本卡屬 FR-188（母卡 CM-3728），修 FR-187 資安掃描發現的 #256（低，3:0）。嚴重度：低。發現原文、檔名行號、面板票數在 docs/features/FR-187-2611-post-fr172-security-scan/reports/（工作坊工作區 compliance-manager-be/.worktrees/CM-3711/ 裡，主線還沒合；總表 docs/features/security-scan-consolidated/README.md §3.1 同樣在那裡）。Stage 未排，由排批的人決定（見下方「排批注意」）。

問題是什麼（白話）

網站上的 /upgrade-progress.json 不用登入就讀得到，升級完也不清，裡面有做升級的管理員帳號（triggered_by.user）與確切版本號。外人拿到一個管理員帳號名稱（猜密碼的起點）與精確版本號（對照已知漏洞）。前提：連得到前門。

這個檔由主機升級腳本寫，前門 nginx 直接把檔案吐給瀏覽器。本卡改主機端寫什麼、什麼時候清；前門 nginx 那一半在 FE repo，另一張卡（SEC-8）。

在哪裡

/Users/chouraymond/Projects/Billows/Audit-Manager/compliance-manager-be/scripts/installer/lib/progress.sh:161  寫入 triggered_by.user
/Users/chouraymond/Projects/Billows/Audit-Manager/compliance-manager-be/docker/production/docker-compose.yml:570  主機 upgrade/ 掛進前門（只讀參考，本卡不必改）

行號以 2026-11-09 主線為準，對不上就以內容為準。

怎麼修

• extend progress.sh：進度檔不寫 user（維護頁只需要階段與百分比；先 grep FE 維護頁讀了哪些欄位，確認拿掉不會壞畫面）。
• 升級完成後：只留結果（成功／失敗、版號可保留或改成只留主版號，回寫說明），或過一段時間清檔；不要讓舊進度檔永久留在前門。
• 誰觸發升級的紀錄本來就在主系統稽核與更新紀錄裡，進度檔不需要這份。

要寫測試

• 改動處有既有的 shell 測試（test/shell/）就跑。

手測

• 本機跑一次升級流程的進度寫入（或用 bats 模擬），看產出的 upgrade-progress.json 沒有 user 欄位；FE 維護頁照常顯示進度。不要在 STG／POC 做真升級。

排批注意

• 與 SEC-4 都在 docker/production/ 附近；本卡不改 compose，若改了就跟 SEC-4 不同批。

紀律

• branch feature/FR-172，不切 branch；顯式 git add <檔名>、禁 -am；只 add 自己改的檔。commit 不等令，push 由決策者做。
• 做完 commit → 本卡 append 白話回寫（做了什麼、commit hash、驗證、手測清單）→ 狀態改 修正待驗證。卡住也 commit 已完成部分並回寫卡在哪，狀態維持 In progress。