补下单任务网关规格

抓取在服务器、下单在本地，本地在 NAT 后没有公网入口，因此下单请求由本地长轮询
主动领取，而不是从服务器推进来。docs/order-gateway.md 给出可直接实现的规格：
任务队列与状态镜像的表结构、四个接口契约、任务状态与订单状态的分层、证据留痕约定、
配置项与验收清单。

其中一条是安全关键：租约过期**不自动重投**。本地可能已经下单成功只是回报断网，
自动重投等于再买一次；过期任务转 stale 告警，恢复时必须先查站点订单列表核对。

站点交互（加购/下单/付款）尚未实测，文档里明确留成接口缝并列出待实测项。

README.md

@@ -30,6 +30,10 @@
 （`tests/test_architecture.py` 会守着）。交易侧需要商品信息时，走抓取服务的 HTTP 接口——
 下单要用的 `purchase` 块本来就是抓取服务的对外契约。
 
+抓取服务部署在服务器，交易服务部署在本地（便于管理账号、排查支付问题），本地在 NAT 后
+没有公网入口，因此下单请求不是推进来的，而是由本地长轮询主动领取。
+任务网关与本地 worker 的规格见 [docs/order-gateway.md](docs/order-gateway.md)（待实现）。
+
 ```
 app/
   shared/     配置、错误码、日志、响应信封与鉴权（两侧共用，不认识两侧）