[IM] 接入语音与 OLED 微信绑定体验并完成真机验收

[JunLang-7]

1. 背景

设备已经具备真实 Linx 语音、MCP、VoiceLife PCB 音频、OLED 与板级交互运行时；Gateway 已具备微信公众号配对、Webhook 和绑定成功/失败的被动 XML 回复。完成设备 Pairing Client 后，可以在不依赖 Schedule、TimingTask 或提醒通知的情况下，建立第一条真实的“语音设备连接 IM”闭环。

2. 用户场景

Given：

• VoiceLife PCB 已联网并连接 Linx；
• IM 基础运行时已从安全配置获得有效 Gateway origin、deviceId 与 device token；
• 微信公众号测试账号的 Webhook 指向当前 Gateway。

When：

1. 用户对设备说“绑定微信公众号”；
2. 设备创建 10 分钟 PairingSession；
3. 设备显示并播报“请在微信公众号发送：绑定 123456”；
4. 用户在公众号发送该文本；
5. Gateway 确认绑定，微信同步回复绑定成功；
6. 设备轮询到 confirmed。

Then：

• 设备 OLED 与 TTS 提示“微信公众号绑定成功”；
• Gateway/PostgreSQL 只有一条对应用户、设备和微信身份的 active binding；
• 全过程不创建 ScheduleReceipt、Notification、Delivery 或提醒 Action。

3. 范围

3.1 交互入口

• 新增平台无关的绑定应用用例，并以 MCP 工具（建议 im.binding.start）暴露给语音 Provider；
• 工具描述只表达“开始微信公众号绑定”，不把微信 XML、OpenID、Koishi 或 HTTP 类型传入 MCP/Runtime；
• 当 IM disabled、配置缺失、网络未就绪或已有配对进行中时返回明确、可播报结果；
• 工具成功响应包含用户可理解的操作说明，不在模型上下文暴露 Token 或内部身份。

3.2 OLED 与 TTS

• 创建成功后 OLED 清晰显示六码 displayCode 和有效期；
• TTS 播报“请在微信公众号发送‘绑定 123456’”；
• pending 状态不得高频刷新屏幕或重复播报；
• confirmed 时显示并播报绑定成功；
• expired/cancelled 时提示重新获取；
• 网络暂时失败时保持有限状态并允许恢复，不阻塞唤醒、普通语音和按键任务；
• 显示与日志不得出现 device token、外部微信身份或 displayCodeHash。

3.3 状态与并发

• 同一时刻最多一条板端绑定交互；
• 重复语音命令不会生成无界 PairingSession；
• 设备重启后可恢复未过期会话，或明确清理并要求重新开始；
• Quick Tunnel origin 变化后旧会话不得错误显示绑定成功；
• 本地成功提示必须来自 Gateway 的 confirmed 状态，不以微信 TTS/模型回答替代确认。

4. 非目标

• 不因语音创建、查询、修改日程而发送 IM 回执；
• 不生成合成提醒或手工 NotificationIntent；
• 不建立强提醒 SSE，不执行 acknowledge/snooze；
• 不完成 接续 #127：把设备侧动作通道接入运行时并打通通知流调用链 #179、[IM] 端到端真机与真实平台验收 #132 或 [IM] 设备语音直接消费的动作状态上报与跨入口同步 #214 的 TimingTask 相关验收；
• 不支持企业微信、飞书、钉钉或群聊绑定；
• 不把 Quick Tunnel URL 写死进固件。

5. 自动验证

• MCP 注册与参数/返回契约测试；
• Fake Pairing Client 覆盖 pending、confirmed、expired、cancelled、网络恢复和重复命令；
• OLED/TTS 状态映射测试不包含 Secret 或外部身份；
• IM 失败时普通语音对话继续可用；
• ./scripts/run_checks.sh 与 VoiceLife PCB 固件构建通过。

6. 真机与真实公众号验收

• 真机语音触发绑定，OLED/TTS 给出相同六码；
• 公众号发送正确绑定码后同步回复“绑定成功”；
• 真机最终显示并播报绑定成功；
• 错误码和过期码均得到对应提示，真机不会误判成功；
• 重复完成一次配对，数据库仍只有一条有效绑定；
• 绑定期间临时断网并恢复，轮询遵守窗口且不会阻塞语音；
• 验收记录包含固件 commit、Gateway commit、Profile、脱敏 Gateway origin、公众号测试账号类型和脱敏日志；
• 记录明确声明本验收不证明 TimingTask 通知、SSE 动作或跨入口动作同步。

7. 依赖与关系

• 依赖 [IM] 装配设备 IM 基础运行时与安全凭据 #233 的 IM 基础运行时；
• 依赖 [IM] 实现设备配对契约、客户端与有限状态轮询 #234 的配对契约、客户端和有限轮询；
• 使用 [IM] 微信公众号 Adapter：入站与回执 #130/[IM] Gateway 服务进程装配与可部署性 #152 已完成的微信公众号 Webhook 与生产 Gateway；
• 完成后为 接续 #127：把设备侧动作通道接入运行时并打通通知流调用链 #179 提供已验证的设备身份、TLS、Gateway 连通性和绑定关系，但不替代 接续 #127：把设备侧动作通道接入运行时并打通通知流调用链 #179；
• [IM] 端到端真机与真实平台验收 #132 仍负责带真实 TimingTask 的最终提醒闭环。

Refs #95, #130, #132, #152, #179, #233, #234