本卡屬 FR-075 掃描系列，母卡 CM-1546。掃描 jedi-iam 的「使用者本體與密碼變更」模組。本棒是按業務模組垂直切——從 route 到 service 到 domain 到 repository 是一條完整的請求路徑。

這一棒在做什麼（白話）

用 Claude Code 的 claude-security plugin，掃 jedi-iam 裡「使用者本體與密碼變更」這個模組（約 43 個檔），找出資安問題，產出一份報告。只找問題、不修問題——修正是後續另外開卡的事。

為什麼是「一條完整路徑」而不是「一層」：權限漏洞最常活在層與層的接縫上——route 收了一個 id，你要看到 service 才知道有沒有驗證那個 id 屬於呼叫者。只給 route 或只給 service，兩邊都看不出問題。所以這一棒把同一個模組的每一層都給你。

為什麼切這一塊

帳號本身的生命週期：建立、查詢、修改、批次匯入、改密碼、忘記密碼。這是「誰存在於系統中」的真相來源，也是密碼重設這條「不用登入就能打」的路徑所在。

重點看什麼

這些是給你的思考起點，不是檢查清單——掃描工具會自己找，這裡列的是這個模組最容易出事的地方：

• 建立與修改帳號有沒有做權限檢查，能不能改到別人的帳號
• login_name 有沒有格式驗證——它會被拿去組檔案路徑（已知 M-10 路徑穿越）
• 忘記密碼 / 重設密碼這條不需登入的路徑：token 怎麼產、多久過期、能不能重放、有沒有次數限制、回應會不會洩漏帳號存不存在
• 改密碼有沒有驗舊密碼，改完舊 session 會不會失效
• 批次匯入的檔案處理：檔名、路徑、大小、內容解析
• 查詢類端點回傳的欄位有沒有夾帶密碼 hash 或其他租戶的資料

已知的舊發現（用來對照，不是答案）

2026-09-05 有一輪不完整的掃描（40 個 agent 只有 28 個回報、驗證面板從未執行），在這一塊找到過：

M-10 Excel 匯入的 login_name 路徑穿越（import_user_service.py:79）

這份舊清單只是參照。你這一棒的價值在於跑完整條含驗證面板，所以：舊的沒被你的掃描找到，要在回報裡說明（是面板刪掉了，還是根本沒掃到）；你找到舊清單沒有的，那就是新收穫。完整舊清單見 compliance-manager-be repo 的 docs/features/FR-075-2609-jedi-package-security-audit/scan-findings-batch1.md。

怎麼做

第一步：確認 plugin 在