本卡屬 FR-114 資安修正（母卡 CM-2019），第 2 批「只驗登入、不檢查歸屬」卡 2-8，修 SUMMARY #46／#65（出自 掃描總表120／67＋M10-11／掃描總表 121）。高。修法規格來自內化卡，計畫在 docs/features/FR-114-2609-security-fix-dispatch/batches/plan-b2.md「卡 2-8」段。🔴 本卡要等第 1 批合回主線＋套件發版後才能開工。

問題是什麼（白話）

#46：合規資源庫的控制項清單範本是跨客戶共用的資料，決策者已補裁修法——後端在改控制項清單前，要先確認這份範本是不是自己客戶的，而且這個檢查現在只在「改分享身分」那個分支才做，本卡要把它搬到「只要有寫入就檢查」。同一份範本資料其實有三條寫入路徑：直接編輯、Excel 匯入覆蓋、Word 匯入覆蓋——只修一條會留下另外兩條後門，三條必須一起修。

#65：新增資源庫項目的端點沒有能力檢查，也沒有流量限制（rate limit），可以被短時間內大量濫用塞入垃圾資料。

首腦核對：

• 既有正確寫法可複製：common/authz/sharing.py 的 assert_scope_writable
• _init_ao_workflows（resource_library_app_service.py:220，被 :419 呼叫）也要一併檢查，這支容易被忽略但同樣寫入範本相關資料
• 資料庫層面沒辦法靠隔離設定擋這個洞——受影響的三張表目前完全沒有客戶（tenant）欄位，這是結構性問題，屬於 FR-094 那條工作線負責，本卡不處理資料庫結構
• 三條寫入路徑：直接編輯（#46 本體）；Excel 匯入覆蓋（掃描總表#123，ssp_excel_import_route.py:103 → ssp_excel_import_app_service.py:441 _confirm_update_module_frame）；Word 匯入覆蓋（掃描總表#125，ssp_docx_import_app_service.py:304 confirm_import，路由 ssp_docx_import_route.py:96）——決策者已裁「照建議」：#123／#125 併入本卡一起處理，不分開開卡
• #65 的能力檢查可以直接複製 ModuleFrameRoute.post 的既有寫法（api/module_frame/routes/module_frame_route.py:58 @require_capability("module-frame.create")）
• #65 的流量限制決策者已裁「照建議」：採計畫建議的具體數字——每租戶每小時 10 次；限制點加在合併點 resource_library_app_service.py:427 create_resource_library

工作區

BE 側：在 /Users/chouraymond/Projects/Billows/Audit-Manager/compliance-manager-be/.claude/worktrees/wt-fix-security（branch fix/security-b1）改（app/oscal/service/、api/oscal/routes/、app/module_frame/service/），不要碰主 checkout，跑服務用 PORT=8001。本卡與卡 2-9 共用同一個工作區（2-9 接續本卡繼續開發，不要在本卡結束時清掉工作區）。

在哪裡

app/oscal/service/resource_library_app_service.py:220   _init_ao_workflows，補歸屬檢查
app/oscal/service/resource_library_app_service.py:419   呼叫 _init_ao_workflows 的地方
app/oscal/service/resource_library_app_service.py:427   create_resource_library，合併點，加流量限制（每租戶每小時 10 次）
common/authz/sharing.py   assert_scope_writable，既有正確寫法，直接複製
api/oscal/routes/ssp_excel_import_route.py:103   Excel 匯入覆蓋入口
app/oscal/service/ssp_excel_import_app_service.py:441   _confirm_update_module_frame，補歸屬檢查（掃描總表#123）
app/oscal/service/ssp_docx_import_app_service.py:304   confirm_import，補歸屬檢查（掃描總表#125）
api/oscal/routes/ssp_docx_import_route.py:96   Word 匯入覆蓋入口
api/module_frame/routes/module_frame_route.py:58   ModuleFrameRoute.post，既有 @require_capability("module-frame.create") 寫法，#65 直接複製這個模式
（#65 新增能力檢查與流量限制的實際端點：resource_library_route.py 的新增端點，需搭配上面 create_resource_library 合併點）

怎麼修

• ① #46：把現有只在「改分享身分」分支做的歸屬檢查（用 common/authz/sharing.py 的 assert_scope_writable）搬到「只要有寫入控制項清單就檢查」，涵蓋範本本體的所有寫入路徑
• ② _init_ao_workflows（resource_library_app_service.py:220，:419 呼叫）一併加上同樣的歸屬檢查，不要遺漏
• ③ Excel 匯入覆蓋路徑（ssp_excel_import_app_service.py:441 _confirm_update_module_frame）加上同樣的歸屬檢查——決策者已裁併入本卡（原掃描總表#123）
• ④ Word 匯入覆蓋路徑（ssp_docx_import_app_service.py:304 confirm_import）加上同樣的歸屬檢查——決策者已裁併入本卡（原掃描總表#125）