本卡屬 FR-132 A.6「頁內按鈕照權限隱藏」八棒實作之一（子母卡 CM-2559），照 T-6.2 盤點表（CM-2561）的拆棒把這一塊的寫入類按鈕全部換成 v-can。建議 model：opus。

這一棒做什麼（白話）

把下面範圍內每一顆「做事」的按鈕（新增、修改、刪除、匯入、匯出、送出、核可、執行…）掛上 v-can，沒權限的人就看不到。權限名照盤點表，不自己判。

範圍（照盤點表拆棒段）

views/project/：ProjectListView、ProjectCreateView、ProjectSettingsView、ProjectPlanningView、ProjectAuditorOverview、RoundApAuthoringView、RoundAuditReviewView、RoundPoamView、ProjectApListView、MyTasksView、ProjectDashboard…
components/grc/project/：ProjectBasicInfoPanel、ProjectParticipantsPanel、ProjectCloudIntegrationsPanel
盤點表「grc」段，篩 views/project 與 components/grc/project 的列

本棒要注意（首腦裁示與盤點表「實作棒要注意」）

• ProjectListView 的 pagePermission.includes('CREATE'／'UPDATE'／'DELETE') 是舊選單動作機制（盤點表「名不對」第一列），整支換成 v-can＋CAP.GRC_PROJECT_CREATE／UPDATE／DELETE。
• 專案層條件最多（isProjectManager／isAuditor／AP 狀態），逐顆 AND，不拿掉。
• 順手刪 src/data/grc-mock-data.ts（CM-2567 驗收裁：已無 import 的死碼）。
• home／analysis／sitemap 疑似孤兒頁（CM-2564 第 6 題）：本棒只確認有無路由引用並回寫，不刪。

所有實作棒共同規則（每張都一樣）

• 寫法只有一種：import { CAP } from '@/config/capabilities'，元素上 v-can="CAP.X"（任一顆就出現寫陣列、缺一支會做一半寫 { all: [...] }）。範本 src/views/device/DeviceManage.vue:22,351-367。不寫字面字串、不新增 hasCap／can／pagePermission 散寫；碰到的舊散寫順手換成 v-can。
• 權限名查哪：盤點表 docs/features/FR-132-2610-access-management/inventory/a6-button-capabilities.md 該模組段，每顆按鈕一列（檔案:行號｜按鈕｜API｜權限｜專案層條件｜現況）。不自己判斷該給誰；表上查不到的回寫問首腦。
• 雙層疊加（D-A6-4）：專案角色、輪次狀態、BE 回的旗標這類條件照舊寫 v-if，v-can 放同元素或外層，兩者都過才顯示。不把成員角色換成公司層權限。writeDisabled() 是授權唯讀，不是權限，照舊。
• 共用元件：元件內不寫死權限名；由頁面傳 requiredCap 之類 props，元件用 v-can="requiredCap"（變數也可，守衛③認已知變數）。同一元件兩情境（專案／資源庫）由呼叫頁決定傳哪顆。
• PrimeVue Menu／SplitButton 的 items 掛不了指令：改 items 過濾（$can(CAP.X)），並在 test/security/code/test_permission_matrix_three_way.py 豁免清單登記型別＋理由。
• 守衛怎麼過：BE test/security/code/test_permission_matrix_three_way.py 的 UNGUARDED_WRITE_BASELINE（檔→未掛數）每掛一顆就把該檔數字調小，清到 0 就刪那一列；FE src/__tests__/v-can-guards.spec.js 守衛②散寫基線同理。改完跑：BE pytest test/security/code/test_permission_matrix_three_way.py、FE npx vitest run，兩邊都綠才算；重跑 python scripts/deliverables/gen_permission_matrix.py 讓矩陣跟上，矩陣 JSON 一起 commit。
• 驗證要批次：本棒全部掛完再一起 headless／手測，收集所有失敗一次修。手測用三個帳號：blsadmin（全有）、blsit（IT Manager）、blspan（稽核人員）；帳密在 ~/Projects/Billows/Audit-Manager/compliance-manager-test/.env.e2e，實打前先確認能登入，失敗一次就停（錯三次鎖 15 分鐘）。要造「沒權限」的反例時自己建臨時角色＋帳號，驗完刪。
• 前提：CM-2556 補權限 migration 已套 DEV、CM-2565 甲（v-can／常數檔）與 CM-2569 乙（三向守衛）已 commit。BE 若未重啟過 jedi-asset 新守門（CM-2569），匯入匯出 403 行為以重啟後為準。

紀律