feat: 接入远程订阅策略门禁 T-705

docs/routes.md

@@ -27,14 +27,15 @@
 
 ## 会员订阅接入
 
-- 当前开发版本启用真实查询和强制门禁：`SUBSCRIPTION_CHECK_ENABLED = True`、`SUBSCRIPTION_ENFORCEMENT_ENABLED = True`。查询期间以及未配置 Key、Key 无效、账号禁用、未订阅、到期、撤销或暂时不可用时，只保留「设置」Tab并阻止新的产品请求；有效、宽限或旧服务兼容状态恢复工作流。
-- 强制升级检查完成、主窗口显示后，后台用 `data/config/cmhub.json` 的 API Key 请求 `GET /api/v1/cmshopee/subscription/status`；不会阻塞 Qt 主线程或把 Key 放入 URL、状态栏、日志和错误提示。
+- 启动 HTTPS 版本接口同时返回顶层 `client_policy`，本次运行据此确定 `off/observe/enforce`。有效策略缓存到 `data/config/client_policy.json`；接口失败、字段缺失或非法时优先用缓存，无缓存回退观察模式。策略只在下次启动刷新，设置保存和手动重检不改变本次模式。
+- `off` 不请求订阅状态、不弹会员处理窗口、不限制业务功能，设置页入口显示「会员检测暂未启用」并禁用；`observe` 后台查询并展示账号/套餐/有效期，但不锁 Tab、不拦截新提交、不弹强制窗口；`enforce` 查询期间及真实权益无效时只保留「设置」Tab，并阻止 AI生成、AI帮写和商品套图的新提交。
+- 需要查询时，主窗口显示后后台用 `data/config/cmhub.json` 的 API Key 请求 `GET /api/v1/cmshopee/subscription/status`；不会阻塞 Qt 主线程或把 Key 放入 URL、状态栏、日志和错误提示。强制模式只认服务端 `real_entitlement_allowed=true`，不根据展示状态或 `allowed` 兼容字段推断放行。
 - 干净安装默认网关地址内置为 `https://cm.833729.com`。检测到 Key 缺失时不把零基础用户直接丢进技术设置，而是显示窗口级模态框「激活蝦皮圈优化助手」：只收集“会员 API Key”，提供显示/隐藏、验证、前往官方会员中心和退出。输入值先由 worker 在内存中验证；Key 无效或网络失败不落盘，服务端未拒绝凭据后才写入 `data/config/cmhub.json`。关闭激活窗口等同退出程序，后台业务 Tab 始终不可操作。
 - 首次激活成功后显示四步使用清单“添加店铺账号 → 人工登录 Chrome → 导入 Excel → 采集/生成/更新”。「开始配置店铺」进入账号管理，「稍后提醒」仅延后到下次启动，「不再提示」停止提示。该状态只存 `onboarding.first_use_guide_state`；默认空值不触发，因此已有 Key 的存量用户不会被误弹新手引导。
 - Tabs 上方不保留应用内标题或会员状态行。Windows 原生标题默认只显示应用名称；订阅有效时追加“账号名 · 套餐名 · 有效至日期”，宽限期追加宽限截止日。检测中和其他状态立即恢复纯应用名称并在底部状态栏显示脱敏中文结果。标题不得展示 API Key、接口地址、会员中心地址、通知标识或原始错误。
-- 本次程序运行中首次进入 `expired` 时，先应用门禁并切换「设置」，再弹出「会员套餐已过期」。安全 `manage_url` 可通过系统默认浏览器打开；地址缺失时跳转按钮禁用。重复过期检查不重弹，恢复有效后再次到期才重弹；「退出程序」沿用正常关闭和未保存设置确认。
-- 设置页底部提供「重新检测会员状态」；检测期间按钮禁用并显示运行状态。它只通知主窗口复用现有异步检查，保存 cmhub 设置后的自动重查和陈旧线程结果隔离保持不变。
-- 当前服务端未部署订阅接口时，`404` 视为旧服务兼容：底部状态栏显示“会员服务尚未启用”，六个工作流继续按旧行为运行，不弹阻断窗口。网络或格式错误显示“暂时无法确认会员状态”，不能误报为 Key 无效或会员到期。
+- 强制模式按原因处理：缺 Key 或 Key 无效打开会员 API Key 激活窗口；未开通、到期、撤销兼容状态和账号不可用分别显示对应中文窗口；接口/网络/格式异常显示「暂时无法验证会员状态」，不得描述成未付费。窗口提供适用的会员中心、重新检测、打开设置和退出操作；同一状态连续结果只提示一次，恢复真实权益后才允许同类状态再次提示。
+- 设置页底部提供「重新检测会员状态」；检测期间按钮禁用并显示运行状态。它只通知主窗口复用现有异步检查，保存 cmhub 设置后的自动重查和陈旧线程结果隔离保持不变。远程 `off` 时按钮保留但禁用，避免用户误以为检测失败。
+- 订阅接口 `404` 只作为旧服务兼容状态展示，不再在强制模式中代表真实权益；网络或格式错误同样不放行，但必须明确是验证不可用而不是会员到期。服务端产品接口始终独立校验授权，客户端策略开关不是授权凭据。
 - ② AI生成、⑥商品套图和「AI帮写」继续调用同一订阅预检入口；非允许状态不创建新 worker/job。cmhub 产品接口仍是最终授权方；已提交异步任务的查询、下载、历史、预览和导出不因会员状态变化中断。
 
 ## 全局 Tab 栏可用性
@@ -122,7 +123,7 @@
 - 筛选行提供「打开图片文件夹」按钮，用于只读打开本地图片目录：选中某行时打开该商品所在账号图片文件夹（优先打开已有新/旧封面文件的真实父目录，缺失时回退到规范账号目录）；未选行且选择具体批次时打开该批次图片文件夹；未选行且为全部批次时打开图片根目录。目录不存在只中文提示，不自动创建目录，不修改任务状态。
 - 右下：任务列表（店铺名、商品id、旧标题、新标题、标题状态、图片状态）+ AI生成运行日志；标题/图片状态由 `new_title`、`new_cover_path`、`stage/status` 和失败步骤推导，帮助用户区分“标题未生成 / 图片未生成 / 标题成功但图片失败”。商品ID列按原等分宽度约 50% 显示；标题状态和图片状态列在 T-554 基础上再缩到约 33%，缩出的宽度平均给旧标题和新标题。已生成、未提交线上、非运行中的任务可双击「新标题」列本地微调，写回 `tasks.new_title`，清空 `last_error` 并回到可更新；双击其他列弹窗展示旧封面、新封面和历史候选图。
 - 底部**单个「开始生成」+「停止」**，并增加「生成内容」下拉：默认只生成标题，可选只生成封面或生成标题和封面；只生成封面不调用生文，有新标题时优先使用，没有时用已采集旧标题作为封面prompt参考，新旧标题都为空才不纳入。开始前先从真实候选重新分组商品状态，弹出与①共用的纵向范围确认框：默认「生成架上商品」（即仅检测结果为正常的商品），「生成全部商品」为警示橙色描边，还会处理未上架、审核中、状态未知商品，可能额外消耗点数；未上架、审核中、状态未知默认不入队、不请求 AI、不消耗点数，用户明确选择全部范围才可入队。商品状态功能上线前的历史空状态会启动时迁移为默认正常；上线后仍为空的记录按未知处理。范围确认不跨轮记忆，取消或候选在确认期间变化均不启动生成；无异常候选时该警示选项禁用。标题/图片两条进度条右侧分别显示同宽用时标签（`生标题用时 N 秒` / `生图用时 N 秒`），运行中每秒递增，完成/停止后冻结；原图片进度条右侧的失败数和 cmhub 余额不再占用该位置。cmhub 模式会把用户设置的图片并发内部限制到最大 5，并用同样最大 5 的独立下载线程池拉取 `image_url`，不新增用户可见下载并发配置；运行日志显示用户设置并发和实际并发。下拉状态持久化到 `config.json` 的 `ai.generate_mode`，并继续写回旧兼容 `ai.generate_cover`。
-- 点击「开始生成」还会先读取主窗口已验证的会员状态。未订阅、到期、Key 无效或状态暂时无法确认时不创建 `GenerateWorker`，引导到⑤设置或线上会员中心；旧服务订阅接口尚未启用时保持原有生成行为。
+- 点击「开始生成」还会经过主窗口统一会员预检。远程策略为 `off/observe` 时直接放行；`enforce` 时只有 `real_entitlement_allowed=true` 才创建 `GenerateWorker`，未订阅、到期、Key 无效或状态暂时无法确认时引导到设置、激活窗口或线上会员中心。
 - 生成参数（标题/图片并发数、失败重试、分辨率、jpg 质量、cmhub 网关/Key/别名）在 **设置**；②只暴露本轮生成标题/封面/图文的内容模式。设置不新增“下载并发”控件；cmhub 图片下载并发由程序按实际生图并发自动计算，最大 5。
 - 只生成标题时标题成功即写库并进入 `generated`，保留已有封面；只生成封面时通过组件级写库只保存 `new_cover_path`，不覆盖已有标题，也不把旧标题写入空的 `new_title`；生成标题和封面时按缺失组件增量补齐。“有新封面、无新标题”时标题状态为待生成、图片状态为已生成，后续补标题不重复生图。三种模式都写 `run_type=generate` 的 `run_logs/run_log_events` 和用户可读滚动日志；日志开头明确显示本轮生成内容。点击「开始生成」时先清空②界面可见日志并写入本轮开始摘要，运行中只追加本轮日志；不删除历史 `run_logs/run_log_events` 或本地 `data/logs/`。进入页面默认可显示“本轮日志会在开始运行后显示”，历史日志不自动混入当前运行界面。「停止」取消未开始项，可再次「开始生成」对剩余继续。即使用户通过商品状态筛选查看异常商品，也必须在范围确认框主动选择「生成全部商品」才会入队；默认「生成架上商品」不会因筛选而放宽。
 - 「重置生成结果」支持选中任务或当前筛选结果，运行中禁用；确认框提供「重置标题 / 重置封面 / 重置全部」，只改本地 DB，默认不删除本地新封面文件。若范围内包含已提交线上记录，必须提示本地重置不回滚蝦皮，重生成后再更新会再次提交线上。
@@ -237,7 +238,7 @@
 - AI帮写提交图片理解前先显示「开始AI帮写」确认框：按 `source_order` 说明会理解当前商品前1至8张可用原图并生成商品卖点与要求。模型目录只走后台读取或进程内短期缓存；仅当前图片理解别名有唯一无条件价格时显示「预计扣点：X 点」，否则明确实际以网关返回为准。确认框默认、Esc 和关闭均取消，不提交图片；开始后可取消本地等待，但已提交网关的请求仍可能产生扣点。预估不写入业务数据，完成后仍只显示接口返回的实际扣点和余额。
 - 常规「生成套图」保留“已有成功历史”优先确认，选择继续后才后台读取或复用同一模型目录缓存，并显示正式生成确认。确认严格按最终 planned `specs` 展示各分类实际张数、总张数和比例；逐图主图开启时明确白底图只用第一张原图，其他分类按每张原图生成；关闭时所有分类使用第1张主图及同一批冻结参考图。仅唯一无条件的生图价格显示预计单张和总扣点，总价只按 `len(specs)` 计算；价格未知时不显示数字。默认、Esc、关闭、切换任务、取消读取或计划变化均不创建生图 job；单图失败重试和恢复未完成任务不增加这一层批量确认。
 - 商品套图只管理本地图片资产，不自动上传或修改蝦皮；③线上更新边界不受影响。旧 `ImageStudioTab` 留作代码兼容但不再作为主窗口入口。
-- 「AI帮写」和「生成套图」在新提交前共用主窗口会员预检；默认网关或自定义网关直连都一样。继续查询已提交默认网关任务、下载、预览、历史查看和导出不属于新提交，不因会员状态变化中断。
+- 「AI帮写」和「生成套图」在新提交前共用主窗口会员预检；默认网关或自定义网关直连都一样。`off/observe` 放行，`enforce` 只按真实权益放行。继续查询已提交默认网关任务、下载、预览、历史查看和导出不属于新提交，不因会员状态变化中断。
 
 ## 流程导航