feat(media): 作品保存恢复 - 按原任务重试交付并避免重复生成计费

docs/content/docs/backend/task-runtime-stability.mdx

@@ -9,7 +9,18 @@ description: 热点回源保护、并发租约、故障边界和上线验收
 
 任务中心打开详情只读取任务和日志，不在该路径调用画布结果同步。后台同步遇到短剧领域项目任务（`domainProjectId` 等于任务 `projectId`）或没有生成节点关联时跳过画布写回，避免把短剧项目 ID 当作画布 ID 查询。
 
-管理员请求明细列表及 CSV 导出支持 `recordType`：省略或 `request` 默认仅请求（继续隐藏视频轮询并排除下载）；`download` 只包含 `request_kind=download`；`all` 包含请求、轮询与下载。非法值返回参数错误，管理员权限校验保持不变；该筛选不改变统计聚合接口。
+管理员请求明细列表及 CSV 导出支持 `recordType`：省略或 `request` 默认仅请求（隐藏视频轮询，并排除下载、上传、本地保存、素材登记明细）；`download` 只包含 `request_kind=download`；`all` 包含全部阶段。非法值返回参数错误，管理员权限校验保持不变；该筛选不改变统计聚合接口。
+
+## 媒体交付恢复的资源边界
+
+声明式协议已经返回作品地址后，先加密保存任务恢复记录，再执行下载、存储、素材登记。交付错误不进入模型路由切换，不创建新生成任务。已下载文件优先复用；资源已就绪时跳过下载和上传，只补登记。配置为 OSS 的生成结果上传失败会明确保留错误，不像普通文件上传那样自动降级到本地存储；普通上传行为不变。
+
+- 单进程同时最多两个媒体交付操作，满载时通过原任务 `next_poll_at` 延迟领取，不启动无界 goroutine 或额外轮询器。此限制不是跨实例全局限制，集群仍依赖既有任务租约与调度限制。
+- 下载流式写入数据目录的 `media-staging`，单次下载最多三分钟，文件上限取运行时生成文件限制与 512 MiB 中较小者；暂存目录逻辑占用上限为 512 MiB，先预留空间再写入。
+- 成功后立即清理对应暂存文件；超过 24 小时的暂存文件在下次分配空间时清理，不为闲置服务常驻一个清理循环。暂存文件不可用时只尝试原地址，不重新生成；只有内联结果且文件丢失时明确失败。
+- 多实例切换时，暂存文件只有位于共享数据卷才可直接复用；没有共享暂存文件但有有效源地址时可以重下载。数据目录和 settings-key 需要稳定保留，不能以临时容器目录代替持久化配置。
+- 出站下载沿用 SSRF 防护；同源才附带渠道鉴权。恢复地址仅加密留存，下载明细隐藏路径和查询参数，错误日志不写入原始带签名的 URL。
+- 自动重试有次数和时间窗口上限，手动重试也有限额。源地址过期、权限问题、配额不足等不会无限循环；不承诺已经过期且无暂存文件的作品一定可恢复。
 
 章节提取采用独立提示词操作 `chapter_assets_extract`，受保护输出契约为 `chapter-assets/v1`，要求 `characters`、`scenes`、`props` 三个数组。场景和道具要求非空的 `name`、`description`、`prompt`；角色继续执行原角色契约校验。写入候选资产时场景映射为 `environment`，继续使用现有服务的项目归属、去重与写入校验，不新增数据库字段。