本卡屬 FR-075 掃描系列，母卡 CM-1546。掃描 jedi-iam 的第 2 塊：授權守門與提權路徑。

這一棒在做什麼（白話）

用 Claude Code 的 claude-security plugin，掃 jedi-iam 裡「授權守門與提權路徑」這一塊的程式碼（約 8 個檔），找出資安問題，產出一份報告。只找問題、不修問題——修正是後續另外開卡的事。

為什麼切這一塊

這裡是全產品的權限判定中樞（CLAUDE.md 指定的 canonical 守門）。判斷寫錯就是跨租戶讀寫，而且不會有任何錯誤訊息。

重點看什麼

這些是給你的思考起點，不是檢查清單——掃描工具會自己找，這裡列的是這一塊最容易出事的地方：

• platform-admin / super-admin / capability 三軸的判定條件，尤其「缺少某個值」時是 fail-open 還是 fail-closed
• signed-token 的最小情境帶了什麼 context 進 DB session，租戶隔離還在不在
• elevated_session 什麼情況下會提權、有沒有邊界
• decorator 形式的守門有沒有可能被繞過（例如方法上方插入新 decorator）

已知的舊發現（用來對照，不是答案）

2026-09-05 有一輪不完整的掃描（40 個 agent 只有 28 個回報、驗證面板從未執行），在這一塊找到過：

M-3 signed-token 最小情境以 super admin 執行（根因在 jedi-common 的 session_scope，但這裡是觸發點）

這份舊清單只是參照。你這一棒的價值在於「跑完整條、包含驗證面板」，所以：舊的沒被你的掃描找到，要在回報裡說明（是面板刪掉了，還是根本沒掃到）；你找到舊清單沒有的，那就是新收穫。完整舊清單見 compliance-manager-be repo 的 docs/features/FR-075-2609-jedi-package-security-audit/scan-findings-batch1.md。

怎麼做

第一步：確認 plugin 在

ls /Users/chouraymond/.claude/plugins/cache/claude-plugins-official/claude-security/0.10.2.3/skills/claude-security/

第二步：讀掃描 job 的作業書，照它的步驟走（它會告訴你怎麼建報告目錄、怎麼記錄掃描版本、怎麼啟動 workflow）：

cat /Users/chouraymond/.claude/plugins/cache/claude-plugins-official/claude-security/0.10.2.3/skills/claude-security/jobs/scan-codebase.md