PROC-02-006 对象存储引用生命周期验收

本页为WP-STORAGE-001唯一过程/证据入口，需求与任务分别见INFRA-02-001～003。旧英文主checkout落后于已发布ADR-0001，现从文档origin/main 50e44d15的隔离工作树整理；原工作树与冻结报告保持，不混入其它未合并改动。

当前执行口径

本页分别记录OS-GEMINI-01的Drama参考图本地开发验收与新增常驻开发部署/浏览器验收；后者以末尾独立章节为准。此前Studio真实TOS批次的制品、收费、云验证和清理结果仅证明其原时点，不继承为本轮Gemini通过。本页的共享开发变更和客户生产环境分别核验，不把开发部署写成客户生产启用。

当前新增执行范围是将统一引用契约启用到常驻Studio开发环境，完成已有页面的异步生图、保存、读取、移除及删除后的最终引用释放。Studio最终镜像及结构升级已启用，用户随后明确取消本轮错误开发任务，原Run、图片任务和资金已完成收尾；真实图片保存、读取、解绑的页面全链尚未通过，工作包保持doing，不能用取消成功代替验收通过。用户已授权开发前缀专用的长期读写身份；仍不开展生产客户环境部署、旧版兼容、备份或生产专用监控及容量建设。最新业务进展见“Studio已启用与错误开发任务取消”一节，文档整合见“文档主线合并与编号消歧”一节；早前记录保留原时点。

上一批统一制品固定为producer 91678fb、Platform 7896b97、Runtime fa000ef及Studio d63d4f5。实际Linux制品已完成唯一真实图片供应提交、真实TOS一份原件、未知ACK同原Task重启确认、Platform释放后Runtime独立读取、停新保已有读及可信解绑/可靠释放；独立只读审计确认同一资产/候选/版本/claim和临时能力落盘0。该批业务链及schema2 acceptance三项已通过；activation仅因缺少具名目标operations回执而blocked，production_authorized=false。临时IAM/密钥/策略/桶已单独完成精确清理和实际旧凭据拒绝；开发验收通过不代表生产已启用。用户随后明确当前可不做生产身份、来源、监控及容量门禁，原后端开发范围据此收口为done；历史activation blocked仍保留，不作为当前开发阻断。当前与历史批次分别记录，不互相替代。

用户补充Platform尚在开发、没有实际用户，随后明确“不需要进行兼容”。按ADR-0023，本期统一交付新对象引用契约，取消Platform、Runtime及产品的旧对象引用/字节输出协议适配、旧开发数据迁移及跨版本兼容fallback任务；这些工作不转为未来默认必做项。开发主线直接推进Studio新引用Writer、读取和可靠解绑，无需等待兼容回退制品。

用户于2026-10-19进一步明确“不需要备份，目前没有用户在开发阶段”。按ADR-0024，本期取消开发备份、静止多库快照、联合恢复、对象故障恢复及对应验收/上线门禁，不默认转为后续任务。本文此前的恢复通过、失败和准备过程保留历史事实，其中待补要求不再代表当前待办；现有new-api客户生产服务、既有发布保护及生产自动数据库备份保持原状。单原件写入未知回执后的原任务核验、独立续签、停新保留读取和可靠解绑继续验收。

以下旧客户回归、原迁移checksum保留、候选/旧fallback认证和NO-GO结论均保留其原时点及原验收口径。已执行测试不改结果；旧fallback失败不再列为本期未完成项。当前新来源的实际release guard已按新决策调整并完成正式构建，见本页最后的当前制品与真实链验收；既有普通客户发布保护继续保留。new-api现有客户继续使用原生产环境，本次没有修改其账号、资金、任务、桶或配置，也没有部署。

承接的具名历史证据

以下仅保留2026-10-18上一轮时点，本轮源码有变后须重新固定范围，不继承为新源码通过。

上一轮生产19:05只读仍979f12d/healthy、桥未配、managed两表不存在；该时点不代表本页更新后的实时查询。admission修改前的全仓38有测试包/64无测试包保留历史；全仓vet的5项未改common源告警未冒充通过。

已有生命周期与历史兼容证据

以下为2026-10-18本轮源码的隔离验收。具名回执记录producer基线HEAD为979f12d1858167b9b96a864d13293848cad122cf、Platform为b2010fac25fd8770d7c08c29c31e8a144b43969a、Runtime为2f305a6340d46e035037c36475ecde4bf8582137，另固定测试时实际工作树源码hash。producer相关实现随后提交ba7eccd6872346fbd31867882b353b01bba3f0db，正式接受的干净构建来源及实际制品认证见下节5ab3007记录；Platform/Runtime仍含本轮未提交变更。基线HEAD、源码测试和实际镜像身份分别记录，不互相替代。

四库链路实际覆盖：Platform以原结果授权采用；Runtime按同file/revision创建独立claim，产品提交丢回执后恢复同候选；Platform释放自身anchor后，Runtime以自己的原claim续签并取得读授权，独立验证器实际读回原SHA/length；随后产品持久tombstone、Runtime释放outbox及原claim释放完成。释放不复活、他人scope拒绝、业务记录不含grant/URL均通过，原Platform会计摘要保持。业务Runtime对象正文请求为0；独立验收器有一次有界原件读取，不能将其计成业务复制。

本次local-joint的joint_snapshot_hook_exercised=false、joint_recovery={}。它验证的是四库主线事务和生命周期，没有执行多库快照、原对象丢失或恢复演练，不能据“四库”标记F01-AC8通过。

产品回执来自隔离ResultSink/inbox及持久tombstone夹具。真实Studio新引用接入仍待按批次完成；本轮没有切换产品Writer、自动物理GC、上传或临时晋升，不以包接口通过替代这些交付。

只读核查使用现行发布证据绑定的Studio 89c2be471b3f8a1a3e97e208ea8341b02d6c9189源（studio-phase1-artifactless工作树），未查询或修改现网。web/src/products/studio/runtime/compose.ts:83仍组合ArtifactService + StudioAssetPort + StudioResultSink；asset-port.ts:30–46收取原bytes并写Studio媒体，media-executor.ts:124–148读取Platform原字节；schema.ts:14–47的资产/候选/inbox使用storage_key，没有新file_ref/claim映射。已有studio.conversation.candidates及会话版本target，缺的是新引用Receipt、claim映射和持久detach/tombstone合同接线。

该源web/vendor/runtime-source.json固定Runtime 49e98f4cf1211e19119a32fbaf210c909015e79c、client/server 0.5.0；实际vendor server包的exports没有ReferenceArtifactService或FileReferenceClient。不能将主目录旧checkout的0.3.2误写为生产依据，也不能仅凭同为0.5.0推定已含本轮reference接口。当前没有发现已上线新claim Writer却遗漏释放适配器的路径；Studio需把新Writer/来源授权与读取、资产/候选映射、持久解绑tombstone及迟到Delivery拒绝随统一目标版本交付，不能只挂一个ReleaseSink。按调整后的范围，不维护旧字节输出双轨，也不要求迁移旧开发候选；当前实现是否已替换须由新批次取证。

历史发布控制与实际制品

控制协议与正式干净构建

时间显示修正：本节构建、候选认证与旧fallback认证按原安全JSON的UTC时间经zoneinfo.ZoneInfo("Asia/Shanghai")转换为UTC+8；此前文档多加一小时，现仅修正展示，不改原冻结回执或验收结论。对应原件为artifacts/official-build-safe.json、candidate-certification-attempt4-safe.json及fallback-certification-safe.json。

release-controls-local-safe.json固定上海19:51:06～19:54:05的六份发布控制源码，运行前后一致：35 guard协议、5 normal-stop协议、8真实隔离PG catalog用例均通过，0失败/跳过。覆盖release/rollback控制流的本地传输、schema漂移、真实非super owner/FORCE RLS隐藏行、同库public/search_path及未知/不兼容回退；PG数据库/角色已清理，生产写0。这份回执只证明其记录的旧版冻结源码；其certifier仅做语法检查，不代替下列实际镜像认证。

最初ba7eccd构建因测试import产生未跟踪pyc、破坏干净源码条件而不接受。随后以sys.dont_write_bytecode修正测试工具行为，保留原失败与纠正回执，没有把原构建改记通过。上海20:09:31～20:14:01，唯一正式build入口对干净提交5ab3007d2bca71cfa3c4dd53b805b19e3c3b115b完成构建，源码前后稳定、clean=true；35 guard、5 normal-stop、4隔离执行器共44项通过，完整Go测试为38有测试包、64无测试包。本轮全量Go结果与上一轮admission修改前的历史结果分别取证，不替代仍有未改common告警的全仓vet。

实际验收使用最终verifier-only提交0c81a9a4eb3a82fc20319f0a656d71f03e91608c，不改变候选应用源码。该验证器补齐非零终态task/log哨兵，并保留此前夹具纠正记录。实际镜像、binary及登记结构分别固定如下。

不可变候选实际认证

上海20:21:11～20:21:40，正式release.sh certify实际运行上述候选binary：非root、独立network/mount/pid namespace与chroot，私有PG15、真实HTTP和合成TLS AWS SDK协议夹具。legacy-customer-http-pg-s3、managed-delete-guard、admission-paused-reference-recovery三套均通过，已签发claim_recovery_contract=owned-claims/v1证书；证书、3份suite报告和3份raw JSON共7件链路的SHA及server root所有/0600权限已核对。该夹具不验证SigV4云授权，不连接真实TOS，不关闭F01-AC7/8。

原3个账号、3个Key、1个既有终态task及1条log均以非零哨兵完整摘要核前后不变。managed正式原件经过保护删除尝试、读回，再执行独立续签及原claim释放；采用/绑定阶段Put、Copy、Delete均0。SDK夹具全局Put2/Delete1分别对应“legacy未托管对象1份（按旧CRUD故意删除）”及“managed正式原件1份”，不是同一业务原件重复存储或绑定触发复制。

候选的前三次夹具执行分别因PG准备、最小PATH缺chroot、strict HTTPS端口不符失败，均保留原失败/清理事实、未签发证书；仅修正隔离验证器，没有业务降级。第四次才按上述实际镜像与最终验证器通过，不把前三次回填成功。具名安全构建/认证回执及原始报告由producer docs/verification/object-storage-lifecycle-20261018/统一索引；含内部凭据的执行原件保持私有。

实际旧回退制品拒绝

上海20:22:22～20:22:51对实际旧生产拟fallback 979f12d1858167b9b96a864d13293848cad122cf、image sha256:23bacbe95ad8278b5337b911b103768bdeb6a2e1d71c2f596779d685dd1ff9f4执行认证。legacy套通过，但实际registry不存在，保护/续签套失败，未签发兼容证书。这是具名真实拒绝结果，不是未知版本的推测，也不能用候选证书替该旧镜像补标记。

候选与旧fallback已经分别实测。随后在official lock下，实际guard原始证据读取函数对真实镜像及server上的真实证书执行验证：candidate得到allow，所固定receipt SHA-256为beff04093185062e0af48c2916f7d400a754dc46dc8461ecf1c93d6c5e430bef；fallback得到deny，原因为missing-compatibility-evidence。本次registry描述符取自actual candidate隔离PG，不是生产DB预检；未执行App stop/up，不能把这次allow写成生产切换通过。

按当时口径，兼容fallback缺失使原F01-AC9制品整体未通过，并得出新引用生产NO-GO结论。ADR-0023现已取消该兼容交付义务，不再补制旧fallback，也不因这一项阻塞本期开发。上述真实失败、证书内容及既有脚本拒绝结果均不改写；不向旧镜像补造证书或据文档直接绕过现有发布脚本。

本轮最后一次official status只读确认：生产仍为979f12d、image sha256:23bacbe95ad8278b5337b911b103768bdeb6a2e1d71c2f596779d685dd1ff9f4，running/healthy，release记录一致。为满足干净正式构建而临时暂存的176个本地文件已逐项按hash及mode完整恢复，仅删除本任务stash；未覆盖冻结历史。最终安全构建/认证、guard消费、status及source binding回执由本轮安全目录归档，不改写先前失败与历史通过记录。

真实TOS隔离与同检查点联合恢复

本轮计划、输入拒绝门禁和环境阻塞分别见producer同目录tos-execution-plan-safe.json、tos-local-input-gates-safe.json、tos-resume-preflight-safe.json、tos-ui-blocker-safe.json。

具名计划限定新建一个私有测试桶、两个临时受限IAM身份及五个精确合成key；不触碰六个既有桶、旧客户对象或现用宽权限身份策略。计划包含双向跨prefix/匿名/枚举拒绝、同批原件/四库元数据/引用的静止快照、私有bundle、独立受限数据库恢复，以及仅合成源对象故障后的实际读回。备份prefix和源仍同账号/区域/测试桶，不承诺生产独立故障域、容量或RPO/RTO。

此前只完成本地SDK/工具准备和五项输入拒绝门禁：空凭据不回落生产、既有桶拒绝、清单外key拒绝、非TOS端点拒绝、宽可读配置拒绝；当时对象SDK请求0，不能作为真实云隔离证据。上海19:45:18前置回执记录桶表单已准备但未最终提交、凭据未填。上海19:59:48保存的历史阻塞回执记录最后一次UI读取返回Mac已锁屏；该记录时间不等于再次实时查询锁屏状态，之后停止轮询。

上述历史时点尚缺CUA Computer Use Confirmation Policy要求的具名资源action-time确认及用户手动解锁；不是自动审批拒绝。当时新云资源、持久凭据、IAM/桶策略写入及对象请求均0。该授权/锁屏阻塞已由随后用户的明确确认与手动解锁解除，不能继续列为当前待办。

已授权资源准备与历史MFA交接

用户随后明确允许原具名“一个私有测试桶、两个临时IAM身份”的合成验证批次，并已解锁Mac；不扩大到现有客户桶、现用身份或旧资产清理。新回执位于producer docs/verification/object-storage-lifecycle-20261018/continuation/tos/resources-safe.json，上海20:42:34记录的资源事实为：控制台确认测试桶oceanway-oslife-20261018-0d78a6e19590已于上海20:38创建，FNS、private、STANDARD、versioning关闭、无lifecycle，初始对象列表为空；未修改既有六桶或原IAM策略。

临时IAM创建提交后，火山控制台要求手机六位MFA；截至20:42:34历史回执，两名用户及其AK尚未核验创建成功，未取得测试AK、未配置scope策略，SDK对象请求0。root当时请用户直接在Chrome完成MFA，代理不读取聊天验证码，也未重复创建提交。随后按用户要求仅重发同一MFA对话一次，保留continuation/tos/mfa-resend-safe.json；该创建身份MFA已在下一节时点解决，后续凭据撤销的新认证挑战另列。

MFA完成与真实隔离初验

用户已完成重发后的MFA。上海20:49，原具名两组API-only临时测试身份/AK创建，精确primary/backup prefix策略已分别附加，私有凭据不写聊天或Git；原资源授权与解锁继续有效，不再要求重复确认。该批未修改旧桶或现用身份策略。

continuation/tos/isolation-result-safe.json记录上海20:57:22～20:57:26的真实TLS SigV4初验：29个具名正反例通过，加初始两个缺失对象HEAD共31次transport请求。覆盖各自prefix的允许访问、跨身份HEAD/GET/PUT/DELETE拒绝、匿名读取拒绝及越prefix/整桶枚举拒绝。预检74B合成对象已按原key删除并HEAD404，当时尚未进行正式引用链的首次Put；canary及精确探针的后续状态见supplemental-sdk-safe.json。该时点只完成具名隔离矩阵，F01-AC7整体验收及资源收尾尚未确认；最终收口另见下文，不以初验提前勾选。

寻址诊断与联合恢复交接

补充path-style HEAD期望404却返回403，原失败保留；随后单次GET在上海20:59:52返回provider InvalidPathAccess，见continuation/tos/addressing-diagnostic-safe.json。该时点私有CLI累计37次transport，非IAM最小权限不足，未放宽IAM scope、未执行正式原件Put。service本已支持S3_FORCE_PATH_STYLE=false，随后仅纠正router联合夹具的live profile以采用virtual-host寻址，本机TLS profile保持原行为；这是测试配置纠正，不包装成业务修复，也不改现网配置。

测试专用提交dcd056e19bf8fa5605e26037cd3e49d594c0d119仅调整router/file_reference_integration_test.go三处寻址选择，应用业务源码保持候选5ab。continuation/local-addressing-joint/cross-repository-safe.json记录修正后本地四库复验通过，三仓运行前后源码稳定；原artifacts/joint-to-candidate-source-safe.json只证明其旧时点，不能据它声称新fixture与旧manifest完全相同。实际候选认证范围仍按其独立制品回执登记。

首轮真实链、静止检查点与中断

continuation/first-attempt/failure-safe.json及checkpoint-safe.json保留首轮真实链结果：virtual-host下首次HEAD404后，仅Put一份74B正式合成原件；Platform释放自身anchor后，Runtime用原独立claim续签并由独立验证器实际GET原字节。上海21:02:35～21:02:38完成同批静止四库快照、64,675B私有bundle上传与读回SHA一致；四个新受限数据库从该快照恢复，未另造文件或保留。

restored-logical-and-denial-safe.json在上海21:02:51记录源/恢复库全部逻辑列与全行摘要相等：producer为6表7行、Platform为65表53行、Runtime为23表23行、产品为2表1行。fresh source-host实际拒绝已释放Platform claim续签（410）、Runtime跨subject（403）与跨principal原命令（404），三负例未发对象请求。服务为Go-test source host及已构建Runtime dist，不是5ab实际binary恢复；原启动身份以original-source-binding-safe.json保留，不事后重建丢失的原完整文件清单冒充当时证据。

随后受控runpy入口未把脚本目录加入sys.path，joint_object_restore.py导入同目录模块时报ModuleNotFoundError；故障发生在对象loss的任何SDK请求前。首轮按失败归档，对象故障/恢复、故障后fresh Runtime读取与原source链最终detach/release均未执行，不回填通过。原八个临时数据库/角色已精确清理、owned进程归零；原件与检查点bundle仍保留供已授权的同检查点受控续跑，非自动重试。

首轮私有CLI累计37→41次transport，原Node签名GET为1；失败fixture未归档原Go source对象总账，聚合预算按其完整120上限保守预留，不将上限写成实际调用次数。续跑不得重新首次Put或覆盖bundle，只能从同一已校验检查点建立新恢复分支；恢复分支的最终释放不能补记为原中断source链完成。

同检查点对象恢复与第二次编排失败

首轮bundle未覆盖，正式原件没有重新首次Put。上海21:17:48～21:17:56，受控续跑离线核同一bundle SHA、六项白名单及四份dump，再建四个新受限数据库；全表逻辑摘要仍与原检查点相等，fresh Go source-host的410/403/404负例通过且claim、原users/tokens摘要不变、对象网络尝试0。随后只对原精确合成key执行Delete→HEAD404→从bundle恢复Put一次→实际GET，原SHA 01b58ddb2f86a768f91751b62f25395417f6cf526191a4aefc1ebe4f8beacdcb及74B长度一致，binding Put/Copy仍0、旧对象访问0。

fresh Runtime进程按恢复出的原Artifact/AssetVersion/claim独立续签并实际取得原字节，不读取已released的Platform anchor；产品候选、Runtime及产品行均保持原身份，未新增retain、迁移或生成。该次为全批第二次、也是最后一次Node签名GET。对象故障恢复和Runtime读取分项见continuation/checkpoint-resume-20261018/object-restore-safe.json及restored-runtime-read-safe.json。

该轮整体仍保留failed：read-host和Node误用同一read-report.json，Node先独占写入通过报告，host在末尾O_EXCL建报告时报new private output required。源文件/claim、原users/tokens及deny-all网络断言均先于输出失败执行，但缺少host完整独立回执，不能把整轮改成通过。second-failure-analysis-safe.json说明准确原因，resume-result-safe.json保留原失败；该轮未执行恢复分支detach/release，四个临时数据库/角色与owned进程已清理。CLI累计41→47，没有另造首次原件或覆盖B备份。

元数据收口与恢复分支最终释放

上海21:23:17～21:23:24，仅修正私有编排的输出路径，再从同一已验证本地检查点恢复四个新受限数据库；没有再次B GET、对象GET/Put或新生成。continuation/checkpoint-metadata-finalize-20261018/resume-result-safe.json记录运行前后源码稳定、四库逻辑摘要相等、三项权限负例及metadata-only原claim续签通过，read-host按原claim与原users/tokens不变、对象网络尝试0完成独立报告后正常关闭。

随后专用source-host只允许预期原Runtime claim完整proof释放与同命令重放；真实Runtime requestReferenceRelease先持久冻结，再经产品同Delivery/target的持久tombstone取得可信detach证明，processReferenceRelease提交outbox并调用原稳定release命令。Runtime outbox重放、producer原命令远端重放均成功，远端原claim续签实际返回410，本地已释放引用同样拒绝续签。实际调用为owned release 2、产品detach 1、released renew 1；原Artifact、AssetVersion、Delivery回执及candidate身份不变，候选仅变为detached，Runtime outbox为released，业务行不含capability。

producer端仅原Runtime claim的ReleasedAt/ReleaseCmd发生预期变化，Platform claim继续released，file登记、原users/tokens摘要不变；该host对象网络deny-all，尝试和发送均0。exact-cleanup-safe.json确认本段四个具名数据库、四个受限角色均不存在，owned进程0；CLI保持47→47、Node GET总数保持2、Go云请求0。全批保守数据面使用上界为169（CLI47 + Node2 + 原source Go预留120），不是已精确归档的实际总请求数，最终云清理另记账。

据上述分段证据，F01-AC8的本轮同检查点合成恢复范围通过：同原件/元数据/引用恢复、精确源对象故障后实际读回、fresh Runtime独立续签和恢复分支最终释放均有具名回执。两个失败编排保持原结果；原中断source链最终释放仍未验证，不能把分段恢复拼记成其一次完整成功运行。

适用范围同时保留：Platform只恢复数据库并核逻辑一致，未启动恢复后的Platform服务；实际执行为私有Go source-host及已构建Runtime JS，未验证5ab不可变binary的联合恢复。candidate-source-continuity-safe.json仅确认候选5ab至测试提交dcd的应用源码未变，不能扩张候选证书或替代实际binary恢复。新测试对象和备份仍同账号/北京区域/测试桶，不代验生产故障域、容量、RPO/RTO；Studio真实Writer/detach适配器仍待批次接入。

精确对象清理与临时身份撤销交接

上海21:25:42～21:25:44，continuation/tos/object-cleanup-result-safe.json及object-cleanup-events-safe.json记录先核原件/bundle的run metadata、SHA与长度并实际GET核hash，再仅删除两份owned对象并分别HEAD404；其余三个白名单key也为HEAD404，A/B各自精确prefix枚举为空。未扫未知key、未访问旧对象，私有本地合成bundle继续保留作证据。CLI累计47→60，增加13次请求；此时全批保守数据面使用上界为182，原source Go的120仍是预算上限而非实际归档调用数。

对象清空后，禁用临时A AK时控制台再次要求MFA；此前“创建MFA已解除”只指资源创建时点。用户随后已直接在Chrome完成这次撤销认证，代理不读取聊天验证码、不重复请求原资源授权，MFA不再是当前阻塞。

continuation/tos/credential-revocation-first-check-safe.json记录两AK在控制台均已禁用，但上海21:32:40的逐Key实际核验为A返回403 InvalidAccessKeyId、B仍返回404 NoSuchKey。CLI累计60→62；B的404不能证明旧凭据已失效，保留本次未通过的撤销验证。两具名user及各自sole AK、两条零引用策略随后删除，但上海21:36:09对B复验仍为404，CLI63，见credential-revocation-after-deletion-safe.json。两个未通过结果均保留，空测试桶当时继续存在，避免桶不存在掩盖凭据状态。

再间隔73.4秒，上海21:37:23对B进行一次协调后的GET，实际返回403 InvalidAccessKeyId，CLI64；此时桶仍存在，故不是NoSuchBucket造成的拒绝。credential-revocation-after-deletion-recheck1-safe.json确认该结果。A/B旧凭据均已具名验证拒绝，不按控制台disabled状态或固定传播时延推定成功，也不回填此前两次404。

continuation/tos/cloud-cleanup-final-safe.json在上海21:41:00汇总本批收尾：新空桶删除并二次加载列表确认缺席，原六桶仍在；两临时user/sole AK及两条删除前零引用策略均删除，原两用户仍在。private-credential-cleanup-safe.json在21:40:12确认仅移除六份本批私有凭据配置，本任务私有目录及公开continuation字面扫描命中0，剪贴板已清空、CUA会话已重置；保留只含本批合成材料的私有本地bundle，不声称介质级安全擦除。最终33件云证据索引为tos-continuation-manifest-safe.json，本批owned云资源余留0，未修改原客户资源。

最终CLI账本sdk-final-ledger-safe.json的计数与64条events一致，hard cap为66；另有Node签名GET总数2，后续checkpoint Go对象请求0。原source Go实际总账仍缺，按120预留后全批保守上界186、hard预算上界188，不写成实际精确总量；控制台控制面及浏览器资源HTTP不属于此CLI数据面账本。全批成功Put为5次、64,943B，分别为预检原件74B、canary46B、正式原件首次74B、bundle64,675B及同Key故障恢复74B；两个被拒Put探针payload另22B，含拒绝的尝试上传payload共64,965B。绑定原件Put/Copy仍为0，所有云测试及清理已停止。

continuation/production-after-safe.json在上海21:28:10以official release.sh status只读核对：生产仍为原979f12d1858167b9b96a864d13293848cad122cf、image sha256:23bacbe95ad8278b5337b911b103768bdeb6a2e1d71c2f596779d685dd1ff9f4，running/healthy、release记录一致，与测试前匹配。时点为合成恢复及对象清理后、临时IAM撤销新MFA等待中，不能写成全部云收尾后的检查；仅核image/health/release元数据，不是生产客户数据全量审计，本批未stop/deploy生产应用。

以下为本轮最终分项状态；真实TOS和联合恢复只在上述具名合成环境范围内通过。

生产部署/业务DB写入、既有桶/IAM策略写入及旧对象访问/清理仍保持本批范围外；当前不因IAM准备完成或初验通过执行生产切换。

Studio统一新引用接入批次

本批从Studio工作树studio-file-references-20261018的8a0e1cf3401474fda00c5f6b9616eb01cf184c42继续开发，包含尚未合并的原终态恢复修复；它与上文生产依据89c2be、主目录旧checkout及其vendor分别记录，不回写旧冻结清单。任务仍归WP-STORAGE-001，工程合同新增DEV-STUDIO-07-002。本批没有执行生产部署、真实收费生成或云资源操作。

当前源码把新图片来源、引用Writer、资产/候选/inbox、授权读取、领域解绑和release outbox成组接线；新增file-reference媒体投影不走本地/S3物删。产品最后关联退出和未入inbox的Delivery也形成持久释放/拒迟到证明。Studio最终变更源码45件的摘要为d2b4f07d58150e083a6ad59139baaf519bf7fe4718253856a7cdb309d501a5be，见studio-source-final-safe.json，当前为未提交开发快照，没有据此部署。前一轮9fa432f5a3dbfc17ec699fc6adf0b712a74aba0a78c37d10b519db69fbbdd196及其构建保留历史身份，不与最终源码混用。本批真实producer联合链、浏览器与实际HTTP分项分别见下表。

早期Studio fixture/export错误保留原日志；Platform首次扩展门禁因磁盘满导致编译失败、执行测试0，保留platform-original-output-final-safe.json，不回填通过。随后只精确清理可再生Go build cache并重跑，未触Studio构建、制品、业务数据或旧云证据。上述27项是重跑结果，不能抹去首轮失败。本批新建或重跑的证据不改变此前真实TOS、候选binary或同检查点恢复的适用范围。

联合首轮的Platform差异仅为实际原结果读取新增一条platform_operation_requests审计索引；其余13表，包括原Operation、原attempt及资金数据，摘要均未变化。既有生产读取会生成独立服务端trace并追加query/product记录，旧夹具把整张请求审计表也要求完全不变，未适配实际读取。新夹具不修改生产读取或RequestId规则：仍核13表全量摘要及全部既有请求审计行不变，仅允许实际成功的精确原结果HTTP读取所观察到的trace、原Operation、purpose、surface及逐请求时间窗口一对一对应的追加；其它写入仍令批次失败。首轮不能因业务段通过改记整批通过。

浏览器首次空库启动返回503，因夹具未初始化现有vozeb_pro_users基表；实际HTTP私有夹具首轮缺studio_runtime_runs执行结构返回42P01，后补实际schema初始化。早期私有配置导入及协议scope失败亦保留原日志；均未通过改业务或放宽授权修复。最终浏览器与HTTP通过仅记入上述具名构建和夹具，不覆盖先前失败或联合首轮总批次结果。

全文件格式门禁发现5件Studio代码文件未格式化后，仅作格式整理并重建。旧9fa432源码、hxlVsX2D_4EdeFH9y3VCw构建和联合第二批通过均保留；printer-text比较的早期false诊断不作为语义等价证明。最终结论以d2b4f0源码、GMfHgbZfLJ5z9uH_Le0qu构建及第三批联合/新浏览器HTTP实际重验为准，不跨批拼接为同一制品认证。

本批新异步Task新增private_data.file_output_namespace、file_outputs及original-outputs接口，历史5ab候选镜像的owned-claims/v1认证不覆盖这些新增字段和API。新来源默认关闭、生产未部署；后续仅验统一目标新版本制品及同版本完整恢复，不新增旧制品补丁认证、旧接口适配或兼容fallback任务。

前一Studio批次阶段判定

文档维护验证

本轮正式文档位于50e44d15派生的独立工作树，未改旧英文operations文档。本次统一版本范围调整后，pnpm docs:redirects保持784条、无新增；pnpm docs:check通过243现行页、375归档页、3800链接，9个新增或修改MDX内存解析及git diff --check通过。ADR-0025正文逐字核对未变，仅替代元数据更新。本次没有运行文档站生产build或发布；文档检查不代替上述业务、云或制品验收。

Studio接入批次新增1篇DEV并更新6篇现行文档；pnpm docs:redirects仍为784条、无新增，pnpm docs:check通过244现行页、375归档页、3810链接，7篇变更MDX内存解析及git diff --check通过。以上为本批文档验证，保留前一批243页的原时点；未执行文档提交、推送、合并或发布。

前一Studio批次开发与启用结论

本期按统一新契约开发，兼容fallback、旧接口适配与旧开发数据迁移均不作为待办或阻断项。Studio图片新引用Writer、映射、读取及可靠解绑已完成上述隔离端到端和浏览器分项验收，不维护旧字节链双轨。下一退出条件为统一目标版本的实际制品/schema、环境及启用门禁；本批未执行生产切换，不将合成Platform原Operation、协议夹具或74B小图扩成收费生成、视频及大文件完整验收。

本批真实TOS/同检查点合成恢复及临时资源收尾均已具名取证，未执行生产切换。最后一次official status记录于合成恢复和对象清理后、临时IAM撤销MFA等待的上海21:28:10，生产仍为原979f12d/image23bacbe、running/healthy，release记录一致；不扩写为本次文档调整后的实时检查。真正启用统一目标版本时，仍须核对制品/schema、来源授权、实际环境和适用容量/观测/恢复，并对齐单版本发布及完整恢复流程；不以补制兼容fallback实现该步骤。此页不授权修改new-api现有客户生产环境，合成恢复不代验生产DR。

统一版本与真实图片续推批次

本段承接用户“先固定统一版本，完成新图片分支真实TOS和完整生成链，再补恢复及上线门禁”的指令。上文Studio批次的“未提交”保留原时点，本批初始源码已分别本地提交；正式镜像、工具及实际云验收仍按各自身份记录，不把已提交写成已启用。运维合同新增DEV-X-06-002。

当前安全检查点为主工作区.local/evidence/storage-unified-release-20261018/version-provisioning-checkpoint-safe.json；它明确是部分构建/资源准备，不能作为F01-AC7/8/9或完整生成通过回执。完整链须从Studio实际入口，经Platform真实create/observe/settle、当前producer正式binary及本轮TOS执行；文本规划可用具名受控源，真实图片供应与其分开计数，不把受控文本写成收费模型验收。

显式输出契约与最终制品重建

实际全链预检发现：仅关闭Platform原输出模式会使未明确声明输出要求的请求进入普通媒体链，可能先报价/预留/供应提交，之后才因缺少文件manifest失败。因此Studio从首次可信准备时固定output_contract: "oceanway.platform.file-output.v1"并纳入原请求、指纹及恢复证明；Platform在报价前校验模式、bridge、新准入及来源，显式空值/null/未知契约或不支持组合拒绝。原请求沿冻结快照恢复，普通未声明的现用调用保持原逻辑；不新增旧版适配。

Platform修复提交7896b973068d7182aec0392d4aed7f5449d4b6c7的46项具名单元/实际PG/HTTP门禁通过、0跳过，覆盖模式关闭/无效、bridge未开和admission暂停的提前拒绝，14张原业务表保持、新供应POST0，以及原请求恢复；未声明普通请求仍成功进入受控供应协议。首轮HTTP夹具因前用例遗留被撤销测试Key失败，仅重置隔离夹具后重跑，失败日志保留。该提交官方Linux构建成功，实际binary SHA 398303c5e9a090981bcd2524e5ffa267646f063181ddbd500fb6de8082bcb0ee；完整运行、云及恢复结果另记，不将源码门禁扩大为实际应用全链通过。

Studio修复提交d63d4f566812cc268d6616012054a8525e41cd7e通过34项单元、7项实际PG、类型与受影响文件格式门禁。最终官方Linux镜像sha256:1373e3f39d1b6a92de786c7be20416fda91652af70f2feb123ba56880f12e0b5、Next BUILD_ID 8C2Fd6c6xuwCD9mSsFsDH；实际rootfs内Node v22.23.3以nonroot uid1000核Runtime内置包来源/schema9及导出通过，数据库连接与原请求均0。该结果见主工作区安全归档studio-final-identity-safe.json及studio-final-preflight-safe.json，不继承旧Linux镜像或本地Mac构建的验收身份。

Runtime源码与两个包保持上表fa000/0.6.0身份；schema摘要0a36ccb42b47e984d7f1535c8b55f20ee5638815f86de734f7e78bb5e4f016d5来自实际包迁移执行器的9项有序版本/checksum向量，Studio产品schema摘要60c76f76a0cbc470782ded2dcf2fdd4c874741727efdeb835a97f1d23cd8f510来自15项产品DDL及prefix转换输入，均不冒充数据库dump摘要。producer最终发布保护与执行工具仍在固定；初始c078/0dd/efb制品保留历史，不拼接为最终成组认证。

本阶段6篇变更MDX内存解析与git diff --check通过；pnpm docs:redirects保持784条、无新增，pnpm docs:check通过245现行页、375归档页、3817链接。未运行文档站生产build、合并或发布，文档检查不代验上述云、真实生成或运行门禁。

现有资产桶只读基线

上海2026-10-19的运行容器具名非敏感配置投影确认：资产库桶oceanway-assets-cn、媒体交换桶oceanway-media-cn，文件桥永久桶及新来源开关尚未设置。随后控制台只读核资产桶的桶生命周期为0；ObjectSet独立规则及Tag规则均返回NotAllowObjectSet: BucketObjectSetConfig not set，记录为该功能未配置，不将错误包装成成功列举零规则。AllUsers桶权限与ACL权限均为-；原两条桶策略继续授权现用oceanway_media_uploader对桶内对象Get/Put/Delete及ListBucket，未作编辑。

安全回执为本批根证据目录的production-bucket-projection-safe.json与production-permanent-bucket-observations-safe.json。这些是控制面基线，不是对象内容/逐对象ACL审计，不代表新专用生产身份或来源已配置，也不代验新版本运行监控、容量或启用。本次生产配置/桶策略写入与root对象SDK请求均0；现有客户原宽范围权限不因测试需要调整。

新来源正式发布保护

producer提交d40ee5a723f6c64cae0fa860b30e482717285ef6把统一新来源接入既有正式发布入口。当前/目标原输出flag开启、原输出登记有行，或Task私有async_image有新namespace/输出状态，均选择本期统一门禁：当前五制品清单与实际目标operations、当前binary/九表schema、正式构建输入中的执行工具SHA、真实全局账本及同版本恢复缺一即拒绝。具名实际执行器还须证明独立读取、可靠释放、凭据撤销及停新保留读取；旧owned-claims认证不能覆盖新来源。

该分支记录stop-new-same-version恢复策略，跳过旧fallback认证；自动失败、公网探测失败和显式image-only rollback都不得启动旧镜像。失败时只拒绝该自动恢复动作、保留现场，按已验停新/同版本完整恢复计划另执行，不擅自停止现有客户服务或重写生产配置。新来源默认关闭的原客户发布路径仍走原保护。

发布控制首轮原35项回归、新状态1项/6负例、新统一proof及实际shell流程9项、normal-stop 5项和generic certifier单元4项分别通过，syntax/diff检查通过；最后整组正式build将再跑最终源码全套。新proof正例使用明确的跨仓校验器依赖seam，真实pin另验拒绝；它们是无外联协议夹具，不能当作真实TOS、生成、恢复或生产部署证书。初次正例因macOS /var别名被当作符号链接拒绝，只修正夹具根路径解析，生产路径保护未放宽；失败与重跑口径见producer-unified-release-guard-safe.json。

本批若联合快照含隔离渠道/任务保存的组织供应商凭据，明文只留本轮私有目录；上传备份前先用成熟工具及离线recipient加密，分别绑定明文与密文摘要，私钥不上云。恢复须解密校验后还原同一检查点，不通过删改业务字段伪造快照一致。新版本的真实TOS、完整生成、同版本应用恢复、实际环境运行门禁尚未据本段标记完成；旧版兼容和旧fallback继续不列为待办。

开发阶段备份范围取消

上述联合快照、加密云备份及完整恢复准备均属本次用户取消前的范围，不再继续。取消时producer明确核本轮真实TOS数据Put为0、B前缀备份Put为0、真实图片供应提交为0；Infrastructure未创建任何*_restore数据库或角色。root精确移除自己尚未提交的checkpoint脚本、SQL与离线测试3件，以及远端仅2件开发工具副本；未执行实际checkpoint、dump/restore或对象故障删除。此前实际执行仅为隔离只读schema投影及无云离线CMS夹具，原结果保留，不包装成实际恢复。收口见根证据development-backup-cancelled-safe.json。

Infrastructure新提交30265fa46071013d22ecb08c5b8ec12380b97a2f将发布清单更新为schema2，当前验收仅需live-tos、full-generation、customer-isolation；实际启用另核operations，已移除same-version-restore及restoration_plan_verified。11项协议门禁通过；旧schema1不继续适配。producer门禁同步改为一份成功原件Put、备份Put0，并沿同源原Run完成读取、停新和解绑；原件未知ACK恢复只查同一原任务/对象，不再次Put或生成。现有客户生产发布的原自动DB备份没有修改。

producer随后提交8061a2dfb51ad51a50ef1e394a742f2138633c16，正式入口固定新的schema2校验器摘要与unified-images-execution/v2，要求原件Put1、备份Put0并拒绝任何备份Put事件；恢复策略改为stop-new-current-version。9项新门禁及实际shell控制流程、bash语法和diff检查通过，安全回执producer-no-backup-release-guard-safe.json明确这些是协议夹具；不代验本轮真实云、真实图片或目标启用。正式verify还将运行实际出口与受控图片后端测试。旧生产发布自动数据库备份保持原代码，新来源继续要求当前制品和独立实际执行证据。

本次范围变更同步11份规范及本过程页，新增ADR-0024，ADR-0023仅修改替代元数据、正文保留。pnpm docs:redirects仍为784条且无新增；pnpm docs:check通过246现行页、375归档页、3820链接，12篇变更MDX解析和diff检查通过。以上是文档检查，不代验业务链路；未合并或发布文档站。

随后复核现行Runtime通用规范，发现5页仍有无条件备份门禁及旧复制接入步骤。RT-01-001/002、RT-02-002/004、RT-03-001已按ADR-0024同步：本期不要求备份/dump/DR，不转入B5待办；当前共享原件接入改为文件Owner唯一原件、Platform/Runtime/产品同一文件引用和各自claim，继续验原状态重启、未知ACK确认及可靠释放。既有new-api生产保护保留。5篇MDX解析、diff检查及文档检查通过，重定向仍784，现行246页、归档375页、链接3826；这些是规范一致性检查，不增加业务通过项。

取消备份后的首个正式制品与证据绑定

本段记录取消备份后的首个正式制品；同域结果URL工具修正后的当前版本另见最后一节。producer提交30e5c86c8377b1edbe39e2b2681195fb6becc8ee经唯一正式入口deploy/oceanway/release.sh check/build完成干净构建：完整Go测试、5项normal-stop、36项普通客户guard、9项统一来源guard、4项certifier、26项出口、2项受控图片后端及7项报价测试通过。正式构建前后390件既有本地变更的内容、mode、status和index完整恢复，仅操作本任务暂存；没有部署。实际应用binary与此前c078构建相同，该提交新增验证工具及发布控制，不将工具更新描述为业务binary变化。

Platform结构投影使用固定SQL 3d52a96476cf5521adbe3c9ecfc955509b801f372f589bc63c04881bc6ae9425，排除库名、角色、行数据、sequence当前值及不稳定OID；不包含ACL/owner/RLS policy/extension版本，权限隔离另有实际测试，不能单凭此hash扩写为跨PG版本生产结构认证。正式source库仍须同SQL复测。Studio的schema身份来自15件确切DDL及前缀转换输入，不是dump hash；应用树按路径组件有序描述得到eac398048ee21560bb4056d1f20f476e77216faa9c88e58ecdd9bbd2fbde028a，5768件文件、158件symlink，工具调整后再次一致。

五件制品预览绑定摘要为ca5e968b084fff5195e02aa251146a8d3c4c79b4c9662ce5f7274ba0caa33cbb，producer/Platform的制品SHA指实际binary，Studio指实际amd64 OCI manifest，Runtime指实际npm tarball；build_id分别记录实际image、Next BUILD_ID及包文件名。预览尚无通过receipt，不能当作真实TOS、完整生成或实际环境启用通过。正式安全构建依据为producer docs/verification/unified-storage-version-20261018/final-30e5c86/，根证据对应final-producer-official-build-safe.json和final-producer-producer-schema-safe.json。

统一来源guard随后经独立复核补齐全局账本一致性，提交2ae9ee7fb43391d4d751fcce2fa832a814e1dc6e已包含在最终构建：所有PUT尝试字节总和须等于账本，唯一原件PUT的SHA/长度及丢ACK结果须一致，随后实际GET200须核同原件；两次实际拒绝与对象403均须可核。9项测试及25个拒绝子例通过。它仍是验证协议测试，实际云证书只由本批真实执行产生。

当前普通客户API隔离回归

当前最终af9镜像的实际binary在独立受限validation库、只有loopback的网络空间及具名受控供应商运行。四项新原件/bridge/admission/archive开关均未配置：带新namespace的请求返回400，未创建Task或扣费；普通客户不带namespace的原异步图片请求返回202并完成，自己的查询为200、另一账号查询为404。只有一项合成Task、一项7500合成quota消费，没有Asset/ManagedFile/Claim/Original登记；受控供应商POST为1，真实供应商、TOS和生产写均为0。

candidate-customer-api-safe.json的SHA为81d9ab58d501ba156d555c98d9bfa4aaaac2609af6249edecb66fa1adeef0ff6；实际驱动来自最终正式提交，未seed Task或资产。Infrastructure另用受限角色只读复核账务/引用事实；validation运行进程已全部停止，数据库仅暂留本批审计。该项保护new-api普通客户公开API的现有行为，不重新引入Platform/Runtime旧协议兼容，也不声称使用生产客户数据验收。

当前Studio受控完整链与停新释放

本段使用实际Studio standalone、Runtime包、Platform及producer binary、真实隔离PG/HTTP，图片供应与对象后端为受控夹具，真实TOS和收费供应提交均为0。初始启动及接入失败各留原报告：缺少运行设备、Host转发、Platform规范TLS origin及产品动作权限在Run接纳前纠正；第一次已接纳Run因文本连接/回执配置不正确，未创建Platform Operation、attempt或供应请求。原Runtime UNKNOWN保留，不据lookup结果猜测从未接纳，也不重发该Run；通过正式Stop结束后，使用新的纯受控Run继续验证。

controlled2实际生成一张74B合成图片：图片及两次规划Operation均持久完成并结算，图片唯一reserve/settle为10、frozen为0；producer唯一Task成功、唯一消费7500。第二次规划曾返回Worker503，后按原Run、原Operation仅查询恢复完成，未再次生成、未改写原失败回执。随后Studio新引用Writer形成资产与候选，Platform先释放自己的anchor，Runtime仍凭自身独立claim读取原件GET/HEAD并核SHA/长度；产品原件写入0，业务记录持久capability为0。

producer与Platform只关闭各自新接纳开关、使用同binary正常重启，原有读取/身份配置不变。全新标记的图片请求在prequote返回503、request_not_created，14项Platform核心表、2项引用表、sequence当前值及producer Task/消费/引用事实不变。之后同源finalize再次验证Runtime原claim GET/HEAD，通过原稳定命令解绑及幂等重放，release outbox持久为released，产品读取404；producer对原Runtime claim的续签返回410/claim_released。两claim均released，Task/消费仍各1，受控供应POST和原件PUT仍各1；没有新增生成或对象复制。

当前安全回执为runtime-studio-controlled2-progress-safe.json、studio-controlled2-attempt06-original-resume-pass-safe.json、studio-controlled2-attempt07-stop-new-finalize-pass-safe.json，以及Platform的controlled2-stop-new-negative-attempt2/result-safe.json、controlled2-platform-final-safe.json和producer的controlled2-owner-final-safe.json。首轮停新探针helper在发送HTTP前失败0请求；原claim410首轮报告解析失败也保留，后续仅元数据复核，不重发生成或原件写入。

受控闭环完成后，正式真实验收工具固定为Studio verifier提交0a9eb95bfd2c03ec463526e0763eb9f32ea8869a，主工具SHA 8f9f500b092ff522fd4b69e133b4524d96f5f28581e1fb670aed3065a657f6dd，helper SHA a9b12f132af44d279a15c18ba6516761da480c31b9c83f64a6e1f5b1a59fa9a3。只对已接纳的同Run、精确既知Worker503信封继续有界查询，保留首失败、时间与后续结果；其它503、额外字段或未接纳均拒绝，8项负例与2项离线测试通过。应用制品没有因此变动。下一步从独立正式source库执行已授权的真实TOS和至多一次真实图片生成；不执行备份或联合恢复，也不据本段受控结果开放生产。

解绑验收边界为产品入口404、Owner对原claim续签410及持久释放完成；已经签出的TOS临时URL仍按原TTL到期。本批没有验证释放瞬间使所有TOS签名失效，也不把最后一项领域引用退出解释为立即物删共享原件。

正式源初始化、真实TOS预检与工具重固定

正式source使用新受限数据库，实际官方Platform CLI和11项Admin变更均成功，隔离测试额度只添加一次；未seed媒体/模型Operation、Task、relay attempt或Run。实际source的PG15.18结构投影仍为203da199845d77ea52bcc4b4af518de6763e08fbb3e651d9758b9749aeb0d5a3，同一SQL复测，未用dryrun库或源码迁移摘要替代。source目录价格版本按其实际新目录冻结，不套用dryrun价格版本。最初Canonical投影在5项GET之后因错误字段路径报KeyError，原时点未留完整响应摘要；该格式失败保留，后续仅投影原管理输出及只读账务澄清，不补记为完整Canonical回执，也不重做credit。

本轮真实TOS预检原始回执conditional-canary-safe.json的SHA为f64ccd6d5a0cb3aec12367ebaa9e2739af9ba99ea5662f5e6b60d6bbb62e130b，依次为PUT200、第二次同Key条件PUT412/ConditionNotMet、GET200核SHA、DELETE204、HEAD404。两个74B PUT尝试共计148B，包含被拒绝的412尝试。scope-denials-safe.json的SHA为a036565b0a74fe5a50d2a6dedaee08c3a54103e455d974a64ac3c6f717936853：B对自身空前缀HEAD404为有效身份正控制，A→B和B→A均HEAD403；三者响应体为空、provider_code未观察，不声称返回XML AccessDenied。B前缀仅做HEAD，没有备份PUT/GET/DELETE。

8条完整事件投影tos-preflight-events-safe.json的SHA为2887d094f86fc75b6c20dce82f7306dea01ce65d72c5bce64df2cca3ef06e6b0，所核原账本SHA为4ac33b4978bb5ae80e0e9cdba653f0dd6b58b03759c4c8d19916dd941b91c943；当时业务原件PUT与真实供应POST均0。索引preflight-copy-index-safe.json的SHA为761d683e97ec4ebb1f05596d7533c1444db2971d8bb1c3fd02ffbad1088f4286，本机位于Platform证据树formal-source-preflight/tos-preflight-8requests/。这些请求由旧proxy源码1c68ecffe604afbfefe933ecab0aefa4e154307d6d1c44a76b59712fd72b053a执行，实际runtime与归档源一致；不能把旧启动时0次的summary当成当前8次账本，也不把此前事件回填成新工具执行。

付费前发现出口工具按host先分类，会把真实供应响应中的同域图片URL误作Task查询拒绝。提交91678fb7e9f6a8d8dc2e41d3372706d3c9ef69c9仅修改3件验证工具：严格匹配真实响应学到的完整URL且仅GET一次，metadata路径继续走原授权门禁；增加同一已完成8事件/148B账本的付费前维护重启。维护要求paid0、业务原件0、无未知/在途事件、canary已删、原namespace所有HOST进程及原proxy退出，旧新proxy源SHA和账本原字节一致均须可核，不重新跑探针或清零请求预算。

该修正通过独立只读复核和29项出口/维护测试，含已付费、原件已写、未知/在途、未删canary、字节/计数/事件异常等10类拒绝状态。新正式check/build及完整Go、普通客户/统一来源发布保护、受控后端和报价检查均通过。当前producer image为sha256:66494aa7aca642460a2b05ba324c048f67a9905ee5ce37d48aad299ebf39922f，binary仍为17d0369865337ce4a4f88388544190327ad0539a545485610f65f25820f160a9，九表schema仍为d690213fea3479b40fa4640d0d93bd6ea8fff4169cfd82b32c44a7f88f8e5d58。其余四制品及结构身份按上表不变；新集合摘要为10c208ebb1d5f0bacc6b78332864e62a7fd4a862b237ffba03dcd21327d64350，原ca5e...仅保留此前时点。405件既有工作区变更完整恢复，没有部署。

源库、已初始化目录和session沿用，没有数据库导入、快照、备份或二次额度。普通客户HTTP报告仍保留其实际运行于30e镜像的source/image身份；通过新正式构建证明binary逐字一致、源diff仅3件工具后承接该binary回归，不改写原报告为新镜像实跑。接下来唯一真实图片提交及原件未知ACK确认、独立读取和可靠释放仍须使用新集合并据实际结果另行收口。

当前真实图片与原件引用闭环

上海2026-10-19，本批以最终官方Linux制品、同一source数据库和真实私有TOS完成一轮实际图片链。producer源91678fb7e9f6a8d8dc2e41d3372706d3c9ef69c9及image sha256:66494aa7aca642460a2b05ba324c048f67a9905ee5ce37d48aad299ebf39922f固定，实际binary仍为17d0369865337ce4a4f88388544190327ad0539a545485610f65f25820f160a9；Platform 7896b97、Runtime fa000ef、Studio d63d4f5及其制品/schema保持上文身份。当前五制品集合摘要为10c208ebb1d5f0bacc6b78332864e62a7fd4a862b237ffba03dcd21327d64350，不混用此前集合或历史候选证书。

真实归档PUT成功后受控丢弃ACK，原任务进入未知写入状态；同一正式binary的fresh进程沿原Task/index登记核对象和内容后完成，未再次生成或重Put。Platform先释放自己的output anchor，Runtime持自己原active claim续签，并通过真实TOS GET/HEAD核原SHA与长度。只关闭producer和Platform新增准入、保持原输出模式后，再次Runtime GET/HEAD仍通过；原稳定命令完成产品解绑及幂等重放，Runtime/产品release outbox为released，候选detached、产品读取404，Owner对原Runtime claim续签410/claim_released。这里证明原引用生命周期，已签出的TOS URL仍按原TTL到期，不宣称释放瞬间撤销所有已签URL。

Platform账务核原图片reserve1、settle1，reserved/settled均为10、frozen0；producer隔离本地consume1、quota7500。付费前重新核公开固定CNY报价0.015元，真实POST按一次性允许表执行；该报价、Platform销售计量及producer本地quota均不是供应商实际账单，当前保留元数据没有可归因的供应商实际扣款回执。两次文本Planner使用具名受控零计费源，不能把它当作真实图片费用证明。

停新后的新图片意图实际返回prequote 503、request_not_created，未创建新请求、供应提交或资金事实。跨进程重启前后14张Platform核心表、2张引用表、实际schema及producer原Task/消费/登记事实保持；全局sequence当前值摘要跨重启发生变化，原因未定，不能写成“所有sequence跨重启不变”。在同一重启后epoch内，该503前后以及后续finalize的sequence摘要均相同。首次15秒健康deadline失败保留，随后仅只读reconcile确认同次重启服务，无第二次重启或重复生成。

工具初次generate01的授权读取报fetch failed；resume02进一步定位到Node22内置fetch与外部undici8 dispatcher ABI错误，未新增TOS预留请求。两次失败分别保留，不将已生成图片重新提交。成功验证器改用同一正式undici8包的fetch与ProxyAgent，提交af6b7cb746242b58d8cc9e46b53398011149b399、主文件SHA 549a4386db83f6f77ca5e239b3b40503b53407e1827f6a1703f21b6175dae2ab，沿同Run的resume03及停新finalize04通过；应用制品未变。独立只读审计器bce3c10c078899a8f79162c52a6c5fe9a12684eb首轮因工具消息表前缀错误42P01回滚、写入0，修正为实际部署前缀后16类审计通过，不抹去原失败。

生产official release.sh status前后仍为原source 979f12d1858167b9b96a864d13293848cad122cf、image sha256:23bacbe95ad8278b5337b911b103768bdeb6a2e1d71c2f596779d685dd1ff9f4，running/healthy、release记录一致。本批没有生产部署或客户资源修改；此核验只覆盖运行身份/健康及release元数据，不是生产客户数据全量审计。

当前schema2验收与启用判定

对最终安全bundle的3份实际文件逐字核验后，最终schema2清单SHA为a620945ed9b1aaeeb171e682318c4302b4c009cb78669af68f61ba74b2df7566，五制品集合仍为10c208ebb1d5f0bacc6b78332864e62a7fd4a862b237ffba03dcd21327d64350。此前0393f7d4...是付费前没有通过回执的preview，保留其原时点，不改写成最终清单。

两个阶段均明确production_authorized=false。门禁实际校验已审计执行证据与当前制品集合的绑定，不自行执行或授权部署；acceptance的live-tos通过不等于临时IAM/桶已经收尾。没有为已取消的备份/联合恢复填入回执，也不把缺失的operations写成通过。

当前资源收尾与启用边界

业务原件已按精确清单DELETE204并以真实HEAD404确认，不再发送第二次Delete。首轮清理HEAD因私有配置门禁返回502，在发云前拦截，原失败保留。最终账本包含27个有序HTTP事件，其中对象请求21次、供应商metadata GET4次、图片POST1次及结果GET1次；对象尝试Put总量512,256B包含两次74B canary与512,108B原件，低于获准200次/16MiB。业务原件Put1、备份Put0，原件4次成功GET的长度与SHA一致；未知ACK之后未重发图片或Put。此前18次是撤销前的中间快照，原样保留。主工作区.local/evidence/storage-unified-release-20261018/release-bundle-final/producer/egress/egress-summary-safe.json的SHA为e67418f64555107e13695faab30b8c6f82548ec6e643c92e086caa8196943d8c，独立离线序号/计数/载荷核验回执root-ledger-audit-safe.json的SHA为2f204d21392823fa900e89f4ca962dad62c8a4634326ba5dd490c0e5cae0ce9a，没有新增云请求。

临时A/B用户及各自唯一密钥已删除，两条引用计数为0的测试策略已删除。B在Disabled后的首次HEAD404、A在删除后的首次HEAD404均作为失败保留；随后B实际HEAD403，A在首次404后间隔110.58秒的新phase实际HEAD403。两个403均在测试桶仍存在时取得，HEAD无响应体，不虚构云错误码。确认两把旧凭据实际拒绝后，才按精确桶名删除空测试桶；控制台显示删除成功且精确名称筛选暂无数据。未触碰原有IAM身份、策略或六个既有桶。

安全云收尾回执位于同一bundle的cloud-ui/cloud-cleanup-local-safe.json，SHA fad82c934365f7debfeab989168b7ec6e84f7cb7260ccd43322020a37bf8fbcf；记录精确UI缺席截图、本机4件临时TOS配置/凭据CSV删除及owned文本的原AK/SK字面扫描0。两owned控制台标签已关闭，浏览器执行会话已重置；不撤销组织共用供应商Key。

最终producer-execution.json采用unified-images-execution/v2，SHA 4689e6ff0b66b2e11499794a2d609b6375c8932f0ef2ef436ceda528cdecf3a4，12项实际检查全部通过；原producer-execution-pending-iam.json保留其两项false的中间时点。最终producer索引producer-final-index-safe.json的SHA为5522683fa84987deb53a4bc9094f9386a5298f5782b1366daec3845edc37e197；独立核对63条证据引用与正式提交中的20件执行工具SHA一致。该离线核对不新增云请求，也不是生产发布allow。

具名PG临时容器正常停止并删除，tmpfs数据库和socket目录缺席；原namespace内所有进程及proxy均已退出。清除本批83件远端工作文件、13件测试TLS私钥及本机供应商工作副本，mutable工作文本内实际外部/夹具凭据字面余0；扫描范围不含不可变正式制品、源码/依赖树及保留用户dirty状态的归档，不撤销组织共用Key。清理报告分别绑定于最终producer索引，没有创建数据库备份或dump。

完整安全bundle已逐文件复核并持久保存于主工作区.local/evidence/storage-unified-release-20261018/release-bundle-final/，108件实际文件共594,335B；总索引bundle-index-safe.json的SHA为d352f7c3035fb3309f03ade21f2b540482e71f61f657f2d5a7cd76cdc12ac564。安全摘要及失败事实保留，不将私有配置或密钥提交Git。

此前本期业务闭环已通过，但工作包仍因生产operations未实施而保持doing；该状态属于本次范围澄清前的口径。本次没有生产启用。开发备份、联合恢复、DR和旧版兼容已取消，无新增待办。

开发收口范围澄清（2026-10-19）

用户进一步确认当前可以不做生产专用身份、来源配置、监控及容量门禁。这四项从本期未完成清单移出，不自动转成后续必做任务；只有未来明确提出实际生产启用，再按当时环境确定范围。本次是开发与生产启用阶段的边界澄清，未修改Accepted ADR正文、应用源码、校验器或生产发布保护。

WP-STORAGE-001的本期开发范围据已通过的三项acceptance、真实单原件闭环与精确资源收尾标为done，功能追踪索引同步。此前activation blocked、缺operations回执及production_authorized=false均作为原始事实保留，没有补发通过或重新执行云测试；它们不再阻断当前开发收口。本次文档调整没有部署或修改new-api现有客户环境。

Studio常驻开发环境与页面闭环（2026-10-19，进行中）

用户新增要求将统一版本集成并启用到Studio开发环境，完成已有页面的生图、保存、读取、解绑及删除释放。真实供应验证最初选择免费联验，随后用户明确“不考虑费用，进行正式验证”；本批据后一指令执行必要的真实图片及默认文本规划，不沿用上一批已用完的单次预算，也不因查询或结果未知重新创建原任务。当前尚未记录本批真实生成或浏览器全链通过。

运行目标为studio.oceanway.tech与console.oceanway.tech所在的现有开发服务；独立producer、数据库、账号和开发原件前缀与new-api客户生产环境隔离。当前开发数据及在途任务须保留，不通过清库代替集成。开发服务的正式镜像、配置启用和页面结果按本批实际回执另记，上一批临时测试服务已收尾，不能视为当前常驻环境已启用。

接续时只读发现运行基线已变化：Platform真实源码为df021d924e37快照，旧Git label仍为1aee56d，不能以label或此前c9b6e77工作树直接覆盖。当前运行的原生协议、视频秒计费及dispatch增量需先与本批文件引用改动整合，保留现用前端制品。客户new-api只读镜像名也已为new-api:oceanway-git-046a939e4167，不能将上一批979f12d继续描述为当前运行身份；本轮没有部署、重启、改配置或写入该客户实例。

首次常驻启用后的免费接口均返回200，但定向结构核验发现旧产品表未升级：资产映射缺3列及版本唯一约束，候选缺解绑时间并保留阻碍领域删除的旧外键；共享媒体登记也需要新增Runtime映射及file-reference约束。CREATE TABLE IF NOT EXISTS不能证明已存在表符合新合同，因此正式生成继续暂停，不能以健康检查代替首写验证。原7条旧资产、关联媒体及9个Run的原值投影已固定；采用前向结构升级保留原行，不为旧字节虚构file/revision/claim，也不恢复旧Writer或兼容回退。真实旧布局与约束回归、实际升级后的原值复核及本批新写入仍须另行取证。

Studio补丁已固定为01f48c4f9ebd5d82349aa5c25604e302ab70a706，工作树干净；4项真实旧结构升级、8项Writer/原生成链及1项Runtime claim续签/解绑/释放回执丢失恢复分别通过，共13项，lint、格式和完整类型检查通过。release文件其余29项本次未运行，不记作通过。初次SQL前缀、测试类型、5秒测试墙钟及组合夹具执行顺序失败均保留原报告；最终改为先独立执行重建旧结构套件，再在已升级隔离库执行Writer/释放回归，未更改业务超时。安全汇总为主工作区.local/evidence/studio-dev-storage-20261019/schema-forward-upgrade-01f48c4/summary-safe.json。旧记录原值保护已在隔离夹具验证，远端结构升级及实际旧记录前后比对尚未执行。

开发身份安全回执为主工作区.local/evidence/studio-browser-storage-20261019/iam-dev-policy-safe.json，实际控制台绑定截图为同目录iam-dev-policy-attached.png。本批不修改现有客户IAM或桶策略；最后引用释放仍指产品映射、Runtime生命周期和Owner claim退出，自动物理GC关闭，已签出的TOS链接遵守原TTL。

常驻释放由现有generation Worker执行：每批Studio Runtime任务先处理产品reference-release outbox，再调用Runtime的request/process释放流程，不能由验收工具临时执行释放来证明页面可用。最后一项Studio领域关联退出后应释放的是其Runtime claim；Platform原Operation的输出anchor按原合同独立保留，本轮不新增保留期GC，也不把该合法引用写成已释放。单原件可以因其它有效引用继续存在，验收不要求TOS物删或所有消费者claim归零。

跨会话整合与停写交接（2026-10-19）

用户指出多个会话同时修改Platform，随后明确授权按分工通知「检查本地修改是否已推送」及「规划对象存储架构 (2)」。已向两会话发送当前提交、冲突清单、运行身份及配置事实：前者唯一负责Platform/main整合，后者继续独立Gemini/Drama增量，本会话保留Studio修复并停止Platform部署和共享配置写入。合并预演没有更改工作树/索引；审计时origin/main=45b7aae，本会话2bb2dbf与其有30个冲突文件，不能据单方较新提交直接覆盖。完整安全交接位于主工作区.local/evidence/platform-cross-session-20261019/。

两个会话均已确认分工：Platform/main负责人继续最终回归，尚未推送main；Gemini会话继续独立分支和隔离联验，不部署共享服务或修改全局绑定。已向两会话交接本批文档提交4ae366f5，Studio保留F01-AC10/11，Gemini另用AC12，合入时按各自实际证据记录。

此时共享Platform实际运行2bb2dbf、Studio运行07ef23f。候选01f48c4随后完成Linux生产构建、完整类型检查及sharp/vendor检查，镜像为sha256:4160a86f598ea4ccbd56e2368981542f3e8bb71d602d21343d9224c4d299e590，Next BUILD_ID为ks4zW0wv4GMUWE95WkD7b，安全回执为主工作区.local/evidence/studio-dev-storage-20261019/studio-schema-candidate-linux-build-safe.json；未部署、未执行结构升级，现用app/worker的镜像及启动时间保持不变。通过正式管理接口将全局gpt-image-2的model41绑定从revision2改为3，指向studio-dev-unified-image-v1及:18445；该绑定是全Platform配置，不能表述成仅Studio入口隔离。唯一整合负责人须协调其最终归属及后续变更，未经统一不并发调整。当前Runtime新准入仍仅subject3，恢复原开发范围的脚本未执行；本批真实模型、图片、TOS新原件和claim仍为0。

当前发布目录以source/及linux-build-safe.json记录构建，旧release元数据的source_sha256字段存在遗留不一致；停写交接时未再修改。后续须以实际不可变镜像、当前release位置和构建回执核对，不能沿用旧字段自动覆盖。共享存储WP及过程记录也有并行改动，统一合入时保留各产品分节和验收编号，不覆盖既有证据。

尚待本批实际完成：固定跨会话统一Platform版本与共享配置，启用Studio最终结构补丁并复核实际旧记录原值，浏览器真实生成一次并刷新读取，通过同原件引用保存到素材、页面移除及物理删除验证其它引用保留，删除最后素材后核outbox/Runtime claim释放，并记录客户生产服务前后运行身份。该清单不包含已取消的旧版兼容、开发备份、联合恢复、生产监控或容量门禁。

Studio已启用与错误开发任务取消（2026-10-19）

唯一Platform整合负责人已将f7108f7debe20b59f653e4347d0d4ba8c93ae80d推送main并核远端一致，没有部署共享环境。负责人及独立只读复核确认，Studio显式原件合同不依赖main新增能力声明；本轮固定运行Platform 2bb2dbf、producer 91678fb、Runtime fa000ef，仅启用Studio 01f48c4，没有将main回归记为运行制品已经验收。main的完整响应usage直接结算策略本轮未上线。此处只记录实际运行切片，不增加旧版兼容交付。

安全回执位于主工作区.local/evidence/studio-dev-storage-20261019/的studio-only-activation-safe.json、studio01-protection-comparison-safe.json、studio-authenticated-free-preflight-safe.json及runtime-schema9-metadata-safe.json。运维须同时使用原compose.yaml、app-command.override.yaml与本次studio-image.override.json；共享compose.env仍保留旧pin，遗漏第三个覆盖文件会换回旧镜像。前述“仅构建、未启用”是早前时点，不能继续当作当前Studio交接状态。

实际页面以subject3提交过唯一一次单张1:1的gpt-image-2请求，Run为runtime-f7069a7d-61b6-4df2-84f8-294c5f367bf7，会话为conversation-j6qG8KM9EMbLop5xWvRwH。文本规划Operation op_54c2267d6039f49e1276af7422965d263b305706098f5746成功并实际结算88 quota。图片Operation op_7560dcfbf7f7473f574b5622e114e002cc1a1c2daeda1f66派发一次并收到HTTP202；独立源原Task task_qDBI6cZThTLbaeymF6yXGNWMZs03DNhW停在QUEUED/5%、start0。固定源的UPDATE_TASK=false关闭了消费者，不能把Platform轮询更新时间当成供应生成进度。该Task的本地submission、上游ID、pending result、原件登记及消费队列均为空；图片没有完成，更未执行页面保存、读取或解绑四阶段验收。

用户随后在「规划对象存储架构 (2)」直接明确“目前处于开发状态，在途任务是错误的任务，可以直接关掉取消掉即可”；本会话通过read_thread核对原始userMessage 01a150dd-f9e0-7691-a453-1f336c28b9e9后停止修复消费者，未把开关改为true或重发请求。正式Stop命令cancel-invalid-dev-run-20261019-f7069a7d返回HTTP200/code0、公开Run状态cancelled。

固定916没有可用于QUEUED图片的公开取消API，既有审计API只接受SUBMISSION_UNCERTAIN；本轮没有伪造状态绕过。一次性开发维护代码固定为a54d548cf9fe2a25d6c772bbed0c8d91fe3a7d04，CLI校验精确容器、专用PG18数据库、原Task/主体/Token/请求hash及无提交/原件证据，复用既有原子退款与唯一Task journal。公开审计API门禁没有放宽，也没有发布新的API或服务镜像。专项model为8顶层/25节点、旧响应专项1项，均通过；实际dry-run保持原行hash不变后，只执行一次。Task现为FAILURE/100%、image_cancelled_before_submission，原请求hash、报价7500及原consume日志完整保留；唯一journal1退7500，源钱包及Token余额恢复50,000,000。receipt沿既有seller补偿政策保留provider_dispatch=unknown及卖方剩余责任，不据本地未提交证据声称供应商零收费。维护CLI及证据已从容器临时目录精确清理，私有审计记录保留。

常驻Runtime Worker随后自动读取原Task及既有退款receipt，使图片Operation变为failed/released，唯一release ledger624释放5000 quota；测试用户3余额49,999,912、冻结0、已用88。原规划实际消费未退；Run保持stopped且recovery_complete=true，原media Call、Job、attempt及tool execution均为失败终态。25项定向只读对比通过，派发次数及原任务身份不变，原件登记0；没有手动refresh、reconcile或再次派发。取消和资金收尾不等于真实图片/TOS或页面引用全链验收通过。

取消证据为主工作区.local/evidence/studio-dev-storage-20261019/invalid-dev-run-stop-safe.json、cancel-financial-audit/comparison-safe.json及.local/evidence/studio-dev-cancel-20261019/execute-safe.json。交接时producer仍为同一91678fb镜像、PID、启动时间及UPDATE_TASK=false，环境指纹94209d9d63ae01d286cdcea5fd5de127a93473d0c4c1c42caa66dc7a1e79aeff未变；Platform、model41/:18445绑定、Studio准入subject3及客户环境均未改。源task取消并未代表原消费者已经修复或该生图入口可直接使用。

客户new-api实例前后只读核对仍为new-api:oceanway-git-046a939e4167，镜像ID、revision及启动时间一致，running/healthy；回执为主工作区.local/evidence/studio-browser-storage-20261019/customer-before-studio01f-safe.json及customer-after-cancellation-safe.json。本轮没有对该客户实例部署、重启、写配置或操作客户资金、任务及对象。

用户另授权Drama开发依赖及Gemini页面联验后，本会话已向两个会话正式交接原任务、资金及配置指纹，停止共享服务、配置及业务数据库写入，由「规划对象存储架构 (2)」承担后续必要开发依赖的唯一写入者；其启用前另核当时pending与实际版本。这个已取消的错误开发Task不再阻断后续开发升级，不新增跨版本兼容、备份或恢复门禁。Studio工作包继续doing；本轮不会自动创建替代图片请求，真实图片保存、读取和解绑验收仍属未完成项。

文档主线合并与编号消歧（2026-10-19）

文档PR47合并已发布的main 3db42c73时，发现并行草稿与已发布决定占用了同一ADR编号。main的ADR-0022：Drama解除冻结并恢复开发保留原编号及正文；PR47尚未合入的“复用既有TOS与单原件引用”由原草稿编号ADR-0022调整为ADR-0025，同步文件名、元数据、索引与引用，并为原草稿完整URL增加精确重定向。ADR-0023、ADR-0024只调整该对象存储编号的引用；三个对象存储决定的正文只替换存储编号引用，按编号映射归一化后与调整前逐字一致；同时仅在元数据补入main新规范要求的authority/scope。本次消歧是并行文档的标识修正，没有新增或改变决定条款。此前证据中的存储决定引用亦按该映射更新，不将其解释成当时已有新的政策决定。

冲突合并保留main的统一生成生命周期、Drama恢复开发及并行推进边界，同时保留本分支的单原件多引用、取消旧版兼容和开发备份门禁决定。索引及Runtime说明不再把Drama写成冻结状态；Studio仍保持doing，其真实图片保存、读取与解绑全链路尚未验收。本次只处理文档分支与交接，没有修改共享服务、配置、业务数据库或模型绑定；文档main的独立复核、合并及发布由承接会话另行执行，不能以本次冲突消除宣称已经发布。

合并后的文档检查通过：pnpm docs:redirects保留785条重定向，pnpm docs:check检查268份现行文档、375份归档及3907个链接；冲突标记、UTF-8、私有凭据字面量和差异空白检查通过。已发布Drama ADR-0022与main逐字一致，存储决定正文经编号归一化一致，归档无改动。两份过程长页的400行提示仍保留为非阻断警告；main原有RT-04-001/MG-04-001重号亦未在本次扩展处理，本分支没有新增重号。此处不包含文档站生产构建或发布回执。

OS-GEMINI-01：Drama参考图统一原件输出（2026-10-19）

范围与来源

本轮按用户追加要求，在独立分支显式整合Platform main与原文件引用实现，接通Gemini原生异步图片的统一输出。复用既有TOS适配器和Runtime 0.6.0包；本地只连接自建loopback PostgreSQL及受控供应商/HTTPS对象存储夹具，没有新增云桶、IAM或密钥，没有真实收费调用、生产部署或共享模型绑定修改。Platform main统一整合由另一个已指定会话负责，本轮仅交付独立功能分支及验收回执。

producer仓库远端处于归档只读状态，未擅自解除归档或写生产分支；本轮开发提交以本地分支及独立patch交付，跨仓任务追踪为Platform #8。补丁为主工作区.local/evidence/gemini-reference-storage-20261019/producer-423df56.patch，SHA-256 d4c35980bfa92db9c7541f97b95bb84b055fae1eccf39178fd56e9c7bc6e2863，清单为同目录producer-delivery-manifest.json；未含凭据、构建产物或数据库备份。Platform/Drama分别保留自己的分支与正式合同快照，不以本机跨仓源码路径作为运行依赖。

实现与引用边界

producer只在受信namespace新分支选择统一文件输出，Gemini实际参考contents进入原请求，响应先暂存以恢复归档，成功后清除输出正文，仅返回原件descriptor。未知PUT回执核同task/index和对象，不再次生成或复制。Platform仅在显式file-output.v1时选新分支，并把声明写进持久派发envelope；否则新main的队列恢复会丢失原输出模式。模型公开的output_contracts只反映已接通的文件输出能力，Drama依此核验，不再硬编码排除Gemini。

Drama Writer、候选、资产版本及Runtime独立claim共同指向同一原件。输入在原任务进行时保留；来源业务关系退出后，成功或失败终态按冻结输入身份、权限和最后真实使用写持久解绑outbox。UNKNOWN维持原任务，不提前释放或重新生成。事务先COMMIT并释放数据库连接，再执行Owner网络释放，避免小连接池中长期占用连接；main的恢复slot仍占用自己的连接，定向验证使用最大2连接。

当前参考输入仍为inline-base64-sha256-v1。platform_media_input.data.wire、私有意图binding.envelope.reference_images和Runtime jobs.input.envelope.reference_images保存冻结Base64；本轮没有将输入改为纯文件引用协议。输出file/artifact/asset/candidate不保存图片正文，短期URL/grant和Owner长期凭据不写这些快照或公开投影。不能把“一份输出原件”表述成“所有数据库没有图片字节”。

Metadata交接线程为“提供模型 Metadata 接口”，本轮只核对正式source与合同，不发线上metadata请求。schema2仅verified variants的完整endpoint/parameters/request_path组合可用于后续表单；unverified、未知版本、空菜单不能猜值。Platform当前main尚未消费逐模型schema2；本轮没有实现全模型动态表单，也没有把metadata当作资金准入、可用性或文件权限证明。

本地具名验收与边界

本轮F01-AC12在本地真实实现联合通过；未连接真实TOS或收费供应商，不能以此关闭本轮真实云隔离或生产启用验收。

三服务联合使用1次受控生成，输入为本地用户上传；“已生成TOS引用作为下一轮真实参考输入、原提交回执丢失后沿原Task恢复、在途输入保护、成功/失败终态和他处使用保留”由真实Drama Host PG专项覆盖，未虚构为该次跨仓的一次额外生成。对象存储使用AWS SDK严格TLS的本机协议夹具，未关闭证书校验或添加系统证书。

联合安全汇总为主工作区.local/evidence/gemini-reference-storage-20261019/joint-safe.json，SHA-256 5ff9170ad7bcabdb449aa10ed3218537f39fcca531c0f8ba488bcf5bbb2ad5d3。原件身份、候选、独立读取与解绑检查均为true；不含Cookie、服务Key、临时grant或签名URL。producer独立链与三服务联合为不同批次，分别记录，不把独立链调用次数并入同一联合批次。

前置失败原样保留在同目录attempts-safe.json：首次工具误将HTTP的禁userinfo规则用于PG role URL，发生在数据库/HTTP之前；第二次真实Drama身份链在活动读取处403，隔离fixture缺activity:read。随后启动前预检又发现fixture未调用正式MigratePlatformUsageRecords，尚未启动consumer即被拒。仅修工具的协议校验和fixture权限/正式迁移接线，不放宽生产校验。只读producer计数在这些纠正后仍为POST0/PUT0；最终用同一producer进程首次实际生成后通过，未重发生成。最大1连接的定向试跑受main恢复slot占用而中断，未记通过；最大2连接完成14/14。

交付与本地资源收尾

本轮实际联合及专项结果已随源码提交：Drama集成记录、Drama联合安全回执、Platform联合与清理回执。Drama该轮交付草稿PR为#25；Platform/main整合由指定会话负责，未因本轮通过而自行合并或部署。

PR #25在b757c0038a37d9f7f853ffacb02c2c9cf4d2685e时的远端两个GitHub Actions job因账户Actions预算限制未启动；这不是已执行测试的失败，也不记作远端通过。该轮通过结论仅依据上列本地实际执行和固定回执；后续源码的审查、回归及CI另按下节记录，不改写这次历史阻断。

producer和Platform联合fixture均在最终断言通过后正常exit0，各自专属测试数据库及受限role已精确删除并核absent；producer客户隔离快照断言通过。producer独立链清理和三服务联合清理分别取证，不以其中一批替代另一批。所有测试结束后，共享的本轮PostgreSQL 17.10集群仅余默认postgres数据库和本轮admin，使用smart模式正常停止exit0，精确自有临时目录已删除；未创建dump/备份，未触及其它集群。安全回执分别为主工作区同目录producer-joint-cleanup-safe.json、root-pg-cleanup-safe.json，Platform分项清理在上列正式回执。全部对象后端及供应响应仅位于本机夹具，本轮没有待清理云资源。

本轮没有浏览器联验、真实TOS策略请求、云资源创建、生产制品认证、生产部署或共享模型绑定写入。已签读取URL按其TTL到期，领域解绑不等于瞬时撤销所有TOS签名或立即物删原件。归档producer远端的提交/启用，以及Platform统一main整合均须按指定所有者的流程处理，不能把本地验收标为已上线。

PR #25合并前审查与候选引用保护纠正（2026-10-19）

用户追加要求检查Drama PR #25、处理main冲突，验证后合入main并推送。本次检查时origin/main=1a68f05已在PR祖先中，没有新增代码冲突。独立审查发现P1：仅保存在候选中的原图被用作Gemini参考输入后，即使用户未解绑来源，新任务success/failed终态也可能误释该原图。新增红测试复现后，修复固定为2f4d191c1544d42b07a48de581f6783157b13c74，并经独立复审确认无剩余阻断。

修复只在真实业务结构化媒体关系净退出时记录私有pendingReferenceDetach，冻结完整file/owner/subject与原command；终态只恢复已经存在的可信解绑意图，并核对身份和当前真实使用，不因任务终结、缺少资产投影或纯文本提及直接授权释放。候选仍保留时，success与failed均继续保留原引用；原在途删除、终态释放、原释放回执未知、多个输入及后来新增其它资产保留的行为继续通过。没有新增DDL或依赖。

最终固定源码在Node 24.19.0、独立loopback PostgreSQL 18.4完整验证：Canvas43/43、领域集成585/585、强制PG202/202，均0失败/跳过；25项定向回归与完整suite重叠，不另加总。固定合同verifier、typecheck、正式构建、diff/governance/UTF-8与凭据模式检查、npm ls均通过；测试前后源码提交与跟踪状态稳定。该批未重跑此前三服务供应/对象夹具联合链，不把旧联合批次改写为本次源码的真实云验收。

本次安全回执位于主工作区.local/evidence/drama-pr25-merge-20261019/local-validation-safe.json及database-validation-safe.json；后者SHA-256为ec08424c8f7074e0e028777d348a22af9fc6f3c94570c101e4b415f896ad95df。各测试数据库/role收尾后仅余默认postgres和本轮admin，smart停止exit0并精确删除自有目录；未备份或触及其它集群。本次没有云请求、收费生成、客户数据改动或部署；Studio AC10/11及整体WP的doing状态保持原范围。

2f4d191c1544d42b07a48de581f6783157b13c74的远端CI已实际通过：baseline为6秒，verify为4分18秒；固定输入检查、类型、单元、领域、PG及构建均完成，不以此前预算阻断代替本次结果。PR #25于上海时间2026-10-19 04:58:34（UTC 2026-10-18 20:58:34）已squash合并到main，合并提交为d865376d91a720f158676db89a6bc81748f53caf。原固定head与远端main的tree差异检查exit0；canonical本地main已快进到同提交，推送main回执为Everything up-to-date。

本记录确认Drama源码合并完成，不代表共享开发或生产环境已启用；main推送自动再次触发的同tree CI不计为已通过，本次结论依据上列已完成的PR head CI和本地验证。文档PR #48继续独立评审，不在本次操作中合并；Platform/main的跨会话整合职责和Studio尚未完成的页面联验不变。

Drama常驻开发部署与Gemini参考图浏览器验收（2026-10-19）

授权、隔离与执行状态

用户追加要求将Drama最新main部署到开发环境，复用现有TOS，完成浏览器端Gemini参考图生成、保存、读取和解绑释放；不新建测试桶、不做旧版兼容、不影响new-api现有客户。随后用户明确现有在途任务是错误的开发任务，可直接关闭取消。该确认只适用于具名错误开发任务，不包含客户生产任务或对已发送供应请求事实的改写。

本轮沿用既有开发文件服务及oceanway-assets-cn桶的studio-dev/unified-v1/*授权范围，不因此改桶策略或扩大云权限。Drama与Studio分别使用可信产品/Runtime服务身份及业务作用域；共享文件桥namespace或同一TOS前缀不授予跨产品内容权限。客户网关仍在独立生产环境，本轮不部署、不重启、不读改客户数据库或凭据。

本节当前已完成错误开发任务取消交接、隔离producer启用、Drama与Platform最终main实际部署，以及Gemini开发目录发布。用户已明确授权本轮最多1次、合计不超过人民币1元；已在个人IAB提交唯一Gemini参考图生成，原任务成功，候选/资产已保存并在刷新后可读。来源标签最小修复已部署并以同图复核；随后按用户最新明确授权精确删除本轮测试资产，Runtime原claim已释放、原媒体入口拒读。Platform输出anchor与TOS原件保留。当前Drama模型可用性已由正式产品API及同身份IAB回读确认；本轮恢复执行器0 PATCH，不覆盖外部Studio现值。精确空间目录项已由权威实体确认软回收、未永久purge，未宣称项目为空。前节本地Gemini联合链、PR #25合并回归以及其它Studio真实TOS批次均保持其原身份和原结论，不继承为本轮通过。

部署前候选构建与主线演进

早期部署候选ae2bb790afdb0e1170b48c484642b46818983551以未修改的git archive作为Docker输入，在Linux amd64构建成功，固定镜像sha256:6fba294e25726edf8ae548c4ed6b2d410e7b4233e69f1a57fea087965bac24a8、Node基础层digest sha256:e5a8dee7bc1e6a215d224a7ef8206f7e77271bc3cabd5febf2beafac0674f174。独立临时PostgreSQL/internal network中6项制品检查通过：旧Runtime schema7初始化、升级schema9且保留原checksum、重复迁移与文件引用schema创建、受限app可读但DDL拒绝、UID10001正式standalone健康HTTP200、错误Host HTTP403。模型提交、云请求与现用服务变更均为0，临时容器/网络已清理。

该候选的安全回执为主工作区.local/evidence/drama-gemini-development-20261019/drama-candidate-build-safe.json及drama-candidate-packagecheck-safe.json。它证明这一候选的构建与隔离迁移/HTTP边界，不是最新main或常驻开发实例的部署回执。

随后PR #26以3caa4135bdc971ed959cdff222cbf624a87367d8合入main，PR #28界面改动cfe5851与PR #29生成生命周期/后台原单恢复2d6b06a继续进入main，分别通过各自CI。本轮重新核打包时发现新增worker入口尚未随Docker制品交付，当时按最小范围补齐allowlist及worker bundle；最终源码、镜像和实际运行回执在该修正后重新固定，见下一节。该早期候选检查不继承为最新main通过。

producer隔离开发制品采用既有Dockerfile.dev等价后端方式：Go1.26.3、CGO禁用的具名binary配合旧开发实例的不可变runtime层，仅用于既有:18445开发文件服务。客户生产发布脚本、客户网关及生产数据不进入本轮构建/部署操作；实际启用见下方“共享交接与producer开发来源实际启用”。

Drama最终main实际部署与Platform候选构建

Drama以干净main 0c68bba34c6ef9b18373d21a391aaf6f13ed659b的未修改git archive作为Docker输入，固定Node基础层与Linux amd64，构建镜像sha256:138c74f85caf688b6a9f22104946cb46c5587e69d4bfccc624590dcfb6a83472；源码归档SHA-256为883d299f7d42a99e793d8d9061f5abab268729bf375196be56cf60d681d22ff6。最终镜像以对应main revision交付，未将早期候选镜像重新贴签冒充最终main。

具名Drama开发实例已停止app后显式执行前向迁移，Runtime由schema7升级到9并授予文件引用schema使用权限；受限app具有适用产品/Runtime表CRUD，文件schema可用但无DDL权限。迁移前后各业务分类数量、101条产品收件及7条任务意图均保持，未清库或制作备份；这是分类与计数保护，不宣称对所有历史业务行做全文不变证明。

app与新增独立generation-worker使用同一最终镜像。worker按每10秒、batch5、pool5、lease30秒处理原单恢复，不发布端口，并关闭继承的Web健康检查。严格TLS的HTTPS /healthz及/api/health均200，实际revision与Runtime0.6.0一致，错误Host为403；app healthy，worker running，两者restart count均0，未出现generic recovery错误日志。部署动作的共享Platform、producer、客户new-api环境及TOS桶/策略变更均0，模型提交0。

安全回执为主工作区.local/evidence/drama-gemini-development-20261019/drama-main-build-safe.json、drama-main-deployment-safe.json及drama-post-deploy-readiness-safe.json。这三份回执证明最终main制品、实际迁移及实例启用，不证明Gemini供应成功、TOS新原件或浏览器读写释放通过。

Platform唯一main负责人已推送f776f30a87d69e3c966513c4b2fa7bea6f7a9c34；本轮对该干净提交执行官方未修改Dockerfile的完整Linux amd64构建，重新构建Bun前端及Go后端，非旧运行目录覆盖。镜像为sha256:fc902ba53b67e0c81a240bdb4c857ed97c523d3f1edf095899bb1d1923bf2f17，binary SHA-256为1785827205c984f88de309f76c9102bb3f78d6da08b327a6e543ae33bc7d3fbb；2035项前端文件树SHA-256为a28220eec6a7516da9e1547525e6469ba33935d11a00b890bc2e68b56839ec4b。回执为同目录platform-f776f30a87d6/linux-build-safe.json，明确application_started=false、deployments0；此时live仍为旧2bb2dbf，未将main推送或镜像构建记为Platform已启用。

本轮预检与审计失败记录

首次Gemini草稿脚本在旧2bb2dbf上进行/admin/product-models预检时收到404，发生于修改前，mutations0；没有盲重试、增加旧版兼容或绕过正式接口。该预检失败不是Gemini生成失败，也不是新Platform版本验收通过。

Platform激活前的只读审计helper曾对全量历史资金行执行json_agg，查询过重触发两次PostgreSQL backend OOM/自动恢复。容器原ID和restart count0保持，PostgreSQL及app恢复healthy，但OOM标记与cgroup计数真实保留，不能以容器未重启声称没有发生故障。该查询已停止，改为仅核本轮2个Operation及标量ledger/wallet/dispatch的有限投影；失败的全量审计不记为通过，也不依据它声称历史资金完整不变。回执为同目录platform-upgrade-plan/projection-initial-failure-safe.json；后续有限核验和正式激活已独立补证，见下节。

Platform实际激活与Gemini开发目录发布

Platform已从旧2bb2dbf实际激活为f776f30a87d69e3c966513c4b2fa7bea6f7a9c34及镜像sha256:fc902ba53b67e0c81a240bdb4c857ed97c523d3f1edf095899bb1d1923bf2f17。仅替换app，受保护的数据库、Redis、Studio、Drama与source容器保持，文件桥及原身份配置保持；只改变适用的admission JSON配置行。实际workspace/funding迁移完成，未新增角色授权或提权，单次启动、restart0，没有自动迁移重试。

公开HTTP状态200、页面及入口CSS/JS摘要与完整新前端一致，原已登录session仍解析到原用户。有限资金投影确认本轮原2个Operation、4条标量ledger及原wallet/dispatch不变，model41绑定与旧价不变；不再运行先前导致OOM的全行聚合，也不把这次有限通过覆盖那两次失败。激活期间模型POST0、TOS请求0、客户生产操作0。实际回执为主工作区.local/evidence/drama-gemini-development-20261019/platform-upgrade-plan/platform-activation-final-safe.json，前后及服务端明细保存在同目录server-activation-safe/。

随后在已激活的正式管理API完成独立Gemini草稿与发布，5次draft变更及1次publish均confirmed、unknown0。首次旧2bb预检404保持失败记录；未重试未知变更，未删除journal，也未开发旧版兼容。实际发布回读如下：

规格中的response_format=url是冻结媒体规格值，实际交付仍由file-output.v1约束；不能据此声称产品持久保存临时TOS URL，或把管理能力回读当成真实输出已产生。当前来源Metadata verified菜单仍不能自动视为完整动态表单接通；本轮明确开发规格与后续动态Metadata消费分别记录。

发布安全回执与执行说明为主工作区.local/evidence/drama-development-storage-20261019/platform-gemini-config-plan/catalog76-published-readback-safe.json及EXECUTION-RESULT.md。该管理配置阶段没有生成、费用或TOS请求；后续个人入口、本轮明确范围/预算授权、实际生成及输出保存/刷新读取由下节独立取证，不能由管理员发布回执代验。随后Gemini的Drama产品可用性被关闭；该独立配置事实和用户授权恢复另列，不覆盖首次实际生成及存储验收结果。

个人IAB参考图入口与业务释放粒度

本轮已在Codex in-app browser真实登录个人会话，于https://drama.oceanway.tech创建专用项目“Drama Gemini原件引用验收-20261019”、角色及默认形象，上传不含客户数据的合成PNG并保存资产画布。重新加载模型目录后已实际选中gemini-3.1-flash-image，参考连接存在，开始生成按钮可用，回读warn/error均为空。参考SHA-256为a2fa3a1dd66db701244e1843026adf3b1791d5cefb610f0bdcc64cb1452caa4a；安全回执与截图为主工作区.local/evidence/drama-gemini-development-20261019/browser-ready-safe.json及browser-ready.jpg。

该预检时点的“保存”是合成输入与画布草稿保存，不是生成输出的候选采纳或资产保存；原回执generation_submitted=false、收费授权pending保留当时事实。随后用户已明确授权并完成下节唯一真实生成，不继续将预检pending作为当前授权或生成状态，也不把可点击按钮本身写成完整链路通过。

部署源码的UI释放核查发现：仅删除画布节点仍受canvas_revision关联保留；当前最短浏览器完整退出路径为删除本轮专用资产，连同所属版本、形象及画布退出后再由Runtime可靠释放。服务端detach路由已存在，前端尚无“保留资产/画布、仅解绑当前单图”的直接入口，该UI缺口单列，不能宣称已实现该按钮。本轮按用户最新授权实际完成的是专用资产聚合删除及后台Runtime释放；原任务与候选历史不独立授权继续持有该业务文件，候选已detached，物理TOS原件保留，详见后文实际回执。

本轮唯一真实Gemini生成、保存与刷新读取

用户已明确授权本轮gemini-3.1-flash-image最多1次、合计人民币1元以内，固定单图1K/1:1、合成PNG参考；客户余额扣费未授权。具名开发执行者于UTC 2026-10-19 00:27:46之后在IAB唯一点击“开始生成”，没有重发。授权及提交回执为主工作区.local/evidence/drama-gemini-development-20261019/browser-generation-authorization-safe.json；未知结果仅查询原任务的约束继续适用。

实际画布出现白底蓝色机器人输出，参考仍为原蓝色方块；返回资产并刷新后，默认形象的图片历史显示V1“当前图/已采用”，1024×1024图像正常加载。截图为同目录browser-generated.jpg与browser-refresh-history.jpg，分别证明实际生成显示及刷新后的已采用/读取状态，不把合成输入保存算作生成输出保存。生成截图同时暴露来源标签误用“本地处理产物”的显示缺陷，已交最小标签修复；此时尚未将该修复合并或部署标为通过，也不为修文案新增模型调用。

只读最小审计的权威回执为同目录browser-audit-plan/generation-chain-before-release-safe.json，执行时点UTC 2026-10-19 00:32:06。只查询本轮精确项目/资产/任务及对应资金、输出登记；未选取原请求/响应或媒体正文，未修改配置/DB、未调用模型/TOS、未查询客户数据。原链如下：

本轮证明真实输出已进入既有永久TOS并以同一登记身份贯穿多层引用。最小审计明确不提供云PUT计数，不能据同SHA/长度和单原件登记宣称已采集Put1/Copy0数据面总账；浏览器真实读取与元数据交叉核验分别取证。上表两active claim仅为释放前状态，后续精确资产删除后的Runtime释放与原件保留在下一节独立核验；未物删TOS，WP整体doing及Studio未完成项保持。

本轮tuple最终回执为同目录browser-audit-plan/current-round-verified-tuple-safe.json：精确Drama intent、envelope、Runtime Job及Platform持久dispatch均实证images1、image_size1K、aspect_ratio1:1、async=true、单张原参考及file-output.v1；source原生Gemini路径、原提交request hash与SUCCESS也已实证。成功任务已清理原生request/pending result/options/native response，故没有保留原生wire可直接观察generationConfig。其中imageConfig及responseModalities=[TEXT,IMAGE]按固定Platform f776f30源码与该轮冻结开发准入确定推导，单图原生candidateCount按适配器省略并采用默认1；不写成直接抓到native wire。本轮1024×1024来自IAB实际加载，JPEG/SHA/长度来自同输出跨层登记，不以历史a-g31f-square-1k记录代验本次请求。

标签修复同图复核与精确资产删除/Runtime释放

来源标签修复Drama PR #31在固定head 280dc68ca75d2905b468b98c84d443c30fd165e2通过baseline8秒、verify4分39秒，Canvas43项及类型检查通过，合入main 79bce41621c817e6916a7fda67c41dfefa8f98fc。正式镜像sha256:e2fa0ae85721ddb45e5e131eef306f4cad383ab475a3237073021917d6e27304已切换到同一app与worker，app healthy、worker running，HTTPS双健康200、错误Host403。此轮只改标签展示：无迁移、无DB写入、无env改动，Runtime schema、数据库容器、原Task/文件/绑定的精确行摘要保持，不改Platform、producer或客户环境，也未新增模型/TOS请求。

重新加载原已保存画布后，同一“新形象”节点显示“模型生成产物”，原/media/runtime-artifact_f433e270db304f87ce67e8cc31bdb35d78ff5b43fc658d2ee3f57bb14876f18a图像complete，natural width/height均1024，回读warn/error为空。制品/部署回执为主工作区.local/evidence/drama-gemini-development-20261019/label-fix/下pr-checks-safe.json、deployment-safe.json；同图浏览器证据为上级browser-label-read-safe.json及browser-label-fixed.jpg。没有用新增生成验证显示修复。

用户最新明确“可以删除，验证释放”，授权范围仅为本轮专用测试角色、默认形象、单个V1及所属测试画布，不包含Platform anchor释放、TOS物删或客户资产。授权回执为同目录browser-release-authorization-safe.json，其中execution_state为授权留证当时的未执行状态；最终实际动作以下述浏览器及后置审计为准。

实际在IAB确认精确资产删除后，当前过滤范围资产列表为0/0，截图为同目录browser-asset-deleted.jpg。之后从新IAB标签访问同一正式/media/文件入口，返回结构化statusCode: 404、code: FILE_NOT_FOUND及“文件已解绑或不可用”，截图为browser-read-after-release.jpg；没有以页面隐藏代替实际读取拒绝。

实际后置安全证据为同目录browser-audit-plan/02-after-ui-delete-safe.csv及04-after-ui-delete-safe.csv，最终汇总为current-round-release-safe.json，状态passed，与原释放前JSON分时记录，不将历史active结果回填为已released。产品正式读取拒绝和Runtime owned claim释放均实际发生；未执行物理TOS删除，也不声称即时撤销此前签发且未过期的TOS短期地址。审计本身只读，未调用释放/删除API；实际业务删除由已获授权的IAB动作触发，常驻链路完成释放。

Gemini产品可用性独立配置收尾

同图标签复核时，当前画布下拉中Gemini缺席。只读审计明确是model76的Drama产品可用性在北京时间2026-10-19 08:35:27由actor1经product-model:write改为false，非Drama标签或对象存储回归；证据为同目录browser-audit-plan/07-model76-availability-audit-safe.csv。用户已明确允许在释放完成后恢复Drama可用性，但随后08:44:17的正式变更audit511已使model76的Drama/Studio为true/true、revision1792370657；本轮恢复执行器在fresh CAS预检发现新状态，0 PATCH即停止，未覆盖Studio现值。两条审计均为actor1和相同session摘要，缺request_id及客户端应用字段，不能归因为特定浏览器、脚本或会话；本轮0 PATCH仅描述本轮恢复执行器的实际动作。

正式subject1的Drama产品GET及同身份IAB https://drama.oceanway.tech/api/models已回读platform-model-76 enabled=true、image能力、1积分和1K/1:1/images1/async/url精确规格。正式产品读回、配置时序与0 PATCH边界汇总于同目录browser-audit-plan/current-round-availability-safe.json；同身份IAB最终GET另见browser-final-model-catalog-safe.json，新模型提交与配置变更均0，没有创建新Operation/hold或再次生成。这里证明当前Drama调用方的目录可用，不是本轮执行器发起恢复，也不声称当前仍仅Drama可见。资产删除后原canvas业务对象已不可用，空间目录的失效书签经正常UI精确回收。权威workspace_resource唯一实体revision4已记录删除时间及本轮owner，soft_trashed=true、purged_at为空；安全回执为同目录browser-audit-plan/current-round-workspace-softtrash-safe.json。这是实际软回收提交，不是永久purge，未测试恢复，也未由审计器重试UI请求。随后完整刷新已确认该Gemini目录项缺席、另外3个影视/剧本项保留且未修改，安全回执为browser-directory-cleanup-safe.json；不能宣称项目为空或全部内容已删除。该索引收尾与已证业务对象删除、Runtime claim释放和产品正式读取404分别取证。

共享交接与producer开发来源实际启用

错误开发Task及原资金收尾的完整事实沿用上节“Studio已启用与错误开发任务取消”：source唯一journal退7500，Platform原图片Operation最终failed/released、唯一ledger释放5000，原规划已结算88不退。原所有者正式交接后，本轮先重新读取原文件/Compose/nginx指纹与任务状态，确认唯一Task已FAILURE、nonterminal0，原original/file/claim登记均0，再执行开发来源升级；没有以取消指令删除原Task、原consume日志或资金审计。

实际启用安全回执为主工作区.local/evidence/drama-gemini-development-20261019/producer-upgrade-plan/source-upgrade-final-safe.json，明细为同目录stage-executed-safe.json、activation-executed-safe.json、management-api-executed-safe.json、post-activation-ingress-safe.json及preservation-before-safe.json/preservation-after-safe.json；Drama配置回执为上一级drama-file-owner-config-safe.json。原取消交接的服务指纹与本轮原始env字节指纹属于不同摘要合同，最初比较在任何写入前失败；本轮改为按重新读取且未变化的原始env/Compose/nginx摘要逐项核对后才执行，不将两种指纹值不等解释为配置已变。

单模型token的初始额度由producer-upgrade-plan/management-api-executed-safe.json及server-safe-receipts/management-api-safe.json留证，24小时有效期见同目录README.md执行配置。它是本轮有额度及有效期的生成凭据，与Runtime持续读取原件使用的文件Owner身份不同；本次单次验收不证明长期生成凭据已完成。后续持续生成须维护该开发配置的有效期与额度，不影响已保存原件按现有引用读取；不据此新增生产身份或预算门禁。本轮费用沿原Task精确结算与采购快照核对为1积分及人民币0.07元，不从账户大盘差额计算，也未增加生成。

该来源升级汇总为PASS，仅涵盖具名隔离服务激活、官方配置API及只读入口/保全检查。此批模型POST0、TOS请求0、新云资源0、客户生产操作0、Platform与Drama服务写入0；最后一项不包括随后独立完成的Drama/Platform部署与目录发布。文件Writer责任已交还当前具名开发写入者；该来源启用批次不代验真实TOS/browser，后续本轮真实生成、浏览器读取与释放已分节独立通过。Studio页面闭环仍独立保持doing，不作为Drama验收的阻断。

本轮验收回执表

本轮真实生成、输出保存、刷新读取、标签修复同图复核、已获授权的精确资产删除/Runtime释放及当前Drama模型可用性均有独立证据；本轮精确目录项已软回收并完成浏览器刷新确认。WP整体及Studio自身未完成项保持独立；不为已取消的兼容、开发备份、灾备、生产监控或容量项目补建门禁，也不进行TOS物理删除验收。

客户生产运行身份最终只读核对

UTC 2026-10-19 01:05:34，具名开发执行者仅对pic-vps的既有客户容器new-api-oceanway-app读取运行身份及健康。与主工作区.local/evidence/studio-dev-storage-20261019/customer-production-observed-safe.json比较，容器名、image ID、tag、running、启动时间及revision六项完全一致：仍为new-api:oceanway-git-046a939e4167、image sha256:92d20658…、revision 046a939e41675d0f57b199390eb0d4350e928790，启动时间保持2026-10-18T19:28:05.583843008Z，当前running/healthy。

最终回执为主工作区.local/evidence/drama-gemini-development-20261019/customer-production-final-readonly-safe.json，passed=true。本次未选取Env或凭据，客户数据库查询、配置/数据写入及部署/重启均为0；该结果只证明本轮客户应用精确运行身份隔离与健康保持，不冒充全客户数据审计、业务回归或压力测试，也不授权清理旧客户对象。

文档主线承接与目录刷新收尾

PR47已正常合入文档main 664ac98512a381b5e8d0fb6bfc10ca2a402cd218，其完整tree与已审c67142d0一致。PR48从已推送374f150c正常merge该main，保留原提交历史及现有Drama增量；已发布Drama ADR-0022、存储ADR-0025及authority/scope不变，未修改Accepted ADR正文或归档。本次整合提交推送时，PR48保持草稿待独立审查；合并与文档站发布分别核实际回执，不将冲突解决或文档检查视为业务验收。

目录收尾的浏览器安全回执为主工作区.local/evidence/drama-gemini-development-20261019/browser-directory-cleanup-safe.json，截图为同目录browser-test-directory-cleaned.jpg。本轮仅对已失效Gemini默认形象目录项提交一次正常软回收；完整页面刷新后该项缺席，另外3项仍可见且未修改，未永久purge、未测试恢复、未增加模型调用。此项补足前述实体提交后的UI确认，不改变原业务对象已删除、Runtime claim已released、Platform anchor仍active及TOS原件保留的独立事实。

本轮文档检查通过：docs:redirects保留785条、无新增，docs:check通过268份现行文档、375份归档及3907个链接；差异空白检查通过。既有两份过程长页提示保留为非阻断警告，未运行文档站生产构建或发布。

本轮最终汇总为主工作区.local/evidence/drama-gemini-development-20261019/final-browser-e2e-safe.json，绑定11份实际证据的SHA-256：唯一真实生成、原单1积分/网关记录人民币0.07元、保存读取、Runtime释放及正式入口404、独立Platform anchor与TOS原件保留、目录精确软回收、当前模型目录和客户容器身份隔离。开发生成token的24小时/额度边界、云PUT计数未采集及生产准备未验仍保持；该汇总不替代逐项原回执或Studio尚未完成的页面验收。