feat: add adapter-first position onboarding

[elexingyu]

Summary

Adapter-first 接入

• 新增严格的数据化 Adapter Pack catalog、确定性检测、候选 draft、身份补全、preview 与显式 import 流程。
• 内置 FDC3 Portfolio 2.2 ticker 和 CCXT unified contract positions 两套 stable adapter，并提供正反 fixtures、稳定 hash 和资源上限。
• 扩展 CSV、JSON、JSONL 仓位来源探测，并保留 Decimal 精度。

可选 AI 映射

• 新增最小化 mapping request、双重上传同意、脱敏样本和本地路径复核。
• 新增可选 OpenAI structured output provider；AI 只能生成候选 draft，不能填写组合身份、写数据库或执行交易。

开发者与作品集体验

• 新增统一 quantcockpit CLI、adapter 贡献文档、架构说明、安全边界和 v0.3 CHANGELOG。
• 保留原有 scripts/import_positions.py 兼容入口。

预发布加固

• 修复无覆盖写入竞态、完整异常链泄密、终端控制字符注入、嵌入式路径/凭据脱敏遗漏和 DuckDB 路径泄漏。
• 将 pack 文件数、单资源和总大小限制锁定到精确边界测试。
• position 级谓词固定采样 50 条并在每个 pack 内复用，preview 重读前释放探测树，避免大文件重复驻留。

Test Coverage

所有新增关键路径均有单元或 CLI 集成测试，包含 adapter 检测阈值、错误码、资源上限、并发写入、AI 同意、脱敏和异常链安全。

Pre-Landing Review

完成测试、可维护性、安全、性能与攻击性复核。发现的高置信度问题均已修复，最终安全和性能复核均为 PASS。Codex CLI 本机安装损坏，外部结构化 review 未运行；本地多轮专项复核与完整测试已覆盖。

Design Review

没有用户界面源码变化，跳过视觉复核；仅重新生成 OpenAPI 契约。

Eval Results

项目没有独立 prompt eval 框架；OpenAI provider 的 structured output、信任边界和失败路径由自动测试覆盖。

Scope Drift

Scope Check: CLEAN。交付内容与 v0.3 adapter assistant 设计一致，没有加入券商直连、订单执行、因子模型或报告派发。

Plan Completion

v0.3 实施计划 11/11 项完成，包括最终安全、性能、打包和文档验证。

Verification Results

• make verify: 259 个 Python 测试通过
• Vitest: 17 个前端测试通过
• Python ty 类型检查通过
• TypeScript tsc --noEmit 通过
• Vite production build 通过
• 独立 wheel 构建与无 OpenAI 依赖安装 smoke test 通过
• wheel 可发现 FDC3 与 CCXT 两套内置 adapter

Test plan

• 列出并检测内置 adapters
• draft → finalize → preview → import 全流程
• ambiguous / candidate / experimental / unknown adapter 安全拒绝
• AI payload 默认不含样本，双重同意后仍执行有界脱敏
• 输出文件默认不覆盖并抵抗并发创建
• adapter pack 资源上限和 terminal-safe 输出

🤖 Generated with Codex