A.1 盤點：oscal 合規框架與 flow 流程設計模組端點 × 三段式能力點

卡片 CM-2512（FR-132 T-1.2）。唯讀盤點，不改程式、不改 DB。

• 範圍：合規框架（框架、版本、catalog 編輯、PDF 匯入）、合規資源庫（api/module_frame/ 與 api/oscal/ 下的資源庫端點）、專案 SSP（api/oscal/routes/ssp/）、流程範本（flow_template_route.py），以及 T-1.1 留下的兩支 api/flow_engine 端點（process-definition、stage-objects）。
• 主專案 route 檔 37 支、161 個 method：
  • api/oscal/routes/framework/ 4 支、25 個
  • api/oscal/routes/ 根目錄 2 支、3 個（資源庫列表／新增、範本 SSP 參照）
  • api/oscal/routes/ssp/ 13 支、58 個（另有 3 個 Resource 已註解停用：SspScopedExcelImportRoute GET／DELETE、SspScopedExcelImportConfirmRoute POST，api/oscal/__init__.py:110-111，不計入）
  • api/module_frame/routes/ 15 支、62 個
  • api/module_frame/routes/ 的 62 個裡含 /ssp/<uid>/excel-template（程式住資源庫、資源是 SSP，列在 SSP 段）
  • api/flow_engine/routes/ 3 支、13 個（流程範本 11、階段物件 1，以及 flow_engine_route.py 的流程定義 1 個；同檔其餘 3 個已由 T-1.1 歸 grc）
• 外部套件 route 檔 0 支：jedi-flow-engine 只有 api/guards.py（runtime() 取執行期組件，不是守門 decorator，套件自己註明「本套件沒有 route」）；jedi-oscal-v2 沒有 api/ 目錄。兩支套件提供的守門被主專案用到的：無。
• DEV 查詢時間：2026-10-06 17:27（本機 localhost:5432/guidant_ai_dev）。範圍內舊能力點 12 個（compliance-framework.*、module-frame.*、flow_template.* 各 4）。workflow.* 4 個已由 T-1.1 判刪除，本份不重複。
• 三個 blueprint 都沒有 license 軸（require_license 零命中）。路徑前綴一律 /api/1.0，下表省略。

1. compliance-framework.* 四個能力點一支 route 都沒守。 合規框架 25 個 method 的 route 層只有 jwt_required；寫入在 service 層用 require_platform_admin()（只限原廠總部租戶的管理員），讀取完全不檢查。四個能力點只綁在 /compliance-framework/compliance-framework-manage 選單與角色範本，決定選單看不看得到。
2. SSP 58 個 method 全部沒有能力點，只靠 service 層 SspPermissionChecker：讀＝專案任一成員，寫＝專案 manager 且當前輪次仍在規劃階段（common/authz/ssp.py:91-104、domain/oscal/service/ssp_project_resolver.py is_writable）。成員檢查是完整的（13 支 service 逐 method 對過，沒有漏掉的），缺的是公司層這一道。
3. SSP 的控制項樹不只 SSP 頁在用。 GET /ssp/<uid>/control-tree 被證據分類、稽核審閱、AP 編寫、稽核員總覽等六個頁面呼叫。oscal.ssp.read 一旦掛上守門，出貨角色範本的一般成員組必須帶它，否則專案成員打開稽核頁就 403。
4. 資源庫子物件的動詞今天是照 HTTP 動詞配的：替既有資源庫新增元件要 module-frame.create、刪元件要 module-frame.delete、匯入預設值到既有資源庫也要 create。新規則把子物件寫入一律歸 update（見定案 3），等於行為改變，要在 migration 補配時一併處理。
5. SSP 與資源庫共用兩支「雙目標匯入」端點（/ssp-excel-imports/*、/ssp-docx-imports/*）：同一支 route 依上傳時選的目標，寫進專案 SSP 或資源庫範本。能力點只能在 service 層依目標判，route decorator 表達不了。
6. 流程定義端點不是舊入口。 GET /flow-engine/process-definition/<uid> 讀的是查核項目層的 BPMN（jedi_flow_engine 的 workflow_templates，與流程範本 flow_templates 是兩張表），被專案規劃頁與三支資源庫頁面透過 /workflow/workflow-setup 打開（FE config/router/index.js:457-466 註解明載必須保留）。歸資源庫，見定案 6。

• 資源名、flow 獨立模組、publish 都已定案，見文末定案結論。
• oscal.ssp.create／.delete、oscal.framework 以外的部分 create／delete 今天沒有對應端點（SSP 隨建專案產生），照「每個資源固定四個」仍要建出來。

欄位：route 路徑 ｜ HTTP ｜ 程式位置 ｜ 現有守門 ｜ 新三段名 ｜ 現有能力點 ｜ 對應 UI ｜ 範圍層 ｜ 備註。

守門縮寫：J＝jwt_required；C(x)＝require_capability("x")；PA＝service 層 require_platform_admin()；V(x)＝service 層 viewer_has_capability("x")；ST＝簽章下載憑證（signed_token_required）。SSP 段的專案層守門寫「成員：參與者」或「成員：manager＋可寫」（＝manager 且當前輪次仍在規劃階段）。程式位置的行號是 method 定義行。

合規框架（oscal.framework）

框架程式 api/oscal/routes/framework/，service 在 app/oscal/service/framework_*.py。對應頁 /compliance-framework/compliance-framework-manage（ComplianceFrameworkManage.vue、ComplianceFrameworkVersionManage.vue），catalog 編輯 FrameworkVersionEditView.vue，PDF 匯入 FrameworkImportPage.vue。

FrameworkAppService.publish_version（app/oscal/service/framework_app_service.py:246）沒有任何 route 呼叫，不列。

合規資源庫（oscal.resource-library）

程式 api/module_frame/routes/ 與 api/oscal/routes/ 根目錄兩支。對應頁 /module-frame/module-frame（ModuleFrame.vue），範本編輯 ModuleFrameTemplateEditView.vue（經 ModuleFrameTemplateService.js），舊版項目頁 ModuleFrameItems.vue。現有守門全部在 route 層，每個 method 都有，無遺漏。

專案 SSP（oscal.ssp）

程式 api/oscal/routes/ssp/，service 在 app/oscal/service/ssp_*。13 支全部只有 jwt_required，專案層守門逐 method 對過 service（require_participant／require_manager），沒有漏。FE 經 SspService.js 呼叫，使用頁：ProjectPlanningView、SspTabPanel、SspBasicSection、SspLeveragedSection、ComponentsLeveragedInventoryTab、DocumentPoolPanel、DocumentLinkDialog、SspImportDialog、RoundApAuthoringView、ProjectAuditorOverview、DashboardView（未逐支核）。範圍層一律 org_unit（SSP 跟著專案）。

子物件不拆資源，寫入一律 oscal.ssp.update（理由見「SSP 是否拆子資源」）。

雙目標匯入（SSP 或資源庫，依上傳時的目標判）

上傳時選 source_type：ssp＝專案 SSP；module_frame＝既有資源庫；framework_version（Excel）或不帶來源（Word「新建」）＝用檔案新建資源庫。能力點必須在 service 層依目標判（今天資源庫兩條已經這樣做：V(module-frame.create)、assert_can_overwrite_resource_library 查 V(module-frame.update)，app/oscal/service/resource_library_overwrite_guard.py:12-34）。下表「新三段名」寫成依目標三選一。

流程範本（flow.template）

程式 api/flow_engine/routes/flow_template_route.py，11 個 method 已全掛守門（:23-32 定義四個 decorator），錯誤碼用 GRC_FLOW_TEMPLATE_NO_PERMISSION。對應頁 /flow/template-manage（FlowTemplateManageView.vue、FlowTemplateEditorView.vue），FE 用 hasCap('flow_template.create/update/delete') 控按鈕（FlowTemplateManageView.vue:27-29、FlowTemplateEditorView.vue:50-51）。範圍層 tenant（compliance.flow_templates 只有 tenant_id）。

查核項目層流程定義（T-1.1 留下）

建議不拆，全部歸 oscal.ssp。

• 若拆，會有：oscal.ssp（系統特性）、oscal.ssp-component（元件、資產清單、受評標的）、oscal.ssp-party（人員與組織）、oscal.ssp-leveraged（沿用授權）、oscal.ssp-control-implementation（控制實作與 AO 現況）、oscal.ssp-document（程序書池與關聯），六個資源各四個基本動詞共 24 個能力點。
• 不拆的理由：
  • 寫入的專案層門檻全部一樣（manager＋當前輪次仍在規劃），沒有任何一塊交給別的角色寫；公司層拆了也表達不出專案層沒有的差異。
  • SSP 頁是一張表單分好幾個分頁，客戶不會只授權「能改人員、不能改元件」。
  • 拆了以後角色漏勾一格，SSP 頁某個分頁的按鈕就 403 且沒有錯誤訊息，正是本 FR 要避免的形狀。
• 不拆時：讀＝oscal.ssp.read；所有子物件新增、修改、刪除＝oscal.ssp.update；Excel／Word 匯入整條流程＝oscal.ssp.import；docx／pdf 匯出、SoA Excel 匯出、帶入內容的匯入範本＝oscal.ssp.export。
• 反悔條件：客戶要求「控制實作現況交給被稽核單位寫、但不能改 SSP 基本資料」時，把控制實作拆成 oscal.ssp-control-implementation，其餘不動。這也要專案層守門同時拆（今天控制實作寫入只給 manager）。

建議歸 grc，照 T-1.1 已列的放法。

• 流程執行（任務提交、退回、待辦、佐證、稽核階段推進與回退）全部在專案底下，守門是專案成員角色，資源是任務與稽核輪次，跟流程範本的設計沒有關係。放在 flow 會變成「有 grc.job 卻要另勾 flow 才能提交任務」。
• flow 模組因此只剩流程範本一個資源，是否保留獨立模組見定案 8。

workflow.* 四個也在 DEV 查詢結果內，已由 T-1.1 判刪除（見 a1-grc.md「定案結論」2），本份不重複。

沒有任何 route 用到的能力點（孤兒）

compliance-framework.* 四個。它們決定框架管理頁選單看不看得到，一般成員組也帶 read；但端點不看它：讀取不檢查，寫入看的是「是不是總部租戶的管理員」。改名後主表對應 route 掛上 oscal.framework.*，寫入要不要同時保留 require_platform_admin 見定案 1。

決策者 2026-10-06 逐條裁決。

1. 合規框架寫入掛 oscal.framework.create／update／delete／import（is_platform = true），service 層 require_platform_admin() 保留，兩道都過。
2. 資源庫不開 import：檔案新建＝create、匯入既有＝update。
3. 子物件寫入一律歸主資源 update（資源庫、SSP、框架三處）；A.2 補配時查 DEV 有無「有 create／delete 沒 update」的角色。
4. 資源庫與框架匯出歸 read，只有 SSP 開 oscal.ssp.export。
5. 框架版本下載 OSCAL：/token 掛 oscal.framework.read，下載端點只驗憑證。
6. 流程定義端點 GET /flow-engine/process-definition/<uid>：不用「擇一放行」。 先解析這張 BPMN 屬於哪個專案或資源庫：屬專案→檢查 grc.project.read＋專案成員；屬資源庫→檢查 oscal.resource-library.read。修法寫入 T-4.6。理由：先解析資源再判單一權限才是正統做法，擇一是症狀不是設計（design 通則 C）。
7. 開 flow.template.publish，涵蓋發布與取消發布。
8. flow 維持獨立模組。 理由：流程範本是全租戶共用的設計資產，改壞影響之後所有新專案，不該隨 grc.*.* 萬用字元被專案主管順帶拿到；矩陣多一個單列分組是小代價。T-1.6 看整體矩陣後若不合再翻，只換前綴。
9. 資源名 oscal.resource-library、oscal.framework。
10. 資源庫範圍層 tenant。

流程範本列表「flow_template.read 或 project.create」維持（建專案選範本情境，design 通則 B）。

本卡只讀，修正另開卡。

1. （併入 T-4.6）框架解析單詳情沒有任何檢查：GET /oscal-framework-parse-jobs/<uid>（framework_parse_job_route.py:127，service get_detail 不呼叫 require_platform_admin），同租戶任何登入者給 uid 就能看解析結果。因匯入只限總部租戶，實際暴露面只在總部租戶內。
2. （併入 T-4.6）資源庫列表沒守 read：POST /oscal/resource-libraries/list（resource_library_route.py:29）只驗登入，單筆 GET /module-frame/<uid> 卻要 module-frame.read。沒有 read 的人看不到單筆、卻列得出全部名稱。
3. （併入 T-4.6）用檔案新建資源庫的確認端不查能力點：Excel framework_version 目標（ssp_excel_import_app_service.py:550 _confirm_create_resource_library）與 Word 新建且尚未建殼的情況，確認時只比租戶。能力點只在上傳那一步查，同租戶另一個沒有建立權的人拿到 parse_uid 就能代為確認。
4. （併入 T-4.6）流程定義端點沒有任何檢查：修法見定案 6。
5. （記錄，A.2 順手處理）SSP 權限檢查器有兩支沒人用的方法：SspPermissionChecker.require_read_access／require_write_access（common/authz/ssp.py:167-213，支援範本 SSP 的雙模式）全專案零呼叫，13 支 SSP service 都走只認專案 SSP 的 require_participant／require_manager。範本 SSP 改走 /module-frame/<uid>/... 那組端點，所以沒有破口；但這兩支的 _require_admin_for_template 用的是帳號層 is_admin（檔內自己標了「既有誤用」），日後有人接上要先改。補守門時順手決定刪掉或接上。
6. （記錄，A.2 順手處理）資源庫舊匯入三支沒有前端呼叫：/module-frame/import/verify、/module-frame/import、/module-frame/import/yaml（module_frame_import_route.py），FE 常數 MODULE_FRAME_IMPORT_VERIFY、MODULE_FRAME_IMPORT 無人引用，YAML 匯入連常數都沒有。疑似死碼，退役前先查有沒有外部腳本在打。
7. （記錄）三個 blueprint 都沒有授權模組軸：合規框架、資源庫、SSP、流程範本都不檢查 require_license。這幾項不在 INFRASTRUCTURE_MODULES（common/authz/license.py），要不要掛、掛哪個模組由授權那條線決定，本份只記錄。

• core/host_capabilities.py:22-25（module-frame）、:30-33（compliance-framework）、:60-63（flow_template）；新增 oscal.ssp.* 六個與 oscal.framework.import
• core/role_templates.py:17-18（一般成員組：module-frame.read、compliance-framework.read）、:49（唯讀檢視者：flow_template.read）；一般成員組要加 oscal.ssp.read（控制項樹被稽核頁共用）
• route decorator：api/module_frame/routes/ 15 支全部、api/oscal/routes/resource_library_route.py:43、module_frame_template_ssp_route.py:31、api/flow_engine/routes/flow_template_route.py:23-32
• 範圍外放行條件：module_frame_route.py:26 與 flow_template_route.py:24 的 project.create → grc.project.create（T-1.1 也列了這兩處）
• service 層字串：app/oscal/service/ssp_excel_import_app_service.py:814、ssp_docx_import_app_service.py:168、resource_library_overwrite_guard.py:14,26,29、app/module_frame/service/module_frame_import_service.py:143
• DEV route_capabilities：/compliance-framework/compliance-framework-manage、/module-frame/module-frame、/flow/template-manage 三頁的綁定
• FE：FlowTemplateManageView.vue:27-29、FlowTemplateEditorView.vue:50-51 的 hasCap('flow_template.*')；資源庫與框架頁目前不讀 hasCap
• common/authz/menu_license_filter.py:15 註解提到 compliance-framework，改名後同步

沿革見 FR-132-LOG.md 與 git log。