FR-165 掃描工具資源管理

🔴 這份是設計決策，不是現況。 內文的數字與待辦停在 2026-10-26 定稿當時，之後實作改動的結果不回頭改寫這裡。現況看 README 的總進度。

把「掃描設定檔管理」與「弱點資料庫」兩頁收進同一個入口「掃描工具資源管理」，兩個分頁對應兩種形狀：使用者要挑的「設定檔／基準」是一張表，全機一份沒人挑的「參考資料庫」是一卡一庫。資料層不合併、後端只加一支紀錄分頁端點。並定下規則：之後任何工具的設定檔或參考資料庫一律掛在這裡，不開新頁。

決策者 2026-10-26 原話：「每次多一個工具又多一個功能頁面，實在太亂也四散各處，像這次新的弱點資料庫就是這樣，當初做的時候完全忘記有掃描設定檔管理。」

實查現況（DEV 本機 DB、FE src/config/router/index.js）：

• 掃描設定檔管理在合規稽核群組 /plugin/detection-profile-manage（sort 35），弱點資料庫在系統設定群組 /system/vulndb（sort 38）。兩頁各自一套選單、權限、前端。
• 兩者同屬「掃描工具要吃的內容」，但形狀不同：設定檔每工具多支、租戶可傳、有版本、派任務時選；弱點資料全機一份、不分租戶、只求新鮮、自動更新。
• FR-059 已把設定檔庫做成不綁工具（新工具 seed 一筆即可用）；弱點資料庫是第一個參考資料庫，做成專用頁與專用接線，下一個進來會複製一份。
• 我們自己帶在 Agent 裡的工具中，需要獨立更新資料的只有弱點比對這一組（Trivy、Grype、OSV-Scanner 加 KEV、EPSS，已合成一包）。CINC 吃設定檔、Syft 純解析、sonar-scanner 規則在客戶端。客戶自裝的 OpenVAS、Nessus、SonarQube、ZAP 的特徵庫由它們自己更新，不在範圍。

雛形：prototype/index.html（決策者 2026-10-26 核可）。

頁首與分頁

• 標題「掃描工具資源管理」＋一句說明。
• PrimeVue TabView 兩個分頁：「設定檔／基準」、「參考資料庫」。沒權限的分頁整個不出現；只剩一個分頁時仍顯示分頁列。網址 ?tab=profiles|dbs 記住分頁。

分頁一：設定檔／基準

掛既有 DetectionProfileManageView.vue，零改動。控制項子頁 DetectionProfileControlsView.vue 路徑改掛在新入口底下。

分頁二：參考資料庫

一卡一庫，版面固定（新元件 ReferenceDbCard.vue 提供外觀）：

1. 標題列：名稱、給哪個工具用、狀態膠囊（自動更新中／手動／無資料）。
2. 連不到站提醒（hint-bar--warn，只在 last_check_skipped 時出現）。
3. 資訊列（dl.kv）：資料日期（30 天黃、90 天紅）＋幾天前、來源＋站台、自動更新開關、檢查頻率 Dropdown（選項來自 system_menus 的 vulndb_check_interval）、下次檢查、Agent 同步摘要＋「明細」展開。
4. 四個來源明細表常駐（Trivy、Grype、KEV、EPSS 各自日期、版本、筆數，來自 status.sources）。
5. 上傳進度（上傳中才出現）。
6. 底列：檢查更新、上傳更新包、更新紀錄（開對話框，內有分頁）。唯讀者底列換成「無權限」提示。

今天只有弱點資料一張，內容照 VulndbManage.vue 搬。

設計系統自檢

grep border-left 為零；卡片一律 dark-card；字級全站基準；狀態只出現一次。

選單與路由（一支主線 migration）

能力點不新增、不改名（D2）。屬主線 phase=active，回寫時明講「出貨基線待重產」。

更新紀錄分頁端點（唯一的後端改動）

GET /api/1.0/system/vulndb/updates?page=&size=，照專案分頁慣例（RequestMetaSchema 進、EnvelopeSchema 出、meta 帶總筆數）。守門同 status（system.vulndb.read）。

• jedi-source-scan：VulndbUpdateRepo 加 list_page(offset, limit) -> (rows, total)；VulndbUpdateService 加 list_updates(page, size)，走既有 fill_user_names 補 created_user_name。開發期走 poetry path dependency（pyproject.toml:128 取消註解），path 改動不 commit，發版等令。
• 主專案：VulndbSettingsAppService.list_updates(page, size)；api/source_scan/routes/vulndb_route.py 加 VulndbUpdatesRoute；api/source_scan/__init__.py 加 add_resource；serializer 加 VulndbUpdateListRequestSchema／VulndbUpdateListResponseSchema（沿用 VulndbUpdateRecordSchema）。
• status.recent 保留（Agent 同步與「連不到站」判定仍靠它），FE 對話框改打新端點。

前端

七張，五批。一卡只改一個 repo（工作坊規範），所以分頁端點拆成套件卡與主專案卡。

批 1 三張不撞檔：.1 只動 scripts/sql/，.2 只動 FE，.3 只動套件。.4 依賴 .3 的套件方法。.2 的對話框先打 status.recent 做分頁 UI；.4 端點好了之後由首腦驗收時把 VulndbUpdateHistory.vue 的資料來源換成新端點（一行），或併入 .5。

• 不合併 config.detection_profiles 與 public.vulndb_updates 兩套表。
• 不改能力點名字（D2）。
• 不做參考資料庫宣告驅動（D3，第二期）。
• 不在畫面預告任何未接入的工具或資料庫（D9）。
• 不碰 Agent 心跳與拉包通道。

參考資料庫分頁改成宣告驅動：各工具插件在契約登記「我有哪個參考資料庫、支援五個動作中的哪幾個」（看狀態、上傳、檢查更新、自動更新、Agent 同步）；後端開 GET /scan-resources/reference-dbs 回清單；前端照清單長 ReferenceDbCard；Agent 心跳與拉包改帶資料庫代號。不把 vulndb_updates 改通用表，契約只規範「回最近 N 筆的形狀」。觸發條件：任何「我們自己帶、資料要獨立更新」的工具進排程。