feat: 移除 Client 真实采购手工授权 (#114)

docs/client/06-quality-security.md

@@ -70,7 +70,7 @@ PDD 解析测试优先使用脱敏的 XML 固件，不要求每次连接真实
 
 ## 3. 采购安全门禁
 
-Admin 新建采购任务固定为真实下单（不支付）；Client 本地 live 授权仍默认关闭。全部满足后才能声明 live 能力并领取真实采购任务：
+Admin 新建采购任务固定为真实下单（不支付），Client 不再提供手工 live 授权。Client 身份有效、已选择 Android 设备且真实采购 Adapter 就绪时自动声明 live；领取并执行后仍必须满足下列安全门禁：
 
 1. Admin 原子领取和结果幂等已经通过联合测试。
 2. Outbox 断网和重启恢复测试通过。
@@ -78,14 +78,10 @@ Admin 新建采购任务固定为真实下单（不支付）；Client 本地 liv
 4. 最终下单前后均有持久化步骤标记。
 5. 进程在不可逆阶段退出后只执行订单核对，不会重新下单。
 6. 订单匹配能识别唯一候选；多个候选进入人工处理。
-7. 演练模式在代表性商品和设备上通过验收。
-8. 操作人员明确确认真实下单范围和安全设置。
+7. 历史演练模式和真实模式在代表性商品与设备上通过自动化验收。
+8. 真实设备首单按独立验收工单执行，并明确停止在支付前。
 
-Client 本地 live 授权不得通过调试参数、默认配置或界面误操作意外开启。当前版本仅在设置页
-精确输入确认文字后保存授权，并绑定 Client ID 和已保存 Android 设备；任一绑定
-不一致都降级为 `purchase_mode=dry_run`。演练 Adapter 不提供提交方法，live Adapter
-只提供一次性提交方法，两者都不提供付款或取消订单方法。开发者不能把自动化测试
-通过当成真机门禁放行；仍需项目负责人和实际操作人员共同确认。
+Client 不保存或读取 `purchase.live_*` 手工授权设置。`purchase_mode` 只表达本次注册或领取时的运行就绪能力：身份、设备或真实采购 Adapter 任一缺失都声明 `dry_run`，全部就绪才自动声明 `live`。演练 Adapter 不提供提交方法，live Adapter 只提供一次性提交方法，两者都不提供付款或取消订单方法。开发者不能把自动化测试通过当成真机验收完成。
 
 ### 3.1 当前自动化安全检查
 
@@ -103,7 +99,7 @@ Client 本地 live 授权不得通过调试参数、默认配置或界面误操
   演练的 `enter_confirmation` 与 `stop_before_submit` 均为只读检查。
 - 单元测试必须断言演练没有最终点击、live 只有一次最终点击，且模糊目标不会点击。
 
-上述只证明本地安全边界；真实设备联调仍须按独立验收工单获得当次明确授权。
+上述只证明本地安全边界；真实设备联调仍须按独立验收工单记录结果，且不得进入付款操作。
 
 ## 4. 自动化防护
 
@@ -127,6 +123,12 @@ Client 本地 live 授权不得通过调试参数、默认配置或界面误操
 商品失效。打开前后的商品页控件树签名相同则视为旧页面，不能据此执行规格选择或
 下单；采购进入不可逆阶段前仍须按商品编号等业务字段再次确认目标身份。
 
+页面轮询不得在每一轮依赖 `app_current()`：部分设备的前台查询会阻塞十秒以上，
+还可能把已经显示 PDD 的页面报告为系统设置。连接时可以读取一次前台状态；后续
+商品页和规格面板判断优先使用最新控件树中的包名与组合语义。单次设备调用即使跨过
+截止时间，也要先分析刚返回的最新控件树，再决定成功或超时。规格面板超时必须记录
+最后页面类型、控件树读取次数和脱敏 XML 引用，不保存商品、账号或收货相关原文。
+
 > **运营提醒（不是代码规则）：** Admin 超时重派可能导致同一任务被两台 Client 各下一单，
 > 产生重复的未付款订单。人工审核时取消多余订单即可。但未付款订单长期堆积可能触发平台风控，
 > 需要操作人员留意，不要放着不管。
@@ -276,7 +278,7 @@ Artifact 写入前应脱敏，数据库只保存引用。保留周期由设置
 | 8 | 开源和商业许可证已确认 | 新增依赖的许可证是否允许本项目的使用方式 | **项目负责人**（不是开发者自己判断） |
 | 9 | 真实下单版本额外满足采购安全门禁 | 逐条核对 §3 的 8 项 | **项目负责人 + 操作人员共同确认** |
 
-第 8、9 项开发者**不要自己判断放行**。新增依赖时把包名和许可证类型报给项目负责人；真实下单开关必须由项目负责人和实际操作的人一起确认，见 §3。
+第 8、9 项开发者**不要自己判断验收通过**。新增依赖时把包名和许可证类型报给项目负责人；真实设备下单验收必须由项目负责人和实际操作的人共同确认，见 §3。
 
 ## 11. 任务完成定义