docs(tasks): keep procurement execution on device

docs/routes.md

@@ -11,11 +11,9 @@ T-202 的离线 P0 页面入口见[原型索引](design/index.html)。原型仅
 | `/tasks` | 任务列表 | 查看状态、筛选并进入详情 | US-002 | IX-003 |
 | `/tasks/new` | 新建任务 | 提交图片和采购约束 | US-001 | IX-002 |
 | `/tasks/{id}` | 任务详情 | 查看原始输入、时间线、候选和证据 | US-002、US-006 | IX-003、IX-008 |
-| `/settings/vlm` | VLM 服务设置 | 配置和测试后端 OpenAI 兼容服务 | US-009 | IX-010 |
 
 MVP 登录后默认进入 `/tasks`。未登录访问受保护页面时跳转 `/login` 并携带安全的
-站内返回路径；只接受 `/tasks`、`/settings/vlm` 及其本站子路径，拒绝绝对 URL、
-`//` 和反斜杠。
+站内返回路径；只接受 `/tasks` 及其本站子路径，拒绝绝对 URL、`//` 和反斜杠。
 不存在和无权限必须使用不同内部原因，但页面均不得泄露任务内容。
 
 ## Android 页面
@@ -30,7 +28,7 @@ Android 导航名称是逻辑目的地，具体 Compose/Fragment 形式待接入
 | `task/{id}/running` | 任务执行 | 显示步骤、返回拼多多、安全停止 | US-004、US-006 | IX-006、IX-008 |
 | `task/{id}/confirm` | 候选确认 | 接受、拒绝、无匹配或转人工；T-208 增加逐候选结构化理由 | US-005、US-008 | IX-007、IX-009 |
 | `task/{id}/result` | 任务结果 | 查看终态和同步状态 | US-002、US-006 | IX-007、IX-008 |
-| `settings` | 设备设置 | 查看权限、版本、后端和只读 AI 可用状态 | US-003、US-007、US-009 | IX-004、IX-005、IX-010 |
+| `settings` | 设备设置 | 查看权限、后端、执行模式和本地 VLM 配置 | US-003、US-007、US-009 | IX-004、IX-005、IX-010 |
 
 ## App 后端路由
 
@@ -45,9 +43,15 @@ Android 导航名称是逻辑目的地，具体 Compose/Fragment 形式待接入
 | `POST /api/v1/tasks/{id}/heartbeat` | 更新 step、设备在线时间和运行租约 |
 | `POST /api/v1/tasks/{id}/release` | 未开始时 `CLAIMED -> PENDING` |
 | `POST /api/v1/tasks/{id}/cancel-ack` | 安全停止后确认 `CANCELED` 并结束 execution |
+| `POST /api/v1/tasks/{id}/events` | 幂等补报本地执行事件 |
+| `POST /api/v1/tasks/{id}/candidates` | 保存最多 5 个候选、模型判断和本地推荐 |
+| `POST /api/v1/tasks/{id}/complete` | 提交人工结果，强制 `order_submitted=false` |
+| `POST /api/v1/tasks/{id}/fail` | 提交结构化失败和受控证据 |
 
 claim/start/release/cancel-ack 使用相应幂等规则；参考图、start、task heartbeat、
 release 和 cancel-ack 都必须匹配当前 `X-Claim-Token` 与 `claim_generation`。
+T-207 的 events/candidates/complete/fail 接受原设备对授权内已产生结果的离线补报，
+并由服务端记录是否在执行授权过期后收到；后端不提供 VLM 代理路由。
 
 ## 导航规则
 
@@ -58,8 +62,10 @@ release 和 cancel-ack 都必须匹配当前 `X-Claim-Token` 与 `claim_generati
 - 候选确认页返回不能恢复自动化。
 - 登录过期时先保存非敏感本地状态，再跳转登录；重新登录后查询服务端状态。
 - 设备设置不是首屏，任务主页是采购人员的工作入口。
-- 生产 App 的设置页不提供 VLM provider、模型、Base URL 或 API Key 控件；这些只由
-  ADMIN 在管理 Web 配置。
+- 后台任务不能携带或修改 provider、模型、Base URL 和 API Key；App 设置由设备
+  操作者管理，Key 使用 Keystore-backed 加密存储。
+- 管理后端离线时执行页显示授权截止时间和待同步数量；到期后只能安全停止和等待
+  联网，不能领取或继续页面动作。
 
 ## 页面组件边界