新增：半自动履约工作台与虎牙客户授权流程

- 新增 153 半自动履约迁移、后台任务接口与客户履约接口
- 接入虎牙 Connector 登录会话、绑定与一次性 CK 注入票据
- 新增后台半自动履约页面和客户履约入口
- 完善手工履约配置、成本确认事务与运行时连接器配置
- 同步权威文档、环境示例、部署脚本和迁移展示逻辑

docs/统一订单履约与财务模型-权威版.md

@@ -3,7 +3,7 @@ type: 权威架构与实施计划
 description: 订单、内部 SKU、履约路由、履约执行、商品、成本与财务的唯一权威口径及重构计划。
 tags: [订单, 内部SKU, 履约, 商品, 成本, 财务, 迁移]
 status: authoritative
-version: 2.5
+version: 2.7
 updated_at: 2026-11-09
 ---
 
@@ -12,7 +12,7 @@ updated_at: 2026-11-09
 > 状态：**唯一权威文档**。
 > 最后校准：2026-11-09。
 > 生产基线：迁移 `151`。
-> 开发基线：迁移 `152`（仅本地，尚未部署生产）。
+> 开发基线：迁移 `153`（仅本地，尚未部署生产）。
 >
 > 从本文件生效起，订单、内部 SKU、履约渠道、履约载体、标准商品、成本和财务相关实现，
 > 只能以本文件为业务口径。其他旧分析只作为历史资料，不再具备设计或验收效力。
@@ -269,6 +269,36 @@ fulfillment_issues
 
 同一订单项只能有一个当前尝试。历史尝试只追加，不覆盖。
 
+### 3.4.1 人工渠道半自动履约
+
+半自动履约不是新的履约渠道，而是 `manual` 渠道下的辅助执行域：
+
+```text
+manual fulfillment
+  → semi_auto_tasks
+  → 平台登录 / 角色绑定 / 浏览器辅助操作
+  → confirmManualFulfillment
+```
+
+规则：
+
+- `fulfillments.channel` 仍为 `manual`；成本、销售与总账口径不变。
+- 是否启用半自动履约由 `manual_fulfillment_configs.semi_auto_*` 显式配置，不能按商品名或平台前缀猜测。
+- 半自动任务必须绑定 `order_item_id`、`fulfillments.id` 和人工履约配置，不得伪造接单平台工单。
+- 登录状态、绑定状态、执行状态必须正交保存于 `semi_auto_tasks`；不得写入 `material_json` 作为正式状态。
+- 平台 CK 只能由外部 Connector 的短期凭证域托管；order_site 不保存、不返回、不记录原始 CK。
+  第一版 Connector 为单进程内存会话，重启即失效；多实例部署必须迁移到 Redis 或加密凭证存储。
+- 虎牙二维码登录有效期 `5` 分钟；登录成功后的 CK 会话有效期 `24` 小时；角色绑定二维码 `5` 分钟；
+  浏览器一次性注入票据 `2` 分钟且消费后立即失效。重新登录前必须撤销旧 Connector 会话。
+- 浏览器扩展复用 live-hub-py 的 `web/extension/huya-exchange-helper`，不新增第二个扩展；
+  扩展只允许消费一次性注入票据，页面不得直接读取 CK。
+- 客服完成半自动任务必须与 `confirmManualFulfillment` 在同一数据库事务中提交：
+  成本快照、钱包扣减、履约状态和 `semi_auto_tasks` 完成状态必须全部成功或全部回滚；
+  事务提交后才执行报表刷新、Connector 会话撤销等旁路动作。
+- 后台“任务 → 半自动履约”列表读取前必须执行幂等任务回填，不能依赖客户先打开 `/c/<订单号>`。
+- 完成截图可选；操作人、操作时间、外部单号和成本确认必须留痕。
+- 客户统一入口为 `/c/<平台订单号>`，它是入口而非安全授权凭据；高价值或全自动场景必须增加二次验证，不能仅凭订单号自动履约。
+
 ### 3.5 商品与财务域
 
 标准商品目标结构：
@@ -320,6 +350,8 @@ finance_journal_*   -- 总账凭证，可重建
 | 当前履约状态 | 履约状态服务 | `fulfillments` | 多服务直接更新订单项 |
 | 执行尝试 | 履约尝试服务 | `fulfillment_attempts` | 用最大 ID 猜当前任务 |
 | 当前异常 | 履约异常服务 | `fulfillment_issues` | 自由 JSON 字符串代替问题模型 |
+| 半自动任务 | 半自动任务服务 | `semi_auto_tasks` / `semi_auto_task_events` | 把登录/绑定/执行状态写进 `material_json` |
+| 客户平台 CK | 外部平台 Connector | Connector 短期凭证域 | order_site 或浏览器页面持久化原始 CK |
 | 标准商品 | 商品主数据服务 | `product_catalog` | 用商品来源反推渠道 |
 | 平台商品到财务商品 | 商品归一服务 | `channel_product_mappings` | 人工在多个页面重复维护 |
 | 成本规则 | 成本中心 | `cost_versions` | 业务表直接改金额 |
@@ -476,6 +508,22 @@ current_status
 has_active_cost
 ```
 
+### 7.1 半自动履约入口
+
+管理后台“任务 → 半自动履约”读取 `semi_auto_tasks`，平台作为扩展维度：
+
+```text
+全部 / 虎牙 / 微博 / ...
+```
+
+客户页 `/c/<平台订单号>` 统一展示：
+
+```text
+平台登录 → 角色绑定 → 客服处理 → 完成
+```
+
+页面只能展示客户完成操作所需的最小信息，不得展示 CK、内部成本或其他订单。后台不得展示原始 CK，只展示平台 UID、绑定角色、凭证有效性和一次性注入入口。
+
 ## 八、存量数据处理方案
 
 ### 8.1 已被其他渠道接管的 `man:` 商品
@@ -878,14 +926,17 @@ docs/archive/
 
 ## 十三、当前下一步
 
-本地阶段 0–6 已按硬切方案完成，生产仍停留在迁移 `146`。后续顺序固定为：
+截至 2026-11-09，生产基线为 `151`，本地开发基线为 `153`。迁移 `152` 保护订单来源快照，
+迁移 `153` 增加人工渠道半自动任务。后续顺序固定为：
 
 1. 生产升级只按 [生产升级操作手册](生产升级操作手册.md) 执行。
 2. 升级前备份必须完成隔离恢复验证；恢复验证未通过时禁止迁移。
-3. `147 → 150` 作为同一硬切迁移组执行，迁移后刷新统计并完成商品、履约、
+3. `147 → 153` 按生产升级手册分批执行，迁移后刷新统计并完成商品、履约、
    财务三组严格审计；无法确定的数据进入未路由或待分类，不做猜测。
 4. 执行 `finance:rebuild-derived` 的 dry-run，核对 A 级数据守恒后，
    再按窗口执行 `--execute --confirm=REBUILD_DERIVED`，并验证第二次重建幂等。
 5. 观察一个完整财务期间，确认页面、履约、事实和总账持续对平。
-6. 观察期结束后，再单独发布兼容表、旧脚本别名和 `legacy_*` 字段的删除迁移。
+6. 半自动履约第一版先接入虎牙扫码登录、角色绑定、一次性浏览器注入和人工完成确认；
+   微博只保留平台扩展位，不提前写死平台专用状态。
+7. 观察期结束后，再单独发布兼容表、旧脚本别名和 `legacy_*` 字段的删除迁移。