本卡屬 FR-166（母卡 CM-3109 延伸），批 1，BE。

白話

讓每個租戶在主系統設定「Agent 斷線後離線操作者還能登入幾天」，預設 7 天、1～30 天；主系統透過心跳把天數送給 Agent。另外 Agent 清單每台補「最近一次本機管理員登入」，給 FE 顯示。

怎麼做

• 【new，掛點】設定存取：core/plugins/_agent_offline_login_policy.py。讀＝infra/system_config/system_config_root_reader.py 的 read_tenant_config_value(tenant_id, "AGENT_CONSOLE", "OFFLINE_LOGIN_DAYS")（reuse，繞 RLS 依指定租戶讀，心跳用）；寫＝di().system_core_container.config_domain_service().update_config_by_group_key(...)（reuse，不存在自動新增，已 tenant-scoped）。不要去改 GuardedSystemConfigService（超過 700 行、本設定無祕密欄位）。值域 1～30、預設 7 用常數集中在這支。
• 【extend】端點：api/remote_agent/routes/agent_offline_operator_route.py 加 RemoteAgentOfflineLoginPolicyRoute（get／put），在 core/plugins/remote_agent.py 的 _host_admin_routes() 掛 /remote-agents/offline-login-policy（固定字串路徑，排在 <uid> 前），_ADMIN_CAPABILITIES 登記 get=_AGENT_LIST、put=_AGENT_UPDATE。超出 1～30 或非整數回 400：error_code.py 新增 FILE_AGENT_OFFLINE_LOGIN_DAYS_INVALID（FILE_AGENT_400011）。
• 【new】稽核：event_code.py 新增 AGENT_OFFLINE_LOGIN_DAYS_SET = 6203（誰、改成幾天）。FE error-code.json 兩語系同步這個錯誤碼。
• 【extend】心跳下發：heartbeat_extras 加一支 offline_login_days_heartbeat_extra(agent) → {"offline_login_days": n}，n 用 agent.tenant_id 讀；查不到或值不合法帶 7。照 core/plugins/_agent_vulndb.py 的形狀。
• 【extend】清單欄位：agent_list_enricher 現在只接 enrich_credential_handover，改成接一支依序呼叫兩個 enricher 的函式（不要在 handover 那支裡塞）。新 enricher 用 infra/remote_agent/console_audit_query.py 加一個方法，從 public.system_logs 查每台最近一筆 event_code IN (6085 且 message 含 method=local, 6093 且 actor=local-admin) 的 at 與 method，掛 agent.last_local_admin_login = {at, method: link|password}；查不到 null。一次查全部 agent，不要逐台查。
• 套件 jedi-remote-agent 的清單 serializer 是否會把 entity 上的新屬性帶出去要先驗：看 credential_handover 怎麼帶出去的照做；若需改套件，停下回寫，不自己改套件。

驗證

• 跑 test/test_fr132_route_entry_registered.py 以外，跑 test/ 下 remote_agent 相關既有測試與 test/test_module_boundaries.py。
• 手測：curl GET／PUT /api/1.0/remote-agents/offline-login-policy（0、31、"7" 回 400；7、14 成功），重啟 BE 後看本機 Agent 心跳回應帶 offline_login_days。

紀律

• 要寫任何新函式／元件／composable／service 方法之前，第一步不是寫，是查：按行為 grep 真實程式碼，再查 docs/claude/domain-capabilities.md 與 FE frontend-overview.md §4。三擇一、預設不新增：reuse → extend → 確認沒有才新增。回寫列出 reuse 了哪些、新增了哪些、為什麼不能 reuse。
• BE 動到 api／app／infra 時 .claude/rules/security/ 自動載入，照著做；FE 規則在 FE repo .claude/rules/security/frontend.md，跨 repo 改 FE 不會自動載入，動手前自己讀。回寫列出本卡對到哪幾條、怎麼滿足。
• 不做義大利麵式程式：「怎麼做」每項已標 reuse／extend／new。extend 就改既有那支，不另開一支；紅旗：複製一段改兩行、開 XxxV2、同一行為兩條路徑。
• 檔案內註解只寫「為什麼」與「陷阱」（一到兩行），做了什麼進 commit message。
• 顯式 git add <檔名>，禁 -am；不切 branch（feature/FR-139）；做完立刻 commit ＋本卡 append 回寫（含 commit hash、手測清單）＋狀態改「修正待驗證」；push 等決策者。

建議模型與思考強度（首腦判斷）