docs: define Shopee probe fixture input

docs/05-coding-rules.md

@@ -60,6 +60,9 @@
 ## 7. 安全与隐私
 
 - 密钥只来自环境变量或被忽略的本地配置。
+- 真实蝦皮订单文本、参考图及其规范化生成物只能位于仓库外或 `.local/`、
+  `private-fixtures/` 等被忽略目录；测试使用脱敏 fixture。
+- 普通日志不得输出完整蝦皮订单号、店铺名或本机原图绝对路径。
 - 日志默认脱敏，不记录 Authorization、Cookie、密码、设备令牌或完整地址。
 - 上传文件限制媒体类型、大小和解码结果，随机化服务端文件名。
 - 不绕过第三方平台限制、验证码、风控或系统权限。
@@ -73,6 +76,7 @@
 - 领域状态机、硬约束、错误码：单元测试。
 - API 权限、事务、幂等、文件校验：集成测试。
 - VLM adapter：固定 fixture/契约测试，不让普通测试依赖真实付费 API。
+- 蝦皮文件导入：覆盖同名配对、缺图、重复图片、未知格式、非法数量和敏感日志检查。
 - Android workflow：用 fake automation/AI client 测状态和安全停止。
 - 拼多多真实流程：指定版本测试机手工 smoke，保存脱敏截图和步骤证据。
 - UI：覆盖默认、加载、空、错误、权限和中断状态。