fix(api): bound claim wire fields end to end

docs/api.md

@@ -96,6 +96,10 @@
 ```
 
 - 服务端解析并保存 canonical URL 与 `goods_id`；URL 非拼多多商品页、`goods_id` 缺失或含歧义则拒绝。
+- `title` 以 `TrimSpace` 后持久化值计，最多 120 个 Unicode code point；`sku_color`、`sku_size`
+  同样按持久化值计，各最多 80 个 Unicode code point。非法 UTF-8 必须先拒绝，不能把替换字符当作
+  合法 code point；超限不得截断。
+- `goods_id` 只允许 1--32 位 ASCII 数字；规范金额只允许 1--32 个 ASCII 字符。
 - `max_total_price` 是本任务允许创建待付款订单的总额上限，不是参考单价。
 - 成功只产生 `DRAFT`；不得创建授权、开放设备领取或触发真机。
 
@@ -219,7 +223,12 @@
 - 同一 `claim_request_id` 同设备、同 session 稳定重放原结果；同键异载荷返回
   `409 {"error":"idempotency_conflict"}`。没有候选返回空 `204`，且 EMPTY 也持久化稳定重放。
 - claim 持久化完整成功响应快照；领取后的 task/authorization 源行变化不得让旧 request 的标题、规格、
-  数量、金额、版本或到期时间漂移。源快照不一致时，新恢复/续租失败闭合。
+  数量、金额、版本或到期时间漂移。每次首次构造和旧 request 重放都重新校验持久化响应快照的字段
+  上限；源快照不一致时，新恢复/续租失败闭合。
+- 响应内 `title` 最多 120 个 Unicode code point，`sku_color` / `sku_size` 各最多 80 个；`goods_id`
+  为 1--32 位 ASCII 数字，`max_total_price` 为最多 32 个 ASCII 字符的规范金额。创建、授权快照、
+  candidate、持久化 claim snapshot 和 HTTP 输出共用同一合法域；既有畸形行只失败闭合，不迁移、
+  截断或改写。最坏合法字段组合编码后必须明确小于既有 32 KiB claim 响应上限。
 - 一个设备最多有一个未关闭 claim。同 session 且租约有效时重放原 attempt；同一 attempt 已按服务端
   首事件原子进入 `ORDERING` 时也只在 task version 恰好为 claim 版本 +1 时恢复。不同 session、租约
   过期或业务状态异常固定返回 `409 {"error":"claim_requires_manual"}`，不释放、不转领、不新建 attempt。
@@ -365,9 +374,11 @@ claim/renew 的格式错误固定为 `400 {"error":"invalid_request"}`，超限
 
 ### 文本和金额校验
 
-- 规格字段：Unicode 规范化后精确相等；不得包含、前缀、编辑距离或 AI 猜测。
-- `goods_id`：仅 ASCII 十进制数字，canonical URL 中唯一。
-- 金额：`0.01` 到系统配置上限，至多两位小数；规范化后再比较和持久化。
+- 标题/规格字段：输入按既有 `TrimSpace` 形成实际持久化值；title 最多 120 个 Unicode code point，
+  颜色与尺码各最多 80 个。服务端先拒绝非法 UTF-8，再计 code point；不按 UTF-8 字节或视觉 grapheme
+  计数，不截断超限值。规格比较仍为规范化后精确相等；不得包含、前缀、编辑距离或 AI 猜测。
+- `goods_id`：仅 1--32 位 ASCII 十进制数字，canonical URL 中唯一。
+- 金额：`0.01` 到系统配置上限，至多两位小数；规范化后必须是最多 32 个 ASCII 字符，再比较和持久化。
 - 数量：正整数，服务端与设备均设置合理上限；不能从字符串静默截断。
 
 ## 三、采购工具本地模块合约
@@ -389,9 +400,11 @@ events/fail/fence/result 或完整 `ResultSink`。T-304/T-306 必须通过 `Dura
 同一 device id 的 Bearer 后显式重放；网络、超时、503、截断、非法/未知 2xx 同样只保留原槽。协议/409
 终止槽但不换 key。成功响应落库失败时，重启仍用原 key 向服务端恢复事实。
 
-金额按服务端合法域接受规范 ASCII 十进制正数字符串（最低 `0.01`，恰好两位小数、无前导零）；wire
-整数为正 int64，拒绝 bool。claim 成功响应总上限 32 KiB；因此客户端不额外发明 goods/title/SKU/金额
-的单字段业务上限。RFC3339Nano 按 0--9 位小数的纳秒时间轴比较，不能用 Python 微秒精度截断。
+金额按服务端合法域接受规范 ASCII 十进制正数字符串（最低 `0.01`，恰好两位小数、无前导零，最多
+32 个 ASCII 字符）；`goods_id` 只接受 1--32 位 ASCII 数字，title 最多 120 个 Unicode code point，
+颜色与尺码各最多 80 个。客户端不得截断或修复漂移响应。wire 整数为正 int64，拒绝 bool。claim 成功
+响应总上限仍为 32 KiB，最坏合法字段组合由双端契约测试证明严格小于该值。RFC3339Nano 按 0--9 位
+小数的纳秒时间轴比较，不能用 Python 微秒精度截断。
 
 ### 本地恢复合约