feat(backend): implement task creation and admin web

docs/current-state.md

@@ -5,23 +5,25 @@
 ## 当前快照
 
 - 日期：2026-07-26
-- 阶段：T-202 P0 Web/App 低保真原型已确认完成，准备开始 T-203
-- Git：当前分支为 `main`；T-001 至 T-004、T-101 至 T-104、T-201、T-202
+- 阶段：T-203 任务创建 API 与管理 Web 已完成，准备开始 T-204
+- Git：当前分支为 `main`；T-001 至 T-004、T-101 至 T-104、T-201 至 T-203
   均已纳入 Git 历史
 - 生产代码：`android-buyer/` 已接入 Roubao Android 源码
 - Android：固定 `main@c8a6d7f03422eb01744b01f3ee77bf7757741f7e`；MIT 许可证已保留
-- 后端：Go 1.23.0 + Gin 1.11.0 + SQLite + Goose 3.26.0 骨架已建立；Go Blueprint
-  v0.10.11 只作为一次性输入，危险默认与演示逻辑已移除
+- 后端：Go 1.23.0 + Gin 1.11.0 + SQLite + Goose 3.26.0；已实现图片规范化、任务
+  创建/查询/取消 API 和 SSR 管理 Web，Go Blueprint 只作为一次性骨架输入
 - 本机 Android 工具：JDK 17.0.13、Command-line Tools 22.0、SDK 34、
   Build Tools 34.0.0、Platform Tools/ADB 37.0.0；用户级 SDK 环境变量已设置
 - Android Studio：未安装；`winget` 静默安装卡住后已终止，不阻塞命令行构建
 - 测试：`lintDebug test assembleDebug` 成功；App 两个变体、task contract 和导入器
   共 26 份报告、166 次测试，0 failure、0 error、0 skipped
-- 后端测试：`GOTOOLCHAIN=local go test -count=1 ./...` 共 25 个测试通过；
-  `go vet ./...`、API/migration Windows 构建和根 `init.ps1` 均通过
+- 后端测试：`GOTOOLCHAIN=local go test -count=1 ./...` 共 99 个测试通过；
+  全包 race、`go vet ./...`、API/migration Windows 构建和根 `init.ps1` 均通过
 - 原型：4 个管理 Web 页面和 7 个 Android 页面均可离线独立打开；Playwright
   以 1440×900、390×844、360×800 验证 36 个页面/视口组合，无页面横向溢出、
   脚本错误或外部请求，Android 可见交互控件均不小于 44px
+- 管理 Web：真实 Gin/SQLite 流程已完成图片上传、任务创建、列表、详情参考图和
+  待领取取消；同三种视口无横向溢出，可见操作控件不小于 44px
 - Workflow：纯 Kotlin runner 已支持步骤 timeout、最多 3 次 retry、安全阻塞、
   用户停止和单 runner 并发拒绝；T-102 已接入搜索加有界候选采集五步
 - TaskSource：严格 CLI 已生成并验证真实私有 ProbeTask；默认 APK 不含私有 fixture
@@ -56,20 +58,20 @@
 | `docs/tasks/T-104.md` | DONE | 动态搜索、候选严格评估、本地建议和人工确认点 |
 | `docs/tasks/T-201.md` | DONE | Go-Gin、SQLite、Goose migration 和健康检查骨架 |
 | `docs/tasks/T-202.md` | DONE | 生成并确认 P0 Web/App 低保真原型 |
+| `docs/tasks/T-203.md` | DONE | 图片/任务 API、SQLite 业务层和 SSR 管理 Web |
 | `docs/design/` | 已确认 | T-202 原型索引、4 个管理页和 7 个 Android 页面 |
 | `deepseek总结.txt` | 已有 | 历史讨论摘要，不是正式需求权威 |
 | `android-buyer/` | 已有 | Roubao `main` 固定 commit 的 Android 基线 |
 | `android-buyer/task-contract/` | 已有 | Android/CLI 共享 ProbeTask 与 TaskSource |
 | `android-buyer/tools/shopee-importer/` | 已有 | 开发机私有 fixture 导入 CLI |
-| `backend-api/` | 已有 | Go-Gin API、SQLite、migration、健康检查和测试骨架 |
+| `backend-api/` | 已有 | Go-Gin 任务 API、SQLite、图片存储、管理 Web 和 migration |
 | `init.ps1` / `init.sh` | 已验证/待跨平台 | Windows 同时验证 Android/Go；Unix 入口待 Linux/WSL 复核 |
 
 ## 任务摘要
 
-- 已完成：T-001 至 T-004、T-101 至 T-104、T-201、T-202。
+- 已完成：T-001 至 T-004、T-101 至 T-104、T-201 至 T-203。
 - 正在进行：无。
-- 下一个可领取任务：T-203 实现任务创建 API 与管理 Web；T-204 也已满足依赖，
-  但按编号顺序在 T-203 之后处理。
+- 下一个可领取任务：T-204 实现账号、角色、会话和设备身份；完成后 T-205 可开始。
 
 ## 当前可运行内容
 
@@ -107,6 +109,12 @@ go run ./cmd/api
 `http.Server.Shutdown` 由集成测试验证在 1 秒预算内结束。当前 Windows 没有可用 WSL
 发行版，因此 `init.sh` 未实际运行；Windows 标准入口已验证。
 
+2026-07-26 完成 T-203：新增两条业务 migration、图片规范化存储、任务领域/用例/
+SQLite 仓储、管理 API 和 SSR Web。创建/上传幂等，列表稳定分页，详情可读取同源
+规范化参考图，只有 `PENDING` 可取消。T-204 前业务路由仅限 loopback，Web 写操作
+使用双提交 CSRF；这不是正式鉴权。真实 HTTP/Playwright 和 migration CLI smoke、
+99 个 Go 测试、全包 race/vet、Windows 构建与根 `init.ps1` 全部通过。
+
 ## 维护规则
 
 发生以下变化时覆盖更新本文：