本卡屬 FR-132 A.6「頁內按鈕照權限隱藏」八棒實作之一（子母卡 CM-2559），照 T-6.2 盤點表（CM-2561）的拆棒把這一塊的寫入類按鈕全部換成 v-can。建議 model：sonnet。

這一棒做什麼（白話）

把下面範圍內每一顆「做事」的按鈕（新增、修改、刪除、匯入、匯出、送出、核可、執行…）掛上 v-can，沒權限的人就看不到。權限名照盤點表，不自己判。

範圍（照盤點表拆棒段）

views/smtp-config、ldap-config、notify-config、security-policy、log-forwarding、storage-config、issue-integrate-config、system-menu-manage、ai-service-config、ai-quota、ai-call-log、license、support、google-drive-app-config、action-log
盤點表「system」「platform」「ai」段

本棒要注意（首腦裁示與盤點表「實作棒要注意」）

• AiQuotaCeilingTable 儲存鈕今天用父層 isPlatformAdmin && isRoot 旗標：改 v-can CAP.PLATFORM_AI_QUOTA_CEILING_UPDATE，原廠層通則「兩道都過」所以 isPlatformAdmin 保留為 v-if（盤點表「名不對」第五列）。
• AI 服務設定頁門檻已由 CM-2557 換成 ai.ai-provider-config，頁內金鑰存檔鈕掛 CAP.AI_AI_PROVIDER_CONFIG_UPDATE。
• 設定頁多為一頁一兩顆，機械性高；系統設定共用的「依設定群組動態判」端點在守衛豁免清單已登記，不用動。

所有實作棒共同規則（每張都一樣）

• 寫法只有一種：import { CAP } from '@/config/capabilities'，元素上 v-can="CAP.X"（任一顆就出現寫陣列、缺一支會做一半寫 { all: [...] }）。範本 src/views/device/DeviceManage.vue:22,351-367。不寫字面字串、不新增 hasCap／can／pagePermission 散寫；碰到的舊散寫順手換成 v-can。
• 權限名查哪：盤點表 docs/features/FR-132-2610-access-management/inventory/a6-button-capabilities.md 該模組段，每顆按鈕一列（檔案:行號｜按鈕｜API｜權限｜專案層條件｜現況）。不自己判斷該給誰；表上查不到的回寫問首腦。
• 雙層疊加（D-A6-4）：專案角色、輪次狀態、BE 回的旗標這類條件照舊寫 v-if，v-can 放同元素或外層，兩者都過才顯示。不把成員角色換成公司層權限。writeDisabled() 是授權唯讀，不是權限，照舊。
• 共用元件：元件內不寫死權限名；由頁面傳 requiredCap 之類 props，元件用 v-can="requiredCap"（變數也可，守衛③認已知變數）。同一元件兩情境（專案／資源庫）由呼叫頁決定傳哪顆。
• PrimeVue Menu／SplitButton 的 items 掛不了指令：改 items 過濾（$can(CAP.X)），並在 test/security/code/test_permission_matrix_three_way.py 豁免清單登記型別＋理由。
• 守衛怎麼過：BE test/security/code/test_permission_matrix_three_way.py 的 UNGUARDED_WRITE_BASELINE（檔→未掛數）每掛一顆就把該檔數字調小，清到 0 就刪那一列；FE src/__tests__/v-can-guards.spec.js 守衛②散寫基線同理。改完跑：BE pytest test/security/code/test_permission_matrix_three_way.py、FE npx vitest run，兩邊都綠才算；重跑 python scripts/deliverables/gen_permission_matrix.py 讓矩陣跟上，矩陣 JSON 一起 commit。
• 驗證要批次：本棒全部掛完再一起 headless／手測，收集所有失敗一次修。手測用三個帳號：blsadmin（全有）、blsit（IT Manager）、blspan（稽核人員）；帳密在 ~/Projects/Billows/Audit-Manager/compliance-manager-test/.env.e2e，實打前先確認能登入，失敗一次就停（錯三次鎖 15 分鐘）。要造「沒權限」的反例時自己建臨時角色＋帳號，驗完刪。
• 前提：CM-2556 補權限 migration 已套 DEV、CM-2565 甲（v-can／常數檔）與 CM-2569 乙（三向守衛）已 commit。BE 若未重啟過 jedi-asset 新守門（CM-2569），匯入匯出 403 行為以重啟後為準。

紀律

• FE ~/Projects/Billows/Audit-Manager/compliance-manager-fe 為主，BE 本 repo 只改守衛基線與矩陣 JSON；皆 feature/azure-iam，不切 branch、不 push、只動 DEV。先讀 FE CLAUDE.md「權限守門三層」段。