feat(t230): use OCR for ERP session login

docs/integrations/shunyunbao-contract.md

@@ -37,8 +37,9 @@ T-225 至 T-227 在 `backend-api/internal/platform/shunyunbao` 用脱敏 fixture
 - 所有结果必须经 Go allowlist 归一化；fixture 专门含收件信息、Cookie/JWT 标记值，
   测试断言它们不会出现在输出或错误里。
 
-Go 直连的验证码、登录、Cookie jar 和查询 source 都在 API 进程内。不得用本地 OCR 或
-Redis 取代人工验证码流程；真实线上请求不属于自动化测试。
+Go 直连的验证码、登录、Cookie jar 和查询 source 都在 API 进程内。T-230 在未认证时仅可将
+验证码图片一次提交给受控本机/HTTPS OCR endpoint，结果只用于当前登录请求；不得写入 Redis、
+SQLite、日志或浏览器，也不得轮询或重试。真实线上请求不属于自动化测试。
 
 ## 身份和规范字段