feat(web): add IwoooS host collection order

docs/security/IWOOOS-POSTURE-PROJECTION.md

@@ -44,6 +44,7 @@ IwoooS 首版只讀取或對齊以下已提交 evidence：
 12. 3 個只讀主機覆蓋 items：Kali 112、開發主機 168、開發主機 111。
 13. 6 個主機動作 gate items：active scan、credentialed scan、Kali `/execute`、SSH / host change、Kali update、runtime blocking control。
 14. 7 個主機 evidence readiness items：scope boundary、owner decision、credential handling、maintenance window、rollback plan、validation metrics、redacted ingestion。
+15. 7 個主機 evidence collection order steps，顯示收件順序與前置依賴。
 
 ## 3.1 既有前端資安頁面整合
 
@@ -157,6 +158,24 @@ S2.16 將主機動作解鎖前需要的 evidence 顯示成只讀 readiness board
 
 每個 item 都固定 `display_mode=evidence_readiness_only`，且 `active_scan_authorized=false`、`credentialed_scan_authorized=false`、`ssh_change_authorized=false`、`host_update_authorized=false`、`runtime_execution_authorized=false`、`action_buttons_allowed=false`、`not_authorization=true`。
 
+## 3.8 主機 Evidence 收件順序
+
+S2.17 將 S2.16 的七個主機 evidence readiness items 排成建議收件順序。這一層只回答「先收哪個、下一個依賴什麼」，不把任何 evidence 標成 received / accepted。
+
+| 順序 | 收件步驟 | Source item | 前置依賴 | 狀態 |
+|------|----------|-------------|----------|------|
+| 1 | 先定義 scope boundary | `host_scope_boundary_evidence` | 無 | `next_collection_candidate`；received=0、accepted=0 |
+| 2 | 再收 owner decision | `host_owner_decision_record_evidence` | `collect_scope_boundary_first` | `waiting_previous_step`；received=0、accepted=0 |
+| 3 | 隔離 credential handling | `host_credential_handling_evidence` | `collect_owner_decision_second` | `waiting_previous_step`；received=0、accepted=0 |
+| 4 | 安排 maintenance window | `host_maintenance_window_evidence` | `collect_owner_decision_second` | `waiting_previous_step`；received=0、accepted=0 |
+| 5 | 補 rollback plan | `host_rollback_plan_evidence` | `collect_maintenance_window_fourth` | `waiting_previous_step`；received=0、accepted=0 |
+| 6 | 定義 validation metrics | `host_validation_metrics_evidence` | `collect_rollback_plan_fifth` | `waiting_previous_step`；received=0、accepted=0 |
+| 7 | 最後才收 redacted ingestion | `host_redacted_ingestion_evidence` | `collect_validation_metrics_sixth` | `waiting_previous_step`；received=0、accepted=0 |
+
+每個 step 都固定 `display_mode=collection_order_only`，且 `runtime_execution_authorized=false`、`action_buttons_allowed=false`、`not_authorization=true`。
+
+這個順序是收件提示，不是工作佇列。不得因為某個 step 顯示為下一個候選，就啟動 scan、SSH、Kali update、raw payload ingestion、runtime blocking control，或把對應 evidence 標成已收到 / 已接受。
+
 ## 4. 仍禁止
 
 IwoooS 不得提供下列輸出：
@@ -169,7 +188,8 @@ IwoooS 不得提供下列輸出：
 6. SSH 到主機、開 SSH session、更新 Kali、package upgrade、credentialed scan 或 active scan。
 7. 套用 runtime blocking control。
 8. 將主機 evidence 標記為 received / accepted，或匯入 raw host evidence。
-9. 把 58% progress、contract count、mirror readiness 或前端可見狀態當成授權。
+9. 推進 host collection state 或跳過 host evidence dependency。
+10. 把 58% progress、contract count、mirror readiness 或前端可見狀態當成授權。
 
 ## 5. 驗證