本卡屬 FR-114 資安修正（母卡 CM-2019），第 6 批「資料結構補強」卡 6-0a，是 SUMMARY #41（M10-6）另一半的前置。中。由 CM-2023 退回：卡與裁定指定的兩條反查鏈實測都走不通，根因是全系統沒有「任務屬於哪個專案」的獨立真相。

問題是什麼（白話）

場景：小明是自己專案的成員，在任務畫面送出指派時「專案填自己的、任務填別人專案的」。CM-2023 補了「被指派的人要是專案成員」，但小明本來就是成員，所以這一招照樣過。要擋它，系統得能回答「這個任務到底屬於哪個專案」——現在回答不出來。

首腦核對：

• compliance.job_executions 沒有 project_id 欄位（scripts/init/02-schema.sql 該表定義零命中 project）。
• 稽核輪次那條鏈（job → main_workflow_execution_id → project_audit_rounds.workflow_execution_uid）永遠對不到：infra/flow_control/repository/flow_control_job_repo_impl.py:332 註解明寫「per-control 準備任務跑在各自 self-rooted workflow，不帶 round 的 main workflow_execution_uid（會永遠匹配不到）」；CM-2023 實測 12,573 筆 0 筆對得到。
• 目前唯一的反查是 task_assignees.project_id（workflow_execution_service.py:149）——拿要保護的表當真相，擋不住第一筆。

工作區

在 /Users/chouraymond/Projects/Billows/Audit-Manager/compliance-manager-be/.claude/worktrees/wt-fix-security（branch fix/security-b1）改，不要碰主 checkout。跑服務用 PORT=8001。

在哪裡

scripts/sql/                                              新增 migration：compliance.workflow_executions 加 project_id（bigint, nullable, 註解寫 soft ref → compliance.projects.id 比照 project_audit_rounds 慣例不建 FK）＋回填
infra/flow_control/repository/flow_control_job_repo_impl.py:332   既有「任務→專案」解析（走 task_assignees），本卡完成後可改走新欄位——本卡只加欄位與回填，不改這支（留給 #41 續修卡）
app/flow_control/service/workflow_execution_service.py:149        同上，現行反查點，本卡不改
jedi-flow-engine 建立 workflow_execution 的寫入點                  ⚠️ runner 開工先 grep 套件與 BE 裡所有 create workflow_execution 的地方（grep -rn "WorkflowExecutionEntity(" 與 repo.add），每個建立點都要帶 project_id——列成清單回寫

怎麼修

• ① 先盤點：哪些地方建立 workflow_execution（起稽核輪次、per-control 準備任務、快照…）、每個地方當下手上有沒有 project_id。盤點結果先回寫本卡再動手。
• ② migration：加欄位＋回填。回填來源：對得到 task_assignees 的用它的 project_id；對得到 project_audit_rounds 的用輪次的；都對不到的留 NULL 並回寫筆數。只套 DEV。
• ③ 建立點補寫 project_id（套件側若要動 jedi-flow-engine，走 path dependency，卡上工作區段）。
• ④ 本卡不改任何守門——守門改走新欄位是 #41 續修卡的事，等本卡合回且回填驗過再開。

手測

• DEV：套完 migration，SELECT count(*) FROM compliance.workflow_executions WHERE project_id IS NULL → 回寫數字與原因。
• DEV：起一輪新稽核、開一個 per-control 準備任務 → 新建的 workflow_executions 列 project_id 有值。
• DEV：既有頁面（我的任務、專案規劃、稽核總覽）照常開得起來。