本卡屬 FR-166（母卡 CM-3109 延伸），決策者 2026-10-28 手測後追加「執行紀錄的報告要跟主系統一樣可以線上預覽」。Repo：evidence-agent。FE 卡「主控台報告預覽對話框」依賴本卡。

白話

主控台執行紀錄的報告現在只能下載。主系統的證據檔有「線上預覽」：PDF 直接看、JSON／文字在畫面上排好、圖片可縮放。決策者要主控台一樣。Agent 端現在只有 /console/api/files/<uid>/download（as_attachment=True）與 netdiag 的 report.<fmt>（同樣當附件），瀏覽器拿到就下載、不能內嵌。本卡補一支「內嵌用」端點。

問題在哪

• core/console/files.py 第 168～185 行 download：send_file(as_attachment=True)。
• core/console/netdiag_routes.py 第 189～197 行 download_report：走 send_customer_file(action=report_exported)，也是附件。

怎麼做

• 【extend】core/console/files.py 加 GET /console/api/files/<uid>/preview：同 download 的守門（require_session('files')、同一份歸屬查詢），差別只在回應：Content-Type 由伺服器讀檔頭判（不信副檔名、不用 mimetypes.guess_type），只有白名單格式回 inline（application/pdf、image/png|jpeg|gif|webp、application/json、text/plain）；其餘一律 as_attachment=True（跟主系統 jedi_file_upload preview_policy 同精神：清單外回附件）。一律帶 X-Content-Type-Options: nosniff；text/* 與 application/json 帶 charset=utf-8；HTML／SVG 不進白名單（會以 8444 同源執行腳本）。Cache-Control: no-store。
• 【extend】netdiag 報告：除錯報告走 /console/api/netdiag/runs/<uid>/report.<fmt>，加 ?inline=1（或同路徑的 preview 子路由，擇一、理由寫回寫）走同一套白名單判斷；仍要 net-diag 範圍；稽核 action 用既有 report_exported 或新增 report_previewed（看 console_audit 白名單怎麼管，若新增事件碼要動 BE 就先不新增、沿用 report_exported 並在回寫註明）。
• 【共用】白名單與「讀檔頭判型別」抽成 core/console/inline_policy.py 一支（files 與 netdiag 都呼叫），不在兩處各寫一份。檔頭判型別：PDF %PDF-、PNG/JPEG/GIF/WEBP magic、JSON 試 json.loads 前 64KB 或整檔（報告最大幾 MB，直接整檔）、其餘以 UTF-8 解得開且無 NUL 當 text/plain。
• 【不做】Office 轉 PDF（Agent 不裝 LibreOffice 當預覽依賴；netdiag PDF 本來就只在有 LibreOffice 時產）；HTML／SVG 內嵌。

改哪些檔

• core/console/files.py（現有行數先 wc -l，超 800 就把 preview 路由放新檔 core/console/files_preview.py）、core/console/netdiag_routes.py、core/console/inline_policy.py（新）
• test/test_console.py 或 test/test_console_files*.py（先 ls test 找 files 的測試檔）、test/test_netdiag.py

驗證

• 單元：PDF 檔頭 → inline application/pdf；JSON → inline application/json; charset=utf-8；副檔名 .json 但內容是 HTML → attachment、Content-Type 不是 text/html；.svg／.html → attachment；每個回應都有 nosniff 與 no-store；沒 files 範圍 403；別人的 uid 404。突變：白名單判斷拿掉 → HTML 那支紅。
• 本機：curl -sk -I https://127.0.0.1:8444/console/api/files/<報告 uid>/preview -b <cookie> 看 Content-Disposition 是 inline（PDF／JSON）；執行紀錄的三份 netdiag 報告各打一次。

紀律

• 先查再寫：grep send_customer_file、as_attachment、mimetype、preview_policy；主系統 jedi_file_upload 的 preview_policy 是範本，照它的白名單與判斷順序，不自創。回寫列出 reuse／extend／new。
• 資安對照 .claude/rules/security/uploads-parsing.md「交回瀏覽器的檔案由伺服器讀檔頭決定格式，帶 nosniff」與 data-access.md「檔案存取先問歸屬」：預覽與下載用同一份歸屬查詢、同一道 scope；回寫逐條說明。