本卡屬 FR-075 掃描系列，母卡 CM-1546。掃描 jedi-iam 的第 3 塊：第二因子與人機驗證。

這一棒在做什麼（白話）

用 Claude Code 的 claude-security plugin，掃 jedi-iam 裡「第二因子與人機驗證」這一塊的程式碼（約 34 個檔），找出資安問題，產出一份報告。只找問題、不修問題——修正是後續另外開卡的事。

為什麼切這一塊

MFA 是密碼被竊之後的最後一道防線，這道防線失效通常是靜默的——沒有錯誤訊息，只是不再擋人。

重點看什麼

這些是給你的思考起點，不是檢查清單——掃描工具會自己找，這裡列的是這一塊最容易出事的地方：

• OTP 驗證有沒有次數限制，猜錯幾次會怎樣
• OTP 產生用的亂數來源、比對方式（有沒有時序洩漏）
• TOTP 的時間窗、重放防護
• 驗證通過後發什麼憑證，有沒有跳過前一關（密碼）的可能
• Turnstile 在設定缺失時的 fallback 行為

已知的舊發現（用來對照，不是答案）

2026-09-05 有一輪不完整的掃描（40 個 agent 只有 28 個回報、驗證面板從未執行），在這一塊找到過：

H-6 OTP 端點無認證無限次可換 JWT／M-4 Turnstile fallback 到永遠通過的測試金鑰／L-1 OTP 用非密碼學安全亂數

這份舊清單只是參照。你這一棒的價值在於「跑完整條、包含驗證面板」，所以：舊的沒被你的掃描找到，要在回報裡說明（是面板刪掉了，還是根本沒掃到）；你找到舊清單沒有的，那就是新收穫。完整舊清單見 compliance-manager-be repo 的 docs/features/FR-075-2609-jedi-package-security-audit/scan-findings-batch1.md。

怎麼做

第一步：確認 plugin 在

ls /Users/chouraymond/.claude/plugins/cache/claude-plugins-official/claude-security/0.10.2.3/skills/claude-security/

第二步：讀掃描 job 的作業書，照它的步驟走（它會告訴你怎麼建報告目錄、怎麼記錄掃描版本、怎麼啟動 workflow）：