BEAM 信用卡核心現代化（cardcore）

來源（唯一權威）：HANDOVER.md §3.A 之 #A-29

• 完成時刻：23:30
• 證據：SPEC 先行：先立 SCS-022（認證與授權程式設計規格）才動工（原 C-33 之阻塞已解）。common-spring 新增 SecurityAutoConfiguration／SecurityProperties／JwtRoleConverter／封套版 AuthenticationEntryPoint／AccessDeniedHandler（所有回應一律 ApiResponse 封套）。Spring Boot 4 自動配置模組化陷阱：JacksonAutoConfiguration 改置 org.springframework.boot.jackson.autoconfigure、@AutoConfigureMockMvc 改置 org.springframework.boot.webmvc.test.autoconfigure（皆為查 jar 實測，非猜測）；並改用 ObjectProvider<ObjectMapper> 惰性取得，去除自動配置順序依賴。實機實測（真實 Keycloak + 真實 Oracle）：無 token → 401 CC-PLT-4010；有效 token → 200 取真實資料且遮罩仍正確（證明 W-1 加解密未被破壞）；偽造簽章 → 401 且帶封套＋WWW-Authenticate: Bearer error="invalid_token"；過期 token → 401；公開路徑放行、CSRF 已停用。SDD-006 §3.4 新增 CC-PLT-4010／CC-PLT-4030（原 401 無專屬錯誤碼之瑕疵已解），錯誤碼 112 → 114。common-spring 測試 41 → 48（新增 7）0 失敗。順帶修 scan_scaffold.py 三處判定缺陷並建立 --selftest 人工樣本回測機制，CSP-001 升 1.5、SDD-006 升 1.7
• 匯入方式：ops/redmine/import_all_tasks.py（HANDOVER §3.A 表格；2026-10-18）

★ 本 issue 為鏡像；狀態更正請改 HANDOVER 並 commit，再重跑同步。