docs(t215): freeze admin order authorization contract

docs/07-user-stories.md

@@ -16,6 +16,7 @@
 | US-007 | 建立受控会话和设备身份 | P0 | 采购管理员、采购执行员 | 未授权人员和设备不能接触任务 | F-001、F-003 | IX-001、IX-004 | 已定 |
 | US-008 | 积累可信的候选决策样本 | P1 | 采购执行员、优化人员 | 用真实曝光和人工理由评估并改进模型 | F-008 | IX-009 | 已定，T-208 后置 |
 | US-009 | 手机独立完成采购任务 | P0 | 采购执行员 | 后端短时不可用时仍在有限授权内安全执行 | F-009 | IX-010 | 已定，T-206/T-207 |
+| US-010 | 审批并创建待付款订单 | P0 | 采购管理员、采购执行员 | Admin 选定候选后只创建一笔可核对的待付款订单 | F-006、F-010 | IX-011 | 已定，T-215 至 T-219 |
 
 ## US-001 创建清晰的采购任务
 
@@ -208,6 +209,30 @@
    两种模式都停在人工确认且 `order_submitted=false`。
 5. 离线完成的结果恢复联网后幂等补报；离线期间的取消在恢复后的首个同步点处理。
 
+## US-010 审批并创建待付款订单
+
+- 关联页面：管理 Web“任务详情/候选确认”、Android“等待授权/订单执行”。
+- 前置条件：当前 execution 已回传带持久 candidate key 的候选和双证据。
+
+作为采购管理员，我希望查看候选证据、给选择和拒绝填写理由并签发一次性授权，从而
+让 Roubao 只按我确认的商品、SKU 和数量创建一笔待付款订单；作为采购执行员，我希望
+订单号和下单时间自动回传，随后由人员在拼多多复核并付款。
+
+**范围**
+
+- 包含：Admin 选品、逐候选理由、不可变授权、设备命令、重新定位、SKU/数量复核、
+  单次提交、订单列表对账和待付款提醒。
+- 不包含：自动支付、验证码/风控绕过、自动修改地址、无界重试或仅凭 URL 下单。
+
+**验收场景**
+
+1. 非空候选回传后任务进入等待 Admin 确认，手机不会自行选定或提交。
+2. Admin 只能按当前 candidate key 授权，数量来自原任务；改选保留旧 review 和授权。
+3. Roubao 领取授权后重新用参考图定位候选，并复核详情/规格指纹、SKU、数量和价格。
+4. 每个授权最多执行一次提交；响应不确定时先去订单列表对账，不能再次点击。
+5. 找到新订单后回传拼多多订单号和下单时间，Admin 显示“待人工确认付款”。
+6. 任意流程都不点击付款，不保存支付密码或验证码。
+
 ## 待确认
 
 - 密码重置流程后置；T-204 使用本地 `authctl` 显式创建种子 ADMIN/BUYER 和预授权