实现内置虎牙扫码登录与绑定 Connector

docs/统一订单履约与财务模型-权威版.md

@@ -3,7 +3,7 @@ type: 权威架构与实施计划
 description: 订单、内部 SKU、履约路由、履约执行、商品、成本与财务的唯一权威口径及重构计划。
 tags: [订单, 内部SKU, 履约, 商品, 成本, 财务, 迁移]
 status: authoritative
-version: 2.7
+version: 2.9
 updated_at: 2026-11-09
 ---
 
@@ -12,7 +12,7 @@ updated_at: 2026-11-09
 > 状态：**唯一权威文档**。
 > 最后校准：2026-11-09。
 > 生产基线：迁移 `151`。
-> 开发基线：迁移 `153`（仅本地，尚未部署生产）。
+> 开发基线：迁移 `155`（仅本地，尚未部署生产）。
 >
 > 从本文件生效起，订单、内部 SKU、履约渠道、履约载体、标准商品、成本和财务相关实现，
 > 只能以本文件为业务口径。其他旧分析只作为历史资料，不再具备设计或验收效力。
@@ -286,8 +286,13 @@ manual fulfillment
 - 是否启用半自动履约由 `manual_fulfillment_configs.semi_auto_*` 显式配置，不能按商品名或平台前缀猜测。
 - 半自动任务必须绑定 `order_item_id`、`fulfillments.id` 和人工履约配置，不得伪造接单平台工单。
 - 登录状态、绑定状态、执行状态必须正交保存于 `semi_auto_tasks`；不得写入 `material_json` 作为正式状态。
-- 平台 CK 只能由外部 Connector 的短期凭证域托管；order_site 不保存、不返回、不记录原始 CK。
-  第一版 Connector 为单进程内存会话，重启即失效；多实例部署必须迁移到 Redis 或加密凭证存储。
+- 平台 CK 只能由 Connector 的短期凭证域托管；order_site 数据库不保存、不返回、不记录原始 CK。
+  默认真实 Connector 内置于 order_site 进程，远程 Connector 仅是可选隔离部署方式；两者均为进程内存会话，
+  重启即失效。多实例或多副本部署必须迁移到 Redis 或加密凭证存储。
+- 半自动任务通过 `connector_mode` 显式记录 Connector 来源：
+  `embedded` 为 order_site 内置真实实现并作为默认值，`external` 为显式配置的远程真实实现，
+  `mock` 为 order_site 内置开发 Mock 且仅在非生产环境可用。开发 Mock 造单时默认选择 `embedded`，
+  只有需要完全脱离虎牙接口联调页面时才显式选择 `mock`。
 - 虎牙二维码登录有效期 `5` 分钟；登录成功后的 CK 会话有效期 `24` 小时；角色绑定二维码 `5` 分钟；
   浏览器一次性注入票据 `2` 分钟且消费后立即失效。重新登录前必须撤销旧 Connector 会话。
 - 浏览器扩展复用 live-hub-py 的 `web/extension/huya-exchange-helper`，不新增第二个扩展；
@@ -926,8 +931,9 @@ docs/archive/
 
 ## 十三、当前下一步
 
-截至 2026-11-09，生产基线为 `151`，本地开发基线为 `153`。迁移 `152` 保护订单来源快照，
-迁移 `153` 增加人工渠道半自动任务。后续顺序固定为：
+截至 2026-11-09，生产基线为 `151`，本地开发基线为 `155`。迁移 `152` 保护订单来源快照，
+迁移 `153` 增加人工渠道半自动任务，迁移 `154` 增加半自动任务的 Connector 来源，
+迁移 `155` 将内置真实 Connector 设为默认并扩充来源约束。
 
 1. 生产升级只按 [生产升级操作手册](生产升级操作手册.md) 执行。
 2. 升级前备份必须完成隔离恢复验证；恢复验证未通过时禁止迁移。