建議 model：Opus，effort：medium——四張表三種現況（scope／is_builtin／無欄位），policy 要新寫「反向前綴」分支，且要決定 UI 在哪裡讓母租戶勾「分享」。本卡由可見度原則①「租戶不跨、要看只能靠明確分享」長出（決策者 2026-09-14 裁），不擋 1.20.0。前置：.2e CM-1772（workflow_templates 的 scope 欄位由它開）。

問題是什麼（白話）

母租戶自己做的模組框架、檢測方案、流程範本，子租戶現在看不到——這三張表早就開了隔離，只放行「原廠公版」與「自己子樹」。集團總部想把自訂的稽核框架給子公司用，目前只能一家一家複製。業界做法是資源上標「分享給子樹」，規則多一條「這筆的租戶路徑是我的路徑的開頭就放行」（把現有的前綴比對反過來用一次）。

首腦核對（2026-09-14 DEV 實查）：

• compliance.module_frames：scope 值只有 TENANT（157 筆）、tenant 1 有 1 筆、102 有 155、158 有 1；select policy scope='SYSTEM' OR is_super_admin OR 子樹。
• config.detection_profiles：SYSTEM 10（tenant 1）、TENANT 1（102）；detection_profile_versions 同款 policy。
• compliance.flow_templates：用 is_builtin（true 4 筆在 tenant 1、false 10 筆在 102），無 scope 欄位；D1 裁 is_builtin 不回改，本卡在它旁邊加 scope 或加 shared 布林——先回寫問首腦選哪個。讀取端 infra/flow_engine/repository/flow_template_repo_impl.py:34 用 or_(tenant_id==x, is_builtin==True) union，要跟著加分支。
• compliance.workflow_templates：scope 欄位由 .2e 開（SYSTEM／TENANT），本卡加 SHARED。
• 反向前綴目前沒有 helper：app_tenant_allowed_for_session 是「資料路徑 LIKE 我的路徑%」；分享要的是「我的路徑 LIKE 資料路徑%」。新開一支 helper app_tenant_is_ancestor_of_session(_tenant_id)，不改既有 helper（D1）。

在哪裡

~/Projects/Billows/Audit-Manager/compliance-manager-be/scripts/sql/2026-XX-XX-fr094-cm<本卡號>-shared-scope-subtree.sql   （新）helper＋四張表 policy＋scope 值
~/Projects/Billows/Audit-Manager/compliance-manager-be/infra/flow_engine/repository/flow_template_repo_impl.py:29-36   讀取端 union
~/Projects/Jedicogy/module/jedi-python-package/jedi-detection/                                                       detection_profiles 讀取端（grep scope）
~/Projects/Jedicogy/module/jedi-python-package/jedi-flow-engine/                                                     workflow_templates 讀取端（.2e 已加 union，本卡擴 SHARED）
~/Projects/Billows/Audit-Manager/compliance-manager-be/infra/module_frame/                                            module_frames 讀取端

怎麼修

• ① helper：app_tenant_is_ancestor_of_session(_tenant_id)：資料所屬租戶的 path 是 session 任一 allowed_tenant_paths 的前綴 → true。SECURITY DEFINER、search_path public，寫法比照既有 helper（02-schema.sql:623）。
• ② policy：四張表 select 加 OR (scope='SHARED' AND app_tenant_is_ancestor_of_session(tenant_id))；update／delete 不加（只有擁有者租戶能改，子租戶只讀）。scope 的 check constraint 若有，加 SHARED。
• ③ 讀取端：Python union 同步加分支（flow_templates 的 is_builtin 那條依首腦裁決）。
• ④ UI：四類資源的編輯頁加「分享給子租戶」開關，只有該資源所屬租戶的管理角色可勾；能力點沿用各資源既有的 update 能力點，不新開。FE 改動走 fe-developer 或另開 FE 卡——先回寫本卡問首腦要不要拆。
• ⑤ 開前 vs 開後對照：DEV 用 cmmgr 把 102 的一筆 module_frame 標 SHARED；模擬子租戶 152 路徑（SET LOCAL app.allowed_tenant_paths='/1/102/152/'）查 module_frames 應多出那 1 筆；模擬兄弟 131 路徑不該看到。貼數字。

要寫測試

• 以對照查詢為驗證；突變：把 helper 的 LIKE 方向改回去 → 子租戶查不到 SHARED 那筆。

手測