本卡屬 FR-132（母卡 CM-2510），A.3 判定層第 4 張。依賴：T-3.3。建議 model：opus。

這張卡做什麼（白話）

今天有四個地方各自判斷「這人有哪些權限」：API 判定、側欄選單、選單明細、JWT（登入後隨每個請求送出的身分憑證）裡的 is_admin 欄位。其中選單明細與 is_admin 不過濾已到期、已停用的指派——管理員角色過期了，他重新登入仍看得到管理頁入口。這張卡讓四者吃同一份「有效指派＋展開結果」，順便修掉這兩個資安漏洞。各自改必漏一條，症狀是「選單看得到、點進去 403」且不報錯。

在哪裡

~/Projects/Jedicogy/module/jedi-python-package/jedi-iam/jedi_iam/infra/repository/ui_route_repo_impl.py:70-141      選單可見性（已套有效條件，改吃展開服務比對 route_capabilities）
~/Projects/Jedicogy/module/jedi-python-package/jedi-iam/jedi_iam/app/service/user_service.py:522-529,547      選單明細（走 user.roles → role.capabilities，不過濾有效指派）
~/Projects/Jedicogy/module/jedi-python-package/jedi-iam/jedi_iam/middleware/jwt_mw.py:79      JWT is_admin claim（不過濾有效指派）
FE src/config/router/index.js:1057-1066      requiresAdmin 吃 claim（不用改，claim 修好自動正確）

怎麼做

• 選單可見性：展開服務的結果比對 route_capabilities（requirement ALL／ANY 規則照舊）。
• 選單明細：改成呼叫同一個「取有效指派＋展開」函式，不再走 user.roles → role.capabilities。
• JWT is_admin：只看有效指派（起訖、啟用、未刪除）中的角色 is_admin 旗標（D7：看旗標，不看是否持有 *.*.*）。
• 把「取有效指派＋展開」收成一個共用函式，四處都呼叫它；在函式 docstring 列出四個消費者。

要寫測試

• 有效指派過期的 is_admin 角色：claim 為假、選單明細不含該角色能力點。
• 突變：claim 改回不過濾，測試紅。

驗收條件

• 把某管理員指派到期日改成昨天，重新登入後 claim 為假、管理頁入口消失、選單明細不再列能力點。

手測

• DEV：UPDATE user_roles SET ends_at = now() - interval '1 day' WHERE ...（測試帳號），重新登入看側欄管理頁入口消失；改回後恢復。

紀律

• 只動 DEV：migration、資料修改、部署一律只碰本機 DEV，絕不碰 STG／POC（POC 等同 production）。唯讀查詢任何環境都可以。
• jedi-iam／jedi-common 走 poetry path dependency：主專案 pyproject.toml 用 grep -n 'jedi-iam\|jedi-common' pyproject.toml 找行號（目前 pin 約在第 63-64 行、path 註解行約在第 116-117 行），取消 path 那行註解、註解掉 pin，poetry update jedi-iam jedi-common（一律指定套件名）。path 改動不 commit，改套件源碼在 ~/Projects/Jedicogy/module/jedi-python-package/ 另行 commit。絕不發版、絕不推 Nexus。