cmroubao/progress.md

项目级大事记

本文件只记录阶段切换、重大决策和事故复盘。单任务执行记录写入 docs/tasks/T-<编号>.md。

2026-07-25 文档基线建立

• 类型：重大决策
• 内容：确定统一后端、Web 管理端和 Android 采购端的目标架构。
• 影响：首轮优先验证 Android 拼多多自动化，不先建设完整账号、推送和多设备调度。

2026-07-25 MVP 安全边界

• 类型：重大决策
• 内容：MVP 由 App 手动领取任务，自动化停在候选确认或订单确认页。
• 影响：MVP 禁止最终提交订单和自动支付；生产自动下单需单独评审和任务。

2026-07-25 后端切换为 Go-Gin

• 类型：重大决策
• 内容：后端调整为 Go 1.23.0 + Gin 1.11.0，使用 Go Blueprint v0.10.11 生成最小 Gin + SQLite 骨架；生成器默认的 Go 1.25/Gin 1.12 版本必须降级。
• 影响：骨架只作一次性输入；T-201 必须删除演示逻辑、修复危险默认并按 domain/usecase/repository/transport 边界重组，且在 GOTOOLCHAIN=local 下验证。

2026-07-25 Roubao 与 Git 基线

• 类型：阶段切换
• 内容：核实 Roubao 上游、MIT 许可证和 Android 构建版本；初始化 Git，并把 Harness 文档和占位初始化脚本纳入基线提交。
• 影响：T-001 进入 DOING；下一步比较 main 与无障碍开发分支、导入固定 commit， 安装 Android SDK 34 后取得首个可复现 APK 构建证据。

2026-07-25 第一层验证数据来源

• 类型：重大决策
• 内容：第一层不先建设 Go-Gin；从用户指定的本机目录读取以蝦皮订单号同名的文本 和参考图，规范化为与未来 HTTP 接口一致的探针任务。
• 影响：新增 T-004；私有订单资料和生成物不得进入 Git。首份样例已确认 UTF-8 四行 标签和同名 JPEG，Android workflow 只依赖统一 TaskSource。

2026-07-25 Android 可运行基线

• 类型：阶段完成
• 内容：完成 T-001；导入 Roubao main@c8a6d7f，移除不可复现的 Firebase 私有 配置依赖，补齐 Windows Gradle Wrapper，并在 Android 16 真机完成构建、安装和启动。
• 影响：Phase 0 的设备、workflow 和蝦皮样本任务可以开始；无障碍分支只选择性移植。

2026-07-25 测试设备就绪基线

• 类型：阶段完成
• 内容：完成 T-002；实现肉包采购无障碍只读观察、设备/应用版本采集、前台包名和 登录/验证码/风控分类，并新增设备检查首屏。
• 影响：OnePlus PKG110 + 拼多多 8.17.0 已形成可复现基线；T-101 可以在明确安全 门禁下实现关键词搜索，不再依赖 Shizuku 状态猜测设备是否就绪。

2026-07-25 Android workflow 测试骨架

• 类型：阶段完成
• 内容：完成 T-003；建立可注入 Fake automation 的纯 Kotlin runner，覆盖 timeout、 有限 retry、安全阻塞、用户停止和并发拒绝。
• 影响：T-101 至 T-104 可以把真实拼多多动作接到稳定状态机上，自动化异常不再依赖 真机人工判断。

2026-07-25 私有蝦皮样本导入基线

• 类型：阶段完成
• 内容：完成 T-004；建立共享 ProbeTask/TaskSource、严格开发机导入 CLI 和显式 Debug fixture 注入，真实样本逐字段与图片哈希验证通过。
• 影响：Phase 0 完成；T-101 可先使用固定搜索词验证真实拼多多操作，T-103 可直接 消费同一私有任务契约接入 VLM。

2026-07-25 拼多多固定词搜索探针

• 类型：阶段完成
• 内容：完成 T-101；用纯无障碍语义节点跑通固定脱敏词的打开搜索、精确输入、提交 和结果页确认，并在拼多多 8.17.0 真机验证四步 workflow。
• 影响：最高风险的基础搜索动作已证实可行；下一步 T-102 只扩展最多 5 个候选的 有界浏览和证据采集，继续禁止下单与支付。

2026-07-25 拼多多候选证据探针

• 类型：阶段完成
• 内容：完成 T-102；用无障碍语义节点有界浏览 5 个候选，逐一验证详情、保存匿名 PNG/SHA-256 证据并返回固定词结果页。
• 影响：搜索到候选证据的 Android 风险闭环已证实可行；T-103 可开始验证私有任务的 结构化需求提取，T-104 再对候选证据做匹配判断。

2026-07-25 VLM 需求提取契约

• 类型：阶段完成
• 内容：完成 T-103；建立严格需求 schema、单次 OpenAI 兼容调用、JPEG 校验缩放、 provider capability 和低置信/冲突转人工，并用私有 fixture + 本机 mock 完成真机 集成与隐私审计。
• 影响：SKU、数量和空预算已脱离模型控制；T-104 可复用结构化需求评估最多 5 个候选。 真实 VLM 供应商、凭证、成本和数据留存仍需业务确认。

2026-07-25 候选评估与人工确认闭环

• 类型：阶段完成
• 内容：完成 T-104；把结构化需求搜索词与当前候选 session 精确绑定，通过受控证据源 串行评估最多 5 个候选，由本地规则生成建议并停在人工确认点。
• 影响：Phase 1 完成；模型、自动化和人员操作均不能提交订单或支付。下一步 T-201 建立 Go-Gin、SQLite 和迁移骨架，真实模型供应商与质量验证仍作为外部 blocker。

2026-07-25 Go 后端可运行基线

• 类型：阶段切换
• 内容：完成 T-201；Go Blueprint v0.10.11 作为一次性参考，正式后端固定 Go 1.23.0、 Gin 1.11.0、SQLite 和 Goose 3.26.0，并建立健康检查、migration 与有界生命周期。
• 影响：Phase 2 后端基础可复现；T-202 可先确认 P0 原型，T-203 至 T-205 再分别实现 任务业务、鉴权和原子领取，不需要背负生成器演示逻辑或危险默认。

2026-07-26 P0 Web/App 原型确认

• 类型：交互门禁完成
• 内容：完成 T-202；生成并确认 4 个管理 Web 页面和 7 个 Android 页面，IX-001 至 IX-008 已链接到实际原型。Playwright 验证 36 个页面/视口组合，并检查关键 表单、二次确认、安全停止、人工结论、结果同步和设备状态交互。
• 影响：页面区块、控件集合、文案和主要动作已获得人工确认；T-203、T-204 和 T-206 可按依赖使用该原型作为实现输入，但不得复制低保真原型代码到生产界面。

2026-07-26 任务 API 与管理 Web

• 类型：阶段完成
• 内容：完成 T-203；建立任务/资产/事件/幂等数据模型、图片规范化、任务 API 和 SSR 管理 Web，并用 loopback 与双提交 CSRF 作为 T-204 前的临时暴露门禁。
• 影响：管理人员已能在本机创建、搜索、查看和取消待领取任务；T-204 下一步补正式 账号、角色、会话和设备身份，完成后 T-205 可接入 App 原子领取与租约状态机。

2026-07-26 用户与设备最小鉴权

• 类型：阶段完成
• 内容：完成 T-204；实现 ADMIN/BUYER、bcrypt、8 小时管理 session、预授权设备 首次原子绑定、1 小时 App token、登录限流、账号/设备启停、authctl、管理 登录/退出、CSRF 和内建 TLS 门禁。
• 影响：匿名与跨端凭证不能访问任务，新任务保留共享 local-admin scope 并单独记录 真实 ADMIN actor，创建/取消事件均可审计；T-205 可在稳定 BUYER + device 身份上 实现原子领取和租约。

2026-07-26 原子领取、租约和状态机

• 类型：阶段完成
• 内容：完成 T-205；实现设备 readiness、client-generated claim token、SQLite 原子领取、CLAIMED/运行租约、execution、task-scoped 参考图、管理安全停止和 App 取消确认。
• 影响：后端已具备 Android 手动领取和执行进度所需的稳定协议；T-206 可接入 HTTP TaskSource、凭证/claim token 安全存储和前台执行界面。

2026-07-26 候选优化数据闭环后置

• 类型：范围决策
• 内容：新增 T-208，在 T-206/T-207 第一版流程完成后保存最多 5 个候选观测、 模型预测、确定性推荐、受控截图和逐候选人工理由；四层数据不得混用。
• 影响：第一版领取与结果回传不被训练数据建设阻塞；20 条真实任务试验开始前完成 T-208，人工接受、拒绝、改选和无匹配才形成可信优化标签。

2026-07-27 App 手动领取与有限离线

• 类型：阶段完成
• 内容：完成 T-206；Android 接入 BUYER/设备登录、手动 claim、参考图预览、 start/release、前台 heartbeat、默认 30 分钟有限离线、SAFE_STOPPED、取消确认 和进程恢复，秘密与任务状态使用 Keystore-backed 加密存储。
• 影响：管理员创建的任务已能在真机领取并受控运行，断开后台超过旧 90 秒窗口仍由 同一手机持有，重连优先同步；下一步 T-207 把现有端上 VLM/拼多多候选流程接入 HttpTaskSource，回传事件、证据和终态结果。

2026-07-27 本地 VLM、候选和结果审计

• 类型：阶段完成
• 内容：完成 T-207；后端新增 execution 事件、受控证据、候选批次、终态和幂等请求 migration，以及设备结果 API 和管理详情审计区。Android 将 provider Key 迁移为 fail-closed Keystore 存储，支持人工优先/AI 辅助模式、人工理由和加密 outbox。
• 影响：手机直接调用本机已配置的 provider，管理后端不保存 Key、完整 endpoint 或 原始模型输出；结果按“事件、截图、候选、终态”顺序重放。下一步 T-208 扩展为可训练 的逐候选结构化人工理由与修订历史。

2026-07-28 已授权订单 dry-run

• 类型：阶段完成
• 内容：完成 T-217；后端新增 v10 dry-run/幂等请求与 start/ready，Android 1.4.14 (19) 自动重新图片搜索、唯一定位候选、选择 SKU/数量并在确认订单页只读 核验。拼多多结算 WebView 折叠时使用 bundled 中文 OCR fail-closed 提取证据。
• 验证：PKG110/拼多多 8.17 真机已生成后端 READY、受控截图、SKU、数量和 14.35 元 单价/总额，App 显示“订单已核验，等待提交”；未点击最终提交或支付。Go test/race/vet、Android Debug/Release 和根 init.ps1 均通过。
• 影响：T-218 可只消费同一 READY 授权执行一次提交与订单列表对账；T-217 不创建 平台订单，T-219 之前仍不提供付款动作。