feat(android): collect bounded Pinduoduo candidates

docs/04-architecture.md

@@ -169,6 +169,23 @@ SearchProbeScreen
 登录、验证码、风控、订单或支付边界都终止 workflow。该路径不提供坐标、ADB、
 Shizuku shell、OCR 或 VLM 动作降级。
 
+T-102 在搜索结果后追加一个有界候选步骤：
+
+```text
+固定词结果页
+ -> 最多 2 次滚动预算
+ -> 最多 5 个去重商品卡
+ -> 验证详情页
+ -> 无障碍截图
+ -> App cache/candidate-NN.png + manifest.json
+ -> 一次全局返回并复核固定词结果页
+```
+
+候选卡只保留语义指纹和计数，详情截图保存在 App 内部 cache。manifest 记录匿名文件名、
+截图 SHA-256、字节数和尺寸，不保存商品标题或页面原文。T-104 使用这些证据时必须通过
+受控 evidence 边界读取，不能让 VLM adapter 自行遍历 cache。Android 10/API 29 及
+以下不能运行当前截图探针，应在预检时明确不支持，不使用媒体投影或 shell 绕过。
+
 ### 3.2 MVP 业务闭环
 
 ```text
@@ -327,6 +344,8 @@ IDLE
   不能因资源 ID 重复而任取第一个节点。
 - 已验证的首页、搜索输入和结果页路径禁止坐标降级；新页面必须先取得版本化真机
   证据并在独立任务中定义识别条件。
+- 候选 session 的候选尝试与滚动预算在动作发出前扣减，retry 不得重置；详情动作
+  白名单只有截图和返回。
 - 截图发送给模型前裁剪无关区域并按配置脱敏。
 - 每个动作记录抽象步骤，不默认记录完整输入文本。
 - 发现验证码、风险控制、支付、生物识别或系统权限页面立即停止。