feat: 完成T-501c Shopee更新安全开关

新增 shopee_update 配置段，默认关闭真实提交和封面更新，限制测试商品ID、单次最大更新条数，并支持成功后关闭本轮自动新开编辑页。

Tab⑤ 设置页新增 Shopee 更新安全表单；Tab③ 开始更新前先读取安全配置并阻断未授权真实提交、超量、非测试商品和未允许的封面更新。

ApplyWorker 将 close_success_tab 传入 editor.apply_task；editor 仅在提交成功且页面为本轮自动新开时关闭 tab，失败和复用页面保留。

同步架构、API、路由、任务看板、当前状态与 progress 文档；补充 GUI 与 editor 单测覆盖安全设置保存、共享配置读取、安全拦截和 tab 关闭策略。

docs/04-architecture.md

@@ -108,6 +108,13 @@ imported  →  collected  →  generated  →  applied
     "jpg_quality": 90,
     "resolution": "1k",
     "resolution_timeouts": { "512": 180, "1k": 240, "2k": 360, "4k": 600 }
+  },
+  "shopee_update": {
+    "test_item_id": "51100639510",
+    "allow_real_submit": false,
+    "allow_cover_update": false,
+    "max_items_per_run": 1,
+    "close_success_tab": false
   }
 }
 ```
@@ -120,6 +127,16 @@ imported  →  collected  →  generated  →  applied
 - 模型本身的定义（url/key/类型/连接超时…）在 `config/ai_models.json`，见 5.1b。
 - 密钥不在 `config.json`：每个模型的 `api_key` 存于 `config/ai_models.json`，本地明文保存、UI 打码、gitignore、不入日志。
 
+`shopee_update` 段放**真实更新前的安全开关**：
+
+- `test_item_id`：允许真实提交的测试商品 ID；默认 `51100639510`。
+- `allow_real_submit`：是否允许 ③ 创建 `ApplyWorker` 并点击「更新」提交线上；默认 `false`，未开启时 ③ 在确认弹窗前阻断。
+- `allow_cover_update`：是否允许本次更新包含新封面路径；默认 `false`，未开启时只允许标题更新任务。
+- `max_items_per_run`：单次允许更新的最大任务数；默认 `1`，当前筛选结果超过即阻断。
+- `close_success_tab`：成功提交后是否关闭本轮程序自动新开的商品编辑页；默认 `false`。只关闭 `open_product()` 本轮新建且已提交成功的 tab，失败任务和用户原本打开的 tab 保留。
+
+该段不是 V2 dry-run，也不是替代 ③ 确认弹窗的常驻授权；③ 仍必须先通过安全开关检查，再弹窗确认，用户点是后才真实提交。
+
 ### 5.1b AI 模型清单 `config/ai_models.json`
 
 模型定义清单（"有哪些模型"），与 `config.json` 的 `ai` 段（"选了哪个 + 全局参数"）职责分开。
@@ -315,9 +332,11 @@ images/<slug>/<item_id>_new.<ext>    # AI 生成的新封面
 ### 6.3 应用更新（③ Tab）
 
 - ③ 顶部筛选确定本次作用范围；点击「开始更新」后弹窗展示筛选条件、任务数量和“将提交线上”的风险提示。
+- 弹确认前先读取 `config.json` 的 `shopee_update`：未开启 `allow_real_submit`、任务数超过 `max_items_per_run`、包含非 `test_item_id` 商品、或任务含新封面但未开启 `allow_cover_update` 时，直接弹警告阻断，不创建 `ApplyWorker`。
 - 用户点「是/确认」才开始批量更新；点「否/取消」不执行、不改库。
 - 对确认后的**已生成（generated）任务**：`open_product` → `change_title(new_title)`（如有）→ `replace_cover(new_cover_path)`（如有）→ `click_update` 提交。
 - 串行、单条失败继续；每条立即写 SQLite；全部完成回写 Excel（新字段+状态）+ 弹窗汇总。
+- 若 `close_success_tab=true`，且商品页是本轮程序自动新建、并已成功提交，则提交后关闭该商品编辑页；失败任务和复用的用户已有 tab 不关闭。
 
 ### 6.4 登录检测
 
@@ -330,7 +349,7 @@ images/<slug>/<item_id>_new.<ext>    # AI 生成的新封面
 | Chrome 启动参数 | 全关后带 `--remote-debugging-port=<port> --remote-allow-origins=* --user-data-dir=<dir>`；缺 allow-origins 则 WebSocket 403 |
 | 代理干扰 | 清除 `*_proxy`（requests `trust_env=False`），否则连本地 CDP 超时 |
 | WebSocket Origin | `websocket-client` `suppress_origin=True` |
-| 关闭连接 vs 关闭 tab | `CDP.close()` 只关闭 WebSocket；需要关闭浏览器页面时必须调用浏览器 target 关闭接口。采集只关闭本轮自动新建的商品页，复用的用户已有 tab 不关闭 |
+| 关闭连接 vs 关闭 tab | `CDP.close()` 只关闭 WebSocket；需要关闭浏览器页面时必须调用浏览器 target 关闭接口。采集只关闭本轮自动新建的商品页，复用的用户已有 tab 不关闭；③ 仅在设置 `close_success_tab=true`、成功提交、且 tab 为本轮自动新建时关闭 |
 | SPA 就绪 | 不用 load 事件；轮询“标题输入框 + 图片 itembox + 上传输入框”三者都在 |
 | 标题输入框 | XPath `//input[@class='eds-input__input' and string-length(@modelvalue)>24]` |
 | 写标题 | 原生 setter + 派发 `input`/`change`；`value`==`modelvalue`==新值 |
@@ -342,7 +361,7 @@ images/<slug>/<item_id>_new.<ext>    # AI 生成的新封面
 | 更新按钮 | `button.eds-button` 中 `<span>更新</span>`；③ 批量确认后逐条点提交；禁用态（校验未过）记为失败 |
 | 登录检测 | 重定向到登录页或缺 `SPC_ST` → 未登录 |
 
-高风险动作（删满 9 张封面、点更新提交、AI 图上线）先在测试商品验证。注意：本设计无逐条人工审核阶段、无常驻提交开关；③ 点击「开始更新」后必须弹窗确认，确认后才把当前筛选结果中的 AI 标题/封面提交线上。新图本地留档+回写 Excel 是事后追溯手段。
+高风险动作（删满 9 张封面、点更新提交、AI 图上线）先在测试商品验证。注意：本设计无逐条人工审核阶段、无常驻提交开关；③ 点击「开始更新」后必须先通过 `shopee_update` 安全开关，再弹窗确认，确认后才把当前筛选结果中的 AI 标题/封面提交线上。新图本地留档+回写 Excel 是事后追溯手段。
 
 ## 八、推荐开发顺序