feat: 安全领取并分派采购任务 (#72)

docs/client/02-architecture.md

@@ -89,7 +89,7 @@ client/
 | 目录分层 | domain / application / infrastructure / workers / ui | 平铺在 `src/` 下：`db.py`、`db_schema.py`、`task_repository.py`、`settings_repository.py`、`task_models.py` 等，另有 `src/util/`、`src/demo1/` |
 | 主按钮文案 | 「开始自动获取」⇄「停止自动获取」 | 已按持续串行模式实现 |
 | Admin 网关 | `AdminGateway` + Mock/HTTP 两实现 | 登记、领取、结果和失败提交已实现 |
-| 任务应用服务 | `CollectTaskService` / `PurchaseTaskService` | 采集已接入自动获取；采购已实现本地 `dry_run` 演练，领取与分派由后续工单接入 |
+| 任务应用服务 | `TaskDispatcher` / `CollectTaskService` / `PurchaseTaskService` | 自动获取先补交 Outbox，再按领取时间执行本地任务，最后按安全能力领取并分派新任务 |
 | Outbox 提交 | 从 `outbox_events` 取件重试 | 采集结果与失败已实现，重试不重复采集 |
 | PDD 自动化 | `infrastructure/pdd/` 适配层 | `pdd_device_service.py` 与 `pdd_collect_service.py` 已接入采集主链 |
 
@@ -330,6 +330,11 @@ Client 与 Admin 的任务交互只有三种调用：领一个任务、提交结
 6. Outbox 提交成功、Admin 返回 `accepted: true` 后标记 `succeeded`。
 7. 回到第 1 步领下一个任务。**同一时间只做一个任务。**
 
+`TaskDispatcher` 是能力声明的唯一入口。没有可用采购演练 Adapter、没有已保存
+Android 设备或本地持久化未准备好时，只声明 `collect`；条件满足时才声明
+`collect,purchase`，且 `purchase_mode` 永远是 `dry_run`。领取响应必须先完整校验并
+写入 SQLite，Repository 提交成功后才能分派，避免任务已在 Admin 领取却在本地丢失。
+
 中途 Admin 是否取消了这个任务、是否重派给了别人，Client 不查也不管，做完照样提交——
 Admin 侧必须无条件接受，见 [04](04-admin-api-contract.md) §6.1。