fix: harden dispatch and device import flows

docs/architecture/ai_handoff_index_cn.md

@@ -90,6 +90,7 @@
 - `POST /api/v1/projects/[projectId]/dispatch-plans/[planId]/confirm` 正常，已支持把推荐目标确认成真正的线程执行单
 - `GET /api/v1/devices/[deviceId]/import-draft` 正常，已支持读取设备导入草稿与最新决议
 - `POST /api/v1/devices/[deviceId]/import-draft/select|review|apply` 正常，已支持设备候选线程勾选、导入决议和落地成真实聊天窗口
+- 这些设备导入接口当前仅允许 `highest_admin` 或设备所属账号访问
 - `GET /api/v1/attachments/[attachmentId]/download` 正常，已支持会话鉴权下载和 task token 下载
 - `POST /api/auth/login` 正常，会写入 `boss_session`
 - `boss_session` 当前默认保持 30 天
@@ -135,6 +136,9 @@
 - 当前已支持从单线程会话发起独立群聊：原会话保留，新群聊自动命名并可在群资料页改名
 - 当前群聊编排主链已经补到第一阶段：群聊消息先进入主 Agent，主 Agent 生成推荐下发方案，用户确认后再创建执行单；执行完成后线程原始结果会回群，主 Agent 再追加汇总
 - 当前设备导入主链已经补到第一阶段：设备 heartbeat 可上报真实候选线程，系统会生成导入草稿；用户勾选后可生成导入决议，并把选中的线程真正落成聊天窗口
+- 当前设备导入草稿不会再被旧 `projects` 字段绕过；只有 `apply` 之后，候选线程才会真正变成聊天窗口
+- 当前设备导入 `review` 已经会留下 `device_import_resolution` master task 轨迹，但决议内容仍是服务端 heuristic 版，尚未真正交给 `local-agent -> codex exec`
+- 当前群聊 `dispatch_execution` 完成回写已补幂等，重复完成不会再向群聊重复追加结果
 - 当前已支持微信式消息转发：长按消息可直接 `转发 / 多选 / 复制 / 删除`，单条消息转发显示为普通转发消息，多条消息转发显示为聊天记录卡片
 - 当前已支持聊天附件主链：原生聊天框左侧 `+` 会打开底部抽屉，支持图片 / 视频 / 文件发送；图片 / PDF / 文本默认自动进入主 Agent 附件分析，视频 / Office / 大文件默认手动触发
 - 当前附件与存储配置页位于 `我的 > 附件与存储`：默认使用服务器文件存储，用户可按账号切到阿里 OSS 私有桶；下载链会优先使用附件上传时固化的 OSS 快照，避免用户后续改配置后旧附件失效

docs/architecture/api_and_service_inventory_cn.md

@@ -540,6 +540,8 @@
 - 当前行为：
   - 返回最新 `deviceImportDraft`
   - 如果已经做过导入决议，还会一并返回最新 `deviceImportResolution`
+- 当前保护：
+  - 仅 `highest_admin` 或设备所属账号可读
 
 #### `POST /api/v1/devices/[deviceId]/import-draft/select`
 
@@ -549,14 +551,18 @@
 - 当前行为：
   - 只接受当前导入草稿里真实存在的候选项
   - 提交后会把草稿推进到 `pending_resolution`
+- 当前保护：
+  - 仅 `highest_admin` 或设备所属账号可写
 
 #### `POST /api/v1/devices/[deviceId]/import-draft/review`
 
 - 用途：生成主 Agent 风格的设备导入决议
 - 当前行为：
-  - 会基于已勾选候选生成 `deviceImportResolution`
-  - 当前决议为服务端同步 heuristic 版
+  - 会先落一条 `device_import_resolution` master task，再把决议写回 `deviceImportResolution`
+  - 当前决议内容仍为服务端 heuristic 版
   - 决议会区分 `create_thread_conversation | attach_existing | skip`
+- 当前保护：
+  - 仅 `highest_admin` 或设备所属账号可写
 
 #### `POST /api/v1/devices/[deviceId]/import-draft/apply`
 
@@ -565,6 +571,9 @@
   - `create_thread_conversation` 会生成新的单线程会话
   - `attach_existing` 会补充现有会话的设备 / 线程映射
   - 应用后草稿和决议都会变成 `applied`
+  - 重复 apply 同一份 resolution 不会再重复创建线程会话
+- 当前保护：
+  - 仅 `highest_admin` 或设备所属账号可写
 
 #### `GET /api/v1/devices/[deviceId]/skills`
 

docs/architecture/current_runtime_and_deploy_status_cn.md

@@ -99,6 +99,9 @@ cd /Users/kris/code/boss
 - 当前单条消息转发会在目标会话中显示为普通转发消息，并保留 `forwardSource`；多条消息会落成 `forward_bundle` 聊天记录卡片，并保留来源会话、时间范围和摘要条目
 - 当前群聊编排主链已补上第一轮闭环：群聊文本消息会先进入主 Agent 生成推荐下发方案；用户确认后会创建真正的线程执行单，并写入系统通知；执行完成后会把线程原始结果镜像回群聊，再追加一条主 Agent 汇总
 - 当前设备导入主链也已补上第一轮后端闭环：`heartbeat` 可上报真实项目候选，服务端会生成 `deviceImportDraft`；用户可提交勾选结果、生成导入决议，再把选中的线程真正落成聊天窗口
+- 当前当 heartbeat 同时携带旧 `projects` 和新 `projectCandidates` 时，服务端会优先走 `deviceImportDraft`，不再绕过勾选/审核阶段直接自动导入聊天窗口
+- 当前 `dispatch_execution` 完成回写已补幂等，重复完成同一个线程执行单不会再重复向群聊追加线程原始回复和主 Agent 汇总
+- 当前设备导入 `review` 已补 owner/admin 鉴权，并会留下 `device_import_resolution` master task 轨迹；导入草稿在 `apply` 后再次 heartbeat 也不会从 `applied` 回退成 `resolved`
 - 会话页、设备页、技能页和项目详情页当前都通过 `/api/v1/events` 的 SSE 自动刷新
 - 我的页当前保留 `账号与安全 / 设置 / 运维与修复 / AI 账号 / 技能 / 关于` 六个一级入口；`AI 账号` 支持查看 `主 GPT / 备用 GPT / API 容灾`，并明确主链路优先走已经在绑定电脑上登录 `ChatGPT Plus / Codex` 的 `Master Codex Node`
 - 主 Agent 当前真实对话链路已验证通过：`Boss Web -> /api/v1/projects/master-agent/messages -> master-agent task queue -> local-agent -> codex exec -> /complete -> 项目消息账本`
@@ -139,7 +142,7 @@ cd /Users/kris/code/boss
 - 当前附件分析任务已带受控 `task token` 下载链接和文本摘录：本地开发环境会跟随请求 origin 生成链接，生产环境默认走 `https://boss.hyzq.net`
 - `2.5.x` 当前已补上会话首页独立建群入口：可以不从单线程聊天内部出发，直接在会话首页右上角 `+` 建立新群聊；同时已把多个原生自定义 top bar 页面统一纳入状态栏安全区处理
 - 当前 `local-agent` 已能回写带 `dispatchExecutionId / targetProjectId / targetThreadId / rawThreadReply` 的任务完成载荷，群聊分发执行结果不再只停留在主 Agent 队列
-- 当前设备导入决议仍是服务端同步 heuristic 版，下一阶段可再升级成真正通过 `local-agent -> codex exec` 参与理解的主 Agent 决议
+- 当前设备导入决议已经会先落 `device_import_resolution` master task 再写回结果，但决议内容仍是服务端 heuristic 版；下一阶段可再升级成真正通过 `local-agent -> codex exec` 参与理解的主 Agent 决议
 
 ## 2. 服务器状态