本卡屬 FR-092（母卡 CM-1703），第 6 棒盤點（CM-1709）產出。改 pyproject.toml 的宣告，不改任何程式碼。報告 docs/features/FR-092-2609-dead-code-cleanup/scan-unused-deps.md 為準。

問題是什麼（白話）

主專案 pyproject 有三支套件從專案第一個 commit 起就沒有任何一行程式碼 import 過（gevent、flask-marshmallow、google-auth-oauthlib），每次出貨都白裝約 9.8 MB 與三份授權／CVE 面。反過來，有五支套件主專案天天在用卻沒宣告，全靠 jedi 套件當相依帶進來——其中 openpyxl 撐著 xlsx 匯入匯出核心功能（11 支活檔），哪天套件 pin 一換主專案就在執行期炸，而 pyproject 上完全看不出來。

首腦核對：gevent 全 monorepo 零 import（含 .venv 外）、gunicorn 無 worker_class、SocketIO 走 eventlet；openpyxl 12 支活檔模組層 import、pyproject 零宣告。屬實。

在哪裡

pyproject.toml:26   "flask-marshmallow==1.2.1"          拔
pyproject.toml:30   "gevent==24.11.1"                   拔
pyproject.toml:64   "google-auth-oauthlib (>=1.2.0,<2.0.0)"   拔
pyproject.toml [project].dependencies   補：openpyxl／werkzeug／cryptography／requests／httpx

怎麼修

• ⚠️ 工作目錄的 pyproject.toml 目前帶 FR-080／091 未 commit 的 jedi path override（40 行差異）。開工前 git diff pyproject.toml 看一眼；本卡只動上面三行與新增五行，不碰 jedi 段落、不還原也不擴大那些 override。commit 時用 git add -p pyproject.toml 只挑本卡的 hunk。若判斷 hunk 分不乾淨，停下回寫本卡問決策者。
• ① 拔三行。
• ② 補五支，版本約束取「目前裝的版本的相容區間」：openpyxl (>=3.1.5,<4.0.0)、werkzeug (>=3.1,<4.0)、cryptography (>=42.0,<47.0)（對齊 jedi-license-runtime／remote-agent 的區間）、requests (>=2.31,<3.0)、httpx (>=0.28,<0.29)（對齊 jedi-detection 等三支的區間，避免解析衝突）。
• ③ poetry update（不用 poetry lock），確認 lock 內 gevent／zope.event／zope.interface／requests-oauthlib／oauthlib 消失、五支新宣告出現。
• ④ 不動：B 類六支（ldap3／pyotp／qrcode／pydantic／defusedxml／babel，套件端已宣告、拔了會被傳遞裝回來，噪音清理暫緩）；D 類（psycopg 靠 DB URL 動態載入、三家 LLM SDK 是 ai-dashboard extras 要宿主裝）；C 類 11 條套件漏宣告（另卡 CM 見母卡）。
• ⑤ pytesseract／Pillow／pdfplumber／pypdfium2 的去留綁 pdf_backend 決策，歸 CM-1705 第 2 棒，本卡不動。

要寫測試

不寫。驗：python main.py 起得來＋RUN_MODE=socketio python main.py 起得來（驗 eventlet 路徑）＋守衛三檔綠＋python -m pytest test/ -k 'excel or xlsx or template' -q 綠（openpyxl 路徑）。

手測

• DEV：前端下載一份 SSP 匯入範本 xlsx（走 openpyxl generator）→ 開得了；Google Drive 整合頁開 auth-url 一次 → 正常（驗 oauthlib 拔掉不影響手刻 requests 路徑）。

連帶

• scripts/build/ 對這八支零提及，不需改；docs/claude/deployment-env.md 若有列依賴清單順手對一下。

紀律