From 0bcf89c637d75121a24feea5b8b4178366e8d615 Mon Sep 17 00:00:00 2001 From: ila Date: Fri, 7 Aug 2026 16:37:20 +0800 Subject: [PATCH] docs: import wiki at afc651f75a3a --- current-state.-.md | 568 +++++++++++++++++++++++++++++++++++++++++++++ 1 file changed, 568 insertions(+) create mode 100644 current-state.-.md diff --git a/current-state.-.md b/current-state.-.md new file mode 100644 index 0000000..4e5f694 --- /dev/null +++ b/current-state.-.md @@ -0,0 +1,568 @@ + +> 同步来源：[`docs/current-state.md`](/chengma/mroubao/src/commit/afc651f75a3abc2676bb13aa8a80f6aa6a25a72e/docs/current-state.md) · commit `afc651f75a3a` + +# 当前实现状态 + +> 可覆盖的项目级快照。任务执行日志写入对应任务文件。 + +## 当前快照 + +- 日期：2026-08-01 +- 阶段：T-256、T-257、T-258、T-259、T-260、T-261、T-262、T-263、T-264、 + T-265、T-268、T-269、T-270、T-271、T-272 DOING，T-266、T-267 DONE；T-257 Android 代码已加入规格价格形状计数、候选 + 队列原因码、无预算组合价未确认候选放行和卡片价格观察隔离；T-258 后端已只放宽 + `collection_complete=true` 的候选下限，单个带 `match_type` 的候选可进入确认流程， + 原数量上限、轮次、互斥、证据和商品身份校验保持不变。T-259 允许安全停止且 session + 有效时在冷启动执行一次既有 outbox HTTP 补传，随后仍返回 `STOP`；不续租、不重新领取、 + 不触发拼多多 dry-run、提交或支付。自动化校验已通过，最终真机 outbox 收敛和 Admin + 确认区仍待验证。T-260 已完成设备本地操作停顿与三轮浏览预算配置代码，默认 + `1000 / 3000 / 100000 / 100000 / 45000` 不变；失败动作同样停顿，配置需同时通过 + 单候选可行性和授权窗口 60% 校验，后台 payload 不能覆盖。五条 Android Gradle 验证 + 已通过，最终慢档真机执行与 Admin 诊断键核对待验证。T-261 已实现仅限技术失败的 + 有界现场清理、规格读取失败细分和四个追加诊断计数；任何安全停止或清理途中出现 + 风控/支付边界均不再点击，清理失败不覆盖原失败码。Debug/Release 各 282 项单测、 + lint 与两个 APK 构建通过；最终真机残留现场恢复和 Admin 细分码核对待验证。 + T-262 已在 `PinduoduoPageClassifier` 判定不变的前提下，为 `PAYMENT_BOUNDARY` + 追加 `payCheckoutRoot`/`payMarkerIndex`/`payMarkerHits`/`payClickable`/ + `payExact` 五个归因诊断键（未触发时取默认值 `0/-1/0/0/0`），并让归因经 + `AutomationResult.Blocked`/`WorkflowReport` 透传，使阻塞发生在 + `pdd_open_app` 等任意工作流步骤时都能带出；Debug/Release 各 299 项单测、 + lint 与两个 APK 构建通过；真机复现 `PAYMENT_BOUNDARY` 阻塞与真实订单确认页 + 对照采样待人工验证。 + T-263 已在 `paymentMarkers`/`hasCheckoutRoot`/`containsAny` 逐字节不变、 + 登录/验证码/风控优先级不变的前提下，追加占满屏 WebView + 语义文本数不超 + 阈值、须连续 3 次快照确认的结构判据（新主判据），并让文本判据仅在页面未被 + 正面识别为商品详情/规格弹层/搜索结果/图片搜索结果/首页时才强制停止（放行时 + 计数不停止）；`CandidateSearchDiagnostics` 追加 `payStructureHit`/ + `payStructureStreak`/`payTextSuppressed` 三个尾部诊断键。已用 T-262 记录的 + 四个真机样本构造夹具验证：首页、优惠券页不判，商品规格弹层误报被修复为不判， + 结算页结构连续 3 次后判定；另覆盖连续 1/2 次不判、结构中断清零、 + `hasCheckoutRoot` 单独命中仍判定、`UNKNOWN` 页面文本命中仍强制停止。 + Debug/Release 各 313 项单测、lint 与两个 APK 构建通过；真机复跑候选任务 + 确认不再卡在 `pdd_open_app`，以及从 Admin 核对 `payTextSuppressed` 合理性 + 待人工验证。 + T-264 已移除 `openPinduoduoSpecifications()` 中「找不到安全入口就点击 + 『免拼购买』」的兜底分支，找不到唯一安全入口时改为返回 `ENTRY_ABSENT` 并 + 新增 `specEntryAbsent` 诊断计数；`hasOrderConfirmation` 追加原生订单确认页 + 判据（掩码手机号 + `已选` 摘要 + 数量/运费语义同时成立，既有三个判据不变）， + 用于解决无规格商品被兜底点击后误入订单确认页却无法识别、只能卡死的问题； + `PaymentBoundaryAttribution`/`CandidateSearchDiagnostics` 追加 `payPage` + 页面分类名称归因（未触发时为 `NONE`）。T-263 结构判据、`hasCheckoutRoot`、 + `paymentMarkers` 及抑制规则、登录/验证码/风控优先级均未改动。 + Debug/Release 各 329 项单测、lint 与两个 APK 构建通过；真机复跑无规格商品 + 采购任务确认不再卡在订单确认页，以及从 Admin 核对 `specEntryAbsent`/ + `payPage` 待人工验证。 + T-265 根据真机详情页无独立规格入口的证据，恢复唯一「免拼购买」次优先入口； + 安全入口仍优先，其它购买语义仍拒绝。落到订单确认页时只执行既有返回动作并跳过 + 当前候选，返回失败仍阻塞在支付边界；诊断尾部追加 `specEntryViaPurchase`/ + `specLandedOnCheckout`。Debug/Release 各 336 项单测、`lintDebug` 和两个 APK + 构建通过；T-265 Debug APK 已覆盖安装到 PKG110，采购无障碍、悬浮窗、通知和 + Shizuku 权限保持启用，真机重跑和 Admin 计数核对待完成。 + T-266 将新签发 BUYER 设备 Bearer token 的绝对有效期改为固定30天 + （`2592000` 秒），不滚动续期；禁用、撤销和绑定检查仍立即生效。既有 token + 不迁移，后端重启后设备重新登录一次才取得新期限。 + T-267 已把新创建 ADMIN Web Session 的固定绝对有效期从8小时改为30天，并保持 + Cookie `Expires`/`Max-Age` 与服务端到期时间一致；既有 session 不迁移，CSRF Cookie + 和 BUYER token 不受影响。Go 全量测试和根 `init.ps1` 已通过。 + T-268 已在 `ProcurementExecutionCycle`（接入点不变）为 `shouldRunOrderDryRun` + 九个子条件与 `canStartProbe` 四个子条件新增 `ORDER_DRY_RUN_GATE` 逐条件观测 + 事件、为 `shouldRunOrderSubmission` 新增 `ORDER_SUBMISSION_GATE` 观测事件， + 经 T-207 既有 outbox 上报；取值不变不重复写，10 分钟保底写一条，写入用 + `runCatching` 包裹不阻塞循环；两个既有门控属性、`canStartProbe`/`blockers` + 计算方式、短路顺序、`runOnce()` 调用条件与既有 `onFailure` 日志全部保持原样 + （回归测试覆盖）；`DeviceObservationStore` 更新时机和 `loginBlocker` 粘滞行为 + 未动，只让其结果可见。message 只含布尔量、计数与自有 ASCII 大写枚举名，单测 + 证明不含任何页面原文。Debug/Release 各 392 项单测、`lintDebug`、 + `assembleDebug`、`assembleRelease` 全部通过；真机复现 dry-run 卡在 + `PREPARING` 并从 Admin 核对具体是哪一个子条件为 0 待完成，任务保持 DOING。 + T-269 已修正真机任务 `54ee4d8a-41a8-4a63-bba2-a7b77162f27d` 三轮全部卡在 + `pdd_open_app` 的根因：`hasDetailBack` 原要求返回元素自身可点，真机商品 + 详情页的「返回」contentDescription 挂在不可点子节点上（真正可点的是祖先 + 容器，与 T-262 `payClickable` 恒为 0 同一模式），导致该页被误判 `UNKNOWN` + 并被文本判据强制 `PAYMENT_BOUNDARY`。改为「自身或有界祖先可点」（复用 + `BuyerAccessibilityService.clickableNodeOrAncestor()` 模式与 + `MAX_CLICK_ANCESTORS` 上限，在 `uiElement()` 采集侧预先算好布尔量随 + `PinduoduoUiElement` 带出，分类器不遍历树），`detailMarkerCount>=2` 与返回 + 语义文本匹配规则不变；新增 `PinduoduoHomeRecoveryPolicy`，只在『纯文本命中 + 且无任何结算迹象的 UNKNOWN 页面』上于 `AndroidPinduoduoImageSearchDriver + .openApp()` 执行最多 `MAX_HOME_RECOVERY_STEPS`(3) 次系统返回、每步前复查 + `hasCheckoutRoot`/T-263 结构判据/`ORDER_CONFIRMATION`/登录验证码风控， + 命中任一立即停止且不归位；归位只调用系统返回，不点击任何控件。 + `CandidateSearchDiagnostics` 尾部追加 `homeRecoverySteps`/`homeRecovered` + 两个键；`paymentMarkers`/`hasCheckoutRoot`/`containsAny`/T-263 结构判据与 + 抑制名单/T-264 原生订单确认页判据/T-265 落到结算页跳过逻辑/T-268 门控 + 诊断均未改动。已用真机商品详情页特征构造夹具验证识别修复，并回归覆盖 + 搜索结果页/首页/规格弹层/订单确认页不因本次放宽被误判为商品详情页。 + Debug/Release 各 412 项单测、`lintDebug`、`assembleDebug`、 + `assembleRelease` 全部通过；真机故意停在商品详情页复跑并从 Admin 核对 + `payPage`/`homeRecoverySteps`/`homeRecovered` 待人工验证，任务保持 DOING。 + T-270 已从已持久化的候选等待确认、pending `FAIL`、授权结束、人工对账和订单已核对 + 五类阶段派生前台返回目标；进程共享协调器先持久化最多 32 条 + `SHA-256(executionId + phase)` 幂等 receipt，再发布可点击结果通知并用显式 Intent + 请求返回 Roubao 采购任务页。Activity 与前台 Service 同时观察但同阶段只消费一次， + 中间搜索/回传/下单状态不触发，后台拉起失败不改变业务状态。Debug/Release 各 417 项 + 单测、`lintDebug` 和两个 APK 构建通过；1.4.18 (23) 已覆盖安装到 PKG110，并验证从 + 拼多多 8.17.0 显式返回 Roubao。真实候选封板/订单核对自动触发和系统拦截后的通知降级 + 待真机验收，任务保持 DOING。 + T-271 已解决真机三轮 `CANDIDATE_RESULTS_NOT_READY`、`cards=0` 的根因：候选卡片 + 过滤的第六项 `hasImage` 判据在图片尚未加载完成时否决了本应通过的真实商品卡； + 现移除 `hasImage` 的否决权，其余七项（className/宽度/高度/可见面积/语义文本数/ + 价格语义/安全点击目标/稳定签名）判定逻辑、阈值常量与先后顺序全部不变。为此把 + 候选容器的八项判定抽成不依赖 `AccessibilityNodeInfo` 的纯函数 + `PinduoduoCandidateContainerFilter.evaluate()`（新文件）， + `BuyerAccessibilityService.candidateNodes()` 只负责把无障碍树读出的原始度量 + 喂给它、再把结果落回既有诊断计数，判定本身未改一行；纯函数可直接用真机 + dump 数值构造夹具做 JVM 单测。`PinduoduoCandidateCard.hasImage` 如实记录该卡 + 当时是否已有可见图片。**诊断口径变更**：`rejectedImage`（`rejImage`）不再是 + 否决计数，语义改为「已被接受为候选但当时缺图」的观测计数，不再计入 + `PinduoduoCandidateCardRead` 的容器恒等式；新恒等式为 + `containers - (rejClass+rejWidth+rejHeight+rejVisible+rejTexts+rejPrice+ + rejClick+rejSignature) = 返回卡片数`，由该类 `init` 块强制校验并有单测覆盖。 + `candidateReadyPollLimit`/轮询间隔、颜色尺码硬约束、商品身份解析、双证据、 + 支付边界/订单确认页/登录/验证码/风控判定、T-265 规格入口与跳过逻辑、T-268 + 门控诊断、T-269 详情页识别与归位策略均未改动。已用真机图搜结果页 dump（8 个 + 子节点：4 张 535×764 真实商品卡、2 个 535×182 矮容器、1 个 LinearLayout、1 个 + RecyclerView）构造夹具验证：4 张真实卡在图片未 visible/enabled 时仍被接受， + 矮容器仍因高度被拒，非卡片容器仍因 className 被拒；并逐项回归宽度过窄/过宽、 + 可见面积不足、文本不足、缺价格、缺点击目标、缺签名的拒绝行为不变。 + T-272 已修正规格文字子节点因祖先可点/祖先 selected 或 checked 而被漏读、误判未选中 + 的确定性缺口；自动领取会按 Roubao 本机安全 VLM 配置固定 execution 模式，Admin 不 + 代理模型。前两轮候选在规则无法定位或点击后无法确认时，最多使用两次严格 node-ID + 定位和一次同帧双规格视觉复核；节点/截图受限脱敏，模型返回后重读 path + fingerprint， + 页面变化和安全停止均拒绝点击。最终 `selection_proof` 与保存的规格截图 hash 绑定， + 进度快照可恢复但不伪造节点 selected。诊断尾部追加四个 `specVlm*` 聚合键；第三轮、 + 订单 dry-run、Admin/Go API/数据库均未改变。Debug/Release 各 442 项单测、lint 和两种 + APK 构建通过；真机颜色/尺码缺失样本与 Admin 诊断核对待完成，任务保持 DOING。 + T-276 已将候选搜索改为两轮：第一轮最多检查 6 个并保存最多 5 个严格候选，第二轮 + 最多检查并保存 2 个保底候选；新上传契约只接受 `search_round=1..2`，历史第三轮数据库 + 记录保持可读。 +T-277 已扩展 T-272 最终规格复核：本机 VLM 只选择当前颜色、尺码和价格节点，App +复核快照后自行解析 SKU 摘要及拆分价格；候选会显式回传规格/价格验证状态和值来源。 +T-278 已修复任务价格为空时的授权策略：候选展示价不再作为等值门槛，后台在人工确认时 +冻结任务最高总预算或默认 200 元低价总额上限，App 和后台都按实际所选规格总价复核。 +T-279 已收口 Admin 确认后的真实执行链路：App 定向打开授权商品后，以当前 goods_id、 +授权详情指纹或受限分享解析严格复核身份；规则无法唯一读取颜色、尺码或价格时复用 Roubao +本机模型，最多调用三次并由代码复核 node ID、结构和金额。瞬时自动化只重试一次；终态 +失败先加密保存再幂等回传后台并切回 Roubao，成功则继续既有单次提交围栏和待支付对账。 +T-280 已修复过期安全停止任务无法确认 Admin 取消的问题：显式控制面同步允许发送后端 +已支持的 `SAFE_STOPPED` heartbeat，但不延长 claim 或恢复自动化；收到取消请求后使用 +原 execution 幂等确认并清理本地状态。任务页恢复及十秒轮询会自动执行该同步。 + T-253 已完成；PDD `ps` 分享链接的小体积重定向 + 响应可从受信 `Location` 解析 `goods_id`，不再被 Android 误判为网络失败 +- Git：当前分支为 `main`；T-001 至 T-004、T-101 至 T-104、T-201 至 T-219 + 均按文档提交、实现提交的顺序纳入历史 +- 生产代码：`android-buyer/` 已接入 Roubao Android 源码 +- Android：固定 `main@c8a6d7f03422eb01744b01f3ee77bf7757741f7e`；MIT 许可证已保留 + +- 后端：Go 1.23.0 + Gin 1.11.0 + SQLite + Goose 3.26.0；已实现图片/任务业务、 + SSR 管理 Web、ADMIN/BUYER 联合认证、设备 readiness、原子 claim、租约状态机、 + task-scoped 参考图和 `authctl` +- ERP 货运：Go 后端以受锁内存 ERP 会话直连按完整单号或创建日期同步；v12 保存 + 同步记录、货运头和全部明细，canonical hash 控制 revision，Admin 已有 `/freight`、 + `/freight/import`、`/freight/{id}` 与对应 JSON API。T-237 已将完整单号改为 55 秒 + 同步响应，成功后直接进入可见货运列表；超时/取消使用独立 cleanup context 写 + `FAILED`，日期范围仍后台异步。HTTP `WriteTimeout` 为 70 秒。T-238 已兼容真实详情 + `created` 的分钟精度，仍按 Asia/Shanghai 严格解析并转 UTC。T-239 至 T-241 已保存 + `productSpec`、TWD 原始单价和数字图片引用，以有界并发缓存归一化 JPEG，并在鉴权 + 本地路由、货运列表和详情中显示图片、状态与采购字段。T-244 对缺失 `Content-Type` + 或通用二进制的 ERP 图片使用 512 字节受控嗅探，完整解码和 20 MB 限制不变。 + T-242/T-243 允许 ADMIN 从 + 详情页删除本地货运快照、缓存图以及无参考图/任务的采购需求草稿；已绑定参考图或已生成 + 采购任务时分别原子拒绝，不修改 ERP、同步运行历史或增量水位，完整订单号可重新导入。 +- ERP Go 迁移：T-225 已用脱敏 fixture 固定 `internal/platform/shunyunbao` 的 header、 + 单号/日期查询、分页、详情批量和字段 allowlist，并使货运用例依赖来源中立错误。T-226 + 已增加受锁保护的 Go 内存 Cookie jar、验证码 ticket、登录和用户校验，以及 ADMIN 的 + `/erp` 页面/API；账号密码可由 `backend-api/.env` 的受控 `CMROUBAO_SHUNYUNBAO_*` + 回退提供，进程环境变量优先。T-230 改为导入前由受控 `CMROUBAO_OCR_API_URL` 获取验证码 + 文字并建立内存会话，人工 `/erp` 模块已删除。T-227 已将其作为 `FreightSource`， + 查询先校验会话、再执行有界分页/详情 + 批量并返回 allowlist；T-228 已删除旧 Python Connector、loopback 端口和共享 API Key； + T-236 在 ERP 明确拒绝验证码时额外重试 6 次，每次重新取图和 OCR，单次认证最多 + 7 次登录并受 20 秒总预算限制；不对账号密码、OCR、网络或协议错误重试。未访问真实 ERP。 +- ERP 增量同步：v14 支持 Asia/Shanghai 创建日期闭区间和“同步至现在”，source 单窗 + 最多 7 天，后端对较长水位范围切窗并从成功水位前 10 分钟所在自然日回看。 + 货运落库、同步成功和水位推进同事务完成；失败与较旧范围成功不推进水位。Admin + 可查看查询范围、计数、稳定错误码和最近成功水位。 +- 采购需求：v13 按货运商品 revision 保存可复核快照；ADMIN 显式确认采购、上传参考 + 图后生成不可变 PENDING 任务。T-245 在当前商品有 `READY` 本地 ERP 缓存图时，将其 + 重新校验并复制为独立 `TASK_REFERENCE`，需求直接进入 `READY`；v17 记录 + `ERP_FREIGHT_IMAGE`/`MANUAL_UPLOAD` 来源。无图仍进入 `NEEDS_IMAGE`，既有需求可在 + 图片恢复后显式升级；任务生成前可人工替换并清理旧自动副本。来源变化不会改写任务， + Roubao 继续使用原 `image_asset_id` 和 claim 流程。 +- 采购重试：v20 保留 `(freight_order_item_id, source_revision)` 的单一采购需求和 + 原任务 ID；仅允许没有任何下单信号的 `FAILED/CANCELED` 任务带原因重新排入 + `PENDING`。重试事务记录操作人、原状态、原因和事件；存在 execution outcome 或 + order submission 下单信号时 fail-closed，禁止重复采购。 +- 本机 Android 工具：JDK 17.0.13、Command-line Tools 22.0、SDK 34、 + Build Tools 34.0.0、Platform Tools/ADB 37.0.0；用户级 SDK 环境变量已设置 +- Android Studio：未安装；`winget` 静默安装卡住后已终止，不阻塞命令行构建 +- 测试：T-248 Android Debug/Release 单元测试与构建通过 +- T-250：Android Debug/Release 单测、lint、Debug/Release 构建和根 `init.ps1` + 通过；Debug APK `1.4.16 (21)` 已覆盖安装到 PKG110，手机 APK 哈希与本地构建一致， + 安装后 Roubao 保持停止，尚未启动拼多多 +- T-251：Android Debug/Release 单测、lint、Debug/Release 构建和根 `init.ps1` + 通过；覆盖延迟/空候选卡、SKU 不匹配、身份未解析、三轮门禁与终态恢复。新 Debug + APK 已覆盖安装到 PKG110，手机和本地 APK SHA-256 一致，无障碍仍启用；启动 Roubao + 后 ADB 断开且后端 TLS 握手超时，现场 execution 的终态收敛待连接恢复后复验 +- T-256：Android 端将候选采集的“至少一个已解析身份”与“达到目标或三轮耗尽后收尾” + 分离；不足目标但有有效候选时继续执行剩余轮次，收尾审计沿用 T-254 诊断 message + 并记录累计实际候选数。`testDebugUnitTest`、`testReleaseUnitTest`、`lintDebug`、 + `assembleDebug`、`assembleRelease` 均通过；最终真机/Admin 候选确认区验收待执行 +- T-259：安全停止后的运行同步先用有效 session 有界 flush 已收集 outbox，再无条件 + 返回 `STOP`；冷启动只在仍有实际待传项时启动一次服务。执行页只显示待传数量或已 + 回传完成，不展示候选字段。Debug/Release 各 262 项单测、`lintDebug` 和 Debug/Release + APK 构建通过；单测证明 flush 成功、失败、session 失效、`RECONCILED`、 + `reconciliationPending` 和拼多多协调器零调用边界 +- 后端测试：T-226 至 T-245 已运行 `go test ./...`、`go test -race ./...`、`go vet ./...` + 和三个 Go 入口构建；T-227 增加 Go source 的伪 ERP 会话预检、完整单号、日期分页去重、 + 详情 allowlist 和稳定错误码覆盖；根 `init.ps1` 的 Android 测试/Debug APK 与 Go 标准 + 验证也通过，均未访问真实 ERP； + T-248 再次通过上述 Go 全量检查和三个入口构建，并覆盖候选增量快照、最终状态切换及 + 完成后旧快照拒绝；T-249 同样通过 Go 全量检查和三个入口构建，并覆盖安全重试、 + 幂等重放、下单信号阻断、审计历史和 v20 上下迁移； + T-258 通过 `GOTOOLCHAIN=local go test ./...` 和根 `init.ps1`，覆盖单个 + `EXACT_MATCH`/`FALLBACK` 完成快照，并回归候选数量上限、轮次归属、混合互斥和 + `goods_id` 去重；既有设备结果流继续覆盖证据 hash 冲突和最终状态切换； + 覆盖 v14 上下迁移、7 天切窗、水位重叠、中途失败、空窗口、重复页、来源 revision、 + 水位事务/不回退、Admin API/SSR 和 Go source 严格响应窗口；未访问真实 ERP +- 原型：4 个管理 Web 页面和 7 个 Android 页面均可离线独立打开；Playwright + 以 1440×900、390×844、360×800 验证 36 个页面/视口组合，无页面横向溢出、 + 脚本错误或外部请求，Android 可见交互控件均不小于 44px +- 管理 Web：真实 Gin/SQLite 流程已完成图片上传、任务创建、列表、详情参考图和 + 非终态取消；执行中只显示“请求安全停止”，ADMIN 登录/退出和安全返回路径已接入， + 货运列表/导入/详情在 1440×900、390×844、360×800 无横向溢出或页头重叠 +- 货运管理展示：列表按外部商品 ID 确定性展示第一条当前商品的 56px 代表图、标题和 + 总项数；详情展示 84px/移动端 72px 本地图片、单一规格 SKU、数量、TWD 原始单价、 + 图片状态和采购操作。Playwright 已在 1440、768、390、375 四档宽度验证无横向溢出、 + 破图、遮挡和控制台错误。ERP 缺失图片媒体类型时，JPEG/PNG 使用标准嗅探，WebP 使用 + 严格文件签名，再由 asset store 完整验证并保存为本地归一化 JPEG。 +- 货运本地删除：详情页二次确认后调用 CSRF 保护的 SSR POST，JSON API 提供幂等 DELETE； + 删除事务覆盖全部历史商品并清理无引用的 `BLOCKED`、`NEEDS_IMAGE`、`SOURCE_CHANGED` + 采购草稿；已绑定参考图或采购任务分别返回稳定冲突，任务优先。提交后以有界预算清理 + 缓存 JPEG。真实隔离服务已验证草稿随货运单删除后列表为空；顺运宝 ERP 未被调用。 +- 鉴权：bcrypt 密码、30天管理 session、30天 App access token 和设备 secret + 均不明文落库；设备首次绑定原子化，禁用/过期/撤销每次请求重新检查；管理/App + 登录各自按来源地址执行内存有界限流，账号和设备支持 `authctl` 启停 +- 生命周期：设备 heartbeat 记录三个版本、两个就绪位和服务端活跃任务；claim 使用 + client-generated 256 bit token + 独立幂等 key、SQLite immediate transaction、 + 10 分钟 CLAIMED/默认 30 分钟运行授权和 2 分钟 readiness TTL。start/heartbeat/release/ + cancel-ack、过期回收、跨连接并发唯一领取、管理安全停止与 task-scoped 参考图均 + 已实现；运行授权允许配置 5-120 分钟并显式返回截止时间，过期状态同步不延长旧 + 授权；原 claim token/hash 不进入响应或日志 +- Android 后台采购：新增独立“任务”入口、BUYER/设备登录、Keystore-backed 加密 + 状态、严格 HTTPS/Debug loopback 地址策略、`HttpTaskSource`、参考图校验、手动领取、 + 预览/start 二次确认、release、30 秒前台 heartbeat、有限离线、`SAFE_STOPPED`、 + 取消确认和进程恢复；后台任务不读取或覆盖本地 VLM provider +- 登录重试：采购登录失败、本地校验失败或网络失败时保留当前页面输入，只有成功才清理 + Compose 内存中的密码和设备密钥；敏感值不新增持久化或日志路径 +- T-207 结果闭环：`execution_events`、受控截图、候选批次、模型出处、人工结论与 + 失败记录均按 execution 存储；Android 使用加密 outbox 按事件、截图、候选和终态 + 顺序回传，授权到期补报单独审计，所有终态固定 `order_submitted=false`。管理任务 + 详情展示模型/候选/人工理由/事件/证据摘要，不保存 VLM Key、完整 endpoint 或原始响应。 +- T-208 决策数据：候选批次同事务规范化为 search run、原始 observation、逐项 + model evaluation 和确定性 recommendation；模型拒绝项不再被过滤或重排。App 在 + COMPLETE 前提交幂等 HUMAN_REVIEW，接受项和其余拒绝项均有结构化理由；修订按 + supersedes/version 追加。Admin/API 分区显示 observation、prediction、 + recommendation 和完整人工 review 历史。 +- T-211 图片检索：后台任务固定使用经 SHA-256 校验的参考 JPEG，经一次性 MediaStore + 图片进入拼多多拍照搜索；App 本地从 SKU 唯一提取颜色和尺码，schema v3 逐项返回 + `MATCH/MISMATCH/UNKNOWN`。实际曝光的 `0..5` 项全部按原 ordinal 回传；只有两项 + 均匹配且分数/置信度不低于 `0.75` 的候选能成为确定性 recommendation。 +- T-213 规格核验：`DISCOVERY_INSPECT` 可从唯一“免拼购买”进入规格弹层，按任务 + SKU 唯一选择颜色/尺码并复核 selected/已选摘要，最多滚动 2 次；严格保存单一 + 人民币组合价和详情/规格双证据，并允许明确的“首件￥金额”当前单件价。区间、 + 券后、对照促销、冲突或缺失价格降级 `UNKNOWN`，直达订单确认页只系统返回。候选 + 探查不能加入购物车、提交订单或触发支付。 +- T-214 候选身份：App 回传卡片/详情语义签名和详情/规格双证据 hash；后端逐一核对 + 已上传 asset 后，在 v7 表中生成 execution-scoped `candidate_key`。Admin API/Web + 展示 key、指纹、原始 observation、模型/人工结论和截图；缺少真实平台 URL 时保持 + 空值，后端不请求第三方 URL。 +- T-215 下单授权：非空候选回传原子进入 `WAITING_CONFIRMATION`；Admin 按 + candidate key 选择并为全部候选填写结构化理由，服务端在同一事务追加人工 review、 + 不可变授权快照、事件和幂等记录。领取前可按版本改选，已投递后禁改；页面明确仅 + 授权创建设备端待付款订单，不授权付款。 +- T-216 设备命令：App 在 heartbeat 后主动拉取同一条不可变授权，严格校验跨端 + canonical hash、任务内容和候选四组指纹，先写 Keystore-backed 状态再幂等 ACK。 + 网络响应丢失和进程重启复用同一 ACK key；后台候选不再允许手机本地选择或重复 + 采集。本任务只同步授权，未打开拼多多或执行下单。 +- T-217 订单 dry-run：App 自动用参考图重新搜索并以旧 card/detail 指纹、标题、 + 唯一颜色/尺码、数量和预算重新核验 Admin 选择；确认页 WebView 折叠时使用端上 + 中文 OCR 做只读 fail-closed 证据提取。后端保存 v10 READY、截图、SKU、数量、 + 单价/总额和事件；无障碍动作集中不含订单提交或支付。 +- T-218 单次提交：后端先创建唯一 submission fence，App 点击前持久化 + `CLICK_ASSUMED`，最多点击一次精确“提交订单”；进程/网络不确定和租约到期后只 + 回读待付款订单或转人工，绝不重复提交或点击支付。v11 保存围栏、幂等操作、订单号/ + 时间、证据和审计事件，唯一对账后才写 `order_submitted=true`。 +- T-219 待付款提醒：Admin API/SSR 按任务鉴权读取 submission，区分围栏中、人工 + 对账和唯一对账成功；成功态展示完整订单号、平台时间、授权 SKU/数量/金额及受控 + 证据，只提醒采购员打开拼多多人工核对付款。Roubao 显示相同终态；Web/App 均没有 + 付款、重复提交或自动支付动作。隔离数据库真实 SSR 已通过三个响应式视口验收。 +- T-220 至 T-228 ERP 来源：字段契约已固定 stock/detail/item 外部身份、PII 最小化和 + 缺图边界；Go API 以受锁内存会话完成受控验证码登录，并直接按完整单号或日期范围查询 + allowlist schema。T-229 仅允许 API 从当前目录 `.env` 回退读取三个 ERP 配置，且不会 + 改写进程环境或加载其他配置。旧 Python Connector、8091 端口和共享服务密钥已删除； + 未访问线上 ERP。 +- Workflow：纯 Kotlin runner 已支持步骤 timeout、最多 3 次 retry、安全阻塞、 + 用户停止和单 runner 并发拒绝；T-102 已接入搜索加有界候选采集五步 +- TaskSource：严格 CLI 已生成并验证真实私有 ProbeTask；默认 APK 不含私有 fixture +- VLM：需求提取与候选评估均使用严格 schema、0.75 阈值、受控证据源、安全端点和 + 单次调用边界；候选最多 5 个并按 ordinal 串行评估，本地产生建议并停在人工确认， + SKU/数量由本地原值回填，颜色/尺码硬约束由本地生成，预算保持空，订单提交状态固定 + 为 false +- VLM 部署决策：手机本地调用已配置的 OpenAI 兼容 provider；管理后端只负责身份、 + 任务控制和结果审计，不保存/代理模型。T-207 保留 Roubao 独立模式并把端上 Key + 迁移到 Keystore-backed 加密存储 +- 离线执行：默认 30 分钟有限授权和 30 秒 best-effort heartbeat 已实现；PKG110 + 真机断开临时后端 95 秒后保持同一 execution，重连后滑动续期；到期持久安全停止， + RUNNING 不自动重新分配 +- 测试设备：OnePlus PKG110，Android 16/API 36；已安装包含 T-253 的肉包 + `1.4.18 (23)` Debug APK；拼多多 `8.17.0 (81700)`。覆盖安装后已正常启动， + 采购无障碍、悬浮窗、通知和 Shizuku 权限均保持启用 +- 设备就绪：拼多多首页、文字/图片搜索、双列候选卡、详情截图和返回均已通过 8.17.0 + 真机验证；ColorOS 在 T-246 覆盖安装时曾移除肉包采购无障碍，T-251 覆盖后授权仍 + 启用，因此每次覆盖安装后都必须复核该系统授权 +- 拼多多 8.17 兼容：结果页可识别新版显示查询词的文本搜索栏和“推荐、手机、女装”等 + 分类栏，也保留旧版“综合、销量、价格、筛选”识别；长任务搜索词的拼多多省略显示须 + 至少两个按序片段对应原词才通过。每次候选探针会重写本次搜索词，不复用已有结果页。 + PKG110 真机已验证确认结果页完成、5 份候选证据采集、详情截图及返回结果页；未进入 + 下单或支付页面。 +- 版本控制内测试数据：仅有脱敏、运行时生成的单元测试 fixture；没有真实订单内容 +- 本地私有样本：仓库根目录存在一组未跟踪、已本地排除的同名蝦皮文本/JPEG； + 已用 CLI 真实导入并逐字段/图片哈希验证，生成物位于被忽略的 `.local/` +- 标准启动路径：`$env:RUN_START_COMMAND="1"; .\init.ps1` +- 标准验证路径：`.\init.ps1` +- 当前 blocker：当前真机确认页缺少已配置收货地址且显示 + “立即支付/先用后付”，T-218 已按合约证明不创建围栏、不点击。不能为测试自动添加 + 地址或跨过付款边界。真实 VLM 服务地址、模型、 + 设备级测试凭证、成本上限和数据留存尚未确认；当前只支持单 SKU/JPEG；候选探针 + 截图要求 Android 11/API 30+。T-258/T-259 仍需在测试设备验证 execution + `9c634321-7f77-49d9-9444-3ccd2104c104` 的既有 outbox 自动上传后进入 + `WAITING_CONFIRMATION`，并确认候选出现在 Admin 确认区且事件标注为授权到期后补报 + +## 当前目录 + +| 路径 | 状态 | 说明 | +| --- | --- | --- | +| `AGENTS.md` | 已有 | agent 权威入口 | +| `docs/` | 已有 | Harness Coding 文档 | +| `docs/tasks/T-001.md` | DONE | Android 可构建、可安装、可启动基线 | +| `docs/tasks/T-002.md` | DONE | 设备版本、无障碍、前台和登录阻塞就绪检查 | +| `docs/tasks/T-003.md` | DONE | 可注入 Fake automation 的受限 workflow runner | +| `docs/tasks/T-004.md` | DONE | 私有蝦皮文本/JPEG 严格导入和 Debug TaskSource | +| `docs/tasks/T-101.md` | DONE | 固定脱敏词拼多多搜索和结果页真机验证 | +| `docs/tasks/T-102.md` | DONE | 最多 5 个候选详情截图、证据 manifest 和结果页返回 | +| `docs/tasks/T-103.md` | DONE | 私有任务需求 schema、硬约束、隐私边界和 VLM 适配器 | +| `docs/tasks/T-104.md` | DONE | 动态搜索、候选严格评估、本地建议和人工确认点 | +| `docs/tasks/T-201.md` | DONE | Go-Gin、SQLite、Goose migration 和健康检查骨架 | +| `docs/tasks/T-202.md` | DONE | 生成并确认 P0 Web/App 低保真原型 | +| `docs/tasks/T-203.md` | DONE | 图片/任务 API、SQLite 业务层和 SSR 管理 Web | +| `docs/tasks/T-204.md` | DONE | 用户、管理会话和预授权设备联合身份 | +| `docs/tasks/T-205.md` | DONE | 原子 claim、租约、execution 和取消安全确认 | +| `docs/tasks/T-206.md` | DONE | App 领取、默认 30 分钟有限离线执行、恢复和安全停止 | +| `docs/tasks/T-207.md` | DONE | App 本地 VLM、Key 加密、候选、事件、截图和结果回传 | +| `docs/tasks/T-209.md` | DONE | 登录失败保留采购员和设备输入以便直接重试 | +| `docs/tasks/T-210.md` | DONE | 兼容拼多多 8.17 搜索结果页与长词省略显示 | +| `docs/tasks/T-211.md` | DONE | 参考图召回、SKU 颜色尺码硬匹配与 0..5 候选回传 | +| `docs/tasks/T-212.md` | DONE | 修复重排候选、推荐、证据与人工接受的身份映射 | +| `docs/tasks/T-213.md` | DONE | 真机选择目标 SKU、读取组合价并安全返回 | +| `docs/tasks/T-208.md` | DONE | 归一化候选决策数据并增加结构化人工 review | +| `docs/tasks/T-214.md` | DONE | 建立 execution-scoped candidate key 与设备采集指纹 | +| `docs/tasks/T-215.md` | DONE | Admin 按 candidate key 选择并创建不可变待投递授权 | +| `docs/tasks/T-216.md` | DONE | App 主动拉取并先加密落盘再确认同一条下单命令 | +| `docs/tasks/T-217.md` | DONE | 重新核对已授权商品并选择 SKU/数量，停在最终提交前 | +| `docs/tasks/T-218.md` | DONE | 单次提交围栏、最多一次提交动作和待付款订单唯一对账 | +| `docs/tasks/T-219.md` | DONE | Admin 待付款提醒、Roubao 终态和跨端闭环验收 | +| `docs/tasks/T-220.md` | DONE | 顺运宝 ERP 字段契约与凭证安全基线 | +| `docs/tasks/T-221.md` | DONE | 顺运宝精确单号 Connector | +| `docs/tasks/T-222.md` | DONE | 货运信息存储、API 与 Admin 页面 | +| `docs/tasks/T-223.md` | DONE | 待采购需求提取与任务生成 | +| `docs/tasks/T-224.md` | DONE | ERP 日期增量同步 | +| `docs/tasks/T-225.md` | DONE | 冻结 Go 直连 ERP 协议与安全边界 | +| `docs/tasks/T-226.md` | DONE | Go ERP 会话、验证码登录与 Admin 连接页 | +| `docs/tasks/T-227.md` | DONE | Go 直连顺运宝查询接入货运同步 | +| `docs/tasks/T-228.md` | DONE | 移除 Python Connector 并完成 Go 切换 | +| `docs/tasks/T-229.md` | DONE | 从受控 `.env` 加载 ERP 凭证 | +| `docs/tasks/T-230.md` | DONE | OCR 自动登录并移除人工 ERP 连接页 | +| `docs/tasks/T-231.md` | DONE | 显示 ERP/OCR 导入预检稳定错误 | +| `docs/tasks/T-232.md` | DONE | 记录 ERP/OCR 导入预检安全诊断日志 | +| `docs/tasks/T-233.md` | DONE | 修复预检错误映射并增加受控 ERP 诊断日志 | +| `docs/tasks/T-234.md` | DONE | 在受控诊断模式输出 OCR 验证码文本 | +| `docs/tasks/T-235.md` | DONE | 修复顺运宝登录后用户会话校验协议 | +| `docs/tasks/T-236.md` | DONE | 验证码错误时重新取图和 OCR，最多额外重试 6 次 | +| `docs/tasks/T-237.md` | DONE | 完整单号在 55 秒预算内同步导入并可靠收敛终态 | +| `docs/tasks/T-238.md` | DONE | 兼容顺运宝详情分钟精度时间 | +| `docs/tasks/T-239.md` | DONE | 冻结货运规格 SKU、TWD 原始单价和图片引用契约 | +| `docs/tasks/T-240.md` | DONE | 后端受控缓存并鉴权提供货运商品图片 | +| `docs/tasks/T-241.md` | DONE | 优化货运列表代表图与商品采购信息展示 | +| `docs/tasks/T-242.md` | DONE | 受约束删除本地货运快照并保护采购审计 | +| `docs/tasks/T-247.md` | DONE | 修复图片搜索循环并完成两个 SKU 候选回传 | +| `docs/tasks/T-248.md` | DONE | 增量回传准确候选并增加第三轮保底搜索 | +| `docs/tasks/T-249.md` | DONE | 保留原任务身份并为未下单的终态任务提供安全重试 | +| `docs/tasks/T-250.md` | DONE | 缩短三轮图片搜索预算并移除重复内层重试 | +| `docs/tasks/T-251.md` | DONE | 修复候选结果页早判与三轮耗尽后执行不终止 | +| `docs/tasks/T-252.md` | DONE | 修复 Android 16 商品链接读取并回传身份未解析候选 | +| `docs/tasks/T-253.md` | DONE | 修复 PDD ps 分享链接重定向被误判为网络失败 | +| `docs/tasks/T-255.md` | DOING | 候选卡片九条件拒绝归因与 recycler 可见性观测已实现；最终真机复跑待采购人员执行 | +| `docs/tasks/T-256.md` | DOING | 允许少于目标数量的有效候选进入人工确认 | +| `docs/tasks/T-259.md` | DOING | 安全停止后仅补传既有 outbox，自动化继续保持停止；待真机验证 | +| `docs/tasks/T-260.md` | DOING | 设备本地操作节奏和三轮预算已实现；待慢档真机与 Admin 诊断验收 | +| `docs/tasks/T-261.md` | DOING | 技术失败有界清理与规格读取细分已实现；待真机残留现场和 Admin 诊断验收 | +| `docs/tasks/T-262.md` | DOING | 支付边界命中归因五键已实现，判定逻辑不变；待真机复现阻塞与订单确认页对照采样 | +| `docs/tasks/T-263.md` | DOING | 结构判据与文本判据按页面类型收敛已实现，`paymentMarkers`/`hasCheckoutRoot` 不变；待真机复跑与 Admin 诊断验收 | +| `docs/tasks/T-264.md` | DOING | 移除免拼购买兜底、原生订单确认页识别与 `payPage` 归因已实现；待真机验证与 Admin 诊断核对 | +| `docs/tasks/T-265.md` | DOING | T-265 APK 已安装；待真机重跑与 Admin 两个计数核对 | +| `docs/tasks/T-266.md` | DONE | 将新签发设备 Bearer token 固定有效期延长为30天 | +| `docs/tasks/T-269.md` | DOING | 商品详情页返回祖先可点识别修复与开 App 有界归位已实现；待真机停在详情页复跑与 Admin 诊断验收 | +| `docs/tasks/T-270.md` | DOING | 状态派生、一次性切回与通知降级已实现并完成显式返回 smoke；待真实终态自动触发验收 | +| `docs/tasks/T-271.md` | DOING | 移除候选卡片过滤 hasImage 否决权，`rejImage` 改为观测计数，其余七项判定不变；待真机验证与 Admin 计数核对 | +| `docs/tasks/T-272.md` | DOING | 规则优先并使用 Roubao 本地 VLM 有界兜底选择、最终同时复核颜色和尺码 | +| `docs/tasks/T-273.md` | DONE | 设置页用固定测试图单次验证本机模型配置并显示稳定失败分类 | +| `docs/tasks/T-274.md` | DONE | 临时候选 locator 唯一消歧重复标题签名并细分节点打开失败 | +| `docs/tasks/T-275.md` | DONE | 拆分超长候选事件、修复旧 outbox，并正确处理不可重试的后台拒绝 | +| `docs/tasks/T-276.md` | DONE | 将候选图片搜索收敛为两轮：第一轮检查 6 个，第二轮检查 2 个并保底 | +| `docs/tasks/T-277.md` | DONE | 使用裁剪节点 JSON 和本机 VLM 兜底规格选择、SKU 摘要及拆分价格 | +| `docs/tasks/T-278.md` | DONE | 任务价格为空时使用后端冻结的低价总额上限，并按实际规格价格复核 | +| `docs/tasks/T-279.md` | DONE | 跑通 Admin 确认商品后的身份复核、规格/价格兜底和待支付下单 | +| `docs/tasks/T-280.md` | DONE | 安全停止后通过控制面心跳确认后台取消并清理本地任务 | +| `docs/tasks/T-281.md` | DONE | 修复首轮规格 AI 兜底、空价格调用和带标签价格解析，并写入本地采购诊断记录 | +| `docs/design/` | 已确认 | T-202 原型索引、4 个管理页和 7 个 Android 页面 | +| `deepseek总结.txt` | 已有 | 历史讨论摘要，不是正式需求权威 | +| `android-buyer/` | 已有 | Roubao `main` 固定 commit 的 Android 基线 | +| `android-buyer/task-contract/` | 已有 | Android/CLI 共享 ProbeTask 与 TaskSource | +| `android-buyer/tools/shopee-importer/` | 已有 | 开发机私有 fixture 导入 CLI | +| `backend-api/` | 已有 | Go-Gin 任务 API、SQLite、图片存储、管理 Web 和 migration | +| `init.ps1` / `init.sh` | 已验证/待跨平台 | Windows 同时验证 Android/Go；Unix 入口待 Linux/WSL 复核 | + +## 任务摘要 + +- 已完成：T-001 至 T-004、T-101 至 T-104、T-201 至 T-219。 +- 已完成：另含 T-220 至 T-242 ERP 契约、货运存储、采购需求生成、日期增量同步、Go + 直连协议、OCR 会话预检、稳定预检错误、安全诊断日志、直连 `FreightSource`、旧 Connector + 清理、受控本地凭证加载、同步单号导入、分钟时间兼容、货运商品元数据契约、本地图片缓存、 + 货运管理展示优化和受约束本地删除。 +- 已完成：T-247/T-248 图片搜索状态机、execution-scoped 三阶段门禁、SKU 硬匹配、 + 准确候选增量快照、第三轮两个默认结果保底、受限分享链接解析和 1 至 3 秒动作停顿。 +- 已完成：T-249 保留同一 ERP 商品 revision 的单一采购需求/任务身份，为未触发下单 + 围栏的 `FAILED/CANCELED` 任务增加带原因、审计和幂等保护的安全重新执行；任何下单 + 状态不确定的任务继续禁止重试。 +- 已完成：T-250 将前两轮图片搜索限制为每轮 150 秒、第三轮 95 秒，配套收紧候选 + 检查和滚动数量并移除候选步骤内部重复重试；三轮步骤预算合计 395 秒。 +- 已完成：T-251 在结果页外壳出现后最多等待 10 秒候选卡稳定，细分无卡片、SKU + 不匹配、身份未解析和未找到目标，并在第三轮耗尽后复用终态 outbox 结束 execution； + 升级前已耗尽状态也能幂等恢复。 +- 已完成：T-252 使用内部 `exported=false` 前台 Activity 读取 PDD 复制链接，按 + 分享、复制、前台中继、剪贴板权限、链接格式/网络和身份冲突细分失败；规格已核验 + 但身份未解析的商品最多保留两个诊断观察，终态前与 resolved 前缀一并回传但不能 + 授权下单。确定性的剪贴板基础设施故障首轮终止，不再重复三轮。 +- 已完成：T-253 将跳转响应改为优先验证 `Location` 且不读取正文，并把普通响应 + 正文改为最多读取 64 KiB；`goods2.html?ps=` 的小体积 `307` 可直接 + 解析下一跳 `goods_id`，不会因固定长度正文读取抛 `EOFException`。Debug/Release + 各 235 项 App 单测、lint、APK 构建和根 `init.ps1` 均通过。 +- 已完成：T-266 将新签发设备 Bearer token 改为固定30天绝对有效期，API 返回 + `expires_in=2592000`；不迁移既有 token，不滚动续期，禁用和撤销立即生效。 +- 当前 DOING：T-259 已实现安全停止后一次性补传既有 outbox，并保持同步决策为 + `STOP`；最终需在测试设备冷启动 Roubao，验证既有 execution 收敛到 + `WAITING_CONFIRMATION` 且不发生任何拼多多动作。T-260 已实现设备本地节奏设置、 + 成败动作同停顿、轮次预算联动、可行性/60% 授权窗口校验和数值诊断；Debug/Release + 各 272 项单测、lint 和两个 APK 构建通过，最终慢档真机执行仍待采购人员完成。 + T-261 已实现技术失败后的关闭规格弹层/返回结果页清理、规格读取失败细分和追加诊断； + 安全停止零清理，清理中遇风控或支付边界立即中止，原技术失败码不变。Debug/Release + 各 282 项单测、lint 和两个 APK 构建通过，最终真机复现与 Admin 诊断核对待完成。 + T-265 已恢复安全入口之后的唯一「免拼购买」入口，订单确认页只允许返回并跳过当前 + 候选，新增两个尾部诊断计数；Debug/Release 各 336 项单测、`lintDebug` 和两个 APK + 构建通过，待设备连接后完成真机与 Admin 验收。 + +## 当前可运行内容 + +```powershell +.\init.ps1 + +$env:RUN_START_COMMAND = "1" +.\init.ps1 + +Set-Location backend-api +$env:GOTOOLCHAIN = "local" +go run ./cmd/migrate up +$env:CMROUBAO_AUTH_PASSWORD = "至少 5 个 UTF-8 字节" +go run ./cmd/authctl create-user ADMIN admin +Remove-Item Env:CMROUBAO_AUTH_PASSWORD +$env:CMROUBAO_AUTH_PASSWORD = "账号新密码，至少 5 个 UTF-8 字节" +go run ./cmd/authctl reset-password admin +Remove-Item Env:CMROUBAO_AUTH_PASSWORD +go run ./cmd/api +``` + +2026-07-25 已在 PKG110、Android 16/API 36、拼多多 8.17.0 上完成 Debug APK +固定词搜索和 5 个候选采集。默认首屏为候选探针，用户点击后五步全部完成，5 张 +匿名 PNG 与 manifest 哈希一致并返回结果页；logcat 无崩溃或 ANR。 + +同日用显式私有 fixture 和一次性本机 OpenAI 兼容 mock 完成 T-103 Android smoke： +只发出 1 次 POST 和 1 张 JPEG data URL，请求不含订单/店铺字段或数量键；严格响应 +进入 READY，UI 保留原 SKU/数量、空预算和警告。恢复无密钥 provider 后失败状态会 +清空旧结果；设备原 API provider 设置已恢复。该 smoke 只证明集成与隐私边界，不 +代表真实 VLM 提取质量；真实凭证调用未执行。 + +同日完成 T-104 真机 smoke：结构化需求搜索词驱动拼多多搜索并采集 5 份候选证据， +本机 mock 精确收到 5 次按 ordinal 排序的单图 POST；请求未包含订单、店铺、本机 +路径或数量字段。严格评估进入“等待人工确认”，人员可标记建议候选可用或拒绝， +`order_submitted` 始终为 false；日志敏感词、Base64、原始响应和 schema/prompt +命中均为 0。该结果不代表真实模型的商品匹配质量。 + +2026-07-27 完成 T-211 真机 smoke：PKG110 上从后台任务下载并校验参考 JPEG，写入 +一次性匿名 MediaStore 图片后进入拼多多拍照搜索并选择该图。App 完成 4 个有界候选 +详情和证据采集并以 `PDD_IMAGE_SEARCH` 回传后台；不足 5 个未凑数，临时图库图片在 +流程结束后删除。验证期间修复相机自动结果页竞态和 MediaStore volume URI 差异； +测试任务随后取消，全程未进入购物车、订单或支付。真实 VLM provider 尚未参与本次 +smoke，当前结论只覆盖图片召回、严格契约和回传链路。 + +同日完成 T-201 后端 smoke：本机迁移执行 `status -> up -> up -> down -> up`， +第二次 `up` 应用数为 0；API 真实进程的 `GET /healthz` 返回 `200` 和稳定 JSON， +未知路由返回 `404`，错误方法返回 `405`，无默认 CORS，stdout/stderr 均为空。 +`http.Server.Shutdown` 由集成测试验证在 1 秒预算内结束。当前 Windows 没有可用 WSL +发行版，因此 `init.sh` 未实际运行；Windows 标准入口已验证。 + +2026-07-26 完成 T-203：新增两条业务 migration、图片规范化存储、任务领域/用例/ +SQLite 仓储、管理 API 和 SSR Web。创建/上传幂等，列表稳定分页，详情可读取同源 +规范化参考图，只有 `PENDING` 可取消。T-204 前业务路由仅限 loopback，Web 写操作 +使用双提交 CSRF；这不是正式鉴权。真实 HTTP/Playwright 和 migration CLI smoke、 +99 个 Go 测试、全包 race/vet、Windows 构建与根 `init.ps1` 全部通过。 + +2026-07-26 完成 T-204：新增 users/devices/admin_sessions/access_tokens 与任务 actor +migration、bcrypt 密码、opaque 凭证、`authctl`、管理登录/退出和 App 联合认证。 +ADMIN Cookie 与 BUYER 设备 Bearer token 完全隔离；非 loopback 监听必须配置内建 +TLS。真实 SQLite/Gin smoke 验证 migration up/down/up、账号/设备预置、App token、 +管理登录、任务创建 actor 和退出；Playwright 在 1440×900、390×844、360×800 +验证无横向溢出，发现并修复退出路由漏装配及 T-203 旧 CSRF Cookie 路径兼容问题。 +142 个 Go 测试、全包 race/vet、Windows 三入口构建与根 `init.ps1` 均通过。 + +2026-07-26 完成 T-205：新增设备 readiness、claim/execution/lifecycle migration， +实现 client-generated claim token 安全重放、跨连接原子领取、CLAIMED/运行租约、 +start/heartbeat/release、管理取消请求、App cancel-ack 和当前 claim 参考图授权。 +真实 TCP 并发测试验证同设备同时 claim 只有一个成功；迁移 CLI 完成 +`status/up/up/down/up`。Playwright 连接真实服务验证管理任务详情在 1440×900、 +390×844、360×800 无横向溢出、破图或取消弹窗重叠；执行中安全停止文案由 SSR +测试覆盖。192 个 Go 测试、全包 race/vet、Windows 三入口构建和根 `init.ps1` +全部通过。 + +2026-07-29 完成 T-246 代码：App 登录且 readiness 通过后每 10 秒自动检查任务， +自动 claim、等待参考图稳定窗口并 start；本地 VLM 配置完整时串联需求提取、图片搜索 +和候选评估，否则使用确定性 SKU 硬约束。候选只在语义或本地 OCR 得到唯一 +`goods_id` 后回传，后台保存规范 PDD URL、标题、SKU、价格及两张本地证据图。 +Admin 选中后，schema v2 命令把商品 ID/URL 纳入不可变授权和 SHA-256，App 定向打开 +该商品并复核后沿用 T-218 一次提交围栏和待付款订单对账。后台 heartbeat 可原子清理 +已请求取消且租约过期的旧任务。`go test ./...`、race、vet、三个 Go 入口构建、 +Android 单测、Debug/Release 构建均通过；Debug APK 已覆盖安装到 PKG110。为避免在 +服务端应用 v18 前触发真实采购，本次未自动启动 App，真实 PDD 页面 smoke 待启动后 +执行。 + +## 维护规则 + +发生以下变化时覆盖更新本文： + +- 初始化 Git 或接入上游代码。 +- 获得首个可复现 Android 构建、安装或启动命令。 +- 建立后端和真实测试命令。 +- 设备、拼多多和 VLM 基线确定。 +- 项目阶段、目录或 blocker 变化。 + +任务的详细状态、验证和决策写入 `docs/tasks/T-<编号>.md`，本文只保留快照。