docs(architecture): adopt authorized single-pass purchase

docs/01-vision.md

@@ -5,15 +5,15 @@
 cmbuyer 要解决：**采购人员为了履约一笔外部订单，必须手工去拼多多找到同款商品、选对
 颜色尺码、下单，再把订单号抄回系统——这个过程重复、易错、且无法追溯。**
 
-> 让采购人员把「买什么」一次说清楚，由系统驱动手机完成找货、选规格和下单，人只在
-> 两个关键点介入：**挑哪一个**和**付不付款**。
+> 让采购人员把“买什么、买多少、最多多少钱”一次说清楚，并明确点击开始采购；系统驱动手机
+> 精确选规格并创建待付款订单，**付不付款始终由人决定**。
 
 它不是无人值守的抢购脚本，也不是绕过平台规则的爬虫。它是一个**带人工闸门的采购执行
 工具**：机器负责重复劳动，人保留花钱的决定权。
 
 ## 二、目标用户
 
-- **采购管理员**：在网页端建单、复核候选商品、签发下单授权、查看执行证据。
+- **采购管理员**：在网页端建单、点击开始采购签发一次性授权、查看执行证据。
 - **采购执行员**：在桌面端连接手机、启动批次、处理需要人工接管的任务、完成付款。
 - **ERP 对接身份**：只读同步第三方系统的货运单与商品明细，不参与采购决策。
 - **系统管理员（后续）**：人员、设备、权限和审计策略管理，MVP 不提供完整界面。
@@ -27,7 +27,8 @@ cmbuyer 要解决：**采购人员为了履约一笔外部订单，必须手工
   绝不猜测。宁可少做，不可做错。
 - **先走确定路径**：MVP 只做已知商品链接的情形。图片搜索推到 V2，且届时其唯一职责
   是产出 `goods_id`，不在搜索结果页上做价格或规格判断。
-- **人站在不可逆动作正前方**：机器先试选并回传，人看过之后才授权下单。
+- **授权点明确且前置**：创建任务不授权；管理员点击“开始采购”才允许创建一笔待付款订单。
+- **实时闸门不依赖旧截图**：授权后同一设备会话两次读取规格面板价格，并在确认页校验总额。
 - **价格只在可靠位置读**：规格面板和订单确认页。别处的数字一律不信。
 - **失败要可诊断**：不能只返回「失败」，必须有步骤、错误码、截图和页面快照。
 - **证据分层**：人工决策需要的证据上传服务端，完整执行轨迹留在桌面端本地。
@@ -37,9 +38,9 @@ cmbuyer 要解决：**采购人员为了履约一笔外部订单，必须手工
 | 价值点 | 用户得到什么 |
 | --- | --- |
 | 消除重复劳动 | 不再逐条手工搜索、选规格、抄订单号 |
-| 决策集中可控 | 所有「买哪个」的决定收敛到网页端一处，有据可查 |
+| 决策集中可控 | 商品、规格、数量、最高总价和开始采购授权收敛到网页端，有据可查 |
 | 资金边界清晰 | 系统能下单不能付款，误操作不会直接造成损失 |
-| 执行可追溯 | 每笔采购留下候选、截图、授权理由和订单核对记录 |
+| 执行可追溯 | 每笔采购留下授权、三道闸门、截图、围栏和订单核对记录 |
 | 批量顺序执行 | 一次导入多条，按顺序跑，遇到问题停在该停的地方 |
 
 ## 五、不做什么（非目标）