feat(t225): freeze Go ERP protocol contract

docs/05-coding-rules.md

@@ -113,6 +113,9 @@
   recovery 不得把 Authorization、Cookie、panic 或请求正文写普通日志。
 - SQLite 数据文件必须位于被忽略目录，启用 foreign keys、有限 busy timeout 和
   WAL；连接由进程入口显式关闭，migration 使用固定版本和受控 SQL 文件。
+- ERP adapter 只能把版本化 allowlist 归一化对象交给 `FreightSource`；收件人、电话、
+  地址、完整响应、Cookie、JWT、账号、密码和验证码不得进入领域对象、错误、日志、
+  fixture、SQLite、浏览器或 VLM。验证码必须由人员输入，禁止 OCR、猜测或重放。
 
 ## 7. 安全与隐私
 
@@ -128,6 +131,8 @@
   `private-fixtures/` 等被忽略目录；测试使用脱敏 fixture。
 - 普通日志不得输出完整蝦皮订单号、店铺名或本机原图绝对路径。
 - 日志默认脱敏，不记录 Authorization、Cookie、密码、设备令牌或完整地址。
+- ERP 外部 URL 必须在配置层限制为完整 HTTPS origin；仅离线 `httptest` 可使用 HTTP。
+  Cookie jar 和 token 只能停留在受锁保护的进程内会话，进程重启后要求人工重新登录。
 - 上传文件限制媒体类型、大小和解码结果，随机化服务端文件名。
 - 不绕过第三方平台限制、验证码、风控或系统权限。
 - 不可逆动作必须由明确需求、服务端授权、App 确认和幂等保护共同允许。