feat: 实现受控真实下单安全边界 (#99)

2026-08-10 16:35:38 +08:00
parent 7106f6b024
commit e960cab1fb
30 changed files with 1562 additions and 66 deletions
@@ -81,10 +81,11 @@ PDD 解析测试优先使用脱敏的 XML 固件，不要求每次连接真实
 7. 演练模式在代表性商品和设备上通过验收。
 8. 操作人员明确确认真实下单范围和安全设置。

-真实下单不得通过调试参数、默认配置或界面误操作意外开启。
-当前版本的 `ClaimCapabilities` 仅接受 `purchase_mode=dry_run`，采购
-Adapter 不提供提交订单或付款方法。开发者不能把自动化测试通过当成真实
-下单门禁放行；仍需项目负责人和实际操作人员共同确认。
+真实下单不得通过调试参数、默认配置或界面误操作意外开启。当前版本仅在设置页
+精确输入确认文字后保存授权，并绑定 Client ID 和已保存 Android 设备；任一绑定
+不一致都降级为 `purchase_mode=dry_run`。演练 Adapter 不提供提交方法，live Adapter
+只提供一次性提交方法，两者都不提供付款或取消订单方法。开发者不能把自动化测试
+通过当成真机门禁放行；仍需项目负责人和实际操作人员共同确认。

 ### 3.1 当前自动化安全检查

@@ -93,12 +94,14 @@ Adapter 不提供提交订单或付款方法。开发者不能把自动化测试
 - 有不可逆标记的中断只调用只读核对，采购 Adapter 调用次数为 0。
 - 已落库 Outbox 只补交，不重跑手机流程。
 - 停止、设备断开、验证码、登录失效和结果不确定都保留稳定错误和诊断。
- `purchase_mode=live` 会在数据对象创建时被拒绝。
+- `execution_mode=live` 只允许采购任务，且 Client 不得自行升级 Admin 下发的模式。
+- 最终点击前重新读取页面并核对规格、数量、价格、库存和唯一提交目标。
+- `irreversible_action_at` 必须在点击前以事务提交；点击最多一次，返回或抛错后均只进入核单。
 - 正式 uiautomator2 采购 Adapter 只点击商品页采购入口和目标规格，
-  `enter_confirmation` 与 `stop_before_submit` 均为只读检查。
- 单元测试必须断言到达最终确认页后没有产生第二次底部按钮点击。
+  演练的 `enter_confirmation` 与 `stop_before_submit` 均为只读检查。
+- 单元测试必须断言演练没有最终点击、live 只有一次最终点击，且模糊目标不会点击。

-上述只证明演练和恢复代码的默认安全性，**不代表真实下单已放行**。
+上述只证明本地安全边界；真实设备联调仍须按独立验收工单获得当次明确授权。

 ## 4. 自动化防护