From 429c2d33db7b26607386cd8a5ef3aafa3c421e73 Mon Sep 17 00:00:00 2001 From: QiuSW <105186638@qq.com> Date: Wed, 5 Aug 2026 11:45:58 +0800 Subject: [PATCH] docs(safety): define one-shot sku reveal evidence --- docs/03-tech-stack.md | 56 ++++++++++++++++++++--------------------- docs/04-architecture.md | 4 ++- docs/tasks/T-103.md | 17 ++++++++++--- 3 files changed, 43 insertions(+), 34 deletions(-) diff --git a/docs/03-tech-stack.md b/docs/03-tech-stack.md index b84372f..844ff97 100644 --- a/docs/03-tech-stack.md +++ b/docs/03-tech-stack.md @@ -132,48 +132,46 @@ D:\Portable\adb\adb.exe devices -l 证据不得提交 Git。T-102 已由人确认 goods_id `958756616606` 对应目标商品并完成截图/XML 隐私检查， 设备、版本、证据路径与 SHA-256 已记录到任务执行记录。 -### T-103 规格面板三状态只读取证（T-110 边界调整后待重新验证） +### T-103 规格面板状态取证与受控选择 -`client/scripts/capture_sku_panel_spike.py` 只采集人已在手机上准备好的规格面板截图和完整 XML。 -它不打开链接或规格面板，不识别面板，不点击、滑动、输入或选择规格，也不读取价格；接口只暴露 -`app_info`、`app_current` 和两个只读 JSON-RPC 方法。`panel-opened-target-preselected`、 -`alternate-all-dimensions-selected`、`target-selection-restored` 三种值写入 manifest 的字段名是 -`human_declared_state`，明确表示人工声明，不得将其当作自动识别结果。旧的“未选 / 单维度 / 全选” -状态假设已被真机事实推翻，旧枚举会被采集器和脱敏器明确拒绝。运行拼多多版本必须精确为 `8.17.0`， -前台 package 必须是拼多多，否则 fail closed；目标目录已存在、截图/XML 无效或超时均不得覆盖已有内容 -或发布半成品。 +`client/scripts/capture_sku_panel_spike.py` 是历史人工声明状态的只读取证工具：只采集人已准备好的截图和 +完整 XML，不打开链接或面板，不点击、滑动、输入、选择规格或读取价格。它保留的 +`panel-opened-target-preselected` 等枚举只描述旧证据目录，不能作为当前生产 classifier 的事实来源。 +运行拼多多版本必须精确为 `8.17.0`，前台 package 必须是拼多多；目标目录已存在、截图/XML 无效或 +超时均不得覆盖已有内容或发布半成品。 T-103 已证明当前衣服商品没有独立「规格/已选」入口。T-110 只批准拼多多 `8.17.0`、goods_id -`937122477375` 上经真机确认的精确唯一 `快要抢光` 作为受控规格面板入口；“免拼购买 / 单独购买 / -直接拼成”等其他文案不能凭人工经验复用，必须分别重新取证。项目所有者已确认面板刚打开时目标颜色 -“黑色CHA(纯棉)”和尺码“M(建议100-115)”均已自动选中；取证不强行取消选择，而是记录刚打开状态、 -人工把两个维度都改成非目标值、再恢复目标值三个真实状态。只读取证 CLI 本身仍不执行点击；三种状态 -分别使用一个全新原始证据目录： +`937122477375` 上经真机确认的底部购买区第一行精确唯一 `快要抢光 + 金额` 作为受控规格面板入口； +商品内容区同名小字必须零点击，“免拼购买 / 单独购买 / 直接拼成”等其他文案不能凭经验复用。 -```powershell -.\client\.venv\Scripts\python.exe client\scripts\capture_sku_panel_spike.py --serial --url "https://mobile.yangkeduo.com/goods.html?goods_id=" --state panel-opened-target-preselected --output-dir "$env:LOCALAPPDATA\cmbuyer\artifacts\T-103\sku-panel-opened-target--v2\raw" --timeout 10 --adb D:\Portable\adb\adb.exe -.\client\.venv\Scripts\python.exe client\scripts\capture_sku_panel_spike.py --serial --url "https://mobile.yangkeduo.com/goods.html?goods_id=" --state alternate-all-dimensions-selected --output-dir "$env:LOCALAPPDATA\cmbuyer\artifacts\T-103\sku-panel-alternate--v2\raw" --timeout 10 --adb D:\Portable\adb\adb.exe -.\client\.venv\Scripts\python.exe client\scripts\capture_sku_panel_spike.py --serial --url "https://mobile.yangkeduo.com/goods.html?goods_id=" --state target-selection-restored --output-dir "$env:LOCALAPPDATA\cmbuyer\artifacts\T-103\sku-panel-target-restored--v2\raw" --timeout 10 --adb D:\Portable\adb\adb.exe -``` +2026-08-05 五组 live 证据纠正了旧的“面板打开即自动预选”假设：真实初态颜色与尺码均未选，选择 +目标颜色后尺码仍未选且不在视口；S 非目标态与恢复 M 目标态的 exact selected 切换已由人确认。 +当前实现必须分别匹配未选初态、仅目标颜色态、S 态和 M 态的完整 profile，不得跨状态拼装价格、摘要、 +容器或坐标。显示尺码只能由证据绑定、私有、一次且不重试的窄 reveal 能力完成；在取得 reveal 前后 +M 均未选的动作证据前，不得实现通用或猜测性滑动。 + +该动作证据使用独立 `client/scripts/capture_sku_reveal_spike.py`，不改造历史只读采集器，也不接入 +生产 Flow。CLI 不接收颜色、尺码、坐标或手势参数；它只在严格命中“目标颜色已选、尺码隐藏且未选” +后执行一次证据绑定的固定手势，随后只读采集 before/after。M 意外选中、尺码仍隐藏、颜色/摘要漂移、 +RPC 结果不明且无法调和或提交区风险均不得发布，成功后保留面板等待人工核对。 PDD 规格面板不可避免显示收货区域和手机号。项目所有者确认 cmbuyer 是内部系统，正式流程允许把 页面原始截图上传采购服务供已登录管理员查看，不做遮罩或裁剪。完整 XML 仍只留在 `%LOCALAPPDATA%\cmbuyer\artifacts\...\raw`；采购工具运行时在内存中读取当前页面树，但只返回规格、 选中态、价格和页面状态摘要，不把地址或手机号解析为业务字段，也不写入日志、Git 或 Vikunja。 -T-103 已完成 `t103-privacy-v5` 的一次真实派生：人确认 XML 无实际地址/手机号、目标颜色 -“黑色CHA(纯棉)”与尺码“M(建议100-115)”保留；安全节点显示顶部当前价“快卖完 ¥12.88”与原价 -“¥29.88”，底部“提交订单 ¥12.88”明确属于 T-103 隔离能力的硬拒绝区。派生截图的整宽黑色隐私带 -遮住了顶部价格文字的一半，这只说明旧脱敏实验不适合展示，不否定已确认的规格面板价格事实。 +旧 `t103-privacy-v5` 派生物只保留为历史证据，不能覆盖上述 live 状态。闸门一只在目标颜色与 M +均精确读回后，从已取证滚动态面板的只读当前价角色读取十进制 `12.88`；原价 `29.88`、未选初态价格、 +详情页数字和底部“提交订单 ¥12.88”都不得成为价格候选。 -为加快 MVP，T-103 从此不再修改或调用截图遮罩器。现有 v5 派生 XML 只用于提取不含页面个人信息的 -最小 fixture；T-111 完成后的 `SkuSelectionFlow` 在本机实时页面树上按拼多多 8.17.0 与面板结构读取允许字段，完整 -页面树不落日志、不上传。T-204 直接接入原始截图上传，资产标记 `privacy_tier=INTERNAL_RAW`，只允许 +为加快 MVP，T-103 不再修改或调用截图遮罩器。最小 fixture 从上述本机 live 证据中只提取获准判据节点， +不含地址、手机号或支付凭据；`SkuSelectionFlow` 在本机实时页面树上读取允许字段，完整页面树不落日志、 +不上传。T-204 直接接入原始截图上传，资产标记 `privacy_tier=INTERNAL_RAW`，只允许 已认证设备写入、已登录管理员读取；不上传 XML，不允许外部支付页或支付凭据。 -这个范围调整不授权 T-103 调整数量、进入确认页、点击“提交订单”或触碰支付控件。T-111 完成后， -T-103 以 `SkuSelectionFlow` 继续：由人把两个维度改成明确的非目标值，再运行受控入口、精确选择、 -读价和安全退出脚本完成真机验收。生产业务最终为单趟，但能力仍按 T-103 / T-105 / T-107 分段取证。 +这个范围调整不授权 T-103 调整数量、进入确认页、点击“提交订单”或触碰支付控件。T-103 最终由人 +运行受控入口、目标颜色、一次 reveal、目标 M、读价和一次 Back 的完整真机验收；生产业务最终为单趟， +但能力仍按 T-103 / T-105 / T-107 分段取证。 Windows 的标准入口是仓库根 `./init.ps1`。它要求 Go、两端目录及其哨兵文件存在；已有合规 `client/.venv` 时，所有采购工具检查与 validator 都使用该解释器。只有 venv 不存在时，才从 `py -0p` diff --git a/docs/04-architecture.md b/docs/04-architecture.md index 81f1386..1dc0633 100644 --- a/docs/04-architecture.md +++ b/docs/04-architecture.md @@ -119,10 +119,12 @@ T-103 最新真机证据表明：拼多多 `8.17.0`、goods_id `937122477375`、 摘要、容器或坐标拼成一个宽松判据。 - 显示尺码只允许命名的私有 `reveal_size_options()` 窄能力：仅从已证明的“目标颜色已选、尺码未选 - 且隐藏”状态执行，绑定证据确认的外层维度滚动容器和安全区域，最多一次且不重试；不得公开通用 + 且隐藏”状态执行，绑定证据确认的嵌套滚动容器与列间安全通道，最多一次且不重试；不得公开通用 `swipe`、`scroll`、任意坐标或把底部提交区纳入动作范围。 - 生产 reveal 落地前，必须补齐“动作前后目标尺码均未选、尺码由隐藏变为可见、提交区未触发”的 同版本真机动作证据。现有“滚动后 M 已选中”快照不能证明滚动没有误点规格，不得据此猜测手势。 +- 这组证据只能由独立 spike 在严格前置成立后执行一次固定、无参数手势采集；生产 Flow 不得调用该 + spike。RPC 超时或响应不明时只允许只读调和，不得重试；候选后置必须再由人核对后才能成为生产判据。 - 尺码 action 的真实节点类型、精确文案和 selected 读回必须随 profile 一起验证；当前证据中的 S/M 是可点击 `TextView`。只有目标颜色与目标尺码双重读回一致后才能读取闸门一价格。 - 一次 Back 在调用前即封存且不得重试；仅“面板消失”不能作为生产安全退出的充分条件。同商品详情页 diff --git a/docs/tasks/T-103.md b/docs/tasks/T-103.md index 2127256..8e39ffb 100644 --- a/docs/tasks/T-103.md +++ b/docs/tasks/T-103.md @@ -17,13 +17,15 @@ write_paths: - client/tests/pdd/** - client/tests/device/** - client/scripts/capture_sku_panel_spike.py + - client/scripts/capture_sku_reveal_spike.py - client/scripts/run_t103_sku_selection.py - client/scripts/sanitize_sku_panel_evidence.py + - docs/03-tech-stack.md - docs/04-architecture.md - docs/current-state.md --- - + ## 问题 / 背景 T-102 已证明 canonical 链接可进入目标商品。T-103 在 PKG110 / Android 16 / 拼多多 8.17.0、goods_id `937122477375` 上确认：详情页底部购买区第一行“快要抢光 + 金额”是唯一获准的受控规格入口；商品内容区同名小字和第二行“免拼购买”都不得点击。 @@ -44,7 +46,7 @@ T-102 已证明 canonical 链接可进入目标商品。T-103 在 PKG110 / Andro 2. 把面板状态拆为整体 profile，禁止跨 profile 拼装：`PANEL_OPEN_EMPTY`（两维未选、尺码隐藏）、`COLOR_SELECTED_SIZE_HIDDEN`（仅目标颜色已选）、`SIZE_VISIBLE_NON_TARGET`（目标颜色 + S）、`TARGETS_SELECTED`（目标颜色 + M）。摘要、容器、节点类型、选中态和相对结构任一漂移均 fail closed。 3. `open_sku_panel()` 沿用已审底部入口链，只点击第一行文本中心一次且不重试；打开后的初态判据不得要求尺码 option 已在视口或已有 selected。 4. 目标颜色只在颜色容器内按 exact content-desc 唯一匹配；从未选到选中只点击一次，并以目标颜色 selected=true、摘要 exact“请选择：尺码”双重读回。 -5. 尺码显示只允许私有、命名的 `reveal_size_options()` 窄能力：仅可从“目标颜色已选、尺码隐藏且未选”状态调用，绑定外层维度 RecyclerView 的安全内部区域，最多一次、不重试，不暴露通用 swipe/scroll/任意坐标。只有取得“动作前后 M 均未选且提交区未触发”的真机动作证据后才能实现生产动作。 +5. 尺码显示只允许私有、命名的 `reveal_size_options()` 窄能力：仅可从“目标颜色已选、尺码隐藏且未选”状态调用，绑定已取证的嵌套滚动容器与列间安全通道，最多一次、不重试，不暴露通用 swipe/scroll/任意坐标。生产动作落地前，只允许独立 `capture_sku_reveal_spike.py` 在严格前置成立后执行一次固定无参手势并采集 before/after；生产 Flow 不得调用该 spike。只有人确认动作前后 M 均未选、尺码已显示且提交区未触发后，才能把后置固化为生产判据。 6. 尺码可见时，S/M 必须是证据绑定的 exact clickable TextView；恢复流程只允许 S=true/M=false → 点击 M 一次 → S=false/M=true，并用 exact 已选摘要双重读回。生产未选态也必须证明 M=false 后才点击。 7. 闸门一单价只在目标颜色和目标 M 都精确选中后读取。只接受已取证滚动态面板价格行中、PDD package、只读、无可点击祖先、唯一的当前价；严格返回十进制字符串 `12.88`，明确区分原价 `29.88` 和硬拒绝区“提交订单 ¥12.88”。未知前缀、候选重复、节点拆分或结构漂移均 unreadable，不从初态、详情页或按钮补值。 8. 一次 Back 在发送前封存且不重试；“面板消失”不得自动升级为生产安全退出结论。精确同商品退出判据由依赖任务 T-104 另行真机取证并收紧。 @@ -55,7 +57,7 @@ T-102 已证明 canonical 链接可进入目标商品。T-103 在 PKG110 / Andro - fixture 分别来自本项目 8.17.0 的未选初态、仅目标颜色态、S 态和恢复 M 态；旧 v5 全选 fixture 不得冒充初态，fixture 不含地址、手机号或支付凭据。 - 四态 classifier 正例通过；package、profile、父子关系、节点类型、摘要、选中态、坐标/相对结构任一漂移和跨 profile 拼装全部拒绝。 - 颜色 exact 唯一点击一次；缺失、重复、禁用、近似文本、读回不一致均零后续动作。 -- 在生产 reveal 落地前，必须补齐“请选择尺码 / M=false / 隐藏 → 单次受控 reveal → 请选择尺码 / M=false / 可见”的真机动作证据；reveal 只能调用一次，RPC 不明、页面不变、颜色/摘要漂移、M 意外选中、尺码仍隐藏或提交区风险均不重试、不点规格。 +- 在生产 reveal 落地前，独立 spike 必须补齐“请选择尺码 / M=false / 隐藏 → 单次受控 reveal → 请选择尺码 / M=false / 可见”的真机动作证据；CLI 不接受颜色、尺码、坐标或手势参数。RPC 正常或不明后都只读调和，页面不变、颜色/摘要漂移、M 意外选中、尺码仍隐藏或提交区风险均不重试、不发布；成功后不 Back，等待人核对。 - S=true/M=false → 仅点击 exact M 一次 → S=false/M=true 且摘要 exact；任何歧义零点击。 - 价格测试能区分当前价 12.88、原价 29.88、初态价格与底部提交按钮价；未知前缀、可点击祖先、多个候选、拆分货币全部 unreadable。 - 静态 API/AST/导入测试证明 Flow/Protocol/runner 无公开通用 swipe/scroll/click、数量、确认页、授权、围栏、提交或支付能力，T-103 调用链不可达下单函数。 @@ -264,6 +266,10 @@ T-103 sanitizer v2 坐标修正与主审：提交 44c027a 将 screenshot space - C:\Users\ila20\AppData\Local\cmbuyer\artifacts\T-103\sku-size-s-selected-20260805-112602 - C:\Users\ila20\AppData\Local\cmbuyer\artifacts\T-103\sku-size-m-restored-20260805-112704 其余环境、哈希、人工 M 恢复结论与 comment 111 一致。 + +### 2026-08-05T03:44:34Z · ila + +2026-08-05 reveal 取证方案收口：不改造只读 capture_sku_panel_spike.py，也不把未经验证的滑动放进生产 SkuSelectionFlow。新增独立 capture_sku_reveal_spike.py：无颜色/尺码/坐标/手势参数，只在精确 COLOR_SELECTED_SIZE_HIDDEN 前置成立后沿已取证列间安全通道发出一次固定手势；发出前封存，RPC 正常/超时/异常后均只读调和且绝不重试。后置必须颜色仍选中、摘要仍请选择尺码、S/M 可见且全部 selected=false、未触发提交区；成功后不 Back，由人核对 before/after 后才允许固化生产 reveal 判据。T-103 继续 Doing。 ## 边界 @@ -288,9 +294,12 @@ T-103 sanitizer v2 坐标修正与主审：提交 44c027a 将 screenshot space 禁用、维度不明、选中态无法唯一读回或页面版本不符均 fail closed。不得前缀、包含、模糊、相似、 跨维度或 OCR 匹配，也不得用裸坐标猜选项。 - 显示尺码只允许私有命名的 `reveal_size_options()`：仅从目标颜色已选、尺码未选且隐藏的已证明状态 - 执行，绑定外层维度 RecyclerView 的安全内部区域，最多一次且不重试。生产动作落地前必须先取得 + 执行，绑定已取证的嵌套滚动容器与列间安全通道，最多一次且不重试。生产动作落地前必须先取得 “reveal 前后 M 均未选、尺码由隐藏变为可见、提交区未触发”的真机证据；不得暴露通用 `swipe` / `scroll` / 任意坐标能力。 +- 生产 reveal 落地前只允许独立的 `capture_sku_reveal_spike.py` 证据脚本执行该固定无参动作：脚本必须 + 自动走受控商品/面板/目标颜色前置，严格命中仅颜色态后才发出一次固定手势；RPC 正常或不明后都只读 + 调和，M 已选、尺码仍隐藏、摘要/颜色/版本漂移或提交区风险均不得发布。成功后不 Back，等待人核对。 - 单价只允许在目标颜色与目标 M 均精确读回后，从滚动态规格面板证据确认的只读当前价节点读取， 并以十进制字符串表达；不得使用浮点，不得从未选初态、详情页、搜索卡片、底部购买/提交按钮或 其他页面的数字补值。未知促销前缀、券后价、原价、区间价、货币符号拆分、可点击祖先或多个候选