feat: sync latest ARR implementation

.project-docs/00-brief/success-criteria.md

@@ -2,8 +2,11 @@
 
 ## Project Success
 
+- 未登录用户只能看到 ARR 登录页或无详情 readiness；页面、API、上传、日志和下载均由服务端会话保护，退出后立即失效。
+- XML 上传、确定性处理、完整结果验证和 Finance 提交不依赖 Agent/MCP，并得到终态任务回执。
 - 用户上传 XML 后无需再提交月报参数；结构化结果成功入库会自动触发相应月报处理。
 - 生成的月报包含 `TOTAL PRICE` 字段，并在每个数据行使用 `REAL PRICE × NIGHTS × NO_OF_ROOMS` 的 Excel 公式。
+- 月报发布完成后，打开的月报页面自动出现新版本，不要求用户点击刷新。
 
 ## Task Completion Standard
 
@@ -12,10 +15,12 @@
 
 ## Quality Checks
 
+- 测试必须覆盖错误/正确登录、尝试限流、安全回跳、CSRF 退出、会话撤销、桌面/H5 会话过期处理，以及 375/768/1024/1440 响应式无横向溢出。
 - 测试必须证明月报触发发生在数据库成功提交之后，且失败提交不会触发。
 - 重新打开生成的 XLSX，确认 `TOTAL PRICE` 为公式单元格并逐行引用同一行的 `REAL PRICE`、`NIGHTS`、`NO_OF_ROOMS`。
 - 用户入口不得要求提交月报年份、月份或截止日期。
+- 页面自动同步必须避免重叠请求；页面隐藏或离开月报页时停止轮询，恢复可见时立即重新读取。
 
 ## Last Reviewed
 
-2026-07-29
+2026-07-30