docs(architecture): allow internal raw evidence screenshots

docs/05-coding-rules.md

@@ -54,12 +54,13 @@
 
 - 检测到验证码、风控、人脸、短信校验时立即停止，**不尝试绕过**。
 - 检测到外部支付交接立即停止，**不读取、不保存、不输入任何凭据**。
-- 只读非敏感摘要，**不提取收货地址原文、手机号、支付凭据**。
-- 上传服务端的证据必须先脱敏。
-- PDD 页面不可避免显示地址/掩码手机号时，原始 screenshot/XML 只允许写入采购工具本机隔离目录，
-  只由确定性脱敏器消费；业务代码、agent、fixture、日志和 HTTP sink 只能读取自动复检通过且 manifest
-  标记 `privacy_tier=SANITIZED` 的派生物。脱敏失败、分辨率/版本不符或派生 XML 仍命中手机号模式时
-  必须拒绝发布，不得用人工口头确认绕过。
+- 页面已显示的地址和手机号允许随**内部原始截图**上传采购服务，供已登录管理员核对；不做遮罩或裁剪。
+- 地址和手机号不得被解析为结构化业务字段，也不得写入普通日志、Git、Vikunja、fixture 或错误消息。
+  原始完整 XML 只留采购工具本机；真机流程可在内存中读取，但只能返回规格、选中态、价格和页面状态摘要。
+- 截图上传器只能接收显式文件，不得枚举原始目录或顺带上传 XML/manifest/其他文件；服务端必须校验
+  设备身份和 SHA-256，证据只允许已登录管理员访问，不得提供公开静态目录。
+- **支付凭据仍不得读取、保存或上传。** 外部支付交接不在“内部原图允许上传”的例外范围内。
+- T-103 停止遮罩器开发并专注真机选择/读价；生产原始截图上传由 T-204 实现。
 
 ### 1.5 页面判据