docs: pivot update design from LAN/UNC to HTTP transport

- docs/10: HTTP source + Basic Auth; manifest url/sha256/size; download zip +
  verify SHA-256 + extract; HTTP security model; stage notes marked pending
- docs/02/05: add update_user/update_pass; update_source is now an HTTP(S) URL
- tasks 17.18: HTTP pivot task (docs done; code TODO)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/02-prd.md

@@ -331,7 +331,9 @@ CMBot/
   "last_print_dir": "",
   "last_template": "正方形模板",
   "last_batch_mode": "full_combo",
-  "update_source": ""
+  "update_source": "",
+  "update_user": "",
+  "update_pass": ""
 }
 ```
 
@@ -340,7 +342,8 @@ CMBot/
 - `last_garment_dir` / `last_print_dir`：上次打开的衣服 / 印花文件夹路径，用于让文件夹对话框定位到上次位置。
 - `last_template`：上次选中的模板名称，用于启动恢复。
 - `last_batch_mode`：上次选择的批量模式（取 `BatchMode` 枚举值，如 `full_combo` / `many_garments` / `many_prints` / `one_to_one`）。
-- `update_source`：局域网更新源目录（含 `manifest.json`）。为空时不做更新检查。详见 `docs/10-lan-update.md`。
+- `update_source`：在线更新源 `manifest.json` 的 HTTP(S) 地址。为空时不做更新检查。详见 `docs/10-lan-update.md`。
+- `update_user` / `update_pass`：更新源 HTTP Basic Auth 凭据，更新源开启鉴权时使用，为空表示匿名。
 - 偏好的读取、分发与「改一次存一次」由主窗口集中处理，UI 控件不直接读写配置文件。
 
 ## 10. 验收标准