本卡屬 FR-167（母卡 CM-3241），卡 P2-2，階段 P2 更新站、批 2。只改 update-center（新 repo）。依賴：P2-1。

這張卡做什麼（白話）

更新站的後台：列發行版、撤回、指定哪幾台內部機器可以先裝草稿、拒絕名單、印章表。後台用 Cloudflare Access 擋，只放行決策者信箱；CI 用的 token 只能登記草稿，打其他端點一律 403。

為什麼切這一張

後台不能發布，權限邊界要清楚

reuse／extend／new

extend：同 repo 加 admin 路由（TS）；後台頁純 HTML＋少量 JS，不用框架

在哪裡

repo：~/Projects/Billows/Audit-Manager/update-center
改既有：update-center/src/index.ts（掛 admin 路由）
新開：update-center/src/routes/admin.ts
新開：update-center/public/admin.html

怎麼做

細節在 design.md §5 對應段（~/Projects/Billows/Audit-Manager/compliance-manager-be/docs/features/FR-167-2610-online-update-channel/design.md，開 design.html 看導覽）；本段只列本卡要做到的點：

• src/routes/admin.ts：Access JWT 驗證（Cf-Access-Jwt-Assertion，JWKS 從 team domain 取，aud 比對）；register-draft 另收 CI token（D1 ci_tokens 表，hash 存）且只能打這一支。
• 端點：發行版列表、withdraw、internal-targets（指紋清單）、denylist 增刪、GET /admin/keys。public/admin.html 純 HTML＋fetch，照雛形 ⑦。
• 測試：無 Access header 403；CI token 打 publish 403；指定指紋後用該指紋 check 看得到草稿、別的看不到。

怎麼驗（開發期：你在本機／DEV 就要能做完）

沒過 Access 的請求 403；CI token 打 register-draft 成功、打 publish 403；指定 STG 指紋先裝後，用 STG 授權檔打 check 看得到草稿、用別家看不到；撤回後 check 不再回

對照雛形：~/Projects/Billows/Audit-Manager/compliance-manager-be/docs/features/FR-167-2610-online-update-channel/prototype/index.html（上方「跟著走」）。

紀律

• 🔴 這張卡的驗收只寫你在本機／DEV 就能做完的事（開發期無人盯）。要 190 主機、跑 pipeline、真 Cloudflare 部署、PROD 印章的情境不在你這張卡，那是測試期首腦做。卡上「怎麼驗」列的每一條你都要親手跑過、把結果貼回寫；做不到的寫明做不到，不要為了驗而去碰 190／STG／POC／真帳號部署。
• 🔴 不重複造輪子：寫任何新函式／元件／service 之前先按行為 grep 真實程式碼，再查 docs/claude/domain-capabilities.md。三擇一、預設不新增：reuse → extend 加參數 → 都沒有才新增。回寫列出 reuse 了哪些、新增了哪些、為什麼不能 reuse。