docs(tasks): record T-103 sanitizer v4

docs/03-tech-stack.md

@@ -155,12 +155,20 @@ T-103 已在 `client/src/cmbuyer_client/device/sku_evidence_sanitizer.py` 实现
 `client/scripts/sanitize_sku_panel_evidence.py` 提供离线 CLI。第一组新 raw 的 PNG 头部由人确认实际为
 1080×2376，推翻了 v1 将截图和 XML 坐标空间都写成 1080×2400 的假设；v1 正确拒绝且原始证据未重采。
 随后 v2 在同一份 raw 上安全报告 XML `observed 1080x2376` 并拒绝发布，证明其独立配置的
-1080×2400 假设同样不成立。当前 `t103-privacy-v3` 配置精确绑定 PKG110 / Android 16 / 拼多多
-8.17.0 / goods_id `937122477375`；screenshot space 与 XML coordinate space 仍分别建模、分别校验，
-当前都精确为 1080×2376，且都把
+1080×2400 假设同样不成立。v3 用同一 raw 成功发布后，人已确认截图隐私带完整遮挡、派生 XML
+不含地址或手机号且目标颜色和尺码仍为预选；但顶部当前价节点横跨隐私带边界，v3 只留下断片，
+而下方完整的“提交订单 ¥12.88”属于第一趟硬拒绝区，不能作为 SKU 单价证据。
+
+当前 `t103-privacy-v4` 继续精确绑定 PKG110 / Android 16 / 拼多多 8.17.0 / goods_id
+`937122477375`；screenshot space 与 XML coordinate space 仍分别建模、分别校验，当前都精确为
+1080×2376，且都把
 `[0,0,1080,540)` 作为整宽隐私带。截图覆盖该区域；XML 递归移除区域内节点，跨界容器只清空自身
-敏感属性并保留下方子节点。地址依靠已确认的整块几何隔离而不是易漏的关键词表；完整、掩码、带分隔符
-或跨节点手机号残留会被自动复检拒绝。
+敏感属性并保留下方子节点。v4 **不改变或缩小截图遮罩**，只允许交界带两个已取证精确 bounds 中，
+属于拼多多包、不可点击、可见且启用的 `TextView` 叶节点投影最小价格属性；当前价必须唯一匹配
+可选“快卖光”前缀加人民币符号和两位小数，原价同格式且最多一个。包外、可点击、结构漂移、重复、
+零值、混杂文本或坐标变化一律拒绝。地址依靠已确认的整块几何隔离而不是易漏的关键词表；完整、
+掩码、带分隔符或跨节点手机号残留会被自动复检拒绝。v4 离线实现已通过合成测试，仍须由人用同一
+第一态 raw 重跑并确认派生结果，才构成真实价格证据。
 
 ```powershell
 .\client\.venv\Scripts\python.exe client\scripts\sanitize_sku_panel_evidence.py --raw-dir "<证据目录>\raw" --output-dir "<证据目录>\derived"
@@ -170,8 +178,8 @@ T-103 已在 `client/src/cmbuyer_client/device/sku_evidence_sanitizer.py` 实现
 节点观察到的最大 right/bottom 必须精确为 1080×2376，否则只报告非敏感 observed 尺寸并拒绝。它只允许发布到
 同级且尚不存在的 `derived`；失败或发布竞态不覆盖已有目录、不留下 staging。派生 manifest 记录
 `privacy_tier=SANITIZED`、sanitizer 版本、两个坐标空间、清理计数及本机 source/derived 哈希，不记录
-原始路径、serial 或页面正文。只有自动复检通过并经人确认状态对应性的派生物，agent 才能读取并提取
-最小 fixture、编写判据。
+原始路径、serial 或页面正文；v4 另记录 `preserved_crossing_price_nodes`，用于核对严格价格投影
+数量。只有自动复检通过并经人确认状态对应性的派生物，agent 才能读取并提取最小 fixture、编写判据。
 
 2026-08-04 的首轮旧证据只用于确认上述入口事实；其中旧 `initial` 不是规格面板，另两张原始截图含隐私
 区域，因此 XML 未读取、fixture 与选择器未生成。T-110 完成受控入口与脱敏契约后，T-103 重新取证；

docs/current-state.md

@@ -21,7 +21,7 @@
   `client/` 已有 Python 包、PySide6 最小入口、运行目录与日志脱敏策略，以及显式 serial 的 ADB
   连接边界、本地基线取证 CLI、受限商品链接打开取证 CLI、人工声明规格面板状态的只读取证 CLI，
   以及绑定 PKG110 / Android 16 / 拼多多 8.17.0 的规格证据确定性脱敏 CLI；尚无规格选择、价格读取或下单流程
-- 测试：采购服务已覆盖健康检查、核心模型、迁移与状态机等离线包级测试；采购工具 69 项离线单元测试
+- 测试：采购服务已覆盖健康检查、核心模型、迁移与状态机等离线包级测试；采购工具 76 项离线单元测试
   （全部 mock，不连接真机）
 - 数据：SQLite 核心表与迁移已落成；无业务实例数据
 - 标准启动路径：Windows PowerShell 运行 `./init.ps1`，Unix shell 运行 `./init.sh`。Windows 入口
@@ -34,9 +34,11 @@
   数量、确认页、提交订单、付款与通用点击能力仍不可达。T-103 的原始证据本机隔离与确定性脱敏器
   已完成离线实现；第一态 v3 derived 已由人确认隐私安全，并证明目标颜色和尺码自动预选，派生哈希
   复算一致。顶部规格价格横跨隐私遮罩边界，当前只保留了不可读断片；唯一完整金额位于禁触的
-  “提交订单 ¥12.88”区域，不能作为第一趟价格证据。下一步保持截图遮罩不变，升级脱敏器只把顶部
-  交界带中满足严格非点击价格格式的文本投影到派生 XML，再由人重跑同一 raw。价格证据通过后才采集
-  “两个维度改为非目标 / 两个维度恢复目标”两态；Phase 2 仍不能抢跑。
+  “提交订单 ¥12.88”区域，不能作为第一趟价格证据。v4 已在保持截图遮罩不变的前提下，只允许顶部
+  交界带中满足精确坐标、拼多多包、非点击叶节点和严格金额格式的文本投影到派生 XML，离线门禁已通过；
+  下一步由人保留已验收 v3 derived，并用同一 raw 重跑 v4。价格证据通过后才采集“两个维度改为非目标 /
+  两个维度恢复目标”两态。T-010 已允许不依赖真机字段的 T-201 和只创建 `DRAFT` 的 T-202 并行；
+  T-203 及后续会启动试选或依赖真机字段的 Phase 2 功能继续等待 T-103。
 
 ## 当前目录要点
 
@@ -60,9 +62,11 @@
 - 已完成：T-002（采购工具 Python 骨架）、T-003（双端统一初始化与验证入口）、
   T-004（核心数据模型）、T-101（真机环境盘点与 USB/WiFi 双通道人工验收）、T-102（canonical
   链接打开与目标商品/隐私人工验收）。
+- 已完成 T-010（安全并行门禁）；T-201（管理员登录与会话）已在独立写路径并行开发。T-202 可在
+  T-201 完成后继续，但只能创建和展示 `DRAFT`，不得启动试选或引入未经 T-103 证实的真机字段。
 - 已完成 T-110（第一趟受控规格入口与隐私脱敏边界）。T-103 是当前最高优先级和 MVP 生死线，
-  已补充 T-110 依赖并恢复 `DOING`；脱敏器已完成，三态派生证据和新真机验收完成前不开发依赖真机可读字段的
-  Phase 2 生产页面。
+  已补充 T-110 依赖并恢复 `DOING`；v4 脱敏器离线实现已完成，三态派生证据和新真机验收完成前不开发
+  T-203 及后续依赖真机可读字段或会启动试选的 Phase 2 生产页面。
 - 已确认原型继续只作信息架构依据；原型假数据不调用真实接口、不驱动真机。真机结论改变
   可读字段时必须先回修原型与交互清单。
 
@@ -162,11 +166,13 @@ T-103 已确认当前衣服商品只能从精确文案“快要抢光”进入
 .\client\.venv\Scripts\python.exe client\scripts\sanitize_sku_panel_evidence.py --raw-dir "$env:LOCALAPPDATA\cmbuyer\artifacts\T-103\sku-panel-target-restored-<GOODS_ID>-v2\raw" --output-dir "$env:LOCALAPPDATA\cmbuyer\artifacts\T-103\sku-panel-target-restored-<GOODS_ID>-v2\derived"
 ```
 
-原始 screenshot/XML 可能包含 PDD 固定展示的地址和掩码手机号，只能留在本机 `raw` 目录，不能由
-agent、fixture、业务或上传端消费。`t103-privacy-v3` 把截图与 XML 保持为两个独立坐标空间，
-并根据同一第一态 raw 的两次 fail-closed 安全观测将二者分别精确固定为 1080×2376；它校验源哈希、
-设备/App/商品/人工状态与隐私结构，在 sibling
-`derived` 目录原子发布 screenshot/XML 与 manifest；任何不匹配、手机号残留或已有目标均拒绝发布。
+PDD 现场显示地址和掩码手机号不阻塞真机流程；但原始 screenshot/XML 只能留在本机 `raw` 隔离目录，
+不能由 agent、fixture、业务或上传端消费。`t103-privacy-v4` 把截图与 XML 保持为两个独立坐标空间，
+并根据同一第一态 raw 的两次 fail-closed 安全观测将二者分别精确固定为 1080×2376；截图隐私带沿用
+v3，不扩大、不缩小。v4 只从两个精确交界 bounds 投影属于拼多多包、不可点击且格式严格唯一的价格
+叶节点，任何点击节点、包外节点、坐标/结构/文本漂移、重复或零值都 fail closed。它校验源哈希、
+设备/App/商品/人工状态与隐私结构，在 sibling `derived` 目录原子发布 screenshot/XML 与 manifest；
+任何不匹配、手机号残留或已有目标均拒绝发布。
 自动复检通过且人确认三态对应性后，agent 才能读取派生物并提取最小 fixture、编写判据。
 人工确认中还必须记录中间态实际选择的非目标颜色和尺码，不能只写“已切换”。
 

docs/tasks/T-103.md

@@ -25,7 +25,7 @@ write_paths:
   - docs/current-state.md
 ---
 
-<!-- BEGIN VIKUNJA EXPORT id=23 synced=2026-08-04T06:20:17Z sha256=b359e58af4198911be10e5e24debc3132f89623368934832886c6724ee8fab51 -->
+<!-- BEGIN VIKUNJA EXPORT id=23 synced=2026-08-04T06:46:31Z sha256=701cb30a4821867dc4970d7a310793212998f0cada7e36617712bcb6f4bd27ae -->
 ## 问题 / 背景
 
 T-102 已证明 canonical 链接可进入目标商品。T-103 随后在 PKG110 / Android 16 / 拼多多 8.17.0、衣服商品 goods_id `937122477375` 上确认：规格面板只能从详情页右下角精确文案“快要抢光”进入，面板固定显示收货区域和掩码手机号。T-110 经项目所有者批准，将该已取证点击定义为可逆、能力受限的规格面板导航；这不是通用购买入口豁免，不授权其他文案、数量、确认页、提交订单或支付。 项目所有者随后确认，面板刚打开时已自动选中目标颜色“黑色CHA(纯棉)”和尺码“M(建议100-115)”；因此本任务不再假设存在“未选择”或“只选择一个维度”的初始状态。
@@ -139,6 +139,10 @@ T-103 sanitizer v2 坐标修正与主审：提交 44c027a 将 screenshot space
 ### 2026-08-04T06:20:03Z · ila
 
 主审补充澄清：上一条所述“提交订单 ¥12.88”只能证明面板中存在该禁触文本，不得作为第一趟 SKU 单价证据，也不得驱动任何控件解析或交互。原因是它属于可点击“提交订单”父区域，违反 T-110 硬拒绝区边界。v3 第一态因此只通过隐私与预选状态验收，价格证据仍不通过。下一步不缩小 [0,0,1080,540) 截图遮罩，而由 v4 脱敏器在顶部交界带仅保留严格白名单、PDD package、非点击叶节点的价格文本到派生 XML；任何混杂文本、点击节点、包外节点或非唯一候选均 fail closed。
+
+### 2026-08-04T06:43:53Z · ila
+
+2026-08-04 客户确认加速方案：手机规格面板显示地址/手机号不再作为真机流程阻塞条件；不再扩大或调整截图黑色遮罩。原始证据仍只留本机，agent/Git/服务端仍只消费派生物。提交 1e69d27 实现 t103-privacy-v4：截图遮罩与 1080x2376 双坐标校验完全不变，只把已取证的两个顶部交界价格槽中，PDD package、TextView、非点击、可见启用、叶节点且严格匹配“唯一快卖光当前价 + 至多一个原价”的七属性安全文本投影到派生 XML；结构/文本/候选数漂移均原子拒绝，底部“提交订单 ¥12.88”仍不是价格候选。主 agent 两轮退回测试职责问题后独立复跑 76 项 client 单测、compileall、CLI help、禁用能力检索与 diff-check，全部通过。下一步保留已验收 v3 derived，用同一 raw 生成 v4 derived；T-103 保持 DOING。
 <!-- END VIKUNJA EXPORT -->
 
 ## 边界