BEAM 信用卡核心現代化（cardcore）

來源（唯一權威）：HANDOVER.md §3.A 之 #A-36

• 完成時刻：09:30
• 證據：15 個服務各加 1 行 implementation("spring-boot-starter-oauth2-resource-server")（card／party 原已有）→ 17/17；issuer-uri 原已 17/17 就位。實測：CARDCORE_SECURITY_ENABLED=true 逐一起 jar，探測 /api/v1/sso-probe——17/17 無 token 皆 401、帶 token 皆非 401（party-service 以真實持卡人驗證為 200）；/actuator/health 仍 200（公開路徑不受影響）。啟用退化為單一開關：CARDCORE_SECURITY_ENABLED（Spring 寬鬆綁定對應 cardcore.security.enabled），無須逐服務改 yml。⚠️ 實測的是認證——授權（角色）仍未實作（SCS-022 §6.3），帶 token 之 404 係「未達授權階段」。⚠️ 常態仍關閉（預設 false，刻意）；是否已於 SIT 以上改 fail-closed 待定奪（§10 #12）。SCS-022 升 1.5（新增 §7.7.1 逐服務實測表、§10 #12）
• 匯入方式：ops/redmine/import_all_tasks.py（HANDOVER §3.A 表格；2026-10-18）

★ 本 issue 為鏡像；狀態更正請改 HANDOVER 並 commit，再重跑同步。