feat: AI 服务商接口兼容 HTTP (#223)

docs/admin/06-quality-security.md

@@ -267,6 +267,7 @@ CMAutoBuyAdmin/
 - 密钥文件使用同目录临时文件、`fsync`、原子替换和 `600` 权限，失败时旧文件保持可用。
 - 连接测试只发送模型名和最小无业务文本，不发送订单号、店铺账号、用户、地址或 Client 信息。
 - Base URL、DNS 解析、实际拨号和重定向都要执行 SSRF 校验；私有地址只能由部署级允许列表开放。
+- Base URL 可使用 HTTP 或 HTTPS，但 HTTP 不提供传输加密，API Key 和匹配请求会以明文经过网络，只应在可信网络使用。
 - 测试失败、超时和非 2xx 响应不得记录 Authorization、完整请求或完整响应。
 - 规格匹配请求只包含商品标题、规格文本和候选短编号，不包含订单号、店铺账号、用户、地址或 Client 信息。
 - 模型返回值必须经过严格 JSON 结构、候选白名单、颜色冲突、额外维度、置信度和上下文版本校验；模型自报置信度不能替代硬门禁。