docs: defer candidate decision data loop

docs/07-user-stories.md

@@ -14,6 +14,7 @@
 | US-005 | 在不可逆操作前人工判断 | P0 | 采购执行员 | 接受、拒绝候选或转人工，不被自动下单 | F-006 | IX-007 | 已定 |
 | US-006 | 看懂失败并安全恢复 | P0 | 采购执行员、采购管理员 | 知道失败位置和下一步，避免重复操作 | F-007 | IX-008 | 已定 |
 | US-007 | 建立受控会话和设备身份 | P0 | 采购管理员、采购执行员 | 未授权人员和设备不能接触任务 | F-001、F-003 | IX-001、IX-004 | 已定 |
+| US-008 | 积累可信的候选决策样本 | P1 | 采购执行员、优化人员 | 用真实曝光和人工理由评估并改进模型 | F-008 | IX-009 | 已定，T-208 后置 |
 
 ## US-001 创建清晰的采购任务
 
@@ -157,9 +158,32 @@
 3. 会话过期时保留非敏感界面上下文并要求重新登录。
 4. 管理员会话不能替代设备令牌，设备令牌也不能访问管理页面。
 
+## US-008 积累可信的候选决策样本
+
+- 关联页面：Android“候选确认”、管理 Web 任务详情。
+- 前置条件：T-206/T-207 第一版领取、执行和结果回传已经跑通。
+
+作为采购执行员和后续优化人员，我希望保存每次实际看到的候选、模型判断、系统推荐
+及人员选择/拒绝理由，从而可以区分模型问题、搜索排序问题和页面证据不足，而不是用
+模型自己的结论给模型打分。
+
+**范围**
+
+- 包含：最多 5 个曝光候选、截图、可见标题/规格/价格、可选商品链接、模型 provenance、
+  逐候选评估、推荐策略版本、结构化人工理由和修正审计。
+- 不包含：全站商品抓取、训练管线、自动下载任意外链、平台级 Top 5 声明。
+
+**验收场景**
+
+1. 同一次 execution 可以还原当时的搜索词、候选原始顺序、截图和各层判断。
+2. 接受、拒绝、改选和全部无匹配都有合法人工理由；模型理由不会自动成为人工标签。
+3. 拒绝推荐并改选时，原推荐项有负标签，替代项有正标签。
+4. 人工修正保留旧版本、actor 和时间；离线指标只使用当前有效人工 review。
+5. 外链失效后，授权人员仍能读取保留期内的受控截图证据。
+
 ## 待确认
 
 - 密码重置流程后置；T-204 使用本地 `authctl` 显式创建种子 ADMIN/BUYER 和预授权
   设备，不提供管理 UI 或客户端自助登记。
-- 谁负责确认测试任务、如何标注“候选可接受”的统一口径。
-- 拒绝候选是否允许创建新任务，当前默认只记录结果。
+- T-208 前固定谁负责确认测试任务、理由码 allowlist 和“候选可接受”的统一口径。
+- 拒绝候选是否允许创建新任务仍待定；当前默认只记录结果和理由。