建議 model：Sonnet 5，effort：medium——改動小，難在確認「本租戶」的定義（切進來的算）與 FE 三處都走同一支 API。本卡由可見度原則①「租戶不跨」長出（決策者 2026-09-14 裁），不擋 1.20.0。無前置。

問題是什麼（白話）

決策者裁定：一筆資料只屬一個租戶，不跨租戶指派、不跨租戶操作。母租戶要子公司的人做稽核，正解是子公司管理員把人加進子公司租戶、給角色，此人切租戶進去做，紀錄留在子公司。但現在選人的下拉（指派人、SSP 負責人、模組框架相關方）用的是「使用者選單」API，該 API 只靠 users 表的 RLS 過濾——RLS 是「上看下」，母租戶帳號選人時會看到所有子租戶的人，指下去就是跨租戶指派，被指的人之後會遇到資料靜默消失（專案、流程、人名逐張被隔離擋掉）。要在入口擋掉，並在 SPEC 明寫不支援。

首腦核對（2026-09-14）：

• jedi-iam jedi_iam/api/routes/user_route.py:67-70 UsersMenuRoute → user_service.get_users_menu → infra/repository/user_repo_impl.py:225 get_users_menu：只過濾 status >= -1 與傳入的等值條件，沒有租戶條件，靠 users_select policy（is_super_admin OR 租戶子樹 OR 本人）。
• FE 呼叫 USER_MENU（src/config/api/api.js:38）的三處：src/stores/menuStore.js、src/components/grc/ModuleFramePartiesPanel.vue、src/components/grc/ssp/SspBasicSection.vue。任務指派人選單走哪支 API 要 grep FE assignee 再確認（可能也走 USER_MENU 或另一支）。
• 「本租戶」的定義：get_user_context().tenant_id（切租戶後就是切到的那個）。母租戶帳號沒切時看到的是母租戶自己的人；切到子租戶時看到子租戶的人（含自己，因 user_tenants 多隸屬）。
• DEV 現況：5 個子租戶零帳號；task_assignees 跨租戶只有平台管理員 admin（tenant 1）被指到 102 的 9 筆——平台管理員屬例外（is_super_admin），本卡不擋它。

在哪裡

~/Projects/Jedicogy/module/jedi-python-package/jedi-iam/jedi_iam/infra/repository/user_repo_impl.py:225   get_users_menu（加租戶條件）
~/Projects/Jedicogy/module/jedi-python-package/jedi-iam/jedi_iam/app/service/user_service.py:402         get_users_menu（帶 tenant_id 進 repo）
~/Projects/Billows/Audit-Manager/compliance-manager-fe/src/config/api/api.js:38                        USER_MENU
~/Projects/Billows/Audit-Manager/compliance-manager-be/docs/spec-site/current/                          對應頁面 SPEC（任務指派、SSP 基本資訊、模組框架相關方）

怎麼修

• ① get_users_menu 預設加 tenant_id == get_user_context().tenant_id；is_super_admin 且未切租戶時維持全看（平台後台選人）。先查再寫：kwargs 已支援等值過濾，service 層把 context 的 tenant_id 塞進去即可，不要在 repo 另開查法。
• ② grep FE assignee／participant 確認任務指派人選單走哪支 API；若走別支（例如 jedi-task-platform 的 participant 候選），同法加租戶條件並回寫本卡。
• ③ SPEC：對應頁面 spec 加一句「指派人／參與者只能選本租戶帳號；要讓別租戶的人參與，由該租戶管理員把人加進租戶並給角色，切租戶操作」；檔頭變更紀錄加一行。走 writing-feature-specs skill。
• ④ 既有跨租戶指派（DEV 只有 admin 那 9 筆）不回頭清；回寫時把 STG／POC 唯讀查一次的筆數貼上（select u.tenant_id, je.tenant_id, count(*) from compliance.task_assignees a join public.users u on u.id=a.user_id join compliance.job_executions je on je.id=a.task_id group by 1,2 having u.tenant_id<>je.tenant_id）。

要寫測試

• 碎片 case 預設不寫 unit test；jedi-iam 若已有 get_users_menu 測試則加一條「context tenant 102 → 不含 tenant 131 的帳號」。

手測

• DEV：blsadmin 不切租戶 → 任務指派人下拉只有 102 的人（不含 euadmin 131、jediadmin 158）；切到子租戶 152 → 下拉只有 152 的人（DEV 為空，先用 cmmgr 造一個 152 帳號）。
• DEV：SSP 基本資訊負責人、模組框架相關方兩處選人同上。