本卡為 FR-111 母案。用 claude-security plugin 掃證據自動分類套件 jedi-evidence-classification（HEAD 955e409，branch feature/review），套件正式碼 97 檔 10,450 行剔除 56 支無邏輯檔後切五棒 41 檔 7,849 行、每棒 ≤2,000 行。只掃不修，修正卡等全部掃完統一開。子卡清單在末段。

這系列在做什麼（白話）

證據自動分類：稽核人員把一批證據檔（Word／Excel／PDF／圖片）丟進系統，系統起一個 docker 容器、把檔案交給 AI 服務判「這份證據對應哪幾條控制項」，人工審核後歸檔進稽核任務。這支套件是 21 支裡唯一同時做三件高風險事的：跑外部程式（docker 容器）、連客戶的雲端硬碟（舊路徑，帶授權）、用 AI 服務金鑰。跨 arc 總表把它排「還沒掃」第 3 順位，理由是「檔案最少但值得排查的程度最高」。

為什麼要做

本套件從未掃過。2026-07 主專案 semgrep 掃描只標了 docker 命令那一支的 subprocess，當時加了字元白名單就結案；跨 arc 總表 §3.4「等於沒查」列了兩項待驗：「容器紀錄遮蔽只靠字串比對」「docker 白名單擋不擋得住繞過」。FR-107（批次分類、AI 金鑰、多供應商）與 FR-110（Drive 憑證改畫面設定）2026-09 剛把這條線大改，決策者 2026-09-18 裁功能收口、可以排掃。

首腦讀完後的重點（開檔看到的，未經掃描與投票確認）

• AI 金鑰走 docker run 命令列（-e ANTHROPIC_API_KEY=<值>）——容器跑幾分鐘到幾十分鐘期間，同主機任何帳號 ps 看得到。
• 落地的容器紀錄只遮命令列那一段，容器 stdout／stderr 原文落地，後面存進 run 紀錄、上傳客戶雲端硬碟、專案成員可讀報告。
• 舊 Drive 線的觸發端點吃前端給的資料夾 ID、job 狀態查詢端點沒守門且登記簿不分租戶——舊線已標 legacy 但路由仍掛著。
• 審核結果由前端整包 PUT 回來、歸檔採信那份——state 驗到什麼程度決定「歸檔進任務的證據誰說了算」。
• 002 migration 檔頭「刻意不掛 RLS」已過時——DEV 唯讀實查五張表全開 RLS 各 4 條，研究員讀到會報假陽性。
• 證據內容可以對 AI 下指令（分類是把證據內文交給 AI 判）——結果被誘導不是外洩，待決策者裁算不算資安題。

怎麼拆（按業務鏈垂直切，每棒含研究員會追去讀的接縫檔）

• E1 容器執行鏈（7 檔 1,476 行）— 宿主組 docker 命令、金鑰下發、容器端程式（811＋314 行）、log 遮蔽。整支最該看的一塊，先派。
• E2 批次分類主幹（2 檔 1,900 行）— 十個端點的服務與路由。唯一逼近上限的一棒，研究員被砍就改「主幹服務檔上下半各跑一次」。
• E3 舊 Drive 線（4 檔 1,781 行）— 觸發／job 狀態／Drive 讀寫／正解匯入。結論可以是「刪掉就好」。
• E4 設定與插件殼（16 檔 1,850 行）— 分類設定 CRUD 與守門、模型碼表、plugin 契約、路由表、port 介面。
• E5 邊界層（12 檔 842 行）— E2 切不進去的資料層：schema／查詢預設／repo 過濾／RLS policy／state 鍵。

建議順序：E1 → E2 → E3 → E4 → E5（照風險排）。全機一次只跑一支，與 jedi-detection D3-1～D3-4b 輪替、順序由決策者裁。

剔除清單（56 檔 2,601 行，不掃）