feat: harden agent onboarding and device import flows

docs/architecture/api_and_service_inventory_cn.md

@@ -346,6 +346,7 @@
   - 如本机节点未接通，可切到 `OpenAI API` 容灾账号
   - 群聊项目当前会带上 `collaborationGate`，用于标明当前是否需要先经主 Agent / 用户审批
   - 群聊文本消息当前还会返回 `dispatchPlan / dispatchRecommendation`，用于展示主 Agent 推荐的线程下发方案
+  - 如果群里已经有一条待确认推荐，接口会直接返回 `409`，要求先确认或拒绝当前推荐，避免审批消息叠加
 
 #### `GET /api/v1/projects/[projectId]/participants`
 
@@ -446,6 +447,7 @@
   - 校验成功后创建或更新 `openai_api` 主账号
   - 立即设为当前主控
   - 返回 `activeIdentity`
+  - 返回结果会带当前主控状态摘要，供原生 Android 直接弹出“测试主 Agent 对话”
   - 若服务器当前无法访问 `api.openai.com`，会直接返回明确中文网络错误，而不是只返回 `fetch failed`
 
 #### `POST /api/v1/accounts/onboard/master-node`
@@ -632,6 +634,7 @@
 - 当前行为：
   - 返回最新 `deviceImportDraft`
   - 如果已经做过导入决议，还会一并返回最新 `deviceImportResolution`
+  - 草稿里会带当前导入状态、推荐数量和最终已导入线程名，供 Web / Android 前台直接渲染状态卡
 - 当前保护：
   - 仅 `highest_admin` 或设备所属账号可读
 

docs/architecture/current_runtime_and_deploy_status_cn.md

@@ -1,6 +1,6 @@
 # Boss 当前运行与部署状态
 
-更新时间：`2026-03-30`
+更新时间：`2026-03-31`
 
 ## 1. 本地状态
 
@@ -21,7 +21,7 @@
 - 登录恢复接口：`POST http://127.0.0.1:3000/api/auth/restore`
 - 登出接口：`POST http://127.0.0.1:3000/api/auth/logout`
 - OTA 包下载接口：`GET http://127.0.0.1:3000/api/v1/user/ota/package`
-- 本地 agent 健康检查：`http://127.0.0.1:4317/health`
+- 本地 agent 健康检查：`http://127.0.0.1:4317/health`。当前这台开发机在本轮 `launchctl` 重载后仍未恢复，但代码已改成先启动本地 health 监听、再异步执行首次 heartbeat / task poll，剩余问题已收敛到 launchd 环境差异排查
 - 本地 Skill 扫描接口：`http://127.0.0.1:4317/api/v1/skills`
 - 本地 agent 手动 heartbeat：`POST http://127.0.0.1:4317/api/v1/heartbeat`
 - `launchd` 已安装：`~/Library/LaunchAgents/com.hyzq.boss.local-agent.plist`
@@ -104,14 +104,17 @@ cd /Users/kris/code/boss
 - 当前群聊编排主链已补上第一轮闭环：群聊文本消息会先进入主 Agent 生成推荐下发方案；用户确认后会创建真正的线程执行单，并写入系统通知；执行完成后会把线程原始结果镜像回群聊，再追加一条主 Agent 汇总
 - 当前 `approval_required` 群聊已补齐“确认 / 拒绝”两条审批动作：确认后才会创建 `dispatchExecution`，拒绝后会把群审批状态写成 `rejected`，并在群里追加明确系统提示
 - 当前原生聊天页已把待审批推荐前移到主消息流：`ProjectDetailActivity` 会直接显示 `确认下发 / 拒绝` 操作，且刷新后仍能恢复最近一条待确认推荐
+- 当前 `approval_required` 群聊在已经存在一条 `pending_user_confirmation` 推荐时，会拒绝继续创建新的推荐并返回 `409`，前台会提示用户先确认或拒绝当前推荐
 - 当前普通单线程聊天也已补上真实执行链：`POST /api/v1/projects/[projectId]/messages` 不再只写用户消息，而是会追加 `conversation_reply` 任务；绑定设备上的 `local-agent` 认领后会继续恢复到真实 Codex 线程，再把线程原始回复回写到该聊天窗口
 - 当前 Web 群聊详情页也已补上待确认推荐的刷新恢复：服务端会在页面渲染时读取最近一条 `pending_user_confirmation` 的 dispatch plan，聊天输入区会继续显示“等待你确认主 Agent 推荐”，不再因刷新丢失确认入口
 - 当前 `AI 账号` 页面已分成两条显式接入链：`登录 OpenAI 平台账号（API Key）` 和 `绑定 Master Codex Node`；OpenAI API 登录成功后会立即切成当前主控
 - 当前 `登录 OpenAI 平台账号` 已升级成浏览器辅助登录流：原生 Android 会先进入 `OpenAiOnboardingActivity`，自动打开 `OpenAI Platform` 登录页；用户登录后可直接跳到 `API Keys` 页面，回 APP 粘贴 key 完成接入
 - 当前 `OpenAiOnboardingActivity` 在登录成功后会直接弹出 `测试主 Agent 对话`，可一键进入 `master-agent` 聊天页验证主控链路
+- 当前 `AI 账号` 页顶部会直接展示“当前主控身份”，并提供 `校验主控 / 测试主 Agent 对话` 两个入口，切换主控后不必再手动退回会话页验证
 - 当前如果主控身份还是 `Master Codex Node`，但该节点离线或执行立即失败，主 Agent 会优先尝试已配置的 `OpenAI API` 备用账号，不再把失败日志直接原样回给用户
 - 当前设备导入主链也已补上第一轮后端闭环：`heartbeat` 可上报真实项目候选，服务端会生成 `deviceImportDraft`；用户可提交勾选结果、生成导入决议，再把选中的线程真正落成聊天窗口
 - Web 与原生 Android 当前都已补上“新设备导入草稿 -> 勾选 -> 决议预览 -> 应用导入”的前台流程；已绑定生产设备继续保留 heartbeat 自动导入主链
+- 当前设备导入前台的状态表达已经统一为：`等待候选线程 / 等待勾选 / 建议生成中 / 建议已生成 / 已导入`，并会回显最终导入的线程名
 - 当前群资料页已补上“修复群成员”入口：当群里存在失效线程引用、`master-agent` 这类不可下发成员，或真实线程成员少于 2 个时，前台会明确提示并允许重新选择真实线程成员
 - 当前原生聊天页也已前移“修复群成员”入口：脏群会在消息流上方直接显示 `去修复` 按钮，并跳转到群资料页完成成员替换
 - 当前当 heartbeat 同时携带旧 `projects` 和新 `projectCandidates` 时，服务端会优先走 `deviceImportDraft`，不再绕过勾选/审核阶段直接自动导入聊天窗口
@@ -171,6 +174,7 @@ cd /Users/kris/code/boss
 - 当前 `local-agent` 对 `conversation_reply / dispatch_execution` 任务会优先使用 `codex exec resume <targetCodexThreadRef>`，只有缺失真实线程引用时才退回 `--ephemeral`
 - 当前历史脏群如果不再包含真实线程成员，群聊消息不会再表现成“无响应”；服务端会在群内追加明确 `system_notice`，提示先重新添加线程成员
 - 当前设备导入决议已经会先落 `device_import_resolution` master task 再写回结果，但决议内容仍是服务端 heuristic 版；下一阶段可再升级成真正通过 `local-agent -> codex exec` 参与理解的主 Agent 决议
+- 当前 `local-agent` 已改成先启动本地 `4317` 健康监听，再异步跑首次 heartbeat 和 task poll，避免控制面短时阻塞时本地健康探针不可用
 - 原生 Android 当前对 `master-agent` 聊天消息已单独放宽读超时到 `65s`；之前默认 `12s` 会把等待 `Master Codex Node / local-agent` 回写的长请求误判成“主 Agent 无响应”
 
 ## 2. 服务器状态