THAMO 阶段3接口与复验
开发服务：127.0.0.1:18874，schema5。启动需要显式THAMO_STAGE1=1 THAMO_STAGE3=1，配置目录仍为被忽略的.stage1/private。正常Android debug/release继续强制HTTPS；当前只交付loopback lab包，不把它当公网版本。
新增接口
| 接口 | 说明 |
|---|---|
| GET /v1/ai/consent | 当前账户/设备的enabled、revision、policy_version=ai-v1 |
| POST /v1/ai/consent | enabled布尔、policy_version=ai-v1；重复相同状态不增加revision |
| POST /v1/sms/analyze | Bearer；text/url/language、ai_consent_revision；要求当前独立AI同意，拒认证秘密，持久模型预算；返回前再次校验会话/版本 |
| GET /v1/intelligence/snapshot | 公开最小定义：精确URL散列、官方身份、版本/期限、payload_base64、摘要及Ed25519签名，无用户原文 |
| GET /admin/thamo/intelligence | 仅管理登录；查看签名版本、公共候选和官方身份撤销入口 |
| POST /admin/thamo/intelligence-action | 管理会话＋严格Origin＋会话HMAC CSRF；action=revoke/revoke_identity/rollback，id或version；写审计 |
短信分析结果沿用Guard字段：risk_level、explanation、reasons、rule_signals、ai_status、model、usage、rule_version、limitations，另有情报状态。仅LLM不能产生独立确认高危。没有抓取所提交网址。
原有/v1/reports及本人附件、/v1/trust-rules/personal、/v1/records/sms/*契约继续。报告成功202只表示已收到；后台Worker完成后GET回执才有job_status=completed及analysis。图片显式确认后发送Gemini，用户须自行去掉秘密，不宣称自动像素脱敏。私有附件不进入公共快照。
/protection/status modules增加consent_revision，客户端用于重登恢复安全批次。SMS records可带risk_level、ai_status、rule_version、model，服务器严格校验并标assessment_source=device_claimed；客户端字段不是独立服务器安全认证。raw管理员查阅可审计查看风险metadata/报告分析。
schema与生命周期
schema_thamo_v5.sql增加thamo_ai_consents；owner工具tools/migrate_thamo.py显式选择thamo_库。已验证新建、仅回退5并保留4、重加5；开发库迁移前完成私有备份。回退DDL会删该版本同意数据，运行回退应优先停扩展并保留数据，不用删库替代业务回滚。
报告Worker单实例OS锁、DB租约、最多3次尝试；自动SMS和举报共享持久模型预留预算60/小时300/日。旧匿名手动Guard单独有限请求预算，不是所有入口统一计费硬上限。模型失败重试/未知，基础SMS照常。
角色/云同意/会话撤销在客户端停队列，服务端对同意版本和会话再核。已发出的网络请求不能物理撤回，但撤销后的回执不能重新打开采集或恢复删除。重新授权按新revision生成扫描scope，不复用旧任务。
Android复建与验收
配置JDK21与ANDROID_HOME，GRADLE_INIT_SCRIPT可显式指向本机私有依赖缓存适配。运行tools/build_thamo_lab.sh --offline（缓存不齐首次联网），固定使用--no-watch-fs防已有监听缓存误判。
安装APK，启用模拟器，执行adb -s emulator-5582 reverse tcp:18874 tcp:18874。先通过系统UI选择默认SMS，账户页单独选择SMS云端与Gemini；不要把角色设定当上传同意或把无ACK当完成。
主要复现：tools/thamo_stage3_sms_uat.py、thamo_stage3_report_uat.py、thamo_stage3_extra_uat.py。它们只用于独立合成模拟器；运行前核本机设备、账号和当前页面。--resume/--from-thread/--from-compose/--finish只是继续UI验收脚本，不是APK隐藏模式；不得重置生产/客户库。商业短信0次。
190项后端回归须同时显式设置THAMO_TEST_DB_CONFIG与AGLO_TEST_DB_CONFIG，均为隔离测试库。主机专项：tools/test_thamo_client.py、test_thamo_sms_rules.py、test_thamo_intel_signature.py。主机替身/真实Kotlin密码学、Android设备、真实模型及运营商证据分别记录。
情报CLI tools/update_thamo_intelligence.py只用固定官方源，绝不访问候选目标。服务周期24小时，失败1小时退避；客户端正常6小时检查，可用户主动更新。当前无已接入确认源，candidate不会因标签改active或投诉变多就自动封禁；回滚保持撤销tombstone。