FR-114.1-1 稽核任務流程的守門另開一支嚴格版，只給改資料的動作用（SUMMARY #37，中）

本卡屬 FR-114 資安修正（母卡 CM-2019），第 1 批「權限地基」卡 1-1，修 SUMMARY #37 前半（出自 M03-14＋M06-7）。中。修法規格來自內化卡，計畫在 docs/features/FR-114-2609-security-fix-dispatch/batches/plan-b1.md「卡 1-1」段。

問題是什麼（白話）

任何登入帳號知道一個工作項（job）編號，就能對別家客戶的稽核任務按「完成」「退回」——現有守門 assert_project_participant 對這兩個動作沒有真的擋人。

首腦核對：

app/flow_engine/service/workflow_execution_service.py:660 complete_job 呼叫的守門，實際沒有卡到非成員
app/flow_engine/service/workflow_execution_service.py:841 revert_job 同樣狀況
common/authz/workflow.py:29-49 assert_workflow_project_participant 是現有共用守門，但太鬆，直接改嚴會波及證據上傳／修改／刪除（job_evidence_service.py:87/153/178），那些不在本卡範圍

工作區

BE 側：在 /Users/chouraymond/Projects/Billows/Audit-Manager/compliance-manager-be/.claude/worktrees/wt-fix-security（branch fix/security-b1）改，不要碰主 checkout（掃描線正在讀它）。跑服務用 PORT=8001。

在哪裡

common/authz/workflow.py:29-49  assert_workflow_project_participant（現有共用守門，太鬆，本卡不改它，另開新的嚴格版）
app/flow_engine/service/workflow_execution_service.py:126-140  assert_project_participant（現有守門呼叫點）
app/flow_engine/service/workflow_execution_service.py:660  complete_job（完成任務，要換成新嚴格守門）
app/flow_engine/service/workflow_execution_service.py:841  revert_job（退回任務，要換成新嚴格守門；注意保留 known_project_id 旁路，見下方陷阱）
api/flow_engine/routes/flow_engine_route.py:140  路由層呼叫點
api/flow_engine/routes/flow_engine_route.py:165  路由層呼叫點
common/authz/__init__.py:34  匯出點，新守門要從這裡 export
common/authz/__init__.py:134  匯出點
common/authz/__init__.py:156  匯出點

怎麼修

① 先查再寫：這是決策者已裁「照建議」的做法——不修改現有 assert_project_participant（那支會連帶影響證據上傳/修改/刪除，範圍外），而是在 common/authz/ 新開一支嚴格版守門（例如 assert_job_operator，具體命名照 common/authz/init.py 現有慣例），只給「完成」「退回」這類會改資料的動作用
② workflow_execution_service.py 已經 1,374 行，超過 800 行上限——新邏輯不准往裡塞，新開檔（例如 app/flow_engine/service/job_operator_guard.py），從 complete_job（:660）與 revert_job（:841）各一行呼叫
③ revert_job 現有的 known_project_id 旁路（被 stage_rollback_service.py:152 用到）必須保留，新守門要接受這個參數、不能拿掉，否則會連帶弄壞退回流程
④ flow_engine_route.py:140／:165 兩個路由層呼叫點確認接的是新守門，不是舊的 assert_project_participant
⑤ common/authz/init.py 三處匯出點加上新守門的 export

手測

DEV：用非該專案成員的帳號，對別家客戶的任務按「完成」→ 期待回「找不到」（不是「無權限」，避免洩漏編號存在）
DEV：同一個非成員帳號對別家客戶的任務按「退回」→ 期待回「找不到」