本卡屬 FR-075 掃描系列，母卡 CM-1546。掃描 jedi-iam 的「角色與權限能力」模組。本棒是按業務模組垂直切——從 route 到 service 到 domain 到 repository 是一條完整的請求路徑。

這一棒在做什麼（白話）

用 Claude Code 的 claude-security plugin，掃 jedi-iam 裡「角色與權限能力」這個模組（約 49 個檔），找出資安問題，產出一份報告。只找問題、不修問題——修正是後續另外開卡的事。

為什麼是「一條完整路徑」而不是「一層」：權限漏洞最常活在層與層的接縫上——route 收了一個 id，你要看到 service 才知道有沒有驗證那個 id 屬於呼叫者。只給 route 或只給 service，兩邊都看不出問題。所以這一棒把同一個模組的每一層都給你。

為什麼切這一塊

這裡決定「誰能做什麼」。權限資料本身被改掉，比任何單一端點的漏洞都嚴重——攻擊者不需要繞過守門，只要把自己的角色改成管理員。S2 掃的是守門怎麼判斷，這一棒掃的是判斷依據的資料怎麼被寫入。

重點看什麼

這些是給你的思考起點，不是檢查清單——掃描工具會自己找，這裡列的是這個模組最容易出事的地方：

• 改角色、改能力、把角色指派給使用者，這些寫入端點誰能呼叫
• 能不能把角色指派給自己，或提升自己的能力
• 能不能操作到其他租戶的角色（RLS 之外，程式層有沒有檢查）
• route_capability 這張對照表（端點對應到需要什麼能力）能不能被改
• 查詢類端點會不會洩漏整個系統的角色與能力清單

已知的舊發現（用來對照，不是答案）

2026-09-05 有一輪不完整的掃描（40 個 agent 只有 28 個回報、驗證面板從未執行），在這一塊找到過：

（第一輪未涵蓋這一塊）

這份舊清單只是參照。你這一棒的價值在於跑完整條含驗證面板，所以：舊的沒被你的掃描找到，要在回報裡說明（是面板刪掉了，還是根本沒掃到）；你找到舊清單沒有的，那就是新收穫。完整舊清單見 compliance-manager-be repo 的 docs/features/FR-075-2609-jedi-package-security-audit/scan-findings-batch1.md。

怎麼做

第一步：確認 plugin 在

ls /Users/chouraymond/.claude/plugins/cache/claude-plugins-official/claude-security/0.10.2.3/skills/claude-security/