docs: 明确任务领取与导入安全规则

统一任务领取规则，current-state 只能展示按 06-tasks 顺序计算出的当前任务，当前下一个任务固定为 T-001。

明确 tests/ 与 unittest discover 的启用时机：T-006 前不因 tests 缺失判失败，T-006 后纯逻辑改动必须补测并运行。

补齐敏感文件和目录清单：config.json、config/ai_models.json、cmshopee.db、chrome_user_data_dir/、images/ 均须 gitignore 且不得提交。

定稿 Excel 导入容错策略：缺必需列拒绝整文件并记录 file_errors，单行脏数据逐行跳过并计入 invalid。

AGENTS.md

@@ -33,7 +33,7 @@ cmshopee 是一个 **Windows 本地桌面自动化工具**：管理多个 Shopee
 ## 安全红线
 
 - 绝不把真实账号、密码、Cookie、token 写进代码、文档或日志；密码/API Key 可在本地配置或 DB 明文保存，但文件必须 gitignore，且不自动登录。
-- `config.json`、`cmshopee.db`、`chrome_user_data_dir/`（含密码/登录态）绝不提交版本库。
+- `config.json`、`config/ai_models.json`、`cmshopee.db`、`chrome_user_data_dir/`、`images/`（含配置、密钥、业务数据、登录态、图片）绝不提交版本库。
 - 「更新」提交线上、删除满 9 张封面等不可逆动作，必须有显式确认；③ 点击「开始更新」后必须弹窗确认，用户确认后才批量更新当前筛选结果。
 - 不绕过 Shopee 的验证码、风控、限流或权限校验。
 
@@ -41,10 +41,12 @@ cmshopee 是一个 **Windows 本地桌面自动化工具**：管理多个 Shopee
 
 ```bash
 python -m py_compile *.py     # 语法检查
-python -m unittest discover -s tests  # 纯逻辑单元测试（tests 存在后）
+python -m unittest discover -s tests  # 纯逻辑单元测试（T-006 完成且 tests/ 存在后）
 python prototypes/demo.py                # 单账号闭环（不提交）
 ```
 
+T-006 前若 `tests/` 不存在，不运行 `unittest discover`，只在回复中说明测试基座待建立；T-006 后纯逻辑改动必须跑该命令。
+
 涉及 CDP 改动，在测试商品（ITEM_ID 51100639510）上实跑确认；如命令不可运行，在回复里如实说明。
 
 ## 风格