FR-058.7 SonarQube 上傳檔案掃描（scan 模式取源擴充）

任務摘要

客戶要能直接上傳源碼壓縮包（.zip / .tar / .tar.gz / .tgz）做 SonarQube 檢測。定位為 scan 模式的取源擴充，不是新模式——scan_mode 多一個 upload 選項，取源之後整條 FR-058.6 掃描管線全複用。上傳時機定在任務抽屜發起執行時（非任務設定表單）；壓縮包落地 tenant 設定的儲存空間，agent 以 mTLS 主動拉取下載。tenant 端壓縮包保留供重掃沿用＋歷史不刪（agent 端 workspace 維持掃完即刪）。決策 D25–D31 定案、D32 併入 D29 ④（2026-08-01 決策者已全數過稿）。

關鍵約束

取源通道＝BE 新開 agent 專用純 mTLS 檔案下載端點＋任務綁定驗證（D25）；BE 對 minio / remote_agent 後端串流轉發不落地（FR-039 不變式）
source_file 不是 schema 欄位，是執行時輸入；param_schema 出 v3、僅 scan_mode 加 upload（D26）
格式與限額設定化：上傳 100MB / 解壓後 500MB / 50,000 檔，環境變數可覆寫；agent 下載前磁碟檢查 free < 壓縮包×12＋1GB 即 fail（D27 / D28）
重掃沿用：首次執行必須上傳，之後可沿用 sticky 檔案；替換不刪舊檔、歷史全保留；清理機制 v1 不做列 follow-up（D29）
解壓走標準庫 zipfile / tarfile filter="data"＋共用額度檢查層（D30）；檔案 metadata 由 BE 從 upload_files 權威取回、不信 FE（D31）

design.md 座標

docs/features/FR-058-2607-detection-tools-expansion/design.md：詳細設計見 §4.8、決策理由見 §2 D25–D31（D32 併入 D29）、拆分與驗收條件見 §5.12 T-7.1〜T-7.4。討論稿：同資料夾 discussion-fr058.7-upload-scan.html（v4）。

驗收條件摘要

照 §5.12 T-7.4 清單：上傳 zip 掃描跑通、.tar.gz 跑通、沿用舊檔重掃跑通、替換後歷史保留、磁碟不足明確報錯、超額壓縮包被擋、環境變數調限額生效、nginx client_max_body_size 部署驗證。

子任務卡

T-7.1 BE（CM-1003）— FR-058.7 T-7.1 BE：param_schema v3＋execute 端點改造＋agent 檔案下載端點＋限額 config
T-7.2 agent（CM-1004）— FR-058.7 T-7.2 agent：mTLS 串流下載＋磁碟檢查＋安全解壓＋接進 scan 管線
T-7.3 FE（CM-1005）— FR-058.7 T-7.3 FE：任務抽屜執行對話框上傳區＋沿用顯示＋執行紀錄檔名顯示
T-7.4 端到端驗收（CM-1006）— FR-058.7 T-7.4 端到端驗收：上傳掃描全鏈路＋負向路徑＋部署驗證
T-7.5 upload 不自動派發（D33，驗收發現追加）— FR-058.7 T-7.5 upload 模式不自動派發掃描——排除自動執行＋批次發佈文案
T-7.6 檢測掃描通知加厚（D34，驗收期間提出追加）（CM-1025）— FR-058.7 T-7.6 檢測掃描通知加厚——九項內容＋失敗通知＋三管道