本卡屬 FR-188（母卡 CM-3728），修 FR-187 資安掃描發現的 #256（低，3:0）。嚴重度：低。發現原文、檔名行號、面板票數在 docs/features/FR-187-2611-post-fr172-security-scan/reports/（工作坊工作區 compliance-manager-be/.worktrees/CM-3711/ 裡，主線還沒合；總表 docs/features/security-scan-consolidated/README.md §3.1 同樣在那裡）。Stage 未排，由排批的人決定（見下方「排批注意」）。

問題是什麼（白話）

/upgrade-progress.json 由前門 nginx 直接 alias 到主機的升級目錄，不驗登入、平常也開著。主系統那一半（SEC-7）會把帳號拿掉；本卡讓 nginx 只在升級／維護期間開這個 location，平常回 404，減少對外露出的資訊。

在哪裡

/Users/chouraymond/Projects/Billows/Audit-Manager/compliance-manager-fe/nginx.onprem.conf:228-229  location = /upgrade-progress.json → alias /guidant/upgrade/upgrade-progress.json

行號以 2026-11-09 主線為準，對不上就以內容為準。

怎麼修

• extend：先看維護頁怎麼判斷「現在在升級中」（應該有維護旗標檔或 flag），nginx 用同一個判斷：旗標在才回進度檔，否則 404。
• 如果 nginx 沒有簡單的條件可用，退而求其次：加 Cache-Control: no-store 並把回應限制成只吐必要欄位做不到（nginx 不改內容），那就只做「只在維護期間開」或維持現狀＋依賴 SEC-7 拿掉帳號，回寫說明取捨。

要寫測試

• 不寫新單元測試。

手測

• 本機起 fe 容器（或照 FE repo 的 nginx 測試方式）：非維護期間 curl -I /upgrade-progress.json 回 404；建立維護旗標後回 200。

排批注意

• nginx.onprem.conf 若 FR-188 的 FE 卡（F-1 CM-3741、F-2 CM-3742）也改到，不能同批；它們看起來只改 src/、console/，排批時確認。

紀律

• FE 規則 .claude/rules/security/frontend.md（在 BE repo）動手前自己讀。
• branch feature/FR-172，不切 branch；顯式 git add <檔名>、禁 -am；只 add 自己改的檔。commit 不等令，push 由決策者做。
• 做完 commit → 本卡 append 白話回寫（做了什麼、commit hash、驗證、手測清單）→ 狀態改 修正待驗證。卡住也 commit 已完成部分並回寫卡在哪，狀態維持 In progress。
• 檔案內註解只寫「為什麼」與「陷阱」（一到兩行），「做了什麼／哪一棒／等發版」進 commit message，不進檔案。