feat: add device registration observation

progress.md

@@ -2050,3 +2050,11 @@
 
 - 实现：`ImageInputTypeFilter(SimpleListFilter)` 加入 `ImageGenerationTaskAdmin.list_filter`。筛选通过 `Count("input_images")` 生成数据库子查询：1 条子输入为新单图、2 条及以上为多图；无子输入但旧 `input_image` 有值的任务作为兼容单图；无输入任务不返回。结果仍为原 queryset，可与状态 / 日期过滤叠加，不在 Python 层遍历或去重。
 - 验证：`C:/Python312/python.exe manage.py check` 通过；`manage.py test apps.api.tests.ImageGenerationTaskAdminTests --keepdb --noinput --verbosity 2` 通过，6 tests OK（T-622 画廊回归、新/旧单图、多图、无输入排除、状态组合、权限）；`makemigrations --check --dry-run` 返回 No changes detected，期间开发库 `43.128.3.240` 出现一次既有连接超时 `WinError 10060` 警告；`./init.ps1` 通过；`git diff --check` 通过。
+
+## 2026-07-21 完成：T-624 蝦皮圈设备登记与会话观测
+
+- 实现：新增 `apps/licensing`，通过 `ClientDevice`、`DeviceSession`、`DeviceBindingAudit` 记录设备、短期会话和审计；新增 `licensing.0001_initial`。设备登记 `POST /api/v1/client/devices/register` 继续使用 API Key，返回仅本次展示的设备会话令牌；心跳 `POST /api/v1/client/devices/heartbeat` 使用 `X-Device-Session`。设备标识使用服务端 pepper HMAC 摘要、安装公钥和会话令牌仅存 SHA-256 hash；重复登记复用设备且轮换会话，活跃写入默认按日节流。
+- 兼容性：本任务没有修改现有生成、余额、模型目录、异步任务、点数账本或通用 API Key 鉴权。设备会话暂不参与生成授权，旧客户端不传设备头继续正常调用。
+- 文档：同步 `api.md`、`routes.md`、`04-architecture.md`、`env.md`、`current-state.md` 和任务状态；新增生产需设置的 `DEVICE_IDENTIFIER_PEPPER`、`DEVICE_SESSION_TTL_SECONDS`、`DEVICE_ACTIVITY_UPDATE_SECONDS`。
+- 验证：本地执行 `py -3.12 manage.py migrate licensing --noinput`，应用 `licensing.0001_initial`；`py -3.12 manage.py test apps.licensing apps.api.tests.ApiKeyAuthenticationTests apps.api.tests.BalanceApiTests --keepdb --noinput --verbosity 2` 通过，21 tests OK；`py -3.12 manage.py makemigrations --check --dry-run` 无变化；`py -3.12 manage.py check` 通过；`./init.ps1` 通过。测试保留既有 allauth MySQL 条件唯一约束 `models.W036` 警告。
+- 下一步：领取 T-625，将有效设备会话关联到调用记录和遥测，但继续保持只观测、不阻断。