本卡屬 FR-114 資安修正（母卡 CM-2019），第 1 批「權限地基」卡 1-2，修 SUMMARY #37 後半（出自 M03-14＋M06-7）。中。修法規格來自內化卡，計畫在 docs/features/FR-114-2609-security-fix-dispatch/batches/plan-b1.md「卡 1-2」段。🔴 本卡依賴卡 1-1 先完成（BE 主專案新增的嚴格守門要先存在，套件側才有東西可換）。

問題是什麼（白話）

弱點檢測套件（jedi-detection）裡八支會改資料的功能，目前呼叫的是太鬆的舊守門，跟卡 1-1 的問題同一個洞——任何登入帳號知道任務編號就能對別家客戶的任務動手。

首腦核對：

• detection_orchestration_service.py 這支檔已經 2,498 行，超過 800 行上限，不准再加新函式，只能改既有呼叫點
• 自動完成路徑（:1639）是背景程序觸發、沒有 request context，本來就不掛守門是設計如此，2026-09-21 已確認過，本卡不動它

工作區

套件側：在 /Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/.claude/worktrees/jedi-wt-fix-security/jedi-detection（branch fix/security-b1）改，只動自己那支套件的子目錄、只 git add 該子目錄下的檔。

跨 repo：BE 工作區 pyproject.toml 把 jedi-detection 的 pin 改成 path 形式指向上面那個套件 worktree，poetry update jedi-detection。這個 path 改動不 commit（git add 時跳過 pyproject.toml）。

在哪裡

detection_orchestration_service.py:196   呼叫舊守門，改用卡 1-1 新增的嚴格守門
detection_orchestration_service.py:871   同上
detection_orchestration_service.py:925   同上
detection_orchestration_service.py:1007  同上
detection_orchestration_service.py:1032  同上
detection_orchestration_service.py:1097  同上
detection_orchestration_service.py:1127  同上
detection_orchestration_service.py:1470  同上
detection_orchestration_service.py:1639  自動完成路徑——不動，沒有 request context，本來就不掛守門，設計如此

怎麼修

• ① 先確認卡 1-1 在 BE 主專案新增的嚴格守門已存在（common/authz/ 匯出的新函式）
• ② 八個呼叫點（:196/:871/:925/:1007/:1032/:1097/:1127/:1470）逐一把舊的 assert_project_participant 呼叫換成新守門，簽章對齊就好，不新增函式
• ③ :1639 自動完成路徑維持原樣不動——它沒有 request context，加守門會直接炸掉背景程序

手測

• DEV：非該專案成員帳號，對別家客戶的弱點檢測任務嘗試觸發這八支功能各一次 → 期待全部回「找不到」
• DEV：正常專案成員身分操作同樣八支功能 → 期待跟修改前一樣正常成功
• DEV：背景自動完成流程（:1639 觸發的路徑）→ 期待照常運作，不因本卡改動而失敗

做完要回寫報告