本卡屬 FR-114 資安修正（母卡 CM-2019），第 2 批「只驗登入、不檢查歸屬」卡 2-7，修 SUMMARY #63（出自 M20-3）。中。修法規格來自內化卡，計畫在 docs/features/FR-114-2609-security-fix-dispatch/batches/plan-b2.md「卡 2-7」段。🔴 本卡要等第 1 批合回主線＋套件發版後才能開工。

問題是什麼（白話）

工作項的更新與刪除已經有「操作者是不是管理者」的檢查，但都沒有反過來確認「這個工作項是不是真的屬於這個專案」——填錯或偽造 project_uid 一樣能通過檢查。讀取（GET）更嚴重，完全沒有任何守門，是本卡最主要的缺口。

首腦核對：

• job_route.py:82 GET 完全零守門，是三支端點裡最大的洞
• job_service.py:266 update_job 呼叫 :287 _require_manager，這支只驗證「操作者是不是管理者」，不驗證工作項與專案的歸屬關係
• job_service.py:211 delete_job(uid, project_uid=None) 的 project_uid 參數是可選的——意味著呼叫時可以乾脆不帶，繞過任何可能的比對
• job_service.py:217 delete_job_from_diagram 已確認唯一呼叫者是 workflow_xml_sync_service.py:124，這支是從流程圖差異反推出要刪除哪些工作項、不是從使用者輸入直接來的，本卡不動它——這屬於 FR-112 那條工作線的範圍

工作區

BE 側：在 /Users/chouraymond/Projects/Billows/Audit-Manager/compliance-manager-be/.claude/worktrees/wt-fix-security（branch fix/security-b1）改，不要碰主 checkout。跑服務用 PORT=8001。

在哪裡

api/flow_control/routes/job_route.py:82    GET，完全零守門，補上完整檢查（含歸屬反查）
app/flow_control/service/job_service.py:140   get_job(uid)，目前沒有 project_uid 參數可比對，需要調整簽章或改由呼叫端提供
api/flow_control/routes/job_route.py:104   PUT
app/flow_control/service/job_service.py:266   update_job，:287 _require_manager 只驗證身分，補歸屬反查
api/flow_control/routes/job_route.py:147   DELETE
app/flow_control/service/job_service.py:211   delete_job(uid, project_uid=None)，project_uid 是可選參數，補「必填且需比對」
app/flow_control/service/job_service.py:126   _require_manager，既有身分檢查
app/flow_control/service/job_service.py:217   delete_job_from_diagram——確認唯一呼叫者 workflow_xml_sync_service.py:124，屬 FR-112 範圍，本卡不動

怎麼修

• ① 三支端點（GET :82／PUT :104／DELETE :147）都要補上「反查工作項實際屬於哪個專案，跟傳進來的 project_uid 比對」的邏輯，不只是驗證操作者身分
• ② job_route.py:82 GET 目前完全沒有守門，補上完整的檢查（含身分＋歸屬反查），這是本卡優先級最高的一項
• ③ job_service.py:266 update_job 保留既有的 :287 _require_manager 身分檢查，額外加上工作項歸屬反查
• ④ job_service.py:211 delete_job 的 project_uid 參數改成必填，並在方法內做歸屬比對，不接受省略
• ⑤ delete_job_from_diagram（:217）明確不動——它的輸入來自流程圖差異運算，不是使用者直接輸入，屬於 FR-112 另一條工作線負責

手測

• DEV：任意登入帳號（非該工作項所屬專案成員）呼叫 GET 讀取工作項 → 期待被擋下——這是本卡最重要的驗收項，修改前完全沒有守門