本卡屬 FR-166（母卡 CM-3109 延伸），決策者 2026-10-28 手測後追加。Repo：evidence-agent。同批可與其他卡平行（只動 core/console/routes.py 與其測試）。FE 卡「主控台改 vue-router history 模式」依賴本卡。

白話

主控台要改成跟主系統一樣的路徑式路由（/console/runs、/console/ldap…，重整停在原頁、能貼連結）。主系統靠 nginx 的 try_files 把任何前端路徑都回 index.html；Agent 的 8444 是 Flask 自己服務，現在只有 /console 與 /console/ 回首頁，/console/runs 回 404（實測）。本卡補這個落點，FE 才能切 history 模式。

問題在哪

• core/console/routes.py 第 108～112 行只註冊 "" 與 "/" 兩條 index；/console/assets/<path> 另有專用路由；其餘子路徑落到 404。

怎麼做

• 【extend】routes.py 加一條 @console_bp.route("/path:page", methods=["GET"])，只在 page 是白名單分頁名（overview／scan／netdiag／runs／tools／ldap／files／ops，與 FE Shell.vue MENU 的 key 一字不差）時回 _index()，其餘照舊 404。不要用「非 api、非 assets 就回首頁」的 catch-all：那會把打錯的 /console/api/xxx、/console/assets/缺檔 也包成 200 的 HTML，前端拿到 HTML 當 JSON 會很難查。白名單常數放 routes.py 頂端，註解寫明「要跟 FE Shell.vue MENU 同步」。
• 【不動】/console/api/、/console/assets/、/console/session、/console/local-session 的既有路由與 CSP／cookie path=/console 設定；cookie path 是 /console 前綴，子路徑一樣帶得到，不用改。
• 【不動】瀏覽器直傳門 browser_plane_server.py 的 405／CORS 判斷用 request.path.startswith("/console")，子路徑已涵蓋。

改哪些檔

• core/console/routes.py（251 行）
• test/test_console.py（加：白名單分頁回 200 且 Content-Type text/html 帶 nonce CSP；/console/nope 與 /console/api/nope 仍 404；/console/assets/missing.js 仍 404）

驗證

• pytest test/test_console.py test/test_browser_plane.py 綠。突變：白名單判斷拿掉 → 「/console/nope 仍 404」那支紅。
• 本機重啟 Agent 後 curl -sk -o /dev/null -w '%{http_code}' https://127.0.0.1:8444/console/runs → 200；/console/nope → 404；/console/api/nope → 404。

紀律

• 先查再寫：grep routes.py 既有 index／_index／_HASHED_ASSET，確認沒有別處已做 catch-all。回寫列出 reuse／extend／new。
• 資安：只回白名單分頁，不做開放式 catch-all（避免把 API 錯誤包成 HTML、避免路徑穿越到 assets）；回寫說明對到 .claude/rules/security/endpoints.md 哪幾條。
• 顯式 git add <檔名>，禁 -am；不切 branch（feature/FR-139）；做完立刻 commit ＋本卡 append 回寫（含 commit hash、手測清單）＋狀態改「修正待驗證」；push 等決策者。重啟 Agent 用 (nohup … &)。

回寫（小弟）