FR-134 第三方元件風險（原始碼弱點掃描／SBOM）— 功能完成 SUMMARY（2026-10-11，未進版）

材料來自 FR-134-LOG.md 四個 block 與母卡 CM-2625 卡尾。現況看 FR-134-STATE.md，未完成清單在其 §3。

顧問把客戶原始碼壓縮檔或 SBOM 檔上傳，系統在既有沙箱用 Syft 產 SBOM（CycloneDX 1.6＋SPDX 2.3）、Trivy＋Grype 雙掃弱點，正規化後給結果頁、單一完整版報表（HTML／PDF／Word）、歷次比較與回訪報告。同一核心兩個入口：側選單「第三方元件風險」、檢測工具清單「第三方元件弱點掃描」（伺服器端執行、不派 Agent、結果回填任務當證據）。弱點資料走獨立更新包：裝機自動、設定頁分塊上傳、連網檢查更新與每日排程，全部走同一支驗章寫入，留更新紀錄。

A 沙箱擴充 4／B 弱點資料 4／C 後端 6／D 畫面 3＋追加 D4～D11 共 8／E 報表 3／F 歷次比較 1／H 檢測工具入口 5／V0 DEV 真實掃描環境 1／R1 整體風險評級 1／G 收尾：G3 待驗、G1／G2／G4 等進版。

• 顯示名「原始碼掃描」→「第三方元件風險」；畫面用語改專業表單用詞；CVE 一律可點 NVD；報表「公告」→「來源頁」。
• 嚴重度上色（推翻 D2）；弱點明細依嚴重度排序、依套件分組。
• 結果頁三分頁：風險總覽／弱點明細／元件清單（元件清單＝線上攤看原始 SBOM 檔，可切格式、搜尋、帶弱點數；原始檔下載併入）。「SBOM 元件」加工清單拿掉。
• 任務發起的掃描在清單可見（B 案頁籤）；所屬任務已刪的不列；失敗列一行；舊掃描不顯示空徽章。
• 報表只留完整技術版，不隱藏內部備註；任務回填同一份。
• 可刪除：受評系統勾選批次刪（連歷次掃描）；掃描紀錄只刪失敗的；任務發起的不從模組刪。列操作統一專案風格純圖示，重新掃描併入操作欄。
• 伺服器端工具畫面：任務抽屜不顯示 Agent 字樣、工具卡只剩徽章。
• 整體風險評級（R1）結果頁卡先藏：四級疊法是自家組合、非業界標準，待 PM 討論。
• 不再做無謂的突變測試。

D6「不做總評」→ R1 評級 → 結果頁卡再藏待 PM；D2「不上色」→ 上色；D7「孤兒顯示任務已移除」→ 不列；三種報表樣式 → 一種；D7 卡上「反查走 task_assignees」→ runner 改 canonical JobProjectOwnershipQuery（首腦開卡錯）。

BE：06d6b07ce D7 裁示、f74af5d51 三分頁＋D8、4c2d0d003 功能卡到站、bb9bc486f route_guards 重產、ac56ce8ab G3。FE：7d3a3fd4 藏評級卡、1e6bab41 刪除錯誤明細、5f5934a3 三顆寫入鈕 v-can。

主線 migration 9 支只套 DEV、出貨基線待重產；弱點包正式鑰簽章與 188 產包、189 LC 部署、容器內 zstd／volume 擁有者實測、PDF 字型、沙箱 image 過弱點閘——全部在母卡卡尾「上線前檢查」。DEV 掃描測資已於 2026-10-11 清空。

• ✓ STATE／LOG 雙檔、FR 登記表、能力索引、規則 paths、超標檔清單、route_guards 與權限矩陣
• ✗ SPEC 三頁（G1）、使用手冊與安裝文件（G2）——決策者裁示等進版前；analysis 文件未另寫（決策推理全在 LOG 與討論稿）
• ✓ 記憶：feedback_card_check_capability_index_before_prescribing_path、feedback_ruling_scope_literal_not_expanded

開卡前要查程式＋能力索引；給 prompt ≠ 已派；裁示照字面做不自行放大；補充給跑中 runner 只能靠決策者在該 session 貼話；共用工作樹有半成品時驗收在 detached worktree 跑並以前後 commit 對照排除環境紅；重產 route_guards 要等畫面卡全收。