docs: reconcile batch and webhook integration

.project-docs/00-brief/success-criteria.md

@@ -6,7 +6,8 @@
 - 写能力只在唯一对象、页面身份、ownership、写前投影、明确服务端响应和 action-specific 完成凭据成立时执行。
 - ERP 执行以不可变任务归属账号为队列边界：同账号保持 FIFO 与单活跃执行，不同账号互不阻塞；登录 ERP 身份只能由唯一账号节点的规范化精确相等证明，且管理员没有任务读取、事件、领取、回执或删除权限。
 - 组长看板只读覆盖固定组织内所有已明确归属的手工与 AgentBus 任务，以不可变 assignee 作为员工口径；无可靠归属的历史记录不猜测归属，查看权限不扩展任务或 ERP 权限。
-- 有效组长身份绑定可用 AgentBus 渠道后，系统自动从当前账号的 AgentBus 路由开始发送未来稳定结果；通知使用独立加密队列，失败不改变任务状态，摘要不扩大任务或 ERP 权限，也不暴露原始指令、客户资料或技术载荷。
+- 组长摘要只通过受保护运行配置中的固定外部 Webhook 发送未来稳定结果；通知使用独立加密队列，严格成功只记为“已受理”而不是“已送达”，拒绝或不确定结果不自动重试，且任何失败都不改变任务、员工 AgentBus 或 ERP 状态，也不暴露原始指令、客户资料、URL、token 或技术载荷。
+- Program-only 散拼批量子单在首个 ERP 写入前完整枚举并验证日期范围内的全部目标，按日期/tid 顺序逐单执行，首个阻断、失败或不确定即停止，保留逐目标回执且不自动重试。
 - 归档/恢复与永久强制删除保持为两个明确操作；强制删除不受任务状态门禁限制、完整移除任务平台记录，并明确不代表回滚既有 ERP 写入。
 - 当前发布物、源码和机器可读发布清单逐文件、逐哈希一致。
 - 项目记忆能在并行任务下保持任务隔离，并只通过串行 Integration Gate 更新 canonical 状态。
@@ -28,4 +29,4 @@
 
 ## Last Reviewed
 
-2026-09-08
+2026-09-09