docs(t215): freeze admin order authorization contract

docs/02-requirements.md

@@ -30,9 +30,10 @@
 | F-003 | 手动领取任务 | 空闲且就绪的 App 点击后只领取一条待处理任务。 | P0 | US-003 |
 | F-004 | 解析采购需求 | 系统从图片和文字提取搜索词、属性及约束，并保留原始输入。 | P0 | US-004 |
 | F-005 | 参考图搜索与规格候选判断 | App 用参考图在拼多多召回商品，以 SKU 颜色/尺码硬约束检查最多 5 个结果，回传匹配候选或明确无匹配。 | P0 | US-004 |
-| F-006 | 人工确认停止点 | 自动化停在候选/订单确认位置，采购员确认结果或拒绝候选。 | P0 | US-005 |
+| F-006 | Admin 人工选品 | 候选回传后自动化停止，Admin 查看证据并明确选择或拒绝候选。 | P0 | US-005、US-010 |
 | F-007 | 结果与异常回传 | 管理员和采购员看到成功、失败、取消及可恢复建议。 | P0 | US-002、US-006 |
 | F-009 | 手机独立执行与 VLM | App 本地完成模型判断和自动化，后端只控制任务并接收结果。 | P0 | US-009 |
+| F-010 | 授权创建待付款订单 | Admin 选品后签发一次性授权，Roubao 选择已确认 SKU/数量并创建待付款订单；付款始终人工完成。 | P0 | US-010 |
 
 ### F-009 手机独立执行与 VLM
 
@@ -100,8 +101,8 @@ T-206/T-207 已跑通领取、执行、候选/证据和最小结果回传；T-20
    活跃任务都必须说明原因。
 7. 遇到验证码、登录失效、风控提示、页面未知、预算不满足或模型低置信度时停止，
    不猜测点击。
-8. MVP 的“成功”表示完成验证闭环并得到人工确认的候选结果，
-   `order_submitted` 必须为 `false`。
+8. 候选采集阶段 `order_submitted=false`。只有 Admin 对当前 candidate key 签发的
+   一次性授权可进入订单创建；创建后必须停在待付款状态，禁止自动支付。
 9. 取消和失败不得自动转成新任务；是否重试由人员显式决定。
 10. 管理页面和管理 API 只允许有效 ADMIN 会话；App 执行接口只允许有效 BUYER 与
     预授权设备联合身份，两种凭证不能互换。
@@ -127,6 +128,10 @@ T-206/T-207 已跑通领取、执行、候选/证据和最小结果回传；T-20
 20. 拼多多候选召回必须使用当前任务参考图；标题和 SKU 不能替代图片作为召回输入。
     SKU 中可唯一识别的颜色、尺码是候选硬约束：任一不匹配或无法确认时不得进入自动
     Top 5。回传可以少于 5 个，禁止用弱匹配凑数。
+21. Admin 下单授权必须绑定 task、execution、task content hash、candidate key、
+    review version、原始 SKU 和数量；URL、列表 ordinal 或模型推荐均不能单独授权。
+22. 一个授权最多创建一个拼多多订单。网络超时或页面不确定时必须先对账，不能重按
+    提交；系统不保存支付凭证，不点击付款。
 
 ## 六、第一层本地样本约定
 
@@ -179,15 +184,16 @@ T-004 已固定首版规则：推荐私有目录为被 Git 忽略的 `private-fi
   搜索输入，进入结果并检查最多 5 个候选；候选只有在原始 SKU 的颜色、尺码硬约束
   均确认匹配时才能进入回传列表。匹配项按评估结果排序且最多 5 个，不足时不得凑数；
   无合理候选时明确结束而不是随意选择。
-- F-006/US-005/IX-007：流程到达人工确认点后停止；MVP 任意路径都不能触发最终
-  提交订单或支付。T-104 的本地确认只允许标记建议候选可用或拒绝本次候选，
-  `order_submitted` 固定为 `false`。
+- F-006/US-005/US-010/IX-011：候选回传后进入 `WAITING_CONFIRMATION`；Admin 必须
+  按 candidate key 查看证据并为接受项及所有拒绝项选择结构化理由。
 - F-007/US-006/IX-008：失败包含稳定错误码、失败步骤、可读说明和必要截图；重新
   打开任务后证据仍可查看。
 - US-007/IX-001/IX-004：管理员可登录和退出，采购员可用预授权设备取得 1 小时
   Bearer token；匿名、角色错误、禁用、过期、篡改和跨端凭证替代均被拒绝。
 - F-009/US-009/IX-010：后台任务不能覆盖手机 VLM 配置；断开管理后端超过 90 秒后，
   App 仍可在服务端下发的有限授权内执行，授权到期安全停止且任务不被重复分配。
+- F-010/US-010/IX-011：只有当前 Admin 一次性授权可驱动 Roubao 创建一笔待付款
+  订单；SKU、数量和价格重新核验，订单号/下单时间回传后提醒人员去拼多多付款。
 
 ### 试验验收
 
@@ -195,7 +201,7 @@ T-004 已固定首版规则：推荐私有目录为被 Git 忽略的 `private-fi
 
 - 至少 80% 能自动到达合理候选商品页或给出正确的“无匹配/需人工”结论。
 - 至少 70% 的首选候选被采购人员判定可接受。
-- 不发生重复领取、重复执行导致的不可逆操作或订单提交。
+- 不发生重复领取、未授权订单、重复订单或自动付款。
 - 每条失败任务都能定位到具体步骤和错误类别。
 - 记录每条任务的耗时、人工介入点和候选接受结果，用于决定是否进入 V2。
 - 同时记录实际曝光候选、模型预测、系统推荐和人工结构化理由；准确率以人工结论为
@@ -211,7 +217,7 @@ T-004 已固定首版规则：推荐私有目录为被 Git 忽略的 `private-fi
 | 任务到达 | MVP 由 App 手动领取；后续通知只作唤醒/提示。 |
 | 搜索方式 | 正式候选召回使用当前任务参考图进入拼多多原生以图搜图；关键词只保留为开发诊断能力，不作为该业务链路的召回输入。 |
 | 搜索结果 | 最多检查图片搜索返回的前 5 个可见候选，以 SKU 颜色/尺码硬约束过滤后回传 `0..5` 个，避免无界遍历和凑数。 |
-| 下单边界 | MVP 停在候选或订单确认页，不提交订单、不支付。 |
+| 下单边界 | Admin 明确选品后只允许创建一笔待付款订单；订单号回传后由人员在拼多多确认并付款，系统不自动支付。 |
 | 账号边界 | 验证版为 ADMIN 会话 + BUYER/预授权设备联合身份；完整人员 RBAC 后置。 |
 | 第一层任务输入 | 从本机私有蝦皮订单文件生成测试任务，不先建设 Go-Gin。 |
 | 执行边界 | 手机本地完成 VLM、拼多多自动化和人工确认；后端负责身份、任务控制和结果审计。 |
@@ -231,6 +237,6 @@ T-004 已固定首版规则：推荐私有目录为被 Git 忽略的 `private-fi
   模型、测试凭证、成本上限、数据留存地区和图片隐私规则仍待确认。候选评估契约和
   本机 mock 集成已实现，但尚无真实模型质量证据。
 - 拼多多平台条款、自动化允许范围和账号风控需要业务方确认；项目不实现绕过措施。
-- 后续若允许提交订单，必须先明确 SKU、收货地址、运费、优惠、发票、金额审批、
-  幂等和人工确认规则，并单独更新需求。
-- “最终产品是否自动支付”没有定案，当前明确排除。
+- 创建待付款订单前必须在 T-215 至 T-218 固定 SKU、数量、价格、地址可见性、运费/
+  优惠不确定性、一次性提交和订单列表对账规则；不满足时安全停止。
+- 自动支付明确排除；人员必须在拼多多订单列表复核后付款。