本卡為 FR-169 母案。報表與證據包下載後自己帶鎖（Word／Excel／PDF 原生密碼、多檔加密 7z），密碼系統產、畫面只顯示一次、不寄信；一支新套件 jedi-file-protect 兩邊接；8 張卡 5 批。子卡清單在末段。

這系列在做什麼（白話）

現在報表、證據包從系統下載到電腦後是明文，別人走到這台電腦雙擊就能看。做完之後：按任何「匯出／下載」先跳一個對話框，顯示一組系統產的 16 碼密碼（只顯示這一次，複製後才能下載）；下載到的 Word、Excel、PDF 雙擊會先問密碼，Word、Acrobat、Chrome 都能直接開、不用裝軟體；證據包、圖片、log 這類打成加密 7z，要用 7-Zip 或 Keka 開。使用者永遠不能選「不加密」；系統管理員在安全政策有一個開關、出貨預設開，關掉會寫稽核、頁頂常駐警示、每筆下載標「未加密」。Agent 主控台的下載走同一套，離線照常。

為什麼要做

決策者 2026-10-29：威脅是「檔案下載後有人來我的電腦就可以直接開檔」；工研院那種要裝解密軟體太麻煩。業界對機敏匯出檔的慣例（金融、政府）就是 Office／PDF 原生密碼＋加密壓縮檔，不裝軟體；GRC 同業多半沒做。決策者裁示先不做撤銷，IRM／DRM 整條排除。

關鍵設計決策（D1～D8 全定案，細節 design.md §3）

• D1 套件名 jedi-file-protect，零框架相依（照 jedi-masking），不放 jedi-file-upload（Agent 不依賴它、報表不經簽票層）、不塞 jedi-common。
• D2 密碼 16 碼英數四段、去 0O1lI、secrets 產——檔案密碼可離線無限次試，不能照登入驗證碼做六碼。
• D3 多檔與非文件走加密 7z（header 加密連檔名一起藏）；禁 ZipCrypto、不用 AES zip（檔名外露）。
• D4 PDF 與 docx 頁尾小字浮水印（下載者、時間）；xlsx 與 7z 不蓋。
• D5 使用者永遠不能選不加密；管理員一個開關預設開；關閉寫稽核＋常駐警示＋每筆下載標未加密。反悔條件：客戶普遍一裝就關則改不可關。
• D6 開關值掛心跳下發 Agent，離線沿用；沒帶視為開啟。
• D7 「預設線上看」本案不做。
• D8 密碼在瀏覽器端產、放 header X-File-Password；後端收不到回 400 不靜默吐明文。

怎麼拆（批＝可同時派的一組）

• 批 1（1 張）：P1（jedi 套件）新套件 jedi-file-protect
• 批 2（2 張）：B1（BE）主系統、F1（FE）主站共用 composable useProtectedDo
• 批 3（3 張）：B2（BE）主系統其餘匯出端點全部改走 send_protected（S、F2（FE）主站其餘 24 處下載全部改走 useProtectedDo、A1（evidence-agent）Agent 主控台
• 批 4（1 張）：F3（FE）Agent 主控台前端
• 批 5（1 張）：D1（BE）文件