docs(05): 恢复锚点更新 —— 记上凭据落地位置（dev-secrets.local.md，gitignore）、新 HEAD、模拟器启动参数

devdocs/05-开发进度与交接.md

@@ -683,9 +683,12 @@ PDF · 563 B · 24 字 · 已读入
 
 ### 状态
 
-- **`android` = `origin/android` = `647cf47`，工作区干净**，**831 测试 / 0 失败 / 0 错误**。
+- **`android` = `origin/android` = `d2169c6`，工作区干净**，**831 测试 / 0 失败 / 0 错误**。
 - 可安装包：`app/build/outputs/apk/debug/app-debug.apk`。
 - 那轮「装机验收」的**四项全部有设备证据**（含 ① 的更正：本来就是好的，是我测量假象）：见上一节「装机验收轮」。
+- **联调凭据（压缩后最容易丢，务必先看这条）**：后端调试用的 `X-API-Key` **已由主人授权落地到本机 `dev-secrets.local.md`**（仓库根目录，**已 gitignore、不在仓库里**——已用 `git check-ignore` / `git ls-files` 双重核对）。用法：`curl -H "X-API-Key: <该文件里的值>" $BASE/api/v1/…`，**owner 级**（`/sessions`、`/admin/observability/{metrics,logs}`、`/admin/system/storage`、`/admin/personas` 全 `200`；不带 key 回 `401`）。**上一个 key（`rG14nMNX…`）已失效（实测 `401`），不要再试。** 轮换只改那个文件，代码/文档里没有任何硬编码。
+- **`devdocs/` 本身是入库的**（主人 2026-10-04 授权），所以本锚点跟着仓库走（`git log devdocs/` 可查）；但**凭据绝不进 `devdocs/`**，只在那份 gitignore 的文件里。
+- 模拟器：AVD `Pixel_10_Pro_XL`，**启动需加 `-memory 6144`**（否则 2 GB 会自己 ANR，见「踩到的坑」），`adb reverse tcp:10942 tcp:10942`，App 服务器地址填 `http://127.0.0.1:10942`。
 
 ### 本轮（W8→W22）已落地并推送的模块（一行一个）