docs(tasks): define app and backend VLM integration

docs/02-requirements.md

@@ -32,6 +32,22 @@
 | F-005 | 拼多多搜索与候选判断 | App 搜索并检查少量结果，得到一个候选或明确无匹配。 | P0 | US-004 |
 | F-006 | 人工确认停止点 | 自动化停在候选/订单确认位置，采购员确认结果或拒绝候选。 | P0 | US-005 |
 | F-007 | 结果与异常回传 | 管理员和采购员看到成功、失败、取消及可恢复建议。 | P0 | US-002、US-006 |
+| F-009 | 集中配置 VLM 服务 | 管理员配置 OpenAI 兼容服务，App 经后端使用且不持有供应商密钥。 | P0 | US-009 |
+
+### F-009 集中配置 VLM 服务
+
+1. 正式采购链路固定为 `Android App -> 肉包后端 -> VLM Provider`。采购执行员不能
+   在 App 选择或修改 provider、Base URL、model、prompt、超时、重试或 API Key。
+2. ADMIN 在管理 Web 配置 OpenAI 兼容服务；第一版只支持
+   `/v1/chat/completions` 多模态协议和一个供新 execution 使用的默认 provider。
+3. API Key 只写不读，使用后端环境 master key 加密落库；明文不得出现在 HTML、
+   JSON、日志、事件、崩溃报告、Android 存储或 Git。
+4. 配置更新创建版本。execution 首次调用时绑定 provider/model/config/prompt
+   版本，后续调用不能因管理员修改默认配置而漂移。
+5. 远程服务必须使用 HTTPS；后端阻断重定向、私网/本机/链路本地/metadata 目标和
+   DNS rebinding。Debug 本机无 Key mock 与生产配置隔离。
+6. App 只能看到肉包后端返回的 AI 可用/不可用状态和结构化结果，不能获得供应商
+   地址、密钥或原始响应正文。
 
 ## 四、后续迭代