docs(tasks): keep procurement execution on device

docs/07-user-stories.md

@@ -15,7 +15,7 @@
 | US-006 | 看懂失败并安全恢复 | P0 | 采购执行员、采购管理员 | 知道失败位置和下一步，避免重复操作 | F-007 | IX-008 | 已定 |
 | US-007 | 建立受控会话和设备身份 | P0 | 采购管理员、采购执行员 | 未授权人员和设备不能接触任务 | F-001、F-003 | IX-001、IX-004 | 已定 |
 | US-008 | 积累可信的候选决策样本 | P1 | 采购执行员、优化人员 | 用真实曝光和人工理由评估并改进模型 | F-008 | IX-009 | 已定，T-208 后置 |
-| US-009 | 集中管理 VLM 服务 | P0 | 采购管理员 | 安全切换兼容服务而不向采购手机分发密钥 | F-009 | IX-010 | 已定，T-207 |
+| US-009 | 手机独立完成采购任务 | P0 | 采购执行员 | 后端短时不可用时仍在有限授权内安全执行 | F-009 | IX-010 | 已定，T-206/T-207 |
 
 ## US-001 创建清晰的采购任务
 
@@ -182,27 +182,29 @@
 4. 人工修正保留旧版本、actor 和时间；离线指标只使用当前有效人工 review。
 5. 外链失效后，授权人员仍能读取保留期内的受控截图证据。
 
-## US-009 集中管理 VLM 服务
+## US-009 手机独立完成采购任务
 
-- 关联页面：管理 Web `/settings/vlm`；Android 设置页只显示后端 AI 状态。
-- 前置条件：管理员已登录；后端已配置加密 master key。
+- 关联页面：Android“设备设置”“任务执行”和“结果同步”。
+- 前置条件：设备已绑定；本地执行模式已选择；AI 模式已配置可用 provider。
 
-作为采购管理员，我想在后端配置 OpenAI 兼容的 VLM 服务，从而可以统一切换模型、
-控制调用和审计 provenance，而不需要采购员在每台手机保存供应商 API Key。
+作为采购执行员，我希望手机从后台领取完整任务后独立完成 VLM、拼多多操作和人工
+确认，从而在管理后端短时不可用时仍可工作，并在恢复连接后可靠提交结果。
 
 **范围**
 
-- 包含：服务名称、HTTPS Base URL、模型、Chat Completions 协议、超时、有限重试、
-  启用/默认版本、write-only API Key、脱敏连接测试和配置审计。
-- 不包含：采购员按任务选择模型、多 provider 自动路由、供应商私有协议、费用报表。
+- 包含：App 本地 provider 配置、Keystore 加密、手动/AI 模式、有限离线授权、加密
+  outbox、结果 provenance 和恢复同步。
+- 不包含：无限离线执行、离线即时取消、后端模型代理、多设备统一模型或自动下单。
 
 **验收场景**
 
-1. ADMIN 保存合法配置后，新 execution 使用该版本；修改默认配置不改变已绑定任务。
-2. Key 保存后页面只显示“已配置”，留空更新保留原 Key，显式替换才产生新密文版本。
-3. 非 ADMIN 无法查看或修改配置；任何响应和日志都不包含 Key 或供应商原始正文。
-4. 非 HTTPS、重定向和私网/本机/metadata 目标被拒绝；连接测试使用内置脱敏样本。
-5. App 只显示后端 AI 可用状态，不能看到或覆盖 provider、模型、地址和 Key。
+1. 后台任务不包含或修改 provider、模型、地址和 Key；Roubao 独立模式继续可用。
+2. AI Key 迁移到 Keystore-backed 加密存储，结果和日志只记录非秘密 provenance。
+3. 后端断开超过旧的 90 秒租约后，App 仍可在服务端给定截止时间内继续；到期安全
+   停止，服务端不把任务分给其他设备。
+4. `MANUAL_FIRST` 不依赖 VLM；`AI_ASSISTED` 由 App 直连本地配置的 HTTPS provider，
+   两种模式都停在人工确认且 `order_submitted=false`。
+5. 离线完成的结果恢复联网后幂等补报；离线期间的取消在恢复后的首个同步点处理。
 
 ## 待确认