docs(tasks): define app and backend VLM integration

docs/current-state.md

@@ -4,7 +4,7 @@
 
 ## 当前快照
 
-- 日期：2026-07-26
+- 日期：2026-07-27
 - 阶段：T-205 原子领取、租约和状态机完成，下一步 T-206
 - Git：当前分支为 `main`；T-001 至 T-004、T-101 至 T-104、T-201 至 T-205
   均已纳入 Git 历史；T-205 提交为 `ce875af`
@@ -43,6 +43,9 @@
   SKU/数量由本地原值回填，预算保持空，订单提交状态固定为 false
 - 后置数据闭环：已登记 T-208，在第一版 T-206/T-207 跑通后分离保存候选观测、
   模型预测、确定性推荐和人工标签；人工接受/拒绝使用结构化理由，20 条试验依赖它
+- VLM 部署决策：生产采购 App 只连接肉包后端；T-207 由 ADMIN 配置版本化的
+  OpenAI 兼容 `/v1/chat/completions` 服务，Key 在后端加密且永不下发 App；
+  Debug 本机 mock 继续与 Release 隔离
 - 测试设备：OnePlus PKG110，Android 16/API 36；肉包 `1.4.2 (7)`；拼多多
   `8.17.0 (81700)`
 - 设备就绪：肉包采购无障碍已启用并连接；拼多多首页、搜索输入、固定词结果页、
@@ -52,7 +55,7 @@
   已用 CLI 真实导入并逐字段/图片哈希验证，生成物位于被忽略的 `.local/`
 - 标准启动路径：`$env:RUN_START_COMMAND="1"; .\init.ps1`
 - 标准验证路径：`.\init.ps1`
-- 当前 blocker：真实 VLM 供应商、模型、测试凭证、成本上限和数据留存尚未确认；
+- 当前 blocker：真实 VLM 服务地址、模型、测试凭证、成本上限和数据留存尚未确认；
   当前只支持单 SKU/JPEG；候选探针截图要求 Android 11/API 30+
 
 ## 当前目录
@@ -74,6 +77,8 @@
 | `docs/tasks/T-203.md` | DONE | 图片/任务 API、SQLite 业务层和 SSR 管理 Web |
 | `docs/tasks/T-204.md` | DONE | 用户、管理会话和预授权设备联合身份 |
 | `docs/tasks/T-205.md` | DONE | 原子 claim、租约、execution 和取消安全确认 |
+| `docs/tasks/T-206.md` | TODO | App 登录、手动领取、前台执行进度和安全停止 |
+| `docs/tasks/T-207.md` | TODO | 后端 VLM 配置/代理、候选、事件、截图和结果回传 |
 | `docs/design/` | 已确认 | T-202 原型索引、4 个管理页和 7 个 Android 页面 |
 | `deepseek总结.txt` | 已有 | 历史讨论摘要，不是正式需求权威 |
 | `android-buyer/` | 已有 | Roubao `main` 固定 commit 的 Android 基线 |