docs: record browser verification

docs/project.md

@@ -87,7 +87,7 @@ cd web
 pnpm dev
 ```
 
-前端开发地址为 `http://127.0.0.1:13083/`。前端按视图调用 API：项目视图读取 `/api/projects` 和 `/api/runtime/threads`，工作流视图读取 `/api/workflow/events`，智能体视图读取 `/api/agents`，并仅对当前选中的智能体调用 `/api/agents/{id}/validate` 和 `/api/agents/{id}/write`。静态示例数据仅在接口连接失败时作为 fallback 展示，并必须明确标注“示例/等待连接”；真实接口返回空列表时展示空状态和来源证据，不回退到示例数据。前端可保留 `local_sample`、`api_missing` 等内部 source kind，但用户界面必须显示中文来源和 `高 / 中 / 低` 置信度。
+前端开发地址为 `http://127.0.0.1:13083/`。前端按视图调用 API：项目视图读取 `/api/projects` 和 `/api/runtime/threads`，工作流视图读取 `/api/workflow/events`，智能体视图读取 `/api/agents`，并仅对当前选中的智能体调用 `/api/agents/{id}/validate` 和 `/api/agents/{id}/write`。静态示例数据仅在接口连接失败时作为 fallback 展示，并必须明确标注“示例/等待连接”；真实接口返回空列表时展示空状态和来源证据，不回退到示例数据。前端可保留 `local_sample`、`api_missing` 等内部 source kind，但用户界面必须显示中文来源和 `高 / 中 / 低` 置信度。2026-05-25 已通过 Chrome 验证项目视图、工作流视图、智能体视图、草稿和设置页；内置浏览器插件返回 `Browser is not available: iab`，视觉核验使用本机 Chrome 完成。
 
 ## API Overview
 
@@ -125,6 +125,6 @@ pnpm dev
 - Codex 内部 SQLite schema 可能变化。
 - 运行状态由多来源推断，必须显示置信度。
 - 真实 SQLite 读取已覆盖临时测试库；如果真实 Codex schema 新增字段或缺少可选字段，应继续走 schema-aware 查询和来源证据，而不是让 API 500。
-- Agent 列表接口不返回原始 TOML 文本；智能体编辑区展示的是接口返回的已解析字段，并在代码区说明“接口未返回原始 TOML”。
-- 浏览器视觉验证需要可用浏览器工具或主智能体执行；文档记录不得伪造截图结果。
+- Agent 列表接口当前返回原始 TOML 文本供草稿编辑；前端仍必须只在“校验 TOML -> 查看差异 -> 创建备份并写回”的显式流程中写回。
+- 内置浏览器插件可能不可用；若返回 `Browser is not available: iab`，可使用本机 Chrome 做只读页面核验，并在进度记录中注明 fallback。
 - 写回只覆盖单个已有 agent TOML，不支持创建新 agent、批量写回或自动保存草稿。