feat: 正式采购下单前更新地址标记 (#173)

docs/client/01-requirements.md

@@ -80,10 +80,16 @@ Client 应执行：
 
 1. 校验商品、规格、数量、库存和价格保护条件。
 2. 选择指定颜色、尺码和数量。
-3. 进入订单提交前状态并再次校验价格。
-4. 在允许真实下单时提交订单。
-5. 获取并核对订单编号和下单时间。
-6. 保存本地结果并提交 Admin。
+3. 正式采购使用远程任务编号更新收货地址末尾的采购编号标记，演练流程不修改地址。
+4. 返回订单提交前状态并再次校验商品、规格、数量和价格。
+5. 在允许真实下单时提交订单。
+6. 获取并核对订单编号和下单时间。
+7. 保存本地结果并提交 Admin。
+
+地址更新只允许替换程序生成的末尾标记，不能截断真实地址主体。地址入口、修改按钮、
+详细地址输入框、保存按钮或保存结果任一项不唯一、不完整或无法回读时，任务必须在
+不可逆标记写入前失败并停止。姓名、手机号、完整地址和原始控件树只用于本次设备会话，
+不得写入 SQLite、日志、Gitea、测试固件或文档。
 
 仅凭“我的订单”列表中的最新一条记录不能认定为当前任务订单。订单页必须读到
 非空订单编号、有效下单时间和待付款状态；下单时间须位于本地

docs/client/02-architecture.md

@@ -401,8 +401,11 @@ reconcile_purchase(task, run) -> PurchaseResult | ManualReview
 采购演练通过 `PddPurchaseAdapter` 的窄接口逐步读取最新页面状态。该接口只提供
 打开商品、读取状态、精确选择动态规格、设置数量、进入提交前确认页和停止，
 **不提供提交订单或付款方法**。这样即使应用层调用错误，也没有可误触的真实下单入口。
-真实采购另用 `PddLivePurchaseAdapter`，只增加 `submit_order_once`。服务层在最新
-页面复核规格、数量、价格、库存和唯一提交目标后，先提交
+真实采购另用 `PddLivePurchaseAdapter`，只增加下单前地址标记更新和
+`submit_order_once`。地址标记使用任务现有的 `remote_task_id`，只替换程序生成的
+末尾标记；修改、保存和回读任一步不可靠时在可逆阶段停止。地址只在设备会话内处理，
+不进入数据库、日志、诊断产物或接口结果。服务层在地址更新后重新读取最新页面，
+复核规格、数量、价格、库存和唯一提交目标后，先提交
 `irreversible_action_at` 事务，再允许 Adapter 点击一次；之后无论点击结果是否明确，
 都只进入订单核对。该接口不提供付款或取消订单方法。
 采购规格使用完整 `options` 对象精确比较，不假定只有颜色和尺码两个维度。