docs(architecture): approve controlled trial SKU entry

docs/02-requirements.md

@@ -99,14 +99,20 @@ US-006（付款前核对）在 MVP 降级为：系统展示订单截图与授权
 - **F-005**：执行员启动会话后桌面端定时轮询，同时领取待试选与已授权两类任务。
   两个实例并发领取同一条时只有一个成功，另一个得到明确的「无可领任务」而不是报错。
   **关闭会话即停止轮询；连续失败达到阈值自动停止并提示原因。**
-- **F-006**：手机打开对应商品详情页，打开规格面板，按维度精确匹配颜色分类和尺码。
+- **F-006**：手机打开对应商品详情页，只点击与当前拼多多版本及本项目真机证据绑定的精确唯一
+  **受控规格面板入口**，打开规格面板后按维度精确匹配颜色分类和尺码。当前只确认拼多多
+  `8.17.0`、goods_id `937122477375` 上的“快要抢光”；其他入口文案必须分别取证，不能按购买
+  语义泛化。
   **任一维度找不到精确值即停止并转人工，不选相近选项。** 勾选后读取该 SKU 单价
   （闸门一），读不到即转人工，**不用商品详情页正文或搜索页的数字凑合**。
 - **F-006 释放要求**：试选完成后**必须退出商品页释放手机**，不得停在规格面板等待人工。
-- **F-006 硬边界**：试选阶段**绝不点击「现在买」或任何进入下单流程的入口**。
-  必须有测试证明该路径不调用任何下单语义动作。
+- **F-006 硬边界**：第一趟只把上述精确入口点击视为可逆的“打开规格面板”能力；进入面板后
+  不得调整数量、进入订单确认页、点击“提交订单”或任何支付/资金控件，也不得暴露通用任意点击能力。
+  必须有静态调用链和测试证明上述下单语义动作不可达。入口缺失、重复、版本失配或打开后不是已取证
+  面板时立即停止，不尝试“免拼购买 / 单独购买 / 直接拼成”等相似文案。
 - **F-007**：回传商品标题、实际勾选到的颜色分类与尺码、单价、合计（单价 × 数量）和
-  规格面板截图；任务转「等你确认」。
+  **自动脱敏后的**规格面板截图；任务转「等你确认」。原始 screenshot/XML 只能留在采购工具本机
+  隔离目录，不能上传、写日志或提交 Git。
 
 ### 决策与资金
 
@@ -138,7 +144,8 @@ US-006（付款前核对）在 MVP 降级为：系统展示订单截图与授权
 
 - **F-011**：失败必须可区分至少这些原因：设备未连接、商品页打不开、规格面板打不开、
   规格不匹配、单价读不到、单价与授权价不符、数量设置失败、金额超上限、提交控件不唯一、
-  页面识别失败、安全校验、外部支付交接、超时。每种都保留截图和页面快照。
+  页面识别失败、安全校验、外部支付交接、超时。原始截图/页面快照只留采购工具本机隔离目录；
+  脱敏成功时保留派生物，任何上传、远程审阅或服务端展示都只能使用自动复检通过的派生证据。
 - **版本失配**：运行时读取到的拼多多 App 版本与当前已取证版本不一致时，桌面端必须停止
   领取真机任务并提示重新取证；不得继续使用旧页面判据。
 - **付款收口（MVP 简化版）**：订单创建后任务转「待付款」，页面展示订单截图、商品、
@@ -177,8 +184,13 @@ US-006（付款前核对）在 MVP 降级为：系统展示订单截图与授权
   可配置的动作节奏，并在检测到安全校验时立即停止。
 - **自动化边界风险**：会自动点击并创建订单，属不可逆操作。必须支持 dry-run（跑到
   订单确认页停止）、服务端提交围栏和点击后调和；任一环节状态不明都不得继续点击。
-- **隐私风险**：订单确认页含收货地址和掩码手机号。**只读取非敏感摘要，不提取地址
-  原文、手机号或支付凭据**；上传服务端的证据需先脱敏。
+- **隐私风险**：规格面板和订单确认页都会显示收货地址和掩码手机号。允许原始 screenshot/XML
+  仅在采购工具本机隔离目录短链路落盘供确定性脱敏器消费；业务逻辑、日志、agent、fixture 与采购
+  服务**不得提取或接收地址原文、手机号或支付凭据**。只有脱敏成功且自动复检通过的派生证据才能
+  上传或进入开发材料，无法确认脱敏完整即 fail closed。
+- **受控规格入口风险**：T-103 已证明当前衣服商品只有购买语义按钮能打开规格面板。项目所有者批准
+  仅把经真机取证的精确唯一入口作为第一趟可逆导航；该批准不覆盖其他文案，不授权调整数量、提交订单、
+  进入确认页或付款。T-103 必须用 capability 隔离和不可达测试证明边界没有扩散。
 - **规格面板上的单价位置未取证（阻塞 F-006 闸门一）**：选中 SKU 后价格显示在哪个节点、
   是否带「券后」前缀、是否与原价并列，尚无本项目的真机证据。**T-103 必须一并取证。**
   若规格面板上无法可靠读到单价，闸门一要改为「只截图不判价」，确认页设计随之调整。