fix(canvas): 画布引用 - 统一角色与图片编号并保持生成资源顺序

docs/content/docs/backend/http-api.mdx

@@ -253,7 +253,7 @@ Token 报价的 `estimated` 为 `true`，`quantity` 是预留 Token 数。参考
 - `generate_media` 支持图片 / 视频 / 音频：必填 `mode`、`prompt`、`nodeId`（可续用草稿，无草稿时才新建）、`title`、有序 `referenceNodeIds`（无参考传空数组），再加一种模型选择；`snapshotHash` 可省略，省略时服务端使用当前画布内容快照。图片 / 视频要求 `size`，视频要求正数 `durationSeconds`，图片 / 音频时长为 0。可传来源节点 `sourceNodeId`、`quality`、视频 `videoGenerateAudio`。`sourceNodeId` 仅接文本 / 镜头提示词节点；参考图片、视频、音频只放 `referenceNodeIds`，无文本来源时留空且不重复传入。引用从当前画布节点的账号资源解析，校验归属、类型、就绪状态和模型能力，不接受任意 URL。图片生成仅接图片参考；视频可按模型能力接图片、视频、音频参考；音频生成当前仅支持文本输入。
 - 参数选择与收费授权分开：用户明确说“随便 / 你决定 / 按默认”时，Agent 可从当前目录选择能力及预算匹配的模型，优先用户最近明确使用的可用模型，其次价格清楚的低成本选项；支持时沿用参考图原始比例，否则选目录默认，时长用目录默认。未要求音频且模型不支持时用默片。用户接受已推荐方案后不再要求特定确认口令；仅真正缺失或冲突的阻塞项一次性询问。本轮已有目录结果应复用。以上是 Agent 的参数选择策略，服务端仍强校验具体规格，不提供绕过预算 / 能力校验的默认兜底，也不绕过独立收费审批。
 - 媒体参数先进行无任务、无预留账单的准入校验，再在同一事务创建草稿节点、来源 / 资产连线及待审批检查点；`approval_requested` 和运行中的 `approval` 携带目录真实 `modelName`。用户批准后才在事务中绑定任务、创建预留账单并更新检查点；拒绝或取消保留未生成草稿，不提交媒体任务。`nodeId` 可续用同类型、未锁定、idle、无任务且无媒体结果的空白占位节点或当前运行草稿；跨轮 Agent 草稿还要求原运行属于同一用户和画布、已结束且清理完成。续用必须重新读取快照并重新审批，不能复用旧审批、覆盖已有任务或成品，不能通过循环新建节点绕过限制。画布读取的 `generationDraft` 提示未提交、原运行状态、是否仍在清理及仍需审批；写入仍重新强校验。已明确审批的规格不得被模型默认值静默替换。媒体终态回写原节点；已删除或已换任务的节点不自动复活，结果仍可从任务中心查看。
-- `generate_media.prompt` 使用 `@图片1`、`@视频1`、`@音频1` 引用素材，各类型按 `referenceNodeIds` 的出现顺序独立编号，文本来源不占媒体编号。已有标签保留；遗漏的画布素材以“素材名称：@标签”补入 `【资产参考】`，不推断素材用途。节点入边同步排列，草稿、审批和实际任务保存同一份带标签的提示词。未绑定的媒体编号和补齐后超过16000字符的提示词会在提交前被拒绝，模型自身的提示词长度限制仍由任务准入校验。临时标注图没有持久画布节点，不自动添加无法解析的编辑器标签；历史节点不自动改写。
+- `generate_media.prompt` 使用 `@图片1`、`@视频1`、`@音频1` 引用素材，各类型按 `referenceNodeIds` 的出现顺序独立编号，文本来源不占媒体编号。角色主图属于图片序列，与普通图片共享编号；编辑器显示时保留 `@角色N` 前缀，但 N 仍对应实际图片位置，例如角色、场景图、角色依次显示为 `@角色1`、`@图片2`、`@角色3`，任务使用 `@图片1`、`@图片2`、`@图片3`。已有标签保留；遗漏的画布素材以“素材名称：@标签”补入 `【资产参考】`，不推断素材用途。节点入边同步排列，草稿、审批和实际任务的标签对应同一组参考资源，编辑器与任务仅转换显示前缀。未绑定的媒体编号和补齐后超过16000字符的提示词会在提交前被拒绝，模型自身的提示词长度限制仍由任务准入校验。临时标注图没有持久画布节点，不自动添加无法解析的编辑器标签；历史节点不自动改写。
 - Agent 的 `snapshotHash` 忽略顶层 `viewport`、`updatedAt`。`canvas_get_state` 另返回 `mediaSnapshotHash`，供 `generate_media.snapshotHash` 使用：仅比较节点与连线，节点忽略 `position`、`width`、`height`、`createdAt`、`updatedAt`，保留全部业务字段及未知 metadata。生成草稿审批也固定该哈希，移动、调整显示尺寸、自动补时间戳和保存聊天记录不会使生成审批失效，执行保留最新展示信息；提示词、素材、锁定状态、任务绑定和连线变化仍需重新读取并审批。画布修改与撤销继续使用完整内容哈希，数据库写入保持完整快照 CAS。发布前已按旧算法生成的待审批内容可能要求重新读取和审批，不自动替换旧快照重提任务。
 - `canvas_get_state.nodes[].outputReference` 的 `ready` / `issue` 仅表示该节点产物能否作为其他生成的参考，不诊断本节点的生成输入。`generation` 返回当前画布、当前用户所属任务的 `taskId`、`taskStatus` 和安全的失败 / 取消 `error`；无任务绑定为 `not_submitted`，无法验证归属或读取失败为 `unavailable`。节点无法作为草稿提交时返回 `submitBlockedReason` / `submitBlockedIssue`，与写路径共用节点准入规则；未被阻止不等于已获授权，草稿所属运行和审批仍在提交时校验。`task_get` 同样返回安全错误详情。`generate_media` 准入失败可返回 `snapshot_conflict`、`task_bound`、`target_locked` 等结构化 `reason` 和 `nodeId`，不自动选择新节点或重新生成。
 - `task_get` / `generation` 的执行状态与回写状态分开：`succeeded` 不返回执行 `error`；回写失败仍通过 `writebackOutcome` / `writebackError` 暴露，不能因生成成功而隐藏。失败 / 取消任务保留脱敏错误，缺少详情不能伪装成成功。Agent 文本步骤的持久诊断为 `upstream_dns_failed` 时，`run_failed.reason` 同步该分类并明确提示检查渠道域名及后端 DNS，不自动重跑。

docs/content/docs/progress/pending-test.mdx

@@ -2065,7 +2065,7 @@ PR #507 核心能力已按主分支实现保留，并补齐小视口尺寸约束
 
 - [x] 29 项提示词引用专项测试、TypeScript 检查与生产构建通过。
 - [x] 旧 `@[node:节点ID]` 仅做读取迁移；新写入、配置组装、故事板物化、Agent 建图和快捷生成均只生成位置型引用。
-- [x] 图片、视频、音频、文本和角色分别独立计数；生成时按当前连线顺序解析槽位，删除连线不再删除提示词。
+- [x] 普通图片、角色主图和绘图共享图片编号，保留各自显示前缀；视频、音频和文本独立计数。生成时按当前连线顺序解析槽位，删除连线不再删除提示词。
 - [x] 只有 `storageKey` 的图片/视频引用会异步解析预览地址；生成中按钮使用节点强调色与可见旋转动画。
 - [ ] 在画布中连接图片 A 并写入 `@图片1`，删除 A 的连线后连接图片 B，确认提示词不变、缩略图切换到 B、生成请求使用 B。
 - [ ] 混合连接两张图片、一段音频和一段文本，确认标签依次为 `@图片1`、`@音频1`、`@图片2`、`@文本1`，调整不同类型的连线不会串号。
@@ -2937,3 +2937,16 @@ SSE 现在按 revision 变化发送紧凑快照，无变化只 heartbeat；客
 SQLite 与 HTTP recorder 已验证；PostgreSQL 16／17、前端构建及浏览器中的开关、分类维护、市场／技能库筛选、分页与明暗主题待验证。
 
 一级分类还需 PostgreSQL 验证 46→47 与并发改归／删除，以及浏览器图示、根停用默认桶与空根表回落。handler 全套涉及 socket，受限环境中未完成。
+
+## 画布角色与媒体引用顺序一致性
+
+- 已实现：普通图片、角色主图、绘图共享图片编号，编辑器保留 `@图片N`、`@角色N`、`@绘图N` 类型前缀，提交模型时统一映射为实际图片数组的 `@图片N`。引用先后按连接槽位确定，逆序提及不会重排资源；拖动引用后按节点身份同步编号，中文紧邻及连续引用可正常解析，多位数字不会被部分替换。
+- 已实现：角色主图占据原槽位，素材库图片保留自身资源身份，去重后的补充视角追加到主图之后。关闭角色设定注入时仍保留角色与参考图、声音样本的对应关系；多角色共用声音样本只发送一份。
+- 已实现：前端解析到的角色版本与固定版本不一致、图片／视频角色缺少主参考图、模型参考容量不足、角色授权或资源读取失败时阻止提交。文本／音频允许没有主图的角色，并将其提及改为角色名、重新对应后续图片编号。
+- 自动验证：前端 `bun run test` 全量 2203 项通过，类型检查、lint、冻结锁文件安装检查通过；`bun --bun run build` 通过，仍有大分块提示。普通构建命令首次因本机 Node 子进程缺少 TypeScript Darwin x64 包失败，显式使用 Bun 运行时后通过，未修改依赖版本或构建脚本。后端 `go test ./internal/app -run 'TestCloudAgent(Media|Character)' -count=1` 通过，修改的 Go 文件符合 gofmt。
+- Web checks 回归：更新时间轴容器、小屏抽屉、生命周期依赖及访客创作路由的过期源码断言，相关 45 项测试通过；真实 Chrome 预演台 E2E 65 项断言通过，覆盖模式时间轴切换、模型加载／重试／加载中删除、WebGL 恢复和保存失败关闭保护。
+
+仍待真实环境验收：
+
+- [ ] 在登录态画布混合连接两张角色卡、普通图片、绘图及素材库图片，调整顺序、编辑提示词、保存重载并重试任务，核对编辑器标签与任务参考数组一一对应。
+- [ ] 在支持声音参考的视频模型上核对多角色共用样本、已有音频与角色声音样本的编号；通过真实模型验证外观与音色效果。本轮未调用付费模型，未执行整套后端及 PostgreSQL／Redis 集成测试。