FR-188.SEC-3 資安修正：jedi-remote-agent：Agent 憑證要比對「是不是發給這台的那張」，不能只看自報的指紋（jedi-packages）

本卡屬 FR-188（母卡 CM-3728），修 FR-187 資安掃描發現的 #245（中，FR-187 J1、J2 兩棒各 3:0）、#249（中，3:0；直推開了才打得到）。嚴重度：中×2。發現原文、檔名行號、面板票數在 docs/features/FR-187-2611-post-fr172-security-scan/reports/（工作坊工作區 compliance-manager-be/.worktrees/CM-3711/ 裡，主線還沒合；總表 docs/features/security-scan-consolidated/README.md §3.1 同樣在那裡）。Stage 未排，由排批的人決定（見下方「排批注意」）。

問題是什麼（白話）

主系統有自己的憑證中心，Agent 註冊時由它簽一張證書給 Agent，之後主系統靠這張證書認 Agent。問題是認得太鬆、簽得太鬆：

#245 接管別家公司的 Agent：主系統認證書只看「是本 CA 直接簽的、上面寫的 CN＝那一列登記的機器指紋」，但 CN（機器指紋）是 Agent 註冊時自己報的，撞號檢查只看同租戶。攻擊者在 B 公司用受害機的指紋註冊（新列 pending，但證書照發）→ 帶受害機 agent_uid＋這張證書到 A 公司重註冊，proves_prior_key 通過、保住核准、改寫 base_url 並發新通行證 → 長輪詢擠掉真機，收走工單與工具帳密、偽造結果。前提：手上有兩家公司各一組有效註冊碼，並知道受害機 uid 與指紋（管理頁看得到）。落地版開了子公司就打得到。

#249 冒充 Agent 的網址：憑證中心照註冊者自己填的網址簽伺服器證書，連 pending 也簽，用途同時給 serverAuth 與 clientAuth；主系統直推 Agent 時只認「本 CA 簽的、主機名對」。攻擊者用任一註冊碼、填受害 Agent 網址註冊拿到合法證書，當中間人冒充那台 Agent。直推目前預設關（AGENT_DIRECT_PUSH_ENABLED），開了才打得到。

在哪裡

/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-remote-agent/jedi_remote_agent/common/agent_auth/possession.py:66-74  _issued_to：只看 CA＋CN（被 :95 重註冊與 :183 每次請求的持有證明共用）
/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-remote-agent/jedi_remote_agent/app/service/agent_enrollment_service.py:180-208  _resolve_agent：帶 uid＋證明持有舊私鑰就算同一台
/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-remote-agent/jedi_remote_agent/app/service/agent_enrollment_service.py:216-276  _guard_fingerprint_collision：撞號只看同租戶（:257）
/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-remote-agent/jedi_remote_agent/app/service/agent_enrollment_service.py:358  重註冊保住核准、改寫 base_url
/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-remote-agent/jedi_remote_agent/app/service/agent_enrollment_service.py:410-425  CSR CN＝自報 device_uuid
/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-remote-agent/jedi_remote_agent/app/service/agent_credential_issue.py:30  issue_credentials：不分 pending 都 sign_csr
/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-remote-agent/jedi_remote_agent/common/agent_auth/ca.py:31-40  san_from_base_url：自填網址主機名當 SAN、不設限
/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-remote-agent/jedi_remote_agent/app/service/agent_data_plane_client.py:141-170  直推：CA 驗 TLS＋對方自報的 X-Agent-Fingerprint

行號以 2026-11-09 主線為準，對不上就以內容為準。

怎麼修

new 欄位＋extend 比對：簽證時把憑證公鑰的 SPKI sha256（或序號）存進 remote_agents（新欄位，套件 migration scripts/sql/packages/jedi_remote_agent/ 或套件自己的 migration 位置，照套件既有慣例）；_issued_to 改成比對「出示的就是發給這一列的那張」，CN 只當輔助。重註冊、每次請求的持有證明、直推三處共用這一支，一處改完三處生效。
extend 簽發條件：pending 的列只簽 Agent 當 client 用的證書，不簽伺服器證書（或核准後才簽）；Agent 證書拿掉不需要的用途（不要同時給 serverAuth＋clientAuth）。
extend SAN 限制：san_from_base_url 拒簽已經登記在別台 Agent 的網址；這條也是 SEC-4（#254）的一半根因，修完回寫告訴 SEC-4。
直推（#249）：agent_data_plane_client 連線後比對對方憑證公鑰雜湊＝該列登記值，不再信回應標頭自報的指紋。
既有 Agent 的升級路徑：已註冊的 Agent 資料庫裡沒有新欄位的值。寫明怎麼補（例如下次換證或下次重註冊時寫入、補之前沿用舊比對並記一筆警告），不能讓升級後既有 Agent 全部連不上（memory「每版必須可直接升級不影響舊資料」）。
動到套件 domain 的欄位與行為 → 直接在套件層改（CLAUDE.md 外部套件異動規範），不在主系統弄 sidecar 表。

要寫測試

要寫（認證核心）：①兩租戶冒充：B 租戶拿受害機指紋註冊拿到的證書，到 A 租戶重註冊要被拒；②同一台正常換證照過；③pending 列拿不到伺服器用途的證書；④直推遇到「本 CA 簽、但不是登記那張」的對方要拒。每條配突變測試（把新比對拿掉要紅）。
跑 jedi-remote-agent 全部既有 tests。

手測

套件端：跑測試即可。主系統整合手測在 FR-188 環境卡（E-1）接上本機路徑之後由首腦做：DEV 既有 Agent 重啟後照常連線、換證照常；用兩個租戶的註冊碼照 #245 步驟試，第二步被拒。