docs(tasks): define app and backend VLM integration

docs/07-user-stories.md

@@ -15,6 +15,7 @@
 | US-006 | 看懂失败并安全恢复 | P0 | 采购执行员、采购管理员 | 知道失败位置和下一步，避免重复操作 | F-007 | IX-008 | 已定 |
 | US-007 | 建立受控会话和设备身份 | P0 | 采购管理员、采购执行员 | 未授权人员和设备不能接触任务 | F-001、F-003 | IX-001、IX-004 | 已定 |
 | US-008 | 积累可信的候选决策样本 | P1 | 采购执行员、优化人员 | 用真实曝光和人工理由评估并改进模型 | F-008 | IX-009 | 已定，T-208 后置 |
+| US-009 | 集中管理 VLM 服务 | P0 | 采购管理员 | 安全切换兼容服务而不向采购手机分发密钥 | F-009 | IX-010 | 已定，T-207 |
 
 ## US-001 创建清晰的采购任务
 
@@ -181,6 +182,28 @@
 4. 人工修正保留旧版本、actor 和时间；离线指标只使用当前有效人工 review。
 5. 外链失效后，授权人员仍能读取保留期内的受控截图证据。
 
+## US-009 集中管理 VLM 服务
+
+- 关联页面：管理 Web `/settings/vlm`；Android 设置页只显示后端 AI 状态。
+- 前置条件：管理员已登录；后端已配置加密 master key。
+
+作为采购管理员，我想在后端配置 OpenAI 兼容的 VLM 服务，从而可以统一切换模型、
+控制调用和审计 provenance，而不需要采购员在每台手机保存供应商 API Key。
+
+**范围**
+
+- 包含：服务名称、HTTPS Base URL、模型、Chat Completions 协议、超时、有限重试、
+  启用/默认版本、write-only API Key、脱敏连接测试和配置审计。
+- 不包含：采购员按任务选择模型、多 provider 自动路由、供应商私有协议、费用报表。
+
+**验收场景**
+
+1. ADMIN 保存合法配置后，新 execution 使用该版本；修改默认配置不改变已绑定任务。
+2. Key 保存后页面只显示“已配置”，留空更新保留原 Key，显式替换才产生新密文版本。
+3. 非 ADMIN 无法查看或修改配置；任何响应和日志都不包含 Key 或供应商原始正文。
+4. 非 HTTPS、重定向和私网/本机/metadata 目标被拒绝；连接测试使用内置脱敏样本。
+5. App 只显示后端 AI 可用状态，不能看到或覆盖 provider、模型、地址和 Key。
+
 ## 待确认
 
 - 密码重置流程后置；T-204 使用本地 `authctl` 显式创建种子 ADMIN/BUYER 和预授权