本卡為 FR-134 母案。顧問上傳客戶原始碼壓縮檔或現成 SBOM，系統在既有沙箱產物料清單、雙工具比對弱點、給事實統計與可交付報表；同一核心兩個入口（側選單獨立模組、檢測工具清單「SBOM 弱點掃描」）。30 棒。子卡清單在末段。

這系列在做什麼（白話）

顧問輔導客戶時，專案用了哪些第三方套件、有沒有已知漏洞，本該由客戶工程師盤點，實務上常被「那個不嚴重」帶過，顧問沒技術背景無從判斷。這系列讓顧問不靠工程師：把客戶的原始碼壓縮檔（或工程師給的 SBOM 檔）丟進系統，十幾分鐘後拿到一份報表——用了幾個套件、幾個有漏洞、哪些正在被實際攻擊（CISA KEV）、哪些早有修正版沒修、三個月後再掃修了沒。每個數字標明是哪個工具報的、連到公開資料庫，工程師賴不掉。系統不替任何人下結論，只給事實。

為什麼要做

產品出貨管線已有整條「Syft 產 SBOM → Trivy＋Grype 雙掃」（FR-127／128），但只服務我們自己；市面工具全是給工程師看的 CVE 清單，「給非技術人、可交付、品牌化」這塊是空的。決策者 2026-10-10 排查 ex-sbom 相容性時定案。

首腦讀完後的重點（D1–D14 定案）

• D1 工具併進既有 guidant-sandbox image，容器數不變；加固設定抽成 compose 樣板；守衛測試改依名字後綴自動納入。
• D3 只做純靜態解析（讀 lock 檔），缺 lock 明確標示並列為發現，不執行客戶建置工具。
• D4 弱點資料獨立更新包（Trivy DB／Grype DB／KEV／EPSS＋簽章）；裝機自動放入、設定頁分塊上傳、連網自動下載三條途徑；沙箱仍不出網；每次更新留紀錄（誰、何時、來源）；不做 CLI 指令。
• D5 Syft 產 SBOM（CycloneDX＋SPDX 多版本）＋Trivy／Grype 雙掃。
• D6 不做風險燈號，只給六區塊事實統計（嚴重度兩家並列／KEV／EPSS／可修未修／涵蓋完整度／跟上次比）。
• D7 報表標工具、CVE 連 NVD、公告連結、修正版；附錄一頁；不拉原始輸出。
• D8 授權歸既有檢測工具包；能力點 detection.source-scan.*。
• D9 一個核心兩個入口同版交付；入口 2 是檢測工具目錄一列 execution_target=server，不派 Agent、使用者不必選；派工分岔新開檔依 code 查登記表。
• D12 沙箱 4g／掃描 20 分／失敗不自動重跑。D13 借 FR-058.7 檢查器、新寫 safe_extract。D14 AI 分析按鈕使用者主動按、借 FR-122 閘道。
• 範圍：第一版只收上傳（源碼包／SBOM 檔），Git 來源第二版且畫面不出現任何 Git 字樣。UI 自行設計不仿競品，未實作功能不預告不留灰入口。

怎麼拆

• A 沙箱擴充（4 棒）— compose 樣板與 volume、image 加工具、/v1/scan 端點與客戶端、守衛測試。
• B 弱點資料更新（4 棒）— 產製腳本、安裝包收包與裝機放入、寫入服務與紀錄表、設定頁上傳／檢查更新／排程／歷史。
• C 掃描後端（6 棒）— 資料表與安全解壓、套件骨架與 job handler、兩種輸入路徑、正規化層、能力點授權角色、API。