feat(android): evaluate candidates before human confirmation

docs/current-state.md

@@ -5,8 +5,8 @@
 ## 当前快照
 
 - 日期：2026-07-25
-- 阶段：T-103 已完成；准备 T-104 候选评估与人工确认点
-- Git：当前分支为 `main`；T-001 至 T-004、T-101 至 T-103 均已纳入 Git 历史
+- 阶段：Phase 1 已完成，准备开始 T-201 后端骨架
+- Git：当前分支为 `main`；T-001 至 T-004、T-101 至 T-104 均已纳入 Git 历史
 - 生产代码：`android-buyer/` 已接入 Roubao Android 源码
 - Android：固定 `main@c8a6d7f03422eb01744b01f3ee77bf7757741f7e`；MIT 许可证已保留
 - 后端：已决定使用 Go 1.23.0 + Gin 1.11.0；Go Blueprint v0.10.11 骨架尚未接入
@@ -14,12 +14,13 @@
   Build Tools 34.0.0、Platform Tools/ADB 37.0.0；用户级 SDK 环境变量已设置
 - Android Studio：未安装；`winget` 静默安装卡住后已终止，不阻塞命令行构建
 - 测试：`lintDebug test assembleDebug` 成功；App 两个变体、task contract 和导入器
-  共 20 份报告、122 次测试，0 failure、0 error、0 skipped
+  共 26 份报告、166 次测试，0 failure、0 error、0 skipped
 - Workflow：纯 Kotlin runner 已支持步骤 timeout、最多 3 次 retry、安全阻塞、
   用户停止和单 runner 并发拒绝；T-102 已接入搜索加有界候选采集五步
 - TaskSource：严格 CLI 已生成并验证真实私有 ProbeTask；默认 APK 不含私有 fixture
-- VLM：需求提取 schema、0.75 阈值、冲突转人工、单次 OpenAI 兼容调用、安全端点
-  策略、字段/响应上限和 JPEG 校验/缩放已实现；SKU/数量由本地原值回填，预算保持空
+- VLM：需求提取与候选评估均使用严格 schema、0.75 阈值、受控证据源、安全端点和
+  单次调用边界；候选最多 5 个并按 ordinal 串行评估，本地产生建议并停在人工确认，
+  SKU/数量由本地原值回填，预算保持空，订单提交状态固定为 false
 - 测试设备：OnePlus PKG110，Android 16/API 36；肉包 `1.4.2 (7)`；拼多多
   `8.17.0 (81700)`
 - 设备就绪：肉包采购无障碍已启用并连接；拼多多首页、搜索输入、固定词结果页、
@@ -45,6 +46,7 @@
 | `docs/tasks/T-101.md` | DONE | 固定脱敏词拼多多搜索和结果页真机验证 |
 | `docs/tasks/T-102.md` | DONE | 最多 5 个候选详情截图、证据 manifest 和结果页返回 |
 | `docs/tasks/T-103.md` | DONE | 私有任务需求 schema、硬约束、隐私边界和 VLM 适配器 |
+| `docs/tasks/T-104.md` | DONE | 动态搜索、候选严格评估、本地建议和人工确认点 |
 | `deepseek总结.txt` | 已有 | 历史讨论摘要，不是正式需求权威 |
 | `android-buyer/` | 已有 | Roubao `main` 固定 commit 的 Android 基线 |
 | `android-buyer/task-contract/` | 已有 | Android/CLI 共享 ProbeTask 与 TaskSource |
@@ -54,9 +56,9 @@
 
 ## 任务摘要
 
-- 已完成：T-001 至 T-004，以及 T-101 至 T-103。
+- 已完成：T-001 至 T-004，以及 T-101 至 T-104。
 - 正在进行：无。
-- 下一个可领取任务：T-104 接入候选评估并停在人工确认点。
+- 下一个可领取任务：T-201 生成并收敛 Go-Gin、SQLite 和迁移骨架。
 
 ## 当前可运行内容
 
@@ -77,6 +79,12 @@ $env:RUN_START_COMMAND = "1"
 清空旧结果；设备原 API provider 设置已恢复。该 smoke 只证明集成与隐私边界，不
 代表真实 VLM 提取质量；真实凭证调用未执行。
 
+同日完成 T-104 真机 smoke：结构化需求搜索词驱动拼多多搜索并采集 5 份候选证据，
+本机 mock 精确收到 5 次按 ordinal 排序的单图 POST；请求未包含订单、店铺、本机
+路径或数量字段。严格评估进入“等待人工确认”，人员可标记建议候选可用或拒绝，
+`order_submitted` 始终为 false；日志敏感词、Base64、原始响应和 schema/prompt
+命中均为 0。该结果不代表真实模型的商品匹配质量。
+
 ## 维护规则
 
 发生以下变化时覆盖更新本文：