本卡屬 FR-114 資安修正（母卡 CM-2019），第 1 批「權限地基」卡 1-4a，修 SUMMARY #38／#39（出自 M05-6／M05-8）。中。修法規格來自內化卡，計畫在 docs/features/FR-114-2609-security-fix-dispatch/batches/plan-b1.md「卡 1-4」段。🔴 本卡的「刪除討論改成軟刪除」半部要等卡 1-4b 的 migration 先套到 DEV，才能驗證軟刪除欄位是否正確寫入。

問題是什麼（白話）

#38：問卷填答歷史的「撤回」功能不檢查是不是本人的填答，任何登入帳號都能撤回別人的答案。

#39：問卷討論串的「編輯」不檢查是不是本人發的留言；「刪除」目前是直接從資料庫刪掉（硬刪除），也沒檢查是不是本人。

首腦核對：

• survey.survey_discussions 資料表目前沒有任何軟刪除欄位（is_deleted／deleted_at／deleted_user／status 都不存在），確認過 DEV schema 與基線庫都沒有——這是卡 1-4b migration 要補的
• survey.survey_discussions 已有 4 條 RLS 政策（select/insert/update/delete，都依附在 surveys 的可見範圍上），軟刪除後的資料一樣會通過 select 政策，所以「怎麼不顯示已刪除的討論」要在讀取層（get_survey_discussions）處理，不是靠 RLS 擋

工作區

套件側：在 /Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/.claude/worktrees/jedi-wt-fix-security/jedi-survey（branch fix/security-b1）改，只動自己那支套件的子目錄、只 git add 該子目錄下的檔。

跨 repo：BE 工作區 pyproject.toml 把 jedi-survey 的 pin 改成 path 形式指向上面那個套件 worktree，poetry update jedi-survey。這個 path 改動不 commit（git add 時跳過 pyproject.toml）。

在哪裡

question_answer_history_service.py:49-58   撤回填答歷史，補「是不是本人」檢查
question_answer_history_route.py:41-47      路由層呼叫點
survey_discussion.py:46-55                  編輯討論，補「是不是本人」檢查
survey_discussion.py:57-61                  刪除討論，目前是硬刪除，改成軟刪除＋補「是不是本人」檢查
survey_discussion_service.py:69-80          討論服務層，讀取要濾掉已軟刪除的資料
survey_discussion_route.py:62-65            路由層呼叫點（更新）
survey_discussion_route.py:82-85            路由層呼叫點（刪除）

怎麼修

• ① #38：question_answer_history_service.py:49-58 撤回動作補「操作者是不是這筆填答歷史的本人」檢查，不是本人就擋下（回「找不到」）
• ② #39 編輯半：survey_discussion.py:46-55 補「操作者是不是這則討論的本人」檢查
• ③ #39 刪除半：survey_discussion.py:57-61 現在是硬刪除（DELETE），先確認卡 1-4b 的 migration 已套到 DEV（新增軟刪除欄位），再把這裡改成寫入軟刪除欄位而不是真的刪資料列；同時補「是不是本人」檢查
• ④ survey_discussion_service.py:69-80 的讀取邏輯（get_survey_discussions 等）要濾掉已軟刪除的討論——RLS 不會幫忙擋，必須在這層加條件
• ⑤ 兩個路由層呼叫點（survey_discussion_route.py:62-65／:82-85、question_answer_history_route.py:41-47）確認有把使用者身分傳進 service 層供比對

手測

• DEV：非本人帳號嘗試撤回別人的填答歷史 → 期待被擋下