FR-195 Agent 資安修正：FR-186 掃描的 1 高 14 中 15 低（14 張卡 3 批，12 張可派）

FR-195 Agent 資安修正：把 FR-186（Agent 本體資安掃描第二輪）掃出來的 1 高 14 中 15 低修掉。12 張子卡（另有 1 張前端配合卡），4 批。

這案在做什麼（白話）

FR-186 用 claude-security 把 Agent 整包重掃一次，35 棒全部跑完並驗收（母卡 CM-3675），結果是 1 條高風險、14 條中、15 條低，全部在 Agent repo。本案把它們修掉。同一支檔、同一個原因的併成一張卡。

開卡前首腦把 1 高與 14 中逐條對回 Agent 現在的主線（6bc6622，FR-188、FR-190 已合回）核過，全部仍然成立；卡上的行號是現在主線的行號。掃描報告正本在 Agent repo docs/security-scan/FR-186/scan-*.md。

批＝工作坊同時開幾個小弟一起跑的那一組。同一批的卡不改同一支檔（含測試檔、體積白名單、資安規則檔這類大家都會往裡加的檔），首腦用腳本逐張比對過，同批衝突為 0。

第 1 批（6 張，可同時跑）：F1 升級驗章擋捷徑檔（唯一的高，先修 Python 這一半）、F3 工具位址過清冊、F4 改連接埠／CA 要重填密碼、F5 LDAP 測試連線只准本機管理員、F6 SonarQube 接頭、F8 本機檔案權限。
第 2 批（4 張）：F2 改對外位址只准本機管理員、F2-FE 前端配合（這兩張要同一批）、F7 吃光記憶體三處、F9 低風險六項。排第 2 批是因為它們要改的測試檔、體積白名單與共用檔，第 1 批有卡在改。
第 3 批（4 張，都是「暫緩」，工作坊不會派）：F10、F11 等 FR-193（rootless Docker，母卡 CM-3804）合回——它正在改同一批安裝與升級腳本；F12 WinRM 預設明文、F13 OpenLDAP 同名冒登，這兩條推翻的是既有的產品行為，等決策者選方向。

開卡前首腦在暫存工作區把 F2～F6 的修法各試做一次、跑全量測試，量出每張卡會讓哪些既有測試變紅、為什麼、怎麼改，都寫在各卡「要補的測試」段。試做用的工作區已移除，沒有留下任何改動。

每張卡首腦讀 diff＋跑卡上列的測試。全部合回後在主線跑一次全量（基準 2551 passed）與體積守衛。修完的項目登回跨 arc 總表 docs/features/security-scan-consolidated/README.md。

── 批 1 ──