docs(t215): freeze admin order authorization contract

docs/routes.md

@@ -10,7 +10,7 @@ T-202 的离线 P0 页面入口见[原型索引](design/index.html)。原型仅
 | `/login` | 管理登录 | 建立服务端管理会话 | US-007 | IX-001 |
 | `/tasks` | 任务列表 | 查看状态、筛选并进入详情 | US-002 | IX-003 |
 | `/tasks/new` | 新建任务 | 提交图片和采购约束 | US-001 | IX-002 |
-| `/tasks/{id}` | 任务详情 | 查看原始输入、时间线、候选和证据 | US-002、US-006 | IX-003、IX-008 |
+| `/tasks/{id}` | 任务详情 | 查看输入/候选/证据，并按 candidate key 创建待投递下单授权 | US-002、US-006、US-010 | IX-003、IX-008、IX-011 |
 
 MVP 登录后默认进入 `/tasks`。未登录访问受保护页面时跳转 `/login` 并携带安全的
 站内返回路径；只接受 `/tasks` 及其本站子路径，拒绝绝对 URL、`//` 和反斜杠。
@@ -45,6 +45,7 @@ Android 导航名称是逻辑目的地，具体 Compose/Fragment 形式待接入
 | `POST /api/v1/tasks/{id}/cancel-ack` | 安全停止后确认 `CANCELED` 并结束 execution |
 | `POST /api/v1/tasks/{id}/events` | 幂等补报本地执行事件 |
 | `POST /api/v1/tasks/{id}/candidates` | 保存最多 5 个候选、模型判断和本地推荐 |
+| `POST /api/v1/tasks/{id}/commands/next` | T-216 起领取 Admin 已创建的设备命令 |
 | `POST /api/v1/tasks/{id}/complete` | 提交人工结果，强制 `order_submitted=false` |
 | `POST /api/v1/tasks/{id}/fail` | 提交结构化失败和受控证据 |