feat: add reviewed OCR and AI document workflow

docs/ARCHITECTURE.md

@@ -63,3 +63,15 @@
 - 桌面底层桥接：保持少量 Rust 代码，不在其中堆积业务规则
 
 当前仓库首先实现可运行的界面与纯领域逻辑；本地数据库、Tauri 容器和云端服务按阶段接入，不用模拟实现冒充生产能力。
+
+## OCR 与 LLM 迁移边界
+
+当前纯本地测试版通过 `providers` 适配层访问百度 OCR 和 OpenAI 兼容 LLM。`documents` 模块只依赖统一的识别与建议函数，不读取供应商密钥，也不拼装 HTTP 请求。这样迁移到服务端时，可将 `providers` 的实现移动到服务端，客户端改为调用小白记账版本化 API，票据复核页面与字段校验规则无需重写。
+
+客户端与服务端分离后遵守以下边界：
+
+- 供应商密钥只存在服务端密钥管理系统或受保护环境变量中。
+- 客户端只持有用户登录后的短期会话凭据，不持有 OCR 或 LLM 密钥。
+- 服务端按经营主体做鉴权、限流、调用审计和数据隔离。
+- OCR 与 LLM 的响应都先经过服务端结构校验；客户端仍保留金额、日期和枚举白名单等确定性校验。
+- AI 只生成建议，不能直接写入账簿、修改税额或代替人工确认。