET /integrations/google-drive 掛 evidence.cloud-integration.read，出貨範本一般成員組要帶這顆。
10. /classification-ground-truth 保留，掛 evidence.classification.update（灌人工標註答案給準確率報表用，原廠／顧問導入時用；runbook docs/api/evidence-classification/ground-truth-operations.md）。
11. 題目與頁面增刪改歸 survey.survey.update。
12. 取消發布歸 survey.survey.publish。

另：設備「選單」類端點（/devices/menu 等被專案／SSP 頁拿來挑選的）新名是「跟呼叫頁面的權限」，不是 asset.device.read（design 通則 B）。

本卡只讀，修正由首腦另開卡。

1. （併入 T-4.6）GET /task-survey/import-template/<task_uid> 不驗身分：service generate_task_survey_question_import_excel_template_data（jedi_survey/app/service/task_survey_service.py:206）直接以 task uid 查任務問卷產 Excel，知道 task uid 的登入者（同租戶，RLS 只擋跨租戶）就能拿到題目內容。比照同檔其他讀取端點補 assert_task_survey_reader。
2. （併入 T-4.6）POST /survey-discussion 不驗身分：service add_discussion（jedi_survey/app/service/survey_discussion_service.py:69）沒有呼叫任何守門，同租戶任何登入者可在任一任務問卷留言。比照同檔 get_survey_discussions（:47）補 assert_task_survey_reader。
3. （併入 T-4.6）GET /classification/available-models 只驗身分：回本租戶有哪些 AI 供應商已設金鑰；定案掛 ai.ai-provider-config.read。
4. （記錄不併）證據分類套件全系列沒有授權照守門：若 evidence.classification 未來要收進某加值包，宿主要先補 L(x)，否則買不買都能用。

• 套件 contract 預設名：jedi_asset/plugin/contract.py:77-80（device）、jedi_detection/plugin/contract.py:32-54（plugin、detection-profile、scan-zone）、jedi_survey/plugin/contract.py:32-35,89-91、jedi_file_upload/plugin/contract.py:33-37（storage-config）
• 宿主寫死的能力點：core/plugins/remote_agent.py:167、core/plugins/evidence_classification.py:137、core/host_capabilities.py:38-41、app/cloud_integration/service/drive_app_credential_verify_service.py:46、app/module_frame/service/template_lookup_scope.py:16、core/plugins/_file_ownership.py:224-225、core/plugins/system_core.py:64,78（GROUP 分流表）
• route 層字面量：api/cloud_integration/routes/google_drive_integration_route.py:69,88、google_drive_sync_route.py:41,88,175,207,237
• 角色範本：core/role_templates.py:14,16,48
• 儀表板資料源：di_containers/dashboard_apis/device.py:19、survey.py:30,44
• DEV route_capabilities：/device/device-manage、/plugin/detection-profile-manage、/plugin/tool-plugin-manage、/settings/cloud-integrations、/survey/manage、/system/remote-agent-manage、/system/scan-zone、/system/storage-config、/system/drive-app-config、/system/ai-service-config、/system/support
• FE：views/device/DeviceManage.vue:68-70、DeviceImportDialog.vue:34、config/scanZone.js、views/detection-profile/DetectionProfileManageView.vue:69-71、components/ProfileVersionTable.vue:227-228、components/integrations/GoogleDriveIntegrationCard.vue:218-222、SyncJobHistoryDialog.vue:18

沿革見 FR-132-LOG.md 與 git log。