让协议拒绝一次错误交换

失败不是异常页，而是产品边界的一部分。选择一个可恢复的场景，观察审批和 Receipt 如何变化。