本卡屬 FR-114 資安修正（母卡 CM-2019），第 1 批「權限地基」卡 1-9，修 SUMMARY #44／#43 權限資料半（出自 M21-3／M19-1）。中。修法規格來自內化卡，計畫在 docs/features/FR-114-2609-security-fix-dispatch/batches/plan-b1.md「卡 1-9」段。

問題是什麼（白話）

#43 權限資料半：卡 1-6 要在資產模組讀取端點加上能力檢查，但目前有一個角色沒有被授權 device.read／information-system.read 這兩個能力點——如果不先補這筆權限資料，1-6 上線後會讓該角色看到的下拉選單「靜默變空」。

#44：意見回饋新增時的 RLS 政策 feedback_issues_insert 要求必填 org_unit_id，但其他三個操作（select/update/delete）都有「超級管理員可略過此限制」的例外，唯獨 insert 政策沒有這個例外，導致某些合法情境（如系統管理員代開回饋）被卡住。

首腦核對：

• 缺 device.read／information-system.read 能力的確切角色 id 要在 DEV 上 SELECT 查出來，不能憑猜測寫死到 migration 裡
• scripts/sql/packages/jedi_issue/004-feedback-issues-rls-grants.sql:55-58 是 feedback_issues_insert 政策目前的定義，要放寬成跟其他三個操作一樣有超級管理員例外，且要確認 org_unit_id 為空時 tenant_id 仍然有正確記錄（不是連 tenant 隔離都跟著鬆掉）

工作區

BE 側：在 /Users/chouraymond/Projects/Billows/Audit-Manager/compliance-manager-be/.claude/worktrees/wt-fix-security（branch fix/security-b1）改，不要碰主 checkout。跑服務用 PORT=8001。

在哪裡

scripts/sql/  新增 migration (a)：SELECT 找出缺 device.read／information-system.read 能力點的角色 id，INSERT 補上這兩個能力授權
scripts/sql/packages/jedi_issue/004-feedback-issues-rls-grants.sql:55-58   feedback_issues_insert 政策，放寬成跟其他三操作一致有超級管理員例外

怎麼修

• ① 先在 DEV 上 SELECT 查出目前缺 device.read／information-system.read 能力的角色 id（不要猜測或寫死已知角色名，用查詢結果為準）
• ② 新增 migration，把這兩個能力點授權給查出來的角色——每個語句加日期註解＋檔頭 -- Date:
• ③ 修改 004-feedback-issues-rls-grants.sql:55-58 的 feedback_issues_insert 政策，比照 select/update/delete 三個操作已有的超級管理員例外寫法加進去
• ④ 確認 org_unit_id 為空時，tenant_id 欄位依然會被正確記錄（RLS 放寬的是「必填 org_unit_id」這個條件，不是連 tenant 隔離一起放寬）
• ⑤ 收尾 INSERT public.schema_migrations
• ⑥ 用 psql --single-transaction -v ON_ERROR_STOP=1 -f <檔> 以 cmmgr 帳號套用到 DEV（只套 DEV）

手測

• DEV：SELECT 確認之前缺能力的角色現在已經有 device.read／information-system.read