本卡屬 FR-139（母卡 CM-2745），推翻 D19「進整改即解鎖」：資源庫綁定專案後，只有專案最新一輪在「規劃中」（任務規劃、任務執行階段）可改，其他階段一律鎖。決策者 2026-10-18 裁定，首腦當場自己做。

問題是什麼（白話）

決策者回報「SSP 看起來可以隨時改」。現行鎖寫只鎖「稽核規劃中／稽核中／待覆核」三段，進「改善中」與「已結案」都解鎖——所以專案結案後資源庫（＝專案看到的那份 SSP）仍可任意修改。DEV 實例：資源庫 476 綁專案 1575，該專案最新一輪已 closed，資源庫仍可寫。決策者規則：專案開始進行（送審）後就不能再改，只有任務規劃與任務執行階段（輪次 planning）可以改；綁專案時要記得鎖。

在哪裡

domain/module_frame/service/module_frame_audit_lock.py:15  AUDIT_LOCKED_ROUND_STATUSES 列舉要鎖的三態 → 改為只放行 planning
test/test_fr139_audit_lock.py:34  remediation／closed 原本斷言解鎖 → 改斷言鎖住
common/code/error_code.py:111  MODULE_FRAME_412001 文案「稽核進行中」→ 結案後不適用
FE locales error-code.json／module-frame.json readonly_reason_audit_locked「進入整改後即可再編輯」

怎麼修

• 鎖寫判斷改成「綁定的活專案有輪次，且最新一輪不是 planning → 鎖」。無綁定專案、舊模式、無輪次、已軟刪專案維持不鎖。覆核子輪 planning 時一樣可改、送審後再鎖。
• 所有資源庫寫入（存檔、存版、還原、匯入、建議附件、經 SSP 共用端點寫範本）都已經走這一個元件，不需另加守門。
• 錯誤訊息與頁首唯讀原因改為不帶「整改後可改」：「綁定專案已開始稽核，資源庫不能修改」。
• 文件：design.md D19 改判、頁面 spec module-frame-defaults.md、使用手冊 resource-library-interview-guide.md 同步。

要寫測試

• 改既有 test/test_fr139_audit_lock.py：planning 不鎖；audit_planning／auditing／remediation／pending_reverify／closed 皆鎖。突變：把判斷改回舊列舉，remediation／closed 兩條要紅。

手測

• DEV 資源庫 476（綁專案 1575，已結案）：開編輯頁，頁首顯示唯讀原因、存檔鈕灰；直接打寫入 API 回 412 MODULE_FRAME_412001。
• DEV 資源庫 478（綁專案 1576，規劃中）：仍可正常存檔。

連帶

同場查到：參與單位角色「漏洞通報聯絡窗口」（vulnerability-contact，CM-2700）DEV 已有，STG／POC 未套 seed；需決策者放行才套，本卡不動。

紀律

• 只動 DEV；不 push；不切 branch（feature/FR-139 實為 feature/FR-139 當下 branch）；顯式 git add 檔名，不夾帶工作樹裡別人的未 commit 改動（FR-148 等）。
• 檔案內註解只寫為什麼與陷阱，沿革進 commit message。無 migration。