PROC-02-021 异步原件职责调整与真实云联调20261023

1. 授权与实际范围

用户明确授权按职责边界继续实施：Runtime退出原件生命周期管理，先打通Media、Platform和Studio的异步图片、视频归档、下载续签和复用，并更新方案。同步图片、Drama、旧客户业务和旧桶不改。沿用此前“独立验证，不切换平台调用”的限制。

本轮独立Media已部署；Platform和Studio代码在隔离工作树实现并提交，使用loopback隔离数据库与实际供应商、File Owner、私有TOS联调。没有发布或切换共享Platform、Studio，也没有将本轮视为全部画布功能上线。

本批新异步链：供应结果 → Media唯一原件与技术保护 → Platform原任务稳定输出和首次交付资格 → Studio产品绑定与素材复用。Runtime只接收产品已保存回执，负责Artifact元数据和幂等送达；没有新Runtime原件AssetVersion、文件claim或Files服务凭据。历史冻结路径仍保留，不在本批全量删除。

2. 不可变制品

Studio固定Runtime 0.8.1四个不可变包及文件摘要；新Platform async-originals契约1.0.0快照固定生产方提交及SHA-256，既有0.15合同保留。没有跨仓源码导入或跨库业务SQL。

3. 独立部署与旧业务保护

部署位置是pic-vps的/opt/oceanway-media-isolated，Compose项目oceanway-media-isolated，容器oceanway-media-isolated-app，入口https://media.oceanway.tech。当前镜像为sha256:4c50296e4faaf3d786069bf347800cbd5933a566dc6d6d40c47dbc355d34c793，由上述精确源码归档构建并校验OCI revision。正式原件只写新私有桶oceanway-media-assets-cn；oceanway-media-temp-cn继续预留，未启用开发期自动七天删除。

只对独立app启用master任务查询、异步图片及视频归档、永久原件合同；既有独立身份和配置保留，没有再次克隆数据库或复制旧文件。升级入口执行源版本/镜像/端口/桶预检、备份当前私有env，仅up -d --no-deps app。所有其他容器ID、镜像、配置摘要、restart count及Caddy完整摘要在升级前后相同。旧业务没有重启或配置写入。

为验证真实过期，独立服务签名有效期临时设为60秒；实际观测旧地址403、原任务续签后200，再使用相同镜像恢复正常900秒。恢复正常TTL导致的独立app重启后，Studio再次真实云读取与复用通过，旧容器及Caddy仍保持原状。

回退仅替换独立app为原不可变镜像，并使用匹配私有配置；不恢复旧Caddy整文件、不重置数据库或删除新桶。本批包含新增原件注册和归档元数据，未实现破坏性schema降级；不能将旧代码回退当作新数据已验收兼容。

4. 真实供应与原件归档

实际完成一次Gemini gemini-3.1-flash-image-preview异步图片和一次seedance-2.0-mini视频，视频为5秒720p。每个案例在供应商POST前写持久fence；已经受理或受理未知时，后续只查同一任务，不能通过重跑脚本再次生成。

Media原件表与managed文件表按原任务/输出登记相同对象键和SHA，两个输出对应两个不同正式对象；Studio绑定与复用没有调用PUT或Copy路径。该证据结合生产方单次条件写入测试，不扩大为云平台全量请求审计或所有模型支持证明。

初次尝试用OpenAI images路径提交Gemini模型，在Media供应适配器派发前被拒绝，没有供应商任务；原拒绝fence保留。随后原生Gemini协议作为独立明确案例验证。原生图片一度处于受理未确认，查询原身份恢复成功，没有重派。未把协议拒绝视为Gemini不支持图片或原件合同不支持。

本机DNS把Media域名返回到保留地址段，Platform原有SSRF保护正确拒绝；隔离fixture采用已有受保护DoH配置解析真实公网IP，没有关闭SSRF或放行保留地址段。

5. Platform与Studio的职责验证

Platform在确认归档回执后，仅保留文件ID、版本、SHA、大小和MIME。完成图片查询返回签名data[].url，视频查询返回签名content_url；地址直接向TOS读取，不要求客户把Platform API Key发送给对象存储。地址过期后查询同一已授权任务续签。原件manifest只在internal执行路由注册，Cookie、Origin、Bearer被worker-only中间件拒绝，浏览器/pg没有该路由。待结算、结果丢弃或作用域不符时拒绝原件交付。

Studio先持久绑定意图，再以同一命令恢复或登记product_binding；只存白名单文件证明和产品业务关系，不保存access grant、签名URL、Runtime AssetVersion或Runtime claim。相同绑定重放不重复访问Platform，产品自身文件读取、续签、HEAD和输入复用直接使用Files。候选送达保持相同业务Artifact及幂等Delivery，未因去掉Runtime文件保留而替换整个交付系统。

实际Studio联调数据库不存在oceanway_runtime schema，未启动Runtime服务；图片与视频均验证产品绑定、候选幂等送达、下载GET200、HEAD200及同file_ref输入委托。复用验证到已有文件可作为后续输入，不额外发起第二次付费生成。Runtime已保存回执登记及独立宿主桥接另由真实PG/受控Owner专项验证。

修复保存结果恢复中将产品307响应空体当原件校验的缺陷：现在读取已由Files授权的HTTPS地址，限制字节并校验SHA，保持读取恢复，不再次转存。

真实联调的身份限制： loopback Platform使用实际处理函数与可信测试主体，不走公网登录或真实Cookie。生产认证不能据此宣称通过；已有PG资金/任务生命周期、服务执行授权和本批拒绝Cookie/Origin/Bearer的路由测试分别保留。这是隔离跨仓实链路验证，不是公网Studio完整用户验收。

6. 新桶CORS

实际带Studio Origin的TOS Range起初为206但没有Allow-Origin，服务端成功不足以证明浏览器可读。只在新正式桶追加https://studio.oceanway.tech的GET/HEAD规则，允许Range，暴露ETag、Content-Length、Content-Type、Content-Range和Accept-Ranges，max-age3600并启用Vary: Origin。已有Commerce三个来源保持不变；没有PUT/POST/DELETE、通配来源、公共ACL、IAM扩权、旧桶或生命周期变更。

配置后实际Studio Origin的Range206和OPTIONS200均返回准确Allow-Origin。当前完整规则、控制台截图及脱敏结果在Infrastructure证据提交中。未在本批开展完整Studio浏览器画布导出或公网会话测试，不能用本项HTTP CORS验收替代该用户流程。

7. 检查与未切流项

• Media：选定model/service/controller/relay原件与归档测试、隔离真实PG文件回执测试通过，覆盖缺失视频归档意图、后台调度可发现和幂等修复。没有声称全仓Go测试通过。
• Platform：原件元数据/绑定/续签、内部路由授权拒绝专项、三个真实PG原生生命周期通过；真实供应门禁两案例通过。未运行全套PR CI，不将其他原生文本fixture失败归类为本批媒体验收通过。
• Runtime：45项单元、11项真实PG Artifact专项与边界检查通过；0.8.1包构建和消费摘要校验通过。
• Studio：类型检查、17项合同和客户端单元、50项输入专项、4项产品/字节PG、16项服务PG和4项真实云测试通过。包安装与runtime-host制品核对通过。
• Infrastructure：升级预检、只替换独立app、重启后健康、其他容器和Caddy不变，Python静态编译及差异检查通过。

原始授权资料、签名URL和grant仅保留在root-only服务器目录及本机0700/0600临时验证资料，未提交Git。可公开的摘要、状态、制品与测试边界在Infrastructure deploy/media-isolated/async-originals-evidence.json。

本轮没有完成性能基准、完整Studio画布UI验收、所有模型/同步图片接入或共享生产切换。按用户限制，旧客户业务、Drama和共享Platform正式连接保持原状；不能将本轮独立验证报告写成全平台生产已上线。

8. 独立复核

独立AI审查针对第2节完整源码SHA完成最终差异复核，未发现未关闭阻断项。审查确认Platform服务端授权与待结算拒绝、Studio产品自身保留及不可变绑定恢复、Runtime无新文件凭据/原件读写/AssetVersion/长期claim、新契约快照摘要与Infra独立升级范围。

审查者独立复跑Platform两项授权/原件专项、Studio三文件17项合同和客户端测试、Infra Python语法及各提交差异检查；此前Media缺失意图恢复与Runtime SDK复跑继续适用。真实供应、云桶和续签证据由实施方执行，审查者核对记录未再发起付费调用。该结论是独立AI技术审查，不是用户本人验收或人工APPROVED，不授权共享生产切流。