cmbuyer/docs/tasks/T-110.md

id, title, phase, deps, status, created, vikunja_task_id, context_ref, work_branch, needs_device, needs_human_review, write_paths

id	title	phase	deps	status	created	vikunja_task_id	context_ref	work_branch	needs_device	needs_human_review	write_paths
T-110	调整第一趟受控规格入口与隐私脱敏边界	1	T-102	DOING	2026-08-04	24	abeefbb	task/t-110-trial-sku-boundary	false	true	docs/tasks/T-110.md docs/tasks/T-103.md docs/02-requirements.md docs/03-tech-stack.md docs/04-architecture.md docs/05-coding-rules.md docs/api.md docs/current-state.md

问题 / 背景

T-103 在 PKG110 / Android 16 / 拼多多 8.17.0 真机确认：衣服商品 goods_id 937122477375 的规格面板只能从详情页右下角“快要抢光”等购买语义按钮进入，不存在原架构假设的独立“规格 / 已选”入口。与此同时，规格面板固定展示收货区域与掩码手机号。项目所有者已批准调整第一趟入口边界，但“不付款、第一趟不可达提交订单、价格只从规格面板读取、敏感信息不进入业务数据/日志/上传/Git”等边界不变。

关联需求与交互

• 功能：F-006 第一趟试选；为 T-103 解阻，不实现页面选择器或真机点击代码。
• 架构：docs/04-architecture.md 第一趟流程、安全边界、证据分层；docs/05-coding-rules.md 不可逆动作和敏感信息纪律。
• API：设备试选证据只允许上传脱敏派生物；原始截图/XML 仅留采购工具本机隔离目录。

方案

1. 把“独立规格入口”改为“受控规格面板入口”：第一趟只可点击本项目真机证据证明、与拼多多版本绑定的唯一精确入口；当前仅确认 快要抢光。其他文案即使语义相近也不得推断复用，必须重新取证。
2. 将点击入口与下单能力隔离。第一趟 capability 只允许打开受控面板、在维度内精确选择、读规格面板单价、生成脱敏证据和返回商品页；接口不得出现设置数量、进入确认页、提交订单、支付或通用任意点击能力。静态调用链和测试必须证明这些能力不可达。
3. 规格面板内的“提交订单”以及微信支付、先用后付、0 元下单等控件全部列入硬拒绝区。入口缺失/重复、版本失配、打开后不是已取证面板、选择或价格不唯一时立即返回，不尝试相近按钮。
4. 接受 PDD 页面会显示收货区域与掩码手机号这一事实，但不允许业务系统提取或传播。原始 screenshot/XML 仅写入 %LOCALAPPDATA% 隔离目录，不打印页面正文、不上传、不提交 Git；本地确定性脱敏器生成派生 screenshot/XML 和哈希，开发、fixture、服务端证据只消费派生物。
5. 脱敏必须 fail closed：无法确认地址/手机号区域已移除、派生 XML 仍命中手机号模式、分辨率/结构不符合已取证版本，均拒绝发布派生证据。不得依赖人工口头“无需处理”绕过自动检查。
6. 同步需求、架构、技术栈、编码规则、API、current-state 与 T-103。T-110 完成后把 T-103 依赖补为 T-110 并重新转 DOING；真正的脱敏器、入口判据和真机实现仍由 T-103 完成。

验收要点

• 文档明确区分“可逆的受控规格面板入口”与“不可逆的提交订单动作”，不把购买文案泛化为通用可点击入口。
• 第一趟的 capability 列表与硬拒绝列表完整；提交订单、数量、确认页、付款和任意点击能力不可达。
• 原始证据与脱敏派生证据的目录、生命周期、消费者和 fail-closed 条件清楚；服务端和 Git 永不接收原始隐私证据。
• docs/tasks/T-103.md 在 T-110 完成后恢复 DOING，并要求先产出自动脱敏证据再写页面判据。
• python scripts/validate_agent_context.py、Vikunja 导出检查与 git diff --check 通过。

执行记录

2026-08-04T02:48:25Z · ila

2026-08-04：项目所有者明确批准受控规格面板入口方案；PDD 页面不可避免显示地址/手机号的事实被接受，但系统仍按本机原始证据隔离、自动脱敏派生物消费的方式收紧传播边界。任务已认领，分支 task/t-110-trial-sku-boundary，基线 abeefbb。

边界

• 本任务只调整架构、需求、API、编码规则与后续任务契约，不实现或运行任何真机点击代码。
• 仍然绝不点击支付、免密支付、先用后付、0 元下单或扣款控件；不创建订单，不进入订单确认页。
• 第一趟只允许未来实现点击本项目真机证据证明、与拼多多版本绑定、精确唯一的规格面板入口； 当前只确认 goods_id 937122477375、拼多多 8.17.0 上的“快要抢光”。不得把人工经验中的 “免拼购买 / 单独购买 / 直接拼成”等文案直接加入白名单，分别取证前一律拒绝。
• 第一趟 capability 不得包含通用 click、数量调整、订单确认、提交订单或付款能力；规格面板中的 “提交订单”及任何支付提示始终属于硬拒绝区，静态调用链必须保持不可达。
• 接受原始规格面板证据在手机本地可能包含收货区域和掩码手机号，但不得从中提取业务字段、打印、 上传或提交 Git。只有确定性脱敏并通过自动检查的派生 screenshot/XML 才能供 agent、fixture、 采购服务或人工远程评审使用；脱敏不确定即 fail closed。
• 价格仍只允许从规格面板和订单确认页读取，使用十进制字符串；不得用详情页价格补齐。
• 本任务不得把 T-103 标为 DONE。文档边界完成并获得本次用户明确授权后，只能把 T-103 重新置为 DOING，由 T-103 继续实现脱敏器、判据、离线测试和人工真机验收。