fix(ths): 交易弹窗结构化处置 + 防卡死 + 超时 unknown 语义

[suny911]

背景

2026-07-13 14:42 真实事故：市价 sell 弹出「委托确认」模态框，受控端卡死，MCP 30s 后报 -32003，但用户手动点「是」后订单实际成交——「报错但静默成交」差点导致补单事故。

根因（已实证）

1. 卡死直接根因：市价提交用 SendMessage(BM_CLICK)——同步跨进程调用，按钮 handler 弹模态框后不返回，线程死锁，后续关弹窗代码根本没执行。
2. 弹窗处理本质是盲按 Enter：不看弹窗在不在、废单原因带不回。
3. 系统性放大：to_thread 无超时 + win_lock 永久持有 + WS 消息循环内联 await → 单笔卡死瘫痪整个受控端。

修复（P0 + P1 已落码）

P0 防卡死

• SendMessage(BM_CLICK) → PostMessage（市价提交 + 验证码确定），并立为铁律写进架构文档 §7.7
• dispatcher 单笔 25s 总超时（低于网关 30s）：下单类超时回 code=2 status=unknown +「先核单勿补单」；拿锁 5s 超时回 busy；超时置 degraded，下次调用先清弹窗自愈
• ws_client call 帧改 create_task，消息循环不再被单笔 RPC 卡死（核单查询永远进得来）

P1 弹窗看门人（ths/dialogs.py DialogSentry） —— 处置不耦合弹窗内容（用户定的原则：任何弹窗快速肯定式消除、回到既定轨道），决策只看结构：

1. 含 Edit 输入框 → 验证码 → 走既有 input_ocr
2. 枚举到肯定按钮（是 > 确定 > 确认 > 同意 > 唯一按钮）→ PostMessage(BM_CLICK)；绝不点否/取消
3. 无按钮（自绘弹窗）→ 向弹窗投递回车（真机验证有效）；两次回车不消才 WM_CLOSE；全程禁 ESC（对确认框语义是「否」）

每个弹窗截图存证 + 标题/全文/动作记入回执 dialogs 字段；机会性提取合同编号；回查失败时弹窗原文进回执（废单真实原因不再丢失）。

协议/文档：PROTOCOL.md 增补网关超时必须回 unknown 语义的强制条款；README 补关弹窗设置建议；spec 定稿于 docs/superpowers/specs/2026-07-13-ths-dialog-handling-design.md。

测试

• macOS 单测：106 passed, 10 skipped（新增 16 例：弹窗决策纯逻辑 / dispatcher 超时·busy·degraded / WS 消息循环不阻塞）
• 待真机联调（用户配合开启弹窗）：跑 python tools/ths_dialog_dump.py（开着任意弹窗）核对新版皮肤弹窗控件结构；按 spec §6.3 清单回归市价/限价/撤单/废单/风险警示/验证码六类场景

🤖 Generated with Claude Code