本卡屬 FR-132 A.6「頁內按鈕照權限隱藏」八棒實作之一（子母卡 CM-2559），照 T-6.2 盤點表（CM-2561）的拆棒把這一塊的寫入類按鈕全部換成 v-can。建議 model：opus。

這一棒做什麼（白話）

把下面範圍內每一顆「做事」的按鈕（新增、修改、刪除、匯入、匯出、送出、核可、執行…）掛上 v-can，沒權限的人就看不到。權限名照盤點表，不自己判。

範圍（照盤點表拆棒段）

views/module_frame/（ModuleFrame、ModuleFrameDetail、ModuleFrameTemplateEditView、ImportExcelPreviewPage…）、views/compliance-framework/ 四頁、FrameworkArticleContent、WorkflowSetupEditor、views/flow-template/ 兩頁的 5 顆
盤點表「oscal」其餘列＋「flow」段

本棒要注意（首腦裁示與盤點表「實作棒要注意」）

• 合規框架四頁今天靠 isPlatformAdmin 遮：首腦裁保留當第二層（CM-2561 第 2 題），寫成 v-if="isPlatformAdmin" 加 v-can。
• 流程範本「發布／撤銷發布」改掛 CAP.FLOW_TEMPLATE_PUBLISH，編輯器 dirty 時先存檔的那條要 { all: [PUBLISH, UPDATE] }（盤點表「名不對」第二列）。
• WorkflowSetupEditor 從專案頁開是 CM-2569 新登記的 workflow-setup-project（守 grc.project.update）、從資源庫開守 oscal.resource-library.update：編輯器存檔鈕的權限由呼叫頁傳 props。

所有實作棒共同規則（每張都一樣）

• 寫法只有一種：import { CAP } from '@/config/capabilities'，元素上 v-can="CAP.X"（任一顆就出現寫陣列、缺一支會做一半寫 { all: [...] }）。範本 src/views/device/DeviceManage.vue:22,351-367。不寫字面字串、不新增 hasCap／can／pagePermission 散寫；碰到的舊散寫順手換成 v-can。
• 權限名查哪：盤點表 docs/features/FR-132-2610-access-management/inventory/a6-button-capabilities.md 該模組段，每顆按鈕一列（檔案:行號｜按鈕｜API｜權限｜專案層條件｜現況）。不自己判斷該給誰；表上查不到的回寫問首腦。
• 雙層疊加（D-A6-4）：專案角色、輪次狀態、BE 回的旗標這類條件照舊寫 v-if，v-can 放同元素或外層，兩者都過才顯示。不把成員角色換成公司層權限。writeDisabled() 是授權唯讀，不是權限，照舊。
• 共用元件：元件內不寫死權限名；由頁面傳 requiredCap 之類 props，元件用 v-can="requiredCap"（變數也可，守衛③認已知變數）。同一元件兩情境（專案／資源庫）由呼叫頁決定傳哪顆。
• PrimeVue Menu／SplitButton 的 items 掛不了指令：改 items 過濾（$can(CAP.X)），並在 test/security/code/test_permission_matrix_three_way.py 豁免清單登記型別＋理由。
• 守衛怎麼過：BE test/security/code/test_permission_matrix_three_way.py 的 UNGUARDED_WRITE_BASELINE（檔→未掛數）每掛一顆就把該檔數字調小，清到 0 就刪那一列；FE src/__tests__/v-can-guards.spec.js 守衛②散寫基線同理。改完跑：BE pytest test/security/code/test_permission_matrix_three_way.py、FE npx vitest run，兩邊都綠才算；重跑 python scripts/deliverables/gen_permission_matrix.py 讓矩陣跟上，矩陣 JSON 一起 commit。
• 驗證要批次：本棒全部掛完再一起 headless／手測，收集所有失敗一次修。手測用三個帳號：blsadmin（全有）、blsit（IT Manager）、blspan（稽核人員）；帳密在 ~/Projects/Billows/Audit-Manager/compliance-manager-test/.env.e2e，實打前先確認能登入，失敗一次就停（錯三次鎖 15 分鐘）。要造「沒權限」的反例時自己建臨時角色＋帳號，驗完刪。
• 前提：CM-2556 補權限 migration 已套 DEV、CM-2565 甲（v-can／常數檔）與 CM-2569 乙（三向守衛）已 commit。BE 若未重啟過 jedi-asset 新守門（CM-2569），匯入匯出 403 行為以重啟後為準。

紀律

• FE ~/Projects/Billows/Audit-Manager/compliance-manager-fe 為主，BE 本 repo 只改守衛基線與矩陣 JSON；皆 feature/azure-iam，不切 branch、不 push、只動 DEV。先讀 FE CLAUDE.md「權限守門三層」段。