diff --git a/.codemap/codemap.html b/.codemap/codemap.html
index 23a81a2..8a6bad1 100644
--- a/.codemap/codemap.html
+++ b/.codemap/codemap.html
@@ -195,7 +195,7 @@ <h1 id="projTitle">Functional Architecture Map</h1>
 <div class="modal" id="stdModal"></div>
 
 <script>
-const DATA = {"meta": {"project": "NiuMa Studio", "lang": "zh", "subtitle": "牛马片场 · 本地 AI 高光生产后台工程体检", "generatedAt": "2026-08-24", "htmlPath": ".codemap/codemap.html", "mdPath": ".codemap/codemap.md", "spineDesc": "用户通过页面/API 创建素材任务，SQLite Job 驱动转写、AI 选片、审核切片和字幕，再由发送中心排期并交给 Windows Chrome Worker，所有状态与审计证据回写 SQLite。", "tracked_loc": 55768, "tracked_files": 132, "rev": "56f4d501087860145412fa6ecc411252ae8e877e"}, "bands": [{"id": "presentation", "tier": "fe", "t": "界面 · API", "d": "浏览器页面、前端交互、FastAPI 路由与运行配置"}, {"id": "wire1", "wire": true, "t": "HTTP / JSON / 文件上传"}, {"id": "workflow", "tier": "be", "t": "业务编排", "d": "任务、流水线、发送中心和状态机"}, {"id": "processing", "tier": "be", "t": "媒体与 AI 处理", "d": "转写、AI 选片、切片和字幕"}, {"id": "execution", "tier": "be", "t": "外部执行边界", "d": "调度、Publisher 与 Windows Chrome Worker"}, {"id": "persistence", "tier": "be", "t": "持久化与运维", "d": "SQLite Schema/迁移/备份与本地交付脚本"}], "spine": ["frontend_ui", "api_runtime", "pipeline_queue", "transcription", "ai_selection", "task_review_cut", "subtitle", "publish_center", "publish_scheduler", "publisher_worker", "persistence"], "reportThemes": [["本地单体架构是当前可运行的主要原因", "FastAPI + SQLite WAL + 文件产物 + 持久化 Job + Windows Worker 与个人本机规模匹配；不需要微服务化，现有恢复骨架应保留。"], ["P0 数据一致性与迁移入口已经 fail closed", "测试误删、活动库外键、媒体删除回滚、切片/字幕批次和迁移账本已处理；仍需在受控停机窗口首次正式迁移，并逐步把旧 helper 收编到账本。"], ["Job、发布执行和字幕恢复代际已封口", "Workflow lease token、Publish execution fencing、任务状态转换、取消恢复、切片与字幕原子提交已经完成；旧 Worker/旧 execution 不能覆盖新结果。"], ["P0/P1 运行时稳定线已经完成", "AI 候选/run/任务终态、持久 Job、单元计费账本、不完整结果门禁与本地安全边界已收口；当前可按本机单用户、人工复核范围判定为稳定 V1。"], ["本地安全边界已从隐式信任变为显式 fail closed", "AI/Publish Secret DTO、旧 Provider 结果脱敏、loopback client 校验、Docker 回环绑定、Origin 白名单、作品 URL 和动态 DOM XSS 已收紧；不扩大为多用户权限系统。"], ["复杂度集中而非全项目平均恶化", "publish_service.py、publish-center.js、app.js、publish_scheduler.py、subtitle_data_service.py 和 transcript_service.py 是主要 God Component；应按业务边界渐进拆分。"], ["测试已与活动数据隔离，但 Coverage 与真实故障闭环仍不足", "Pytest 已强制使用进程级 sandbox，P0/P1 失败矩阵持续扩充；Coverage 尚未采集，Playwright 可选跳过和真实平台/进程故障闭环仍需在 P2 补齐。"], ["遗留目录迁移脚本不得用于活动库", "scripts/migrate_task_dirs_to_project_names.py 仍是唯一 Codemap HIGH：它不属于当前运行链路，但缺少 WAL-aware 备份与文件补偿；在 P2 专项替换前必须保持停用。"]], "standard": {"rubric": [{"grade": "A", "score": 95, "range": "90–100", "en": "clean, well-scoped, idiomatic", "zh": "干净、职责单一、地道"}, {"grade": "B", "score": 82, "range": "75–89", "en": "minor issues: a documented shim, mild bloat", "zh": "小问题：有文档的兼容、轻微臃肿"}, {"grade": "C", "score": 67, "range": "60–74", "en": "notable hacks / fallbacks / bloat / duplication", "zh": "明显的 hack / 回退 / 臃肿 / 重复"}, {"grade": "D", "score": 50, "range": "40–59", "en": "significant legacy / stubs / duplication, or a protocol violation", "zh": "严重的遗留 / 占位 / 重复，或协议违规"}, {"grade": "F", "score": 25, "range": "0–39", "en": "broken, fake output, or unfinished-but-wired", "zh": "损坏、伪造输出，或未完成却已接线"}], "severities": [{"key": "HIGH", "en": "wrong / dangerous / fake, a protocol or security issue, or a genuine maintenance hazard", "zh": "错误 / 危险 / 伪造、协议或安全问题，或真正的维护地雷"}, {"key": "MED", "en": "a real smell a maintainer should fix", "zh": "维护者该修的真坏味"}, {"key": "LOW", "en": "a documented shim, a cosmetic cast, benign bloat — worth noting, not urgent", "zh": "有文档的兼容、装饰性 cast、良性臃肿 —— 值得记、不紧急"}], "coupling": [{"key": "core", "en": "system spine — central to almost everything", "zh": "系统主线 —— 几乎牵连一切"}, {"key": "high", "en": "many connections", "zh": "连接很多"}, {"key": "med", "en": "moderate", "zh": "中等"}, {"key": "low", "en": "leaf / self-contained", "zh": "叶子 / 自洽"}], "tags": [{"id": "monkeypatch", "label": "monkeypatch", "labelZh": "猴补丁", "bad": true, "en": "runtime mutation of another module / stdlib / vendor; reflection or prototype patching", "zh": "运行时改写别的模块/标准库/依赖；反射或原型补丁"}, {"id": "fallback", "label": "fallback", "labelZh": "回退兜底", "bad": true, "en": "'try the real thing, then fake/degrade'; a||b||c chains that hide which value is real", "zh": "“先试真的再退化/造假”；a||b||c 掩盖哪个是真值"}, {"id": "silent-except", "label": "silent-except", "labelZh": "静默吞错", "bad": true, "en": "swallowed errors: empty catch / except:pass / ignored return codes", "zh": "吞掉错误：空 catch / except:pass / 忽略返回码"}, {"id": "legacy", "label": "legacy", "labelZh": "遗留", "bad": true, "en": "deprecated/back-compat shims, dead-but-shipped code, parallel old+new paths", "zh": "遗留/兼容垫片、已发布的死代码、新旧并存"}, {"id": "dual-format", "label": "dual-format", "labelZh": "双格式", "bad": true, "en": "accepting two shapes for one field (snake||camel), patched through the code", "zh": "同一字段接受两种形态（snake||camel）并散落各处"}, {"id": "stub", "label": "stub", "labelZh": "占位桩", "bad": true, "en": "NotImplemented / TODO / dead buttons / demo scripts presented as real", "zh": "未实现/TODO/死按钮/演示脚本当成品"}, {"id": "fake-output", "label": "fake-output", "labelZh": "伪造输出", "bad": true, "en": "returns random/canned/hardcoded results where real work is implied", "zh": "本应真算的地方返回随机/写死结果"}, {"id": "duplication", "label": "duplication", "labelZh": "重复", "bad": true, "en": "copy-pasted logic, or an existing shared abstraction not reused", "zh": "复制粘贴，或已有共享抽象却不复用"}, {"id": "bloat", "label": "bloat", "labelZh": "臃肿", "bad": true, "en": "oversized file / function; too many responsibilities in one unit", "zh": "超大文件/函数；单元职责过多"}, {"id": "glue", "label": "glue", "labelZh": "胶水", "bad": true, "en": "valueless pass-through: rows of thin forwarders / no-op adapters", "zh": "无价值透传：成片薄包装 / 零转换适配器"}, {"id": "any-escape", "label": "any-escape", "labelZh": "类型逃逸", "bad": true, "en": "bypassing the type system: as any / @ts-ignore / dynamic / void* / reinterpret_cast / unsafe", "zh": "绕过类型系统：as any / @ts-ignore / dynamic / void* / reinterpret_cast / unsafe"}, {"id": "over-fit", "label": "over-fit", "labelZh": "过度特化", "bad": true, "en": "hardcoded to one case where a small generalization was expected", "zh": "硬编码单一情况，本应小幅泛化"}, {"id": "god-component", "label": "god-component", "labelZh": "上帝组件", "bad": true, "en": "one component/class/file doing far too much", "zh": "一个组件/类/文件做太多事"}, {"id": "placeholder", "label": "placeholder", "labelZh": "占位", "bad": true, "en": "unfinished UI / data presented as if complete", "zh": "未完成的 UI/数据当作已完成"}, {"id": "clean", "label": "clean", "labelZh": "干净", "bad": false, "en": "no material issues — well-scoped", "zh": "无实质问题 —— 职责单一"}]}, "modules": [{"id": "frontend_ui", "label": "Frontend UI", "band": "presentation", "path": "app/templates + app/static", "desc": "用 Jinja2、原生 JavaScript 和 CSS 提供任务、审核、字幕与发送中心界面。", "coupling": "high", "deps": ["api_runtime"], "loc": 13764, "score": 62, "grade": "C", "tags": ["bloat", "glue", "fallback", "silent-except", "legacy", "over-fit"], "findings": [{"sev": "MED", "loc": "app/templates/clip_review.html:154; app/static/js/app.js:103-132", "text": "片段审核空状态的“运行 Codex CLI 分析”仍绑定通用 handleProcessAction；/process/ai 现在返回持久化 job_id 后，该处理器没有等待或轮询 Job，而是在收到排队响应后直接 window.location.reload()。用户会看到仍无候选片段的旧页面，并可能在后台任务未完成时再次点击，造成重复请求或重复计费边界。"}, {"sev": "MED", "loc": "app/static/js/app.js:437-490; app/templates/clip_review.html:194-198", "text": "AI 结果卡片始终按“AI 分析完成”渲染并显示“去检查并生成切片”，片段审核页只按是否存在 clips 启用生成切片和同步发送中心按钮；前端没有读取或展示 analysis_incomplete、quality_degraded、partial 等结果标记。后端虽可拒绝不合格切片，但页面会把降级/不完整结果呈现为正常结果，用户仍会尝试后续操作。"}, {"sev": "MED", "loc": "app/static/js/app.js:1927-1945", "text": "AI 状态轮询只在成功读取后安排下一次定时器；fetch、JSON 解析或临时网络异常会被调用方 catch(() => {}) 静默吞掉，且不会重新调度，导致页面永久停止刷新而无提示。轮询恢复没有退避、重试上限或明确的读取失败状态。"}, {"sev": "MED", "loc": "app/static/js/app.js:1805-1822", "text": "waitForAiAnalysisJob 是无限 while 循环，每秒直接 fetch，没有 AbortController、总超时或网络错误重试；一次临时读取异常就会跳到外层“AI 分析失败”，但服务端 Job 仍可能继续执行，前端重新启用按钮，用户可能再次发起请求并误判任务已失败。"}, {"sev": "MED", "loc": "app/static/js/app.js:711-718; app/static/js/app.js:1927-1946", "text": "页面重新打开时只轮询 AI 状态和运行日志；当后台 Job 在该页面生命周期内完成后，轮询停止，但不会自动重新读取 ai-analysis-runs 或渲染最新结果。跨页面/跨进程恢复场景可能显示 100%/已完成，却仍保留旧候选片段和旧历史，必须人工刷新历史或整页刷新。"}, {"sev": "LOW", "loc": "app/static/js/app.js:374-386; app/static/js/app.js:721-776", "text": "AI 分析期间禁用的控件集合不包含动态生成的历史结果恢复按钮，也不包含显示/刷新历史按钮；用户仍可在新分析运行时恢复旧结果或刷新历史，与后台新 Job 的最终写回形成前端竞态。后端若拒绝该操作，页面仍会额外发出冲突请求。"}]}, {"id": "api_runtime", "label": "API & Runtime", "band": "presentation", "path": "app/main.py + core/models/routers", "desc": "加载配置、初始化应用与安全中间件，并把页面/API 请求路由到业务服务。", "coupling": "core", "deps": ["media_storage", "transcription", "ai_selection", "task_review_cut", "subtitle", "pipeline_queue", "publish_center", "publish_scheduler", "persistence"], "loc": 2948, "score": 63, "grade": "C", "tags": ["fallback", "legacy", "dual-format", "bloat", "glue"], "findings": [{"sev": "MED", "loc": "app/routers/publish.py:59", "text": "OAuth URL 与 callback 仍捕获 broad Exception，并把 str(exc) 直接放入 HTTP detail 或重定向查询参数；tasks.py、subtitles.py 也存在同类映射。异常文本可能包含本地路径、数据库、FFmpeg 或第三方接口诊断，形成浏览器可见的信息泄漏。"}, {"sev": "MED", "loc": "app/routers/tasks.py:212", "text": "async process_audio 直接调用同步的 process_task_audio，服务层会执行 FFmpeg/文件与数据库操作；process_video_cuts:392-400 同样直接调用同步切片流程。长请求会阻塞 FastAPI event loop，使轮询、健康检查和其他 API 排队，并增加超时后的重复请求风险。"}, {"sev": "MED", "loc": "app/models/task.py:38", "text": "TaskStatus 同时保留 uppercase 自动流程状态与 lowercase legacy 状态（pending_processing、ai_analyzing、completed 等），同一业务状态存在双协议；API、数据库查询和状态转换需要维护两套值，容易出现状态筛选和迁移口径不一致。"}, {"sev": "MED", "loc": "app/models/task.py:243", "text": "批量输入列表缺少统一上限：PublishBatchScheduleUpdate.job_ids/confirmed_schedule、PublishBatchJobCreate.output_clip_ids:287、ClipCandidateBatchUpdate.clips:406 与 PublishBatchTargetUpdate.job_ids 均可任意增长。对应路由会逐项执行数据库、文件或发布操作，缺少请求级资源上限，异常大请求可造成内存和处理时间消耗。"}, {"sev": "LOW", "loc": "app/core/config.py:93", "text": "新分域 AI_ANALYSIS_REMOTE_* / AI_PUBLISH_REMOTE_* 配置仍通过 _env_first 回退到 AI_REMOTE_*，同时 Settings 继续保留完整旧字段组；兼容来源有文档说明但长期存在来源漂移和配置行为不一致风险。"}, {"sev": "LOW", "loc": "app/routers/tasks.py:1", "text": "tasks.py 约 537 行、publish.py 约 514 行，包含大量重复的 try/except 与一行式 service 转发；路由、错误映射、同步/异步边界和兼容规则集中在大型 glue 文件中，修改入口时 blast radius 较大。"}]}, {"id": "media_storage", "label": "Media & Storage", "band": "processing", "path": "storage/media/FFmpeg services", "desc": "管理 E 盘任务目录、路径安全、素材预检、FFmpeg/FFprobe 与受控子进程。", "coupling": "high", "deps": ["persistence"], "loc": 1635, "score": 78, "grade": "B", "tags": ["fallback", "legacy", "dual-format", "silent-except"], "findings": [{"sev": "MED", "loc": "app/services/storage_service.py:693", "text": "任务媒体删除已写入 manifest 并分阶段移动，但没有跨进程扫描、加载或恢复入口。进程在暂存完成、数据库提交前崩溃会使数据库仍可见任务的原目录已被移走；数据库提交后、finalize 前崩溃则 cleanup_pending 只存在于本次响应，重启后不会自动清理或恢复。"}, {"sev": "MED", "loc": "app/services/storage_service.py:362", "text": "resolve_video_file_path 对已存在路径直接返回，不验证路径是否位于允许根目录；get_source_video_path 及多个非 HTTP 调用方复用该入口，数据库中的异常视频/产物路径仍可能被发布、字幕或任务查询流程读取为本地任意文件。HTTP 媒体路由已有更严格的任务目录校验，但共享原语本身仍不安全。"}, {"sev": "LOW", "loc": "app/services/storage_service.py:256", "text": "allocate_task_dir_name(reserve=True) 先独占创建目录，再由调用方写入 tasks 记录；进程在两步之间退出会留下没有数据库记录的孤儿任务目录，当前没有启动扫描或清理机制。"}, {"sev": "LOW", "loc": "app/services/storage_service.py:503", "text": "上传直接写入最终 source 文件；上传或后续建档失败时的 unlink 异常被静默忽略，进程在上传中途退出也没有跨进程清理清单，可能留下未被任务引用的半成品媒体。"}, {"sev": "LOW", "loc": "app/services/storage_service.py:842", "text": "遗留 move_task_directory_to_trash 使用 reserve=False 的存在性检查后分配回收站目录，没有独占预占；并发删除同名任务可能选择相同目标目录并发生移动冲突。当前未发现运行时调用，但兼容入口仍可被恢复使用。"}, {"sev": "LOW", "loc": "app/services/video_cut_service.py:185", "text": "cut_single_clip 在 FFmpeg 成功前先删除 plan.output_path；若重复执行同一 CutPlan 后发生超时、启动失败或输出切换失败，之前已经有效的成片会先被删除，临时文件原子替换无法保护旧结果。"}]}, {"id": "transcription", "label": "Transcription", "band": "processing", "path": "transcript services", "desc": "提取音频，调用火山引擎或 faster-whisper，并以分块 checkpoint 生成时间戳转写。", "coupling": "high", "deps": ["media_storage", "persistence"], "loc": 2276, "score": 64, "grade": "C", "tags": ["fallback", "silent-except", "duplication", "god-component"], "findings": [{"sev": "MED", "loc": "app/services/transcript_service.py:1099-1129,1159-1196", "text": "faster-whisper 的 model.transcribe 与模型加载没有单次调用或绝对时限；模型/解码器卡住时只能依赖外层 Worker，直接转写路径可能长期占用。"}, {"sev": "MED", "loc": "app/services/transcript_service.py:164-191", "text": "FFmpeg 音频提取只有无进展 watchdog，没有绝对 wall-clock deadline；进程持续输出进度但实际不结束时仍可能无限运行。"}, {"sev": "MED", "loc": "app/services/transcript_service.py:981-989", "text": "进度文件损坏、读取失败或顶层非 dict 时统一返回空字典，静默丢失故障证据，恢复逻辑无法区分初始状态与持久化损坏。"}, {"sev": "MED", "loc": "app/services/transcript_service.py:67-77,1259-1270", "text": "活动 provider/model/device/compute_type 仍使用模块级可变全局；同一进程并发转写会互相覆盖运行元数据和进度展示。"}, {"sev": "MED", "loc": "app/services/transcript_service.py:347-549", "text": "本地与火山远程分片分别复制 chunk、checkpoint、进度和异常收口逻辑，两个实现继续存在维护分叉。"}, {"sev": "MED", "loc": "app/services/transcript_service.py:83-1395", "text": "单文件仍混合 FFmpeg、faster-whisper、远程 HTTP、幂等 checkpoint、进度文件和 Markdown 生成，约 1400 行，职责边界和回归影响面偏大。"}]}, {"id": "ai_selection", "label": "AI Selection", "band": "processing", "path": "AI providers and analyzers", "desc": "选择 Codex/远程/本地 Provider，解析不稳定 AI 输出并生成通用、综艺或长直播候选片段。", "coupling": "core", "deps": ["transcription", "persistence"], "loc": 6031, "score": 70, "grade": "C", "tags": ["fallback", "legacy", "dual-format", "placeholder", "fake-output", "bloat", "god-component"], "findings": [{"sev": "MED", "loc": "app/services/ai_analysis_workflow_service.py:1273-1320,1322-1360", "text": "active run 的 payload clips、clip_candidates 和 analysis.json 分开读取；恢复/返回路径未校验三者的数量、ID、内容及代际一致性，候选账本漂移时仍可能把 active run 当作可信结果继续展示或恢复。"}, {"sev": "LOW", "loc": "app/services/ai_analysis_workflow_service.py:878-925", "text": "数据库没有历史 run 时会从 analysis.json 兼容合成 active run，当前只检查 JSON 对象和基础 meta 类型，不验证 checksum、完整 schema、selection_profile、候选字段或文件与数据库代际一致性。"}, {"sev": "MED", "loc": "app/services/ai/ai_clip_analyzer.py:414-490,597-615", "text": "AI JSON 解析通过别名映射、literal_eval 和默认值补齐缺失标题、摘要、理由、置信度等字段；模型 schema 退化时仍可能被合成为看似完整的候选结果。"}, {"sev": "MED", "loc": "app/services/ai_analysis_workflow_service.py:1-1470", "text": "单文件约 1400 行，同时承担 Provider 编排、任务状态、租约、候选替换、文件落盘、历史 run、恢复和 API 返回；职责与测试边界过宽，修改 blast radius 较大。"}, {"sev": "LOW", "loc": "app/services/ai/ai_clip_service.py:4-39", "text": "generate_candidate_clips_placeholder 仍返回固定 fake output；当前未发现主流程调用，但误调用会产生伪造候选，属于 legacy/placeholder dead code。"}]}, {"id": "task_review_cut", "label": "Task Review & Cut", "band": "workflow", "path": "task and cut workflow services", "desc": "维护任务状态与视图，保存候选审核选择，生成切片版本并同步发送中心。", "coupling": "core", "deps": ["media_storage", "ai_selection", "publish_center", "persistence"], "loc": 3094, "score": 68, "grade": "C", "tags": ["god-component", "glue", "duplication", "fallback", "dual-format", "legacy"], "findings": [{"sev": "MED", "loc": "app/services/video_cut_workflow_service.py:516-582; app/services/video_cut_workflow_service.py:87-105", "text": "process_task_video_cuts 创建切片批次前仍未校验任务必须处于允许切片的状态，也未检查同一任务是否已有其他 queued/running workflow job；_create_cut_run 只排除 CANCELLED，能够把任意非取消任务写成 cutting。同步切片、AI 候选替换和异步切片并发时仍存在过期候选和状态互相覆盖风险。"}, {"sev": "MED", "loc": "app/services/task_lifecycle_service.py:373-406", "text": "公共状态转换的完成前置条件仍只查询 output_clip 数据库记录，不验证 output_file_path 对应文件真实存在，也不核对当前 active cut_run。残留或损坏的 output_clip 索引可以让任务被标记为 completed，主状态与实际产物不一致。"}, {"sev": "MED", "loc": "app/services/task_query_service.py:234-272", "text": "片段总览的 can_cut 仍只依据 enabled_count 和 source_exists，不读取已统一校验的 analysis_incomplete/quality_degraded，也不排除 AI_ANALYZING 等运行状态。后端已阻止质量降级或不完整分析切片时，页面仍会显示可生成切片。"}, {"sev": "MED", "loc": "app/services/task_query_service.py:204-208; app/services/task_query_service.py:245-304; app/services/task_query_service.py:417-428", "text": "Dashboard、片段总览和系统状态统计只识别 lowercase completed/completed_with_errors，而全自动流水线使用 uppercase COMPLETED 状态，自动完成任务可能漏计或显示为待前置/待检查，继续保留两套状态格式的展示不一致。"}, {"sev": "MED", "loc": "app/services/task_service.py:687-744", "text": "list_clip_candidates 对每条历史候选直接解析 start_time/end_time 及多个评分字段，单条坏时间或坏数值格式会让整个审核列表抛 ValueError，阻断人工检查和后续修复。"}, {"sev": "MED", "loc": "app/services/task_service.py:926-960", "text": "_active_outputs_match_enabled_candidates 只比较启用候选 ID、数量和 output_file_path 是否存在，不验证文件内容、大小、可播放性或 source_fingerprint。路径存在但文件损坏或被外部替换时，审核同步可能错误跳过重新切片。"}, {"sev": "MED", "loc": "app/services/task_service.py:1-101; app/services/task_service.py:1246-1299; app/services/task_query_service.py:89-172", "text": "TaskService 仍约 1,300 行，同时承担任务状态、AI、字幕、转写、切片、数据库写入和页面查询；底部保留多组只转发到 task_query_service 的包装函数，而 task_query_service 又复制 list_output_clips 的路径解析、字幕状态和发布就绪逻辑，核心修改的 blast radius 仍较大。"}, {"sev": "LOW", "loc": "app/services/task_lifecycle_service.py:159-164; app/services/task_lifecycle_service.py:182-229", "text": "create_task_record 在数据库 INSERT 前预创建任务目录；若随后数据库写入失败，服务层本身没有补偿删除空目录的路径，直接调用服务函数时仍可能留下孤儿目录。"}]}, {"id": "subtitle", "label": "Subtitle", "band": "processing", "path": "subtitle services", "desc": "维护字幕轨、不可变 revision、cue、AI 建议、渲染验证与自动流水线交付决定。", "coupling": "high", "deps": ["media_storage", "task_review_cut", "ai_selection", "persistence"], "loc": 3067, "score": 64, "grade": "C", "tags": ["fallback", "silent-except", "legacy", "duplication", "bloat", "god-component"], "findings": [{"sev": "MED", "loc": "app/services/subtitle_auto_workflow_service.py:42-50,51-108", "text": "prepare_task_subtitle_review 先执行 ensure_source_track/ensure_clip_track 并提交 revision/track 副作用，之后才检查活动 Job 与当前 lease；旧 Worker 失租或并发冲突时仍可能留下字幕数据库变更。"}, {"sev": "MED", "loc": "app/services/subtitle_data_service.py:1017-1074", "text": "_load_source_cues 对 checksum、JSON 或 segment 错误直接跳过；只要其他 chunk 仍有 cue 就生成部分字幕 revision，损坏转写会被静默降级为缺句结果。"}, {"sev": "MED", "loc": "app/services/subtitle_data_service.py:1222-1230,236-330", "text": "_sync_dependent_clip_tracks 逐条调用各自事务的 sync_clip_track；源轨已提交后任一切片同步失败，会留下部分 up_to_date、部分 pending_sync 状态。"}, {"sev": "MED", "loc": "app/services/subtitle_auto_workflow_service.py:513-569", "text": "checkpoint 与 DB 恢复证据只检查 completed/verified、路径 exists 和 is_file，不检查非空、size/fingerprint 或可被 FFprobe 验证；截断或零字节最终文件仍可能被恢复为成功。"}, {"sev": "LOW", "loc": "app/services/subtitle_workflow_service.py:240-257", "text": "遗留 _activate_subtitle_job 仍可无 lease、revision、status 或 task/output_clip 约束直接激活指定记录；当前主渲染路径未调用，但 task_service 仍导入并保留兼容入口。"}, {"sev": "MED", "loc": "app/services/subtitle_data_service.py:1222-1230", "text": "字幕数据层继续集中承担 revision/cue 持久化、导入导出、ASS、波形和 FFprobe，单文件约 1434 行，变更影响面和重复事务路径较大。"}]}, {"id": "pipeline_queue", "label": "Pipeline & Job Queue", "band": "workflow", "path": "pipeline and workflow job services", "desc": "用 SQLite Job、Lease、Heartbeat、Checkpoint 和子进程串联长任务与自动流水线。", "coupling": "core", "deps": ["transcription", "ai_selection", "task_review_cut", "subtitle", "publish_center", "persistence"], "loc": 4095, "score": 66, "grade": "C", "tags": ["fallback", "silent-except", "legacy", "stub", "bloat", "god-component", "glue"], "findings": [{"sev": "MED", "loc": "app/services/pipeline_engine.py:1600", "text": "_write_json_atomic 只在写临时文件前后调用 require_active_job_lease，最终 temporary_path.replace(path) 以及 _create_schedule 的直接 write_text（1614-1616）不带 owner/lease 条件；租约在最后检查后被接管时，旧 Worker 仍可能覆盖新 Worker 的 metadata/schedule 派生文件。数据库 Job 状态虽已 fencing，但文件产物仍存在跨进程陈旧写入窗口。"}, {"sev": "MED", "loc": "app/services/job_worker.py:234", "text": "WorkflowJobRunner.stop 只等待 worker 线程最多 25 秒；若 terminate_process_tree 持续失败，_run_job_subprocess 会保留 lease 并继续重试，但 stop 返回后应用生命周期仍会继续关闭，线程/子进程可能未结束、lease 也未立即释放，下一进程只能等待租约过期恢复。"}, {"sev": "MED", "loc": "app/services/job_worker.py:272", "text": "父 Worker 启动子进程时将 stdout/stderr 都重定向到 DEVNULL（272-276），job_worker_process 仅把异常文本打印到 stderr；子进程实际堆栈、Provider/FFmpeg 错误完全丢失，父进程最终只能记录退出码，重启恢复和人工诊断证据不足。"}, {"sev": "MED", "loc": "app/services/job_service.py:163", "text": "_row_to_dict 对 payload_json/result_json/checkpoint_json 的 JSONDecodeError 仅 pass，字段保留为原始字符串；job_worker 随后按 dict 调用 payload.get 等操作时会产生不清晰的 AttributeError/失败，损坏队列数据没有明确的不可恢复数据错误状态。"}, {"sev": "MED", "loc": "app/services/job_worker.py:70", "text": "JOB_TYPE_PUBLISH 仍在 job_service 中声明并可由 create_job 创建，但 execute_job 只有未支持分支（70-71）会失败；这是可入队、可查询却没有执行器的遗留/stub 入口，队列状态语义对调用方不完整。"}, {"sev": "MED", "loc": "app/services/pipeline_engine.py:88", "text": "PipelineEngine 文件约 1,926 行，仍集中承担步骤编排、租约/取消检查、AutoPipelineCheckpoint 恢复、文件证据、AI/切片/字幕、文案、排期和发布任务创建；与 job_service（约1,171行）共同形成核心 God Component，修改任一步骤的回归半径很大。"}, {"sev": "LOW", "loc": "app/services/pipeline_engine.py:1804", "text": "_read_json 在 OSError/JSONDecodeError 时静默返回 fallback；损坏的 metadata、schedule 或配置会被当作空结构继续处理，降低故障可见性和人工恢复依据。"}]}, {"id": "publish_center", "label": "Publish Center", "band": "workflow", "path": "publish content preparation services", "desc": "准备标题、简介、话题、封面、账号和发布草稿，并保留历史兼容执行入口。", "coupling": "core", "deps": ["task_review_cut", "subtitle", "publish_scheduler", "publisher_worker", "persistence"], "loc": 5654, "score": 65, "grade": "C", "tags": ["god-component", "bloat", "legacy", "dual-format", "fallback", "silent-except", "placeholder", "duplication"], "findings": [{"sev": "MED", "loc": "app/services/publish_service.py:1", "text": "publish_service.py 仍约4776行，集中承担配置、账号、OAuth、文案、封面、队列、历史、OpenCLI兼容和API发布职责，属于真实 God Component，修改影响面较大。"}, {"sev": "MED", "loc": "app/services/publish_service.py:2968", "text": "历史查询 SQL 仍先按大写 PUBLISH_HISTORY_STATUSES 过滤，再做 legacy 状态归一化；数据库中的 lowercase/旧状态记录会在归一化前被排除，历史页与统计可能漏数据。"}, {"sev": "MED", "loc": "app/services/publish_service.py:2173", "text": "sync_task_publish_jobs 中封面生成异常仅写入 cover_error 后继续创建 WAITING 发布任务，未计入 errors；同步接口可能返回 ok，但任务实际缺少封面，后续发送就绪检查才失败。"}, {"sev": "MED", "loc": "app/services/publish_service.py:2818", "text": "create_batch_publish_jobs 对不存在的 output_clip_id 直接 continue，最后无论缺失多少输入都返回 status=ok，调用方无法区分全部无效、部分成功和完整成功。"}, {"sev": "MED", "loc": "app/services/publish_readiness.py:167", "text": "PUBLISH_MODES 仍允许 api_publish，但 build_send_readiness 的 resolved_mode 只接受 local_browser/manual_export；API 模式可以创建，却在发送前统一判定 unsupported_publish_mode。"}, {"sev": "MED", "loc": "app/services/publish_providers.py:141", "text": "BilibiliPublishProvider 完成配置和 access_token 校验后固定抛出 bilibili_provider_pending，属于可创建、可排队但无法执行的真实发布入口，仍是 placeholder/stub。"}, {"sev": "MED", "loc": "app/services/publish_providers.py:81", "text": "DouyinPublishProvider 将上传和创建作品拆成两个非幂等 HTTP 调用；上传已被平台接受但客户端读取响应时超时或断网，重试可能产生重复作品，未转入人工复核或使用幂等键。"}, {"sev": "LOW", "loc": "app/services/publish_service.py:1610", "text": "批量查询每一行都调用 _normalize_job；该函数随后构建 readiness 并触发账号/运行态解析，批量页面可能产生逐行重复查询，数据量增长后会放大响应延迟。"}, {"sev": "LOW", "loc": "app/services/publish_providers.py:204", "text": "_post_multipart 使用 read_bytes 将整个视频读入内存，再与 multipart 头部 join；大文件发送峰值内存约为文件大小的两倍，存在资源受限环境下的稳定性风险。"}]}, {"id": "publish_scheduler", "label": "Publish Scheduler", "band": "execution", "path": "scheduler/repository/executor", "desc": "计算排期、原子领取发布任务、重试、恢复不确定执行并维护发布状态机。", "coupling": "core", "deps": ["publish_center", "publisher_worker", "persistence"], "loc": 2362, "score": 74, "grade": "C", "tags": ["god-component", "bloat", "legacy", "silent-except"], "findings": [{"sev": "MED", "loc": "app/services/publish_scheduler.py:756-785", "text": "recover_interrupted_jobs 每轮加载全部 PUBLISHING 任务，并逐个同步调用 Worker execution；没有批量上限、并发控制或退避，Worker 超时或不可用时恢复耗时随任务数线性增长并阻塞后续排期。"}, {"sev": "MED", "loc": "app/services/publish_scheduler.py:283-304", "text": "list_due_jobs 每轮 SELECT 全部 SCHEDULED 记录，再逐条在 Python 中解析并过滤时间，没有 SQL due 条件、分页或批量上限，排期规模增长会增加扫描内存和调度延迟。"}, {"sev": "MED", "loc": "app/services/publish_scheduler.py:133-1789", "text": "PublishScheduler 约 1,700 行并集中承担排期计算、任务领取、结果写回、Worker 恢复、重试修复、人工复核、批量排期及旧版兼容，状态路径修改的回归半径较大。"}, {"sev": "LOW", "loc": "app/services/publish_scheduler.py:276-281", "text": "shutdown 会等待后台 Task 完整结束，但没有超时或取消兜底；run_once 被 Worker 长超时、数据库锁或文件操作阻塞时，应用停机可能长时间挂起。"}, {"sev": "LOW", "loc": "app/services/publish_scheduler.py:1840-1845", "text": "queue_snapshot 对非法 scheduled_at 静默 pass，损坏排期会从今日任务视图消失，未产生告警或异常计数。"}]}, {"id": "publisher_worker", "label": "Publishers & Worker", "band": "execution", "path": "publisher registry and Windows worker", "desc": "通过 Publisher Registry 和 Windows Chrome Worker 执行抖音/B站投稿、导出与兼容模式。", "coupling": "high", "deps": ["media_storage", "persistence"], "loc": 2738, "score": 80, "grade": "B", "tags": ["legacy", "glue", "silent-except", "fallback"], "findings": [{"sev": "MED", "loc": "scripts/publish_host_worker.py:297", "text": "_prior_job_execution_requires_review 会跳过 corrupt 或缺失/无效 identity 的旧 journal；若旧执行已开始上传但身份未持久化，重试可能无法关联并再次提交。browser_opened 仍属于 safe_retry_phases，存在浏览器动作已发生而 journal 尚未推进的重复发布窗口。"}, {"sev": "LOW", "loc": "app/services/publishers/browser_runtime.py:315", "text": "screenshot 捕获 Exception 后直接返回空字符串，不记录错误或阶段；发布失败诊断可能静默丢失截图证据。"}, {"sev": "LOW", "loc": "app/services/publishers/page_scripts.py:14", "text": "通过延迟导入 app.services.publish_service 并调用其私有 DOM 脚本维持旧发布协议，形成 Worker/发布服务间的 legacy glue 耦合。"}]}, {"id": "persistence", "label": "SQLite Persistence", "band": "persistence", "path": "app/db + backup services", "desc": "创建 SQLite Schema、执行启动时兼容迁移和索引，并提供 WAL 安全备份恢复。", "coupling": "core", "deps": [], "loc": 3756, "score": 72, "grade": "C", "tags": ["legacy", "dual-format", "bloat", "god-component", "glue"], "findings": [{"sev": "MED", "loc": "app/db/database.py:614", "text": "init_db 仍先执行历史列探测迁移 helper，再执行账本迁移；helper 内部使用 executescript（如 :1074），会隐式提交此前 DML，后续 helper 失败时可能留下部分 Schema/数据变更而无对应 schema_migrations 记录。"}, {"sev": "MED", "loc": "scripts/backup_restore.py:362", "text": "备份验证仅执行 quick_check、必要表/行数和 manifest 文件哈希校验，未执行 PRAGMA foreign_key_check，也未核对 schema_migrations 版本/checksum；外键损坏或结构账本漂移可能被当作可恢复备份。"}, {"sev": "MED", "loc": "scripts/backup_restore.py:602", "text": "restore_backup_bundle 在替换数据库及删除 -wal/-shm 前没有活动应用/Worker 互斥或停止检查；运行中的 SQLite 连接可能继续写入旧 inode/WAL，造成恢复后丢写或双数据库视图。"}, {"sev": "LOW", "loc": "app/db/database.py:811", "text": "workflow_jobs claim 索引仅覆盖 status、next_attempt_at、created_at，未包含 lease_expires_at；租约过期接管/恢复扫描仍需过滤大量记录，规模增长后会退化。"}, {"sev": "LOW", "loc": "app/db/database.py:169", "text": "tasks.status 无 CHECK 约束且默认仍为 pending_video，历史迁移 :1091-1100 继续归一化 lowercase legacy 状态，而 app/models/task.py:38 同时接受新旧两套枚举，数据库层无法保证唯一状态协议。"}, {"sev": "LOW", "loc": "scripts/backup_restore_runtime.py:142", "text": "runtime 入口通过 monkeypatch 替换 backup_restore 的全局函数并重新导出 API；core 与 runtime 两套导入路径的行为可能随新增校验漂移，形成 legacy/dual-format glue。"}]}, {"id": "ops_delivery", "label": "Ops & Delivery", "band": "persistence", "path": "Docker/PowerShell/CI", "desc": "提供 Windows/Docker 启停、诊断、CI、发布门禁、Demo 与维护脚本。", "coupling": "med", "deps": ["api_runtime", "publisher_worker", "persistence"], "loc": 4348, "score": 68, "grade": "C", "tags": ["fallback", "legacy", "dual-format", "duplication", "bloat", "glue", "silent-except", "monkeypatch"], "findings": [{"sev": "MED", "loc": ".github/workflows/ci.yml:3", "text": "CI 仅监听 master push/PR；feature/docs 直接 push 不即时验证，问题延迟到开 PR。"}, {"sev": "MED", "loc": "scripts/start_docker_opencli.ps1:24", "text": "健康检查异常只警告不返回非零，服务失败也可能被调用方视为启动成功。"}, {"sev": "MED", "loc": "scripts/start.ps1:30", "text": "Demo 覆盖生效前先对正式 E 盘配置运行 doctor，新机/迁移机的隔离 Demo 可能被旧路径阻断。"}, {"sev": "MED", "loc": "scripts/start.ps1:71", "text": "Worker 启动异常被捕获后继续并报告工作台成功，发布能力不可用时易被误判完整健康。"}, {"sev": "HIGH", "loc": "scripts/migrate_task_dirs_to_project_names.py:211", "text": "任务目录迁移用非 WAL-aware 主库 copy，先移动目录再统一更新提交，无文件补偿，异常会让路径/DB 不一致。"}, {"sev": "MED", "loc": "scripts/restore.ps1:27", "text": "恢复只以健康响应判断 App 运行，StopServices 只停 Compose；native/异常健康进程可能仍持有 DB 时执行替换。"}, {"sev": "MED", "loc": "scripts/backup.ps1:33", "text": "备份默认包含 .env 且不加密，仅显式 ExcludeEnv 才排除，包被共享时泄漏本机秘密。"}, {"sev": "MED", "loc": "tests/test_native_scripts.py:11", "text": "启停测试主要是源码字符串断言，Windows smoke 不做实际 restore/冲突/清理失败与恢复后健康验证。"}, {"sev": "MED", "loc": "scripts/seed_demo_data.py:32", "text": "缺 FFmpeg 时仍插入无媒体路径 Demo 数据并成功退出，数量检查通过但媒体 smoke 不可信。"}, {"sev": "LOW", "loc": "scripts/acceptance.ps1:115", "text": "验收递归扫描正式任务目录，媒体量大/锁文件会显著拖慢或阻断 release gate。"}, {"sev": "LOW", "loc": "scripts/backup_restore_runtime.py:142", "text": "import 时 monkeypatch backup core，全局行为依赖导入顺序。"}, {"sev": "LOW", "loc": "docs/PORTABLE_SETUP.md:127", "text": "文档描述与当前 start.ps1 实现不符，旧 Next Steps 又保留兼容入口，启动排障认知漂移。"}]}]};
+const DATA = {"meta": {"project": "NiuMa Studio", "lang": "zh", "subtitle": "牛马片场 · 本地 AI 高光生产后台工程体检", "generatedAt": "2026-08-30", "htmlPath": ".codemap/codemap.html", "mdPath": ".codemap/codemap.md", "spineDesc": "用户通过页面/API 创建素材任务，SQLite Job 驱动转写、AI 选片、审核切片和字幕，再由发送中心排期并交给 Windows Chrome Worker，所有状态与审计证据回写 SQLite。", "tracked_loc": 62146, "tracked_files": 139, "rev": "12ca670b521507d1df47750721933342c5b7a8d3"}, "bands": [{"id": "presentation", "tier": "fe", "t": "界面 · API", "d": "浏览器页面、前端交互、FastAPI 路由与运行配置"}, {"id": "wire1", "wire": true, "t": "HTTP / JSON / 文件上传"}, {"id": "workflow", "tier": "be", "t": "业务编排", "d": "任务、流水线、发送中心和状态机"}, {"id": "processing", "tier": "be", "t": "媒体与 AI 处理", "d": "转写、AI 选片、切片和字幕"}, {"id": "execution", "tier": "be", "t": "外部执行边界", "d": "调度、Publisher 与 Windows Chrome Worker"}, {"id": "persistence", "tier": "be", "t": "持久化与运维", "d": "SQLite Schema/迁移/备份与本地交付脚本"}], "spine": ["frontend_ui", "api_runtime", "pipeline_queue", "transcription", "ai_selection", "task_review_cut", "subtitle", "publish_center", "publish_scheduler", "publisher_worker", "persistence"], "reportThemes": [["本地单体架构仍与当前产品边界匹配", "FastAPI、SQLite WAL、文件产物、持久化 Job 与 Windows Worker 适合本机单用户规模；本轮没有证据支持微服务、全量 ORM 或前端框架迁移。"], ["整改前的 A-F 六项问题已经关闭", "长直播质量元数据、迁移原子性与 Prompt 外键、反馈来源 Run、作品时长口径、官方导出异步边界和堆叠 PR CI 均有直接回归证据。"], ["没有未关闭的 P0/P1 回归", "独立复审曾发现预览按钮状态回归，已在最终 revision 修复并由宽屏、窄屏浏览器用例覆盖；当前活动库 quick_check 正常、外键违规为 0。"], ["剩余风险集中在运行韧性而非正常路径", "历史兼容迁移、备份恢复持续互斥、文件 checkpoint 与 SQLite lease、Worker 自愈和错误取证仍有条件触发的中等风险。"], ["发布与前端仍保留条件性边界", "部分保存、自动刷新覆盖脏表单、未完成的 B站 API Provider 和旧 journal 身份缺失，仅在启用对应模式或出现真实故障时值得单独处理。"], ["复杂度集中但不值得全面重构", "publish_service.py、content_review_service.py、database.py、app.js 与 PipelineEngine 是主要热点；只应在触碰对应业务时按事务和边界渐进拆分。"], ["测试与 CI 已形成收口证据", "全量 867 项测试和 PR #67/#68/#69 的 Linux、Windows、Docker 检查均通过；Sonar 仍无 coverage.xml，质量门禁失败应作为后续质量工程而非继续改业务代码的理由。"]], "standard": {"rubric": [{"grade": "A", "score": 95, "range": "90–100", "en": "clean, well-scoped, idiomatic", "zh": "干净、职责单一、地道"}, {"grade": "B", "score": 82, "range": "75–89", "en": "minor issues: a documented shim, mild bloat", "zh": "小问题：有文档的兼容、轻微臃肿"}, {"grade": "C", "score": 67, "range": "60–74", "en": "notable hacks / fallbacks / bloat / duplication", "zh": "明显的 hack / 回退 / 臃肿 / 重复"}, {"grade": "D", "score": 50, "range": "40–59", "en": "significant legacy / stubs / duplication, or a protocol violation", "zh": "严重的遗留 / 占位 / 重复，或协议违规"}, {"grade": "F", "score": 25, "range": "0–39", "en": "broken, fake output, or unfinished-but-wired", "zh": "损坏、伪造输出，或未完成却已接线"}], "severities": [{"key": "HIGH", "en": "wrong / dangerous / fake, a protocol or security issue, or a genuine maintenance hazard", "zh": "错误 / 危险 / 伪造、协议或安全问题，或真正的维护地雷"}, {"key": "MED", "en": "a real smell a maintainer should fix", "zh": "维护者该修的真坏味"}, {"key": "LOW", "en": "a documented shim, a cosmetic cast, benign bloat — worth noting, not urgent", "zh": "有文档的兼容、装饰性 cast、良性臃肿 —— 值得记、不紧急"}], "coupling": [{"key": "core", "en": "system spine — central to almost everything", "zh": "系统主线 —— 几乎牵连一切"}, {"key": "high", "en": "many connections", "zh": "连接很多"}, {"key": "med", "en": "moderate", "zh": "中等"}, {"key": "low", "en": "leaf / self-contained", "zh": "叶子 / 自洽"}], "tags": [{"id": "monkeypatch", "label": "monkeypatch", "labelZh": "猴补丁", "bad": true, "en": "runtime mutation of another module / stdlib / vendor; reflection or prototype patching", "zh": "运行时改写别的模块/标准库/依赖；反射或原型补丁"}, {"id": "fallback", "label": "fallback", "labelZh": "回退兜底", "bad": true, "en": "'try the real thing, then fake/degrade'; a||b||c chains that hide which value is real", "zh": "“先试真的再退化/造假”；a||b||c 掩盖哪个是真值"}, {"id": "silent-except", "label": "silent-except", "labelZh": "静默吞错", "bad": true, "en": "swallowed errors: empty catch / except:pass / ignored return codes", "zh": "吞掉错误：空 catch / except:pass / 忽略返回码"}, {"id": "legacy", "label": "legacy", "labelZh": "遗留", "bad": true, "en": "deprecated/back-compat shims, dead-but-shipped code, parallel old+new paths", "zh": "遗留/兼容垫片、已发布的死代码、新旧并存"}, {"id": "dual-format", "label": "dual-format", "labelZh": "双格式", "bad": true, "en": "accepting two shapes for one field (snake||camel), patched through the code", "zh": "同一字段接受两种形态（snake||camel）并散落各处"}, {"id": "stub", "label": "stub", "labelZh": "占位桩", "bad": true, "en": "NotImplemented / TODO / dead buttons / demo scripts presented as real", "zh": "未实现/TODO/死按钮/演示脚本当成品"}, {"id": "fake-output", "label": "fake-output", "labelZh": "伪造输出", "bad": true, "en": "returns random/canned/hardcoded results where real work is implied", "zh": "本应真算的地方返回随机/写死结果"}, {"id": "duplication", "label": "duplication", "labelZh": "重复", "bad": true, "en": "copy-pasted logic, or an existing shared abstraction not reused", "zh": "复制粘贴，或已有共享抽象却不复用"}, {"id": "bloat", "label": "bloat", "labelZh": "臃肿", "bad": true, "en": "oversized file / function; too many responsibilities in one unit", "zh": "超大文件/函数；单元职责过多"}, {"id": "glue", "label": "glue", "labelZh": "胶水", "bad": true, "en": "valueless pass-through: rows of thin forwarders / no-op adapters", "zh": "无价值透传：成片薄包装 / 零转换适配器"}, {"id": "any-escape", "label": "any-escape", "labelZh": "类型逃逸", "bad": true, "en": "bypassing the type system: as any / @ts-ignore / dynamic / void* / reinterpret_cast / unsafe", "zh": "绕过类型系统：as any / @ts-ignore / dynamic / void* / reinterpret_cast / unsafe"}, {"id": "over-fit", "label": "over-fit", "labelZh": "过度特化", "bad": true, "en": "hardcoded to one case where a small generalization was expected", "zh": "硬编码单一情况，本应小幅泛化"}, {"id": "god-component", "label": "god-component", "labelZh": "上帝组件", "bad": true, "en": "one component/class/file doing far too much", "zh": "一个组件/类/文件做太多事"}, {"id": "placeholder", "label": "placeholder", "labelZh": "占位", "bad": true, "en": "unfinished UI / data presented as if complete", "zh": "未完成的 UI/数据当作已完成"}, {"id": "clean", "label": "clean", "labelZh": "干净", "bad": false, "en": "no material issues — well-scoped", "zh": "无实质问题 —— 职责单一"}]}, "modules": [{"id": "frontend_ui", "label": "Frontend UI", "band": "presentation", "path": "app/templates + app/static", "desc": "用 Jinja2、原生 JavaScript 和 CSS 提供任务、审核、字幕与发送中心界面。", "coupling": "high", "deps": ["api_runtime"], "loc": 15416, "score": 54, "grade": "D", "tags": ["god-component", "bloat", "silent-except"], "findings": [{"sev": "MED", "loc": "app/templates/clip_review.html:154-155; app/static/js/app.js:109-145", "text": "空态“运行 Codex CLI 分析”走通用 handleProcessAction；/process/ai 返回持久化 job_id 后没有等待或轮询分支，直接 window.location.reload()。按钮随后恢复可用，用户无法在该页确认后台 Job 状态，运行期间可重复点击。"}, {"sev": "MED", "loc": "app/static/js/app.js:449-500; app/templates/clip_review.html:195-200", "text": "renderAiAnalysisSummary 只按 clips/clip_summaries 渲染并给出“去检查并生成切片”，没有读取 analysis_incomplete、quality_degraded、coverage_percent、failed_units；审核页生成/同步按钮也仅按 clips 是否存在启用。不完整或降级结果直到后端门禁拒绝才暴露。"}, {"sev": "MED", "loc": "app/static/js/app.js:1811-1827,1951-1967,720-727", "text": "waitForAiAnalysisJob 使用无限 while(true)，没有超时、AbortController 或读取重试；pollAiAnalysisStatus 仅成功响应才安排下一次定时器，初始调用和定时回调均用 catch(() => {}) 静默吞错。一次网络或 JSON 异常即可停止状态刷新；前台等待失败时服务端 Job 仍可能运行。"}, {"sev": "MED", "loc": "app/static/js/publish-center.js:1332-1342,1643-1679", "text": "发送中心保存依次 PATCH target、PATCH send-content、PUT experiment-assignment，没有事务、补偿或失败后回读；最后一步失败时前两步已经持久化，但界面统一显示保存失败并保留旧 experimentId，形成内容已变更而实验归因不确定。"}, {"sev": "MED", "loc": "app/static/js/publish-center.js:1142-1180,1423-1429,2246", "text": "refreshJobs 每 5 秒把服务端快照直接写入编辑器的 account_id、publish_mode、cover_file_path、cover_time_seconds，没有 focus、dirty 或版本保护。用户编辑尚未保存时轮询到旧快照会覆盖账号、发布方式和封面选择，丢失本地输入。"}, {"sev": "LOW", "loc": "app/static/js/app.js:1-2461; app/static/js/publish-center.js:1-2247; app/static/css/styles.css:1-6494", "text": "前端仍把跨页面请求、多个 Job 轮询、审核/裁切/字幕/配置事件与渲染状态集中在两个约 2K 行脚本和一个约 6.5K 行全局样式中，职责与状态共享使轮询或页面状态改动的回归半径持续偏大。"}]}, {"id": "api_runtime", "label": "API & Runtime", "band": "presentation", "path": "app/main.py + core/models/routers", "desc": "加载配置、初始化应用与安全中间件，并把页面/API 请求路由到业务服务。", "coupling": "core", "deps": ["media_storage", "transcription", "ai_selection", "task_review_cut", "subtitle", "pipeline_queue", "publish_center", "publish_scheduler", "content_review", "persistence"], "loc": 2995, "score": 63, "grade": "C", "tags": ["legacy", "dual-format"], "findings": [{"sev": "MED", "loc": "app/routers/tasks.py:67-102,212-215,391-398; app/routers/publish.py:68-108,202-208,251-305,316-446", "text": "多个 async handler 仍直接执行同步重任务或外部 I/O：上传后的 create_task_record 会同步执行媒体预检/FFprobe/FFmpeg，process_audio/process_video_cuts 直接运行 FFmpeg，发布账号与排期接口直接调用 PublishWorkerClient._request(urlopen，默认超时 1800 秒)，刷新队列、封面和 AI 文案也直接执行同步服务，可能阻塞 FastAPI event loop。内容复盘导出已在排除模块中使用 run_in_threadpool 并有专项线程隔离测试，未计入本模块。最小修复应将纯同步 handler 改为 def 或完整包裹 run_in_threadpool，并补充并发健康检查响应测试。"}, {"sev": "MED", "loc": "app/routers/publish.py:55-70", "text": "抖音 OAuth URL/回调捕获裸 Exception，并将 str(exc) 直接写入 HTTP detail 或 redirect 查询参数；底层 provider、网络或数据库异常可能携带诊断信息并进入浏览器历史和日志。相关网络异常来自 app/services/publish_providers.py:216-226。应按类型映射安全错误码，原始异常仅服务端记录，并增加错误哨兵不回显测试。"}, {"sev": "MED", "loc": "app/models/task.py:243-300,353-410", "text": "PublishBatchScheduleUpdate、PublishScheduleNextStartRequest、PublishBatchJobCreate、PublishBatchTargetUpdate、ClipCandidateBatchUpdate 的批量列表缺少长度上限，现有校验仅做非空/去重；下游 app/services/publish_scheduler.py:1022-1118,1205-1226 和 publish_service.py:2810-2831,3410-3425 会展开 SQL IN 参数并逐项处理，超大请求可能触发 SQLite 变量限制、内存/耗时压力或未转换的 500。应在模型边界设上限并补充超限 API 测试。"}, {"sev": "MED", "loc": "app/models/task.py:38-72; app/routers/tasks.py:162-170", "text": "TaskStatus 同时暴露 uppercase 全自动状态和 lowercase 手工/遗留状态，路由接受两套值，服务层分别维护状态标签、进度、转换和生命周期集合；大小写协议混用时会出现精确匹配冲突、错误进度或无法转换。应在 API 边界规范化单一状态协议，并补充跨模式状态转换矩阵测试。"}]}, {"id": "media_storage", "label": "Media & Storage", "band": "processing", "path": "storage/media/FFmpeg services", "desc": "管理 E 盘任务目录、路径安全、素材预检、FFmpeg/FFprobe 与受控子进程。", "coupling": "high", "deps": ["persistence"], "loc": 1639, "score": 73, "grade": "C", "tags": ["fallback", "legacy", "dual-format", "silent-except"], "findings": [{"sev": "MED", "loc": "app/services/storage_service.py:693", "text": "删除 manifest 只在当前进程内写入并由内存中的 StagedTaskMediaCleanup 继续处理；没有启动扫描、manifest 加载或跨进程恢复入口。进程在目录已移入暂存区、数据库提交前崩溃会留下任务原目录缺失；提交后、finalize 前崩溃则暂存区长期遗留，重复删除也不会扫描清理。"}, {"sev": "MED", "loc": "app/services/storage_service.py:362", "text": "resolve_video_file_path 对已存在路径直接返回，未验证是否位于允许根目录；validate_source_video_path 虽有根校验，但发布、字幕和查询等调用方直接复用该解析器后仅检查 exists/is_file。异常数据库 output_file_path 因此仍可能被本地发布流程读取或上传为任意现有文件。"}, {"sev": "LOW", "loc": "app/services/storage_service.py:490", "text": "save_uploaded_video 从 503 行直接以 wb 写入最终 source 文件，没有 .part 文件和原子替换；请求异常时 unlink 失败被静默忽略，进程崩溃/断电无法执行清理，可能留下无数据库引用的半成品上传并占用最多 4GB 磁盘。"}, {"sev": "LOW", "loc": "app/services/storage_service.py:256", "text": "allocate_task_dir_name(reserve=True) 在数据库 INSERT 前用 mkdir 预占目录；调用方若在预占与建档之间崩溃，目录没有任务记录且当前没有孤儿目录扫描或恢复机制。正常 HTTP 异常可清理，但无法覆盖进程级中断。"}, {"sev": "LOW", "loc": "app/services/video_cut_service.py:185", "text": "cut_single_clip 在 FFmpeg 启动前先 unlink plan.output_path；build_output_path 的正常工作流通常生成新路径，但同一 CutPlan/输出路径重试时，失败或超时会先删除已有有效成片，临时文件原子替换无法保护旧结果。"}]}, {"id": "transcription", "label": "Transcription", "band": "processing", "path": "transcript services", "desc": "提取音频，调用火山引擎或 faster-whisper，并以分块 checkpoint 生成时间戳转写。", "coupling": "high", "deps": ["media_storage", "persistence"], "loc": 2276, "score": 63, "grade": "C", "tags": ["fallback", "silent-except", "legacy", "duplication", "god-component"], "findings": [{"sev": "MED", "loc": "app/services/transcript_service.py:1131-1158,1191-1228", "text": "faster-whisper 的 model.transcribe 调用、模型加载和 raw_segments 生成器迭代均没有绝对时限或内部取消检查；持久 Worker 只能依赖最长约 1800 秒的无进度 watchdog，旧版直连/后台任务路径没有外层 job 截止时间，模型卡死时可能长期占用进程。"}, {"sev": "MED", "loc": "app/services/transcript_service.py:113-191", "text": "run_ffmpeg_audio_extract 只有无进度 watchdog，没有 started_at 或绝对 wall-clock deadline；循环收到任意 FFmpeg 输出就刷新 last_progress_at，即使 out_time_ms 不再推进也可能持续运行。旧版直连音频处理不带 job_id，无法依赖外层任务 watchdog。"}, {"sev": "MED", "loc": "app/services/transcript_service.py:1034-1042; app/services/transcript_workflow_service.py:122-148", "text": "进度文件损坏、不可读、JSON 顶层非 dict 时统一返回 {}；状态层将其当作‘没有进度’且 is_stale=False，既不暴露损坏证据，也不会触发恢复/人工复核，重启后可能误判为可正常重跑或静默丢失运行状态。"}, {"sev": "MED", "loc": "app/services/transcript_service.py:67-77,1191-1228,1291-1367; app/services/transcript_workflow_service.py:221-260,346-430", "text": "模型缓存、当前 provider/model/device/compute 元数据和运行集合均为模块级可变状态，且运行集合没有锁。旧版 BackgroundTasks 可并发处理不同任务，任务 A 写进度/Markdown 时可能读到任务 B 的 provider 或模型标签；并发模型加载也无锁，设置变化时 _WHISPER_MODEL_KEY 可能与实际加载模型不同。"}, {"sev": "MED", "loc": "app/services/transcription_checkpoint_service.py:40-50,68-75; app/services/transcript_workflow_service.py:321-328", "text": "大于 1 MiB 的音频指纹只哈希文件大小、前 1 MiB 和后 1 MiB，中间内容替换后仍可命中旧 checkpoint；同时工作流仅凭现有 transcript 能读出一行就跳过重转，不校验源文件指纹、provider 或模型，可能把旧分片结果用于新音频。"}, {"sev": "LOW", "loc": "app/services/transcript_service.py:347-549", "text": "本地与 Volcengine 转写分别复制了完整的分片遍历、checkpoint、进度、偏移和清理生命周期；两条路径已出现不同的请求不确定态处理，后续修复取消、租约或计数逻辑需同步维护，存在行为漂移风险。该文件同时承担 FFmpeg、模型、远程 HTTP、checkpoint、进度和 Markdown，变更影响面较大。"}]}, {"id": "ai_selection", "label": "AI Selection", "band": "processing", "path": "AI providers and analyzers", "desc": "选择 Codex/远程/本地 Provider，解析不稳定 AI 输出并生成通用、综艺或长直播候选片段。", "coupling": "core", "deps": ["transcription", "persistence"], "loc": 6120, "score": 70, "grade": "C", "tags": ["fallback", "legacy", "dual-format", "placeholder", "fake-output", "bloat", "god-component"], "findings": [{"sev": "MED", "loc": "app/services/ai_analysis_workflow_service.py:1023-1037,1330-1369", "text": "恢复路径仅从 active ai_analysis_runs 读取 payload 并校验 workflow_job_id，未核对 clip_candidates 的 source_analysis_run_id、候选 ID/数量、转写或源文件代际；随后可直接覆盖 analysis.json。候选表、run payload 与派生文件发生漂移时仍会展示或恢复旧 run。"}, {"sev": "MED", "loc": "app/services/ai/ai_clip_analyzer.py:485-562", "text": "_normalize_ai_clip_item 为缺失的标题、摘要、推荐理由、剪辑建议、spread、confidence 和封面位置填入默认值；仅有时间范围的稀疏 Provider 响应可通过 Pydantic。通用分析随后固定写入 invalid_item_count=0，并只按失败单元设置 analysis_incomplete，语义不完整的候选会被当作正常结果。"}, {"sev": "MED", "loc": "app/services/ai_analysis_workflow_service.py:1", "text": "ai_analysis_workflow_service.py 当前约 1406 行，同时承担 Provider 编排、任务状态与租约、候选 SQL、Prompt/运行历史、恢复、analysis.json 物化及 API 结果组装，职责和测试边界过宽，局部修改的回归影响面较大。"}, {"sev": "LOW", "loc": "app/services/ai_analysis_workflow_service.py:878-925", "text": "数据库没有历史 run 时，_ensure_ai_analysis_history_from_current_file 会从 analysis.json 兼容合成 active run；当前仅检查 JSON 对象和基础 meta 类型，不验证 checksum、完整 schema、selection_profile、候选字段或文件与数据库代际一致性。"}, {"sev": "LOW", "loc": "app/services/ai/ai_clip_service.py:4-39", "text": "generate_candidate_clips_placeholder 仍返回三条固定 ClipCandidate，完全不读取转写、Provider 或任务输入；当前未发现主流程调用，但误调用会产生伪造候选，属于遗留 placeholder/fake output。"}]}, {"id": "task_review_cut", "label": "Task Review & Cut", "band": "workflow", "path": "task and cut workflow services", "desc": "维护任务状态与视图，保存候选审核选择，生成切片版本并同步发送中心。", "coupling": "core", "deps": ["media_storage", "ai_selection", "publish_center", "persistence"], "loc": 3422, "score": 63, "grade": "C", "tags": ["god-component", "glue", "duplication", "bloat", "fallback", "silent-except", "dual-format", "legacy"], "findings": [{"sev": "MED", "loc": "app/services/video_cut_workflow_service.py:38-107,516-603", "text": "_create_cut_run 只校验当前租约和任务未取消，不检查同一任务已有 queued/running 的切片工作；多个入口可同时创建 cut_run 并执行 cut_clips，导致重复 FFmpeg、状态互相覆盖和无效资源消耗。"}, {"sev": "MED", "loc": "app/services/task_lifecycle_service.py:373-406", "text": "完成状态门禁只查询 active、completed 的 output_clip 数据库行，不验证 output_file_path 仍存在且为文件，也不核对记录是否来自当前 active cut_run；残留索引或被删除的成片仍可能让任务进入完成状态。"}, {"sev": "MED", "loc": "app/services/task_service.py:1198-1232; app/services/video_cut_workflow_service.py:274-323", "text": "_active_outputs_match_enabled_candidates 仅比较候选 ID、数量和输出路径存在性；切片落库虽保存 source_fingerprint，但复用判断不读取它，也没有内容指纹、大小或可播放性校验。源视频被替换或输出被截断时，审核同步可能错误跳过重新切片。"}, {"sev": "MED", "loc": "app/services/task_service.py:898-968", "text": "list_clip_candidates 对损坏的 quality_evidence_json 静默回退为空字典，但 start_time/end_time 在 try 块外直接解析；单条历史候选时间格式损坏会抛 ValueError，使审核列表接口整体不可用，且数据损坏被隐藏。"}, {"sev": "MED", "loc": "app/services/task_query_service.py:293-334,469-486", "text": "片段总览的 can_cut 只依据启用候选和源文件存在性，不考虑 analysis_incomplete、quality_degraded 或运行状态；系统状态页又精确匹配 lowercase 状态，遗漏全自动的 CREATED、FAILED_*、PENDING_SUBTITLE_REVIEW、COMPLETED，页面统计和操作按钮会失真。"}, {"sev": "MED", "loc": "app/services/task_service.py:508-593,1388-1468,1517-1570; app/services/task_query_service.py:165-251", "text": "task_service.py 约 1570 行，继续集中任务状态、AI、转写、切片、字幕、发布同步和查询，并保留多组转发 task_query_service 的包装器；_row_to_task 对每个任务单独查询 output_clip，Dashboard/字幕总览又重复批量查询和映射输出，存在 N+1 查询、重复逻辑和较大的维护回归半径。"}]}, {"id": "content_review", "label": "Content Review & Feedback", "band": "workflow", "path": "content review and Douyin feedback loop", "desc": "导入并匹配抖音官方作品指标，关联 Prompt、候选与发布记录，形成内容复盘和实验反馈闭环。", "coupling": "high", "deps": ["ai_selection", "task_review_cut", "publish_center", "publisher_worker", "persistence"], "loc": 2830, "score": 70, "grade": "C", "tags": ["bloat", "god-component", "over-fit"], "findings": [{"sev": "MED", "loc": "app/services/content_review_service.py:1", "text": "content_review_service.py 当前约 2387 行，同时承担 CSV/XLSX 解析、官方导出规范化、指标聚合、作品匹配、诊断建议、实验生命周期及多类 SQLite 写入，形成高耦合 God Component，局部修改的维护和回归影响面过大。"}, {"sev": "LOW", "loc": "app/services/content_review_service.py:2092-2100;app/routers/content_review.py:236-239", "text": "delete_item_match 的 UPDATE 仅按 snapshot_id 执行，没有 account_id、平台或当前归属约束；多账号场景下，旧页面或持有已知快照 ID 的请求可解除另一账号的作品关联。"}, {"sev": "LOW", "loc": "app/services/content_review_service.py:388-390,421-424,483-486", "text": "官方作品缺平台 ID 时，内部键只由规范化标题和发布时间生成；两条同标题同秒、或仅标点不同的合法作品会命中 seen_ids 并静默 continue，导入行数和快照数据减少且没有人工确认提示。"}, {"sev": "LOW", "loc": "app/models/content_review.py:6-7;app/routers/content_review.py:64-70", "text": "ContentMetricImportCommitRequest.confirm 默认 True，提交接口只拒绝显式 false；空 JSON 即可直接确认并写入预览批次，弱化了要求用户明确确认的导入门禁。"}]}, {"id": "subtitle", "label": "Subtitle", "band": "processing", "path": "subtitle services", "desc": "维护字幕轨、不可变 revision、cue、AI 建议、渲染验证与自动流水线交付决定。", "coupling": "high", "deps": ["media_storage", "task_review_cut", "ai_selection", "persistence"], "loc": 3067, "score": 63, "grade": "C", "tags": ["fallback", "silent-except", "legacy", "bloat", "god-component"], "findings": [{"sev": "MED", "loc": "app/services/subtitle_auto_workflow_service.py:42-50,51-108", "text": "自动字幕流程在验证 workflow job lease 之前就创建并提交字幕工作、轨道等副作用；旧 Worker 若失去 lease，仍可能先写入新对象，之后才被 fencing 拦住，形成重复或孤立字幕状态。"}, {"sev": "MED", "loc": "app/services/subtitle_data_service.py:1017-1074", "text": "读取 ASR chunk 时遇到坏 JSON 会静默跳过，剩余分片仍可组装为合法字幕；部分转写数据可能被当成完整结果继续审核或烧录，缺少 fail-closed 完整性证据。"}, {"sev": "MED", "loc": "app/services/subtitle_data_service.py:162-190,1222-1230,236-330", "text": "源字幕 revision 先提交，随后每个片段同步各自独立事务；中途失败会留下部分片段已更新、部分仍是旧版本的非原子状态，重试和人工判断成本高。"}, {"sev": "MED", "loc": "app/services/subtitle_auto_workflow_service.py:513-569", "text": "恢复已有字幕产物只验证路径存在且是文件，没有校验非空、大小、哈希或媒体可读性；截断或损坏文件可能被误当成可恢复成功。"}, {"sev": "LOW", "loc": "app/services/subtitle_auto_workflow_service.py:140-171", "text": "旧式字幕 Job 激活逻辑依赖较弱的状态约束，异常恢复或并发执行时缺少与当前 workflow generation 等价的完整校验。"}, {"sev": "MED", "loc": "app/services/subtitle_data_service.py:1-1443", "text": "SubtitleDataService 同时承担 revision、轨道、片段同步、ASR chunk、波形和文件落盘，且波形路径先把整段 PCM 载入内存再下采样；长视频会放大内存峰值，中心化职责也增加回归面。"}]}, {"id": "pipeline_queue", "label": "Pipeline & Job Queue", "band": "workflow", "path": "pipeline and workflow job services", "desc": "用 SQLite Job、Lease、Heartbeat、Checkpoint 和子进程串联长任务与自动流水线。", "coupling": "core", "deps": ["transcription", "ai_selection", "task_review_cut", "subtitle", "publish_center", "persistence"], "loc": 4109, "score": 63, "grade": "C", "tags": ["fallback", "silent-except", "bloat", "god-component"], "findings": [{"sev": "MED", "loc": "app/services/pipeline_engine.py:1475-1479,1606-1622,1688-1708,1732-1734,1777-1779", "text": "SQLite 侧 Job/Task 写回虽有 lease，但选片、排期、clip_metadata、summary 仍直接 write_text，_update_selected_clips 也直接提交；固定同名 .tmp 及 lease 检查与文件 replace 不在同一原子边界，旧 Worker 或并发重试可能覆盖新代次产物。"}, {"sev": "MED", "loc": "app/services/job_worker.py:260-267", "text": "WorkflowJobRunner._run 调用 claim_next_job 位于 try/except 外；瞬态 SQLite 异常会直接终止 daemon Worker 线程，没有 supervisor、重启或失败信号。"}, {"sev": "MED", "loc": "app/services/job_worker.py:255-258,314-335,475-495", "text": "stop() 只设置停止事件并 join 25 秒；子进程树终止失败时循环可能继续，join 超时后线程和子进程仍可存活，不能保证干净停机。"}, {"sev": "MED", "loc": "app/services/job_worker.py:293-298; app/services/job_worker_process.py:17-27", "text": "父 Worker 以 stdout/stderr=DEVNULL 启动子进程，子进程异常只打印到被丢弃的 stderr；父进程最终只能记录泛化退出码，显著降低故障定位能力。"}, {"sev": "MED", "loc": "app/services/job_service.py:163-177; app/services/pipeline_engine.py:1313-1322,1810-1816", "text": "payload/result/checkpoint 坏 JSON 被静默保留或降级为默认值；坏 payload 可能以字符串进入后续逻辑，损坏 metadata 可能触发重新生成并隐藏重复成本。"}, {"sev": "MED", "loc": "app/services/pipeline_engine.py:88-1817", "text": "PipelineEngine 单文件约 1932 行并承担九步编排、恢复、指纹、数据库与各业务步骤，后续局部修改存在真实跨步骤回归风险。"}]}, {"id": "publish_center", "label": "Publish Center", "band": "workflow", "path": "publish content preparation services", "desc": "准备标题、简介、话题、封面、账号和发布草稿，并保留历史兼容执行入口。", "coupling": "core", "deps": ["task_review_cut", "subtitle", "publish_scheduler", "publisher_worker", "persistence"], "loc": 5669, "score": 64, "grade": "C", "tags": ["god-component", "bloat", "legacy", "dual-format", "fallback", "silent-except", "placeholder", "duplication", "glue"], "findings": [{"sev": "MED", "loc": "app/services/publish_service.py:1-4793", "text": "单文件同时承载发布配置、账号/OAuth、内容与封面生成、队列同步、历史查询、元数据升级、浏览器自动化和 API 执行，职责高度集中，修改与回归影响面过大。"}, {"sev": "MED", "loc": "app/services/publish_service.py:2173-2183; 2707-2731", "text": "封面生成异常被写入 cover_error 后仍创建 WAITING 任务；同步路径未把该异常计入 errors，可能返回 ok，错误延迟到后续 readiness 阶段才暴露。"}, {"sev": "MED", "loc": "app/services/publish_service.py:2810-2831", "text": "create_batch_publish_jobs 对不存在的 output_clip_id 直接 continue，最终仍返回 status=ok，调用方无法区分全部成功、部分成功和输入错误。"}, {"sev": "MED", "loc": "app/services/publish_providers.py:117-142; app/services/publish_service.py:2681-2807", "text": "Bilibili 已被配置校验、api_publish 模式和队列流程接入，但 provider.publish() 在校验通过后必然抛出 bilibili_provider_pending，用户可创建一个确定会失败的发布任务。"}, {"sev": "MED", "loc": "app/services/publish_providers.py:70-114; app/services/publish_service.py:4576-4618", "text": "抖音发布由非幂等的 upload_url 与 create_url 两次请求组成，上传成功后第二次请求超时会被整体记为失败；重试可能再次上传并产生重复投稿，代码没有幂等键、远端回执持久化或未知结果隔离。"}, {"sev": "MED", "loc": "app/services/publish_service.py:2948-2979", "text": "发布历史 SQL 直接按大写 PUBLISH_HISTORY_STATUSES 过滤，查询阶段不调用 _normalize_publish_status；若长期运行进程或外部导入仍留下 lower/旧 status，历史与日历会漏项。启动迁移通常会规范化，但查询本身仍不具备兼容保护。"}]}, {"id": "publish_scheduler", "label": "Publish Scheduler", "band": "execution", "path": "scheduler/repository/executor", "desc": "计算排期、原子领取发布任务、重试、恢复不确定执行并维护发布状态机。", "coupling": "core", "deps": ["publish_center", "publisher_worker", "persistence"], "loc": 2362, "score": 74, "grade": "C", "tags": ["god-component", "bloat", "legacy", "silent-except"], "findings": [{"sev": "MED", "loc": "app/services/publish_scheduler.py:283-304", "text": "list_due_jobs 每轮 SELECT 全部 SCHEDULED，再逐条在 Python 解析和过滤时间，没有 SQL 到期条件、分页或批量上限；排期规模增长会提高扫描内存和调度延迟。"}, {"sev": "MED", "loc": "app/services/publish_scheduler.py:756-870", "text": "recover_interrupted_jobs 每轮加载全部 PUBLISHING，并逐条同步查询 Worker execution；没有批量上限或退避，Worker 超时/不可用时恢复耗时会线性增长并阻塞后续排期。"}, {"sev": "MED", "loc": "app/services/publish_scheduler.py:133-1924", "text": "PublishScheduler 约 1800 行，集中排期计算、任务领取、结果写回、Worker 恢复、重试修复、人工复核、批量排期及旧版兼容；状态机修改的验证范围仍过大。"}, {"sev": "LOW", "loc": "app/services/publish_scheduler.py:276-281", "text": "shutdown 等待后台 Task 完整结束但没有超时或取消兜底；run_once 若被 Worker 超时、数据库锁或文件操作卡住，应用停机可能长时间等待。"}, {"sev": "LOW", "loc": "app/services/publish_scheduler.py:1830-1850", "text": "queue_snapshot 对非法 scheduled_at 静默忽略，损坏排期会从今日视图消失且没有告警或异常计数。"}]}, {"id": "publisher_worker", "label": "Publishers & Worker", "band": "execution", "path": "publisher registry and Windows worker", "desc": "通过 Publisher Registry 和 Windows Chrome Worker 执行抖音/B站投稿、导出与兼容模式。", "coupling": "high", "deps": ["media_storage", "persistence"], "loc": 2945, "score": 79, "grade": "B", "tags": ["legacy", "glue", "silent-except", "fallback"], "findings": [{"sev": "MED", "loc": "scripts/publish_host_worker.py:454-483", "text": "跨 execution 扫描对损坏或缺失 identity 的旧 journal 直接跳过；若旧执行已产生上传副作用但身份未落盘，新 execution 无法关联并可能再次投稿。"}, {"sev": "MED", "loc": "scripts/publish_host_worker.py:717-719", "text": "官方作品报表同步的通用异常处理将 str(exc) 直接拼入 HTTP detail；底层 Playwright、文件路径或页面诊断可能暴露给调用方，错误边界未统一脱敏。"}, {"sev": "LOW", "loc": "app/services/publishers/browser_runtime.py:315-322", "text": "截图失败捕获所有 Exception 后仅返回空字符串且不记录阶段或原因；失败诊断会携带空 screenshot，无法区分取证失败。"}, {"sev": "LOW", "loc": "app/services/publishers/page_scripts.py:14-150", "text": "页面脚本入口通过延迟导入 publish_service，并由多个包装函数调用其私有 DOM 脚本；活动 Worker 依赖约 4.8k 行旧服务的私有符号，形成 legacy glue 耦合。"}]}, {"id": "persistence", "label": "SQLite Persistence", "band": "persistence", "path": "app/db + backup services", "desc": "创建 SQLite Schema、执行启动时兼容迁移和索引，并提供 WAL 安全备份恢复。", "coupling": "core", "deps": [], "loc": 4927, "score": 68, "grade": "C", "tags": ["legacy", "dual-format", "fallback", "glue"], "findings": [{"sev": "MED", "loc": "app/db/database.py:896-918", "text": "init_db 先执行多组未纳入 schema_migrations 的历史 ALTER/executescript 迁移，之后才进入账本事务；中途失败会留下已落盘的部分结构或数据变更，并发启动也缺少统一迁移互斥。"}, {"sev": "MED", "loc": "scripts/backup_restore.py:56-96,598-665", "text": "恢复仅一次性探测健康端点，失败会视为无活动服务；BEGIN EXCLUSIVE 也是瞬时检查，整个检查到替换过程没有应用/调度器/恢复任务共享互斥，存在 TOCTOU 写入窗口。"}, {"sev": "MED", "loc": "app/services/database_backup_service.py:112-129; scripts/backup_restore.py:418-426", "text": "备份验证强制要求 schema_migrations 表和账本内容；迁移账本引入前创建的历史备份没有兼容升级路径，会被直接拒绝验证或恢复。"}, {"sev": "MED", "loc": "app/db/database.py:2084-2104", "text": "_migrate_tasks_table 每次初始化都把不在硬编码状态白名单内的值改成 pending_video，没有版本或账本保护；未知、未来或旧历史状态可能被静默重置。"}, {"sev": "LOW", "loc": "app/db/database.py:807-893", "text": "指标快照、实验及实验项只有单列外键，没有复合账号归属约束；数据库层面仍可接受跨账号批次、作品或实验混绑记录。"}]}, {"id": "ops_delivery", "label": "Ops & Delivery", "band": "persistence", "path": "Docker/PowerShell/CI", "desc": "提供 Windows/Docker 启停、诊断、CI、发布门禁、Demo 与维护脚本。", "coupling": "med", "deps": ["api_runtime", "publisher_worker", "persistence"], "loc": 4369, "score": 68, "grade": "C", "tags": ["fallback", "legacy", "dual-format", "duplication", "bloat", "glue", "silent-except"], "findings": [{"sev": "MED", "loc": "scripts/start.ps1:22-33,95-100; docker-compose.dev.yml:1-6; docker-compose.yml:17-41", "text": "Development/Demo 在选择 Compose overlay 前先执行 doctor；开发 overlay 仍继承正式 data、任务目录和 PUBLISH_SCHEDULER_ENABLED=true，旧存储路径可能阻断隔离 Demo，开发调度器也可能触碰正式任务。"}, {"sev": "MED", "loc": "scripts/start_publish_worker.ps1:108-140,145-175; scripts/start.ps1:70-79,108-140; scripts/start_native.ps1:106-117,170-235", "text": "启动流程先创建 Worker，再启动 Docker/native Web；后续失败时没有 finally 终止本次创建的 Worker，8765 进程可能驻留并影响后续启动，现有测试仅做静态断言。"}, {"sev": "MED", "loc": "scripts/watch_docker_publish_worker.ps1:164-192,216-224,235-238", "text": "Worker 连接修复失败时会持续等待并 force-recreate workflow，长期 Token 或网络故障可形成约 80 秒一轮的无限容器重建循环。"}, {"sev": "MED", "loc": "scripts/start_docker_opencli.ps1:24-29; scripts/start.ps1:196-204,237-252", "text": "兼容启动器 health 异常只打印仍在初始化并正常返回；主启动器对 Worker 未连接也仅警告，最终仍返回成功，可能让用户误判发布链路已就绪。"}, {"sev": "MED", "loc": "scripts/restore.ps1:84-92; scripts/backup_restore.py:56-75,598-650", "text": "恢复前仅做一次健康检查和瞬时 BEGIN EXCLUSIVE，检查、回滚备份、媒体暂存与数据库替换之间没有持续进程互斥，服务可能在窗口内重新写入。"}, {"sev": "MED", "loc": "scripts/backup.ps1:25-43,67-70; scripts/backup_restore.py:267-312", "text": "普通备份默认包含 .env，只有显式 -ExcludeEnv 才排除；ZIP 内 API Key/Token 明文仍有复制或共享扩散风险。"}]}]};
 const M = DATA.modules || [];
 const BANDS = DATA.bands || [];
 const SPINE = DATA.spine || [];
diff --git a/.codemap/codemap.md b/.codemap/codemap.md
index 9a26823..6a6c065 100644
--- a/.codemap/codemap.md
+++ b/.codemap/codemap.md
@@ -7,17 +7,17 @@
 
 > **Interactive view:** [`.codemap/codemap.html`](codemap.html) — per-module scores, findings, LoC, and the dependency graph. This file is the written report.
 
-**Generated:** 2026-08-24 · **Modules:** 13 · **Size:** 55768 tracked LoC across 132 files
+**Generated:** 2026-08-30 · **Modules:** 14 · **Size:** 62146 tracked LoC across 139 files
 
 ## Health by layer
 
 | Layer | Modules | Avg score |
 |---|--:|--:|
-| 界面 · API | 2 | 62 |
-| 业务编排 | 3 | 66 |
-| 媒体与 AI 处理 | 4 | 69 |
-| 外部执行边界 | 2 | 77 |
-| 持久化与运维 | 2 | 70 |
+| 界面 · API | 2 | 58 |
+| 业务编排 | 4 | 65 |
+| 媒体与 AI 处理 | 4 | 67 |
+| 外部执行边界 | 2 | 76 |
+| 持久化与运维 | 2 | 68 |
 
 ## Per-module lines of code & score
 
@@ -27,156 +27,142 @@ _LoC is the representative file/folder per module; folder-level modules overlap
 
 | Module | LoC | Score | Tags |
 |---|--:|:--|:--|
-| Frontend UI | 13,764 | 62 C | bloat, glue, fallback, silent-except, legacy, over-fit |
-| API & Runtime | 2,948 | 63 C | fallback, legacy, dual-format, bloat, glue |
+| Frontend UI | 15,416 | 54 D | god-component, bloat, silent-except |
+| API & Runtime | 2,995 | 63 C | legacy, dual-format |
 
 ### 业务编排
 
 | Module | LoC | Score | Tags |
 |---|--:|:--|:--|
-| Publish Center | 5,654 | 65 C | god-component, bloat, legacy, dual-format, fallback, silent-except, placeholder, duplication |
-| Pipeline & Job Queue | 4,095 | 66 C | fallback, silent-except, legacy, stub, bloat, god-component, glue |
-| Task Review & Cut | 3,094 | 68 C | god-component, glue, duplication, fallback, dual-format, legacy |
+| Publish Center | 5,669 | 64 C | god-component, bloat, legacy, dual-format, fallback, silent-except, placeholder, duplication, glue |
+| Pipeline & Job Queue | 4,109 | 63 C | fallback, silent-except, bloat, god-component |
+| Task Review & Cut | 3,422 | 63 C | god-component, glue, duplication, bloat, fallback, silent-except, dual-format, legacy |
+| Content Review & Feedback | 2,830 | 70 C | bloat, god-component, over-fit |
 
 ### 媒体与 AI 处理
 
 | Module | LoC | Score | Tags |
 |---|--:|:--|:--|
-| AI Selection | 6,031 | 70 C | fallback, legacy, dual-format, placeholder, fake-output, bloat, god-component |
-| Subtitle | 3,067 | 64 C | fallback, silent-except, legacy, duplication, bloat, god-component |
-| Transcription | 2,276 | 64 C | fallback, silent-except, duplication, god-component |
-| Media & Storage | 1,635 | 78 B | fallback, legacy, dual-format, silent-except |
+| AI Selection | 6,120 | 70 C | fallback, legacy, dual-format, placeholder, fake-output, bloat, god-component |
+| Subtitle | 3,067 | 63 C | fallback, silent-except, legacy, bloat, god-component |
+| Transcription | 2,276 | 63 C | fallback, silent-except, legacy, duplication, god-component |
+| Media & Storage | 1,639 | 73 C | fallback, legacy, dual-format, silent-except |
 
 ### 外部执行边界
 
 | Module | LoC | Score | Tags |
 |---|--:|:--|:--|
-| Publishers & Worker | 2,738 | 80 B | legacy, glue, silent-except, fallback |
+| Publishers & Worker | 2,945 | 79 B | legacy, glue, silent-except, fallback |
 | Publish Scheduler | 2,362 | 74 C | god-component, bloat, legacy, silent-except |
 
 ### 持久化与运维
 
 | Module | LoC | Score | Tags |
 |---|--:|:--|:--|
-| Ops & Delivery | 4,348 | 68 C | fallback, legacy, dual-format, duplication, bloat, glue, silent-except, monkeypatch |
-| SQLite Persistence | 3,756 | 72 C | legacy, dual-format, bloat, god-component, glue |
+| SQLite Persistence | 4,927 | 68 C | legacy, dual-format, fallback, glue |
+| Ops & Delivery | 4,369 | 68 C | fallback, legacy, dual-format, duplication, bloat, glue, silent-except |
 
 ## Worst offenders
 
-- **Frontend UI (62/C)** — app/templates/clip_review.html:154; app/static/js/app.js:103-132: 片段审核空状态的“运行 Codex CLI 分析”仍绑定通用 handleProcessAction；/process/ai 现在返回持久化 job_id 后，该处理器没有等待或轮询 Job，而是在收到排队响应后直接 window.location.reload()。用户会看到仍无候选片段的旧页面，并可能在后台任务未完成时再次点击，造成重复请求或重复计费边界。
-- **API & Runtime (63/C)** — app/routers/publish.py:59: OAuth URL 与 callback 仍捕获 broad Exception，并把 str(exc) 直接放入 HTTP detail 或重定向查询参数；tasks.py、subtitles.py 也存在同类映射。异常文本可能包含本地路径、数据库、FFmpeg 或第三方接口诊断，形成浏览器可见的信息泄漏。
-- **Transcription (64/C)** — app/services/transcript_service.py:1099-1129,1159-1196: faster-whisper 的 model.transcribe 与模型加载没有单次调用或绝对时限；模型/解码器卡住时只能依赖外层 Worker，直接转写路径可能长期占用。
-- **Subtitle (64/C)** — app/services/subtitle_auto_workflow_service.py:42-50,51-108: prepare_task_subtitle_review 先执行 ensure_source_track/ensure_clip_track 并提交 revision/track 副作用，之后才检查活动 Job 与当前 lease；旧 Worker 失租或并发冲突时仍可能留下字幕数据库变更。
-- **Publish Center (65/C)** — app/services/publish_service.py:1: publish_service.py 仍约4776行，集中承担配置、账号、OAuth、文案、封面、队列、历史、OpenCLI兼容和API发布职责，属于真实 God Component，修改影响面较大。
-- **Pipeline & Job Queue (66/C)** — app/services/pipeline_engine.py:1600: _write_json_atomic 只在写临时文件前后调用 require_active_job_lease，最终 temporary_path.replace(path) 以及 _create_schedule 的直接 write_text（1614-1616）不带 owner/lease 条件；租约在最后检查后被接管时，旧 Worker 仍可能覆盖新 Worker 的 metadata/schedule 派生文件。数据库 Job 状态虽已 fencing，但文件产物仍存在跨进程陈旧写入窗口。
-- **Task Review & Cut (68/C)** — app/services/video_cut_workflow_service.py:516-582; app/services/video_cut_workflow_service.py:87-105: process_task_video_cuts 创建切片批次前仍未校验任务必须处于允许切片的状态，也未检查同一任务是否已有其他 queued/running workflow job；_create_cut_run 只排除 CANCELLED，能够把任意非取消任务写成 cutting。同步切片、AI 候选替换和异步切片并发时仍存在过期候选和状态互相覆盖风险。
-- **Ops & Delivery (68/C)** — scripts/migrate_task_dirs_to_project_names.py:211: 任务目录迁移用非 WAL-aware 主库 copy，先移动目录再统一更新提交，无文件补偿，异常会让路径/DB 不一致。
-- **AI Selection (70/C)** — app/services/ai_analysis_workflow_service.py:1273-1320,1322-1360: active run 的 payload clips、clip_candidates 和 analysis.json 分开读取；恢复/返回路径未校验三者的数量、ID、内容及代际一致性，候选账本漂移时仍可能把 active run 当作可信结果继续展示或恢复。
-- **SQLite Persistence (72/C)** — app/db/database.py:614: init_db 仍先执行历史列探测迁移 helper，再执行账本迁移；helper 内部使用 executescript（如 :1074），会隐式提交此前 DML，后续 helper 失败时可能留下部分 Schema/数据变更而无对应 schema_migrations 记录。
+- **Frontend UI (54/D)** — app/templates/clip_review.html:154-155; app/static/js/app.js:109-145: 空态“运行 Codex CLI 分析”走通用 handleProcessAction；/process/ai 返回持久化 job_id 后没有等待或轮询分支，直接 window.location.reload()。按钮随后恢复可用，用户无法在该页确认后台 Job 状态，运行期间可重复点击。
+- **API & Runtime (63/C)** — app/routers/tasks.py:67-102,212-215,391-398; app/routers/publish.py:68-108,202-208,251-305,316-446: 多个 async handler 仍直接执行同步重任务或外部 I/O：上传后的 create_task_record 会同步执行媒体预检/FFprobe/FFmpeg，process_audio/process_video_cuts 直接运行 FFmpeg，发布账号与排期接口直接调用 PublishWorkerClient._request(urlopen，默认超时 1800 秒)，刷新队列、封面和 AI 文案也直接执行同步服务，可能阻塞 FastAPI event loop。内容复盘导出已在排除模块中使用 run_in_threadpool 并有专项线程隔离测试，未计入本模块。最小修复应将纯同步 handler 改为 def 或完整包裹 run_in_threadpool，并补充并发健康检查响应测试。
+- **Transcription (63/C)** — app/services/transcript_service.py:1131-1158,1191-1228: faster-whisper 的 model.transcribe 调用、模型加载和 raw_segments 生成器迭代均没有绝对时限或内部取消检查；持久 Worker 只能依赖最长约 1800 秒的无进度 watchdog，旧版直连/后台任务路径没有外层 job 截止时间，模型卡死时可能长期占用进程。
+- **Task Review & Cut (63/C)** — app/services/video_cut_workflow_service.py:38-107,516-603: _create_cut_run 只校验当前租约和任务未取消，不检查同一任务已有 queued/running 的切片工作；多个入口可同时创建 cut_run 并执行 cut_clips，导致重复 FFmpeg、状态互相覆盖和无效资源消耗。
+- **Subtitle (63/C)** — app/services/subtitle_auto_workflow_service.py:42-50,51-108: 自动字幕流程在验证 workflow job lease 之前就创建并提交字幕工作、轨道等副作用；旧 Worker 若失去 lease，仍可能先写入新对象，之后才被 fencing 拦住，形成重复或孤立字幕状态。
+- **Pipeline & Job Queue (63/C)** — app/services/pipeline_engine.py:1475-1479,1606-1622,1688-1708,1732-1734,1777-1779: SQLite 侧 Job/Task 写回虽有 lease，但选片、排期、clip_metadata、summary 仍直接 write_text，_update_selected_clips 也直接提交；固定同名 .tmp 及 lease 检查与文件 replace 不在同一原子边界，旧 Worker 或并发重试可能覆盖新代次产物。
+- **Publish Center (64/C)** — app/services/publish_service.py:1-4793: 单文件同时承载发布配置、账号/OAuth、内容与封面生成、队列同步、历史查询、元数据升级、浏览器自动化和 API 执行，职责高度集中，修改与回归影响面过大。
+- **SQLite Persistence (68/C)** — app/db/database.py:896-918: init_db 先执行多组未纳入 schema_migrations 的历史 ALTER/executescript 迁移，之后才进入账本事务；中途失败会留下已落盘的部分结构或数据变更，并发启动也缺少统一迁移互斥。
+- **Ops & Delivery (68/C)** — scripts/start.ps1:22-33,95-100; docker-compose.dev.yml:1-6; docker-compose.yml:17-41: Development/Demo 在选择 Compose overlay 前先执行 doctor；开发 overlay 仍继承正式 data、任务目录和 PUBLISH_SCHEDULER_ENABLED=true，旧存储路径可能阻断隔离 Demo，开发调度器也可能触碰正式任务。
+- **AI Selection (70/C)** — app/services/ai_analysis_workflow_service.py:1023-1037,1330-1369: 恢复路径仅从 active ai_analysis_runs 读取 payload 并校验 workflow_job_id，未核对 clip_candidates 的 source_analysis_run_id、候选 ID/数量、转写或源文件代际；随后可直接覆盖 analysis.json。候选表、run payload 与派生文件发生漂移时仍会展示或恢复旧 run。
 
 ## All findings
 
-### HIGH (1)
-
-- **Ops & Delivery** · `scripts/migrate_task_dirs_to_project_names.py:211` — 任务目录迁移用非 WAL-aware 主库 copy，先移动目录再统一更新提交，无文件补偿，异常会让路径/DB 不一致。
-
-### MED (60)
-
-- **Frontend UI** · `app/templates/clip_review.html:154; app/static/js/app.js:103-132` — 片段审核空状态的“运行 Codex CLI 分析”仍绑定通用 handleProcessAction；/process/ai 现在返回持久化 job_id 后，该处理器没有等待或轮询 Job，而是在收到排队响应后直接 window.location.reload()。用户会看到仍无候选片段的旧页面，并可能在后台任务未完成时再次点击，造成重复请求或重复计费边界。
-- **Frontend UI** · `app/static/js/app.js:437-490; app/templates/clip_review.html:194-198` — AI 结果卡片始终按“AI 分析完成”渲染并显示“去检查并生成切片”，片段审核页只按是否存在 clips 启用生成切片和同步发送中心按钮；前端没有读取或展示 analysis_incomplete、quality_degraded、partial 等结果标记。后端虽可拒绝不合格切片，但页面会把降级/不完整结果呈现为正常结果，用户仍会尝试后续操作。
-- **Frontend UI** · `app/static/js/app.js:1927-1945` — AI 状态轮询只在成功读取后安排下一次定时器；fetch、JSON 解析或临时网络异常会被调用方 catch(() => {}) 静默吞掉，且不会重新调度，导致页面永久停止刷新而无提示。轮询恢复没有退避、重试上限或明确的读取失败状态。
-- **Frontend UI** · `app/static/js/app.js:1805-1822` — waitForAiAnalysisJob 是无限 while 循环，每秒直接 fetch，没有 AbortController、总超时或网络错误重试；一次临时读取异常就会跳到外层“AI 分析失败”，但服务端 Job 仍可能继续执行，前端重新启用按钮，用户可能再次发起请求并误判任务已失败。
-- **Frontend UI** · `app/static/js/app.js:711-718; app/static/js/app.js:1927-1946` — 页面重新打开时只轮询 AI 状态和运行日志；当后台 Job 在该页面生命周期内完成后，轮询停止，但不会自动重新读取 ai-analysis-runs 或渲染最新结果。跨页面/跨进程恢复场景可能显示 100%/已完成，却仍保留旧候选片段和旧历史，必须人工刷新历史或整页刷新。
-- **API & Runtime** · `app/routers/publish.py:59` — OAuth URL 与 callback 仍捕获 broad Exception，并把 str(exc) 直接放入 HTTP detail 或重定向查询参数；tasks.py、subtitles.py 也存在同类映射。异常文本可能包含本地路径、数据库、FFmpeg 或第三方接口诊断，形成浏览器可见的信息泄漏。
-- **API & Runtime** · `app/routers/tasks.py:212` — async process_audio 直接调用同步的 process_task_audio，服务层会执行 FFmpeg/文件与数据库操作；process_video_cuts:392-400 同样直接调用同步切片流程。长请求会阻塞 FastAPI event loop，使轮询、健康检查和其他 API 排队，并增加超时后的重复请求风险。
-- **API & Runtime** · `app/models/task.py:38` — TaskStatus 同时保留 uppercase 自动流程状态与 lowercase legacy 状态（pending_processing、ai_analyzing、completed 等），同一业务状态存在双协议；API、数据库查询和状态转换需要维护两套值，容易出现状态筛选和迁移口径不一致。
-- **API & Runtime** · `app/models/task.py:243` — 批量输入列表缺少统一上限：PublishBatchScheduleUpdate.job_ids/confirmed_schedule、PublishBatchJobCreate.output_clip_ids:287、ClipCandidateBatchUpdate.clips:406 与 PublishBatchTargetUpdate.job_ids 均可任意增长。对应路由会逐项执行数据库、文件或发布操作，缺少请求级资源上限，异常大请求可造成内存和处理时间消耗。
-- **Media & Storage** · `app/services/storage_service.py:693` — 任务媒体删除已写入 manifest 并分阶段移动，但没有跨进程扫描、加载或恢复入口。进程在暂存完成、数据库提交前崩溃会使数据库仍可见任务的原目录已被移走；数据库提交后、finalize 前崩溃则 cleanup_pending 只存在于本次响应，重启后不会自动清理或恢复。
-- **Media & Storage** · `app/services/storage_service.py:362` — resolve_video_file_path 对已存在路径直接返回，不验证路径是否位于允许根目录；get_source_video_path 及多个非 HTTP 调用方复用该入口，数据库中的异常视频/产物路径仍可能被发布、字幕或任务查询流程读取为本地任意文件。HTTP 媒体路由已有更严格的任务目录校验，但共享原语本身仍不安全。
-- **Transcription** · `app/services/transcript_service.py:1099-1129,1159-1196` — faster-whisper 的 model.transcribe 与模型加载没有单次调用或绝对时限；模型/解码器卡住时只能依赖外层 Worker，直接转写路径可能长期占用。
-- **Transcription** · `app/services/transcript_service.py:164-191` — FFmpeg 音频提取只有无进展 watchdog，没有绝对 wall-clock deadline；进程持续输出进度但实际不结束时仍可能无限运行。
-- **Transcription** · `app/services/transcript_service.py:981-989` — 进度文件损坏、读取失败或顶层非 dict 时统一返回空字典，静默丢失故障证据，恢复逻辑无法区分初始状态与持久化损坏。
-- **Transcription** · `app/services/transcript_service.py:67-77,1259-1270` — 活动 provider/model/device/compute_type 仍使用模块级可变全局；同一进程并发转写会互相覆盖运行元数据和进度展示。
-- **Transcription** · `app/services/transcript_service.py:347-549` — 本地与火山远程分片分别复制 chunk、checkpoint、进度和异常收口逻辑，两个实现继续存在维护分叉。
-- **Transcription** · `app/services/transcript_service.py:83-1395` — 单文件仍混合 FFmpeg、faster-whisper、远程 HTTP、幂等 checkpoint、进度文件和 Markdown 生成，约 1400 行，职责边界和回归影响面偏大。
-- **AI Selection** · `app/services/ai_analysis_workflow_service.py:1273-1320,1322-1360` — active run 的 payload clips、clip_candidates 和 analysis.json 分开读取；恢复/返回路径未校验三者的数量、ID、内容及代际一致性，候选账本漂移时仍可能把 active run 当作可信结果继续展示或恢复。
-- **AI Selection** · `app/services/ai/ai_clip_analyzer.py:414-490,597-615` — AI JSON 解析通过别名映射、literal_eval 和默认值补齐缺失标题、摘要、理由、置信度等字段；模型 schema 退化时仍可能被合成为看似完整的候选结果。
-- **AI Selection** · `app/services/ai_analysis_workflow_service.py:1-1470` — 单文件约 1400 行，同时承担 Provider 编排、任务状态、租约、候选替换、文件落盘、历史 run、恢复和 API 返回；职责与测试边界过宽，修改 blast radius 较大。
-- **Task Review & Cut** · `app/services/video_cut_workflow_service.py:516-582; app/services/video_cut_workflow_service.py:87-105` — process_task_video_cuts 创建切片批次前仍未校验任务必须处于允许切片的状态，也未检查同一任务是否已有其他 queued/running workflow job；_create_cut_run 只排除 CANCELLED，能够把任意非取消任务写成 cutting。同步切片、AI 候选替换和异步切片并发时仍存在过期候选和状态互相覆盖风险。
-- **Task Review & Cut** · `app/services/task_lifecycle_service.py:373-406` — 公共状态转换的完成前置条件仍只查询 output_clip 数据库记录，不验证 output_file_path 对应文件真实存在，也不核对当前 active cut_run。残留或损坏的 output_clip 索引可以让任务被标记为 completed，主状态与实际产物不一致。
-- **Task Review & Cut** · `app/services/task_query_service.py:234-272` — 片段总览的 can_cut 仍只依据 enabled_count 和 source_exists，不读取已统一校验的 analysis_incomplete/quality_degraded，也不排除 AI_ANALYZING 等运行状态。后端已阻止质量降级或不完整分析切片时，页面仍会显示可生成切片。
-- **Task Review & Cut** · `app/services/task_query_service.py:204-208; app/services/task_query_service.py:245-304; app/services/task_query_service.py:417-428` — Dashboard、片段总览和系统状态统计只识别 lowercase completed/completed_with_errors，而全自动流水线使用 uppercase COMPLETED 状态，自动完成任务可能漏计或显示为待前置/待检查，继续保留两套状态格式的展示不一致。
-- **Task Review & Cut** · `app/services/task_service.py:687-744` — list_clip_candidates 对每条历史候选直接解析 start_time/end_time 及多个评分字段，单条坏时间或坏数值格式会让整个审核列表抛 ValueError，阻断人工检查和后续修复。
-- **Task Review & Cut** · `app/services/task_service.py:926-960` — _active_outputs_match_enabled_candidates 只比较启用候选 ID、数量和 output_file_path 是否存在，不验证文件内容、大小、可播放性或 source_fingerprint。路径存在但文件损坏或被外部替换时，审核同步可能错误跳过重新切片。
-- **Task Review & Cut** · `app/services/task_service.py:1-101; app/services/task_service.py:1246-1299; app/services/task_query_service.py:89-172` — TaskService 仍约 1,300 行，同时承担任务状态、AI、字幕、转写、切片、数据库写入和页面查询；底部保留多组只转发到 task_query_service 的包装函数，而 task_query_service 又复制 list_output_clips 的路径解析、字幕状态和发布就绪逻辑，核心修改的 blast radius 仍较大。
-- **Subtitle** · `app/services/subtitle_auto_workflow_service.py:42-50,51-108` — prepare_task_subtitle_review 先执行 ensure_source_track/ensure_clip_track 并提交 revision/track 副作用，之后才检查活动 Job 与当前 lease；旧 Worker 失租或并发冲突时仍可能留下字幕数据库变更。
-- **Subtitle** · `app/services/subtitle_data_service.py:1017-1074` — _load_source_cues 对 checksum、JSON 或 segment 错误直接跳过；只要其他 chunk 仍有 cue 就生成部分字幕 revision，损坏转写会被静默降级为缺句结果。
-- **Subtitle** · `app/services/subtitle_data_service.py:1222-1230,236-330` — _sync_dependent_clip_tracks 逐条调用各自事务的 sync_clip_track；源轨已提交后任一切片同步失败，会留下部分 up_to_date、部分 pending_sync 状态。
-- **Subtitle** · `app/services/subtitle_auto_workflow_service.py:513-569` — checkpoint 与 DB 恢复证据只检查 completed/verified、路径 exists 和 is_file，不检查非空、size/fingerprint 或可被 FFprobe 验证；截断或零字节最终文件仍可能被恢复为成功。
-- **Subtitle** · `app/services/subtitle_data_service.py:1222-1230` — 字幕数据层继续集中承担 revision/cue 持久化、导入导出、ASS、波形和 FFprobe，单文件约 1434 行，变更影响面和重复事务路径较大。
-- **Pipeline & Job Queue** · `app/services/pipeline_engine.py:1600` — _write_json_atomic 只在写临时文件前后调用 require_active_job_lease，最终 temporary_path.replace(path) 以及 _create_schedule 的直接 write_text（1614-1616）不带 owner/lease 条件；租约在最后检查后被接管时，旧 Worker 仍可能覆盖新 Worker 的 metadata/schedule 派生文件。数据库 Job 状态虽已 fencing，但文件产物仍存在跨进程陈旧写入窗口。
-- **Pipeline & Job Queue** · `app/services/job_worker.py:234` — WorkflowJobRunner.stop 只等待 worker 线程最多 25 秒；若 terminate_process_tree 持续失败，_run_job_subprocess 会保留 lease 并继续重试，但 stop 返回后应用生命周期仍会继续关闭，线程/子进程可能未结束、lease 也未立即释放，下一进程只能等待租约过期恢复。
-- **Pipeline & Job Queue** · `app/services/job_worker.py:272` — 父 Worker 启动子进程时将 stdout/stderr 都重定向到 DEVNULL（272-276），job_worker_process 仅把异常文本打印到 stderr；子进程实际堆栈、Provider/FFmpeg 错误完全丢失，父进程最终只能记录退出码，重启恢复和人工诊断证据不足。
-- **Pipeline & Job Queue** · `app/services/job_service.py:163` — _row_to_dict 对 payload_json/result_json/checkpoint_json 的 JSONDecodeError 仅 pass，字段保留为原始字符串；job_worker 随后按 dict 调用 payload.get 等操作时会产生不清晰的 AttributeError/失败，损坏队列数据没有明确的不可恢复数据错误状态。
-- **Pipeline & Job Queue** · `app/services/job_worker.py:70` — JOB_TYPE_PUBLISH 仍在 job_service 中声明并可由 create_job 创建，但 execute_job 只有未支持分支（70-71）会失败；这是可入队、可查询却没有执行器的遗留/stub 入口，队列状态语义对调用方不完整。
-- **Pipeline & Job Queue** · `app/services/pipeline_engine.py:88` — PipelineEngine 文件约 1,926 行，仍集中承担步骤编排、租约/取消检查、AutoPipelineCheckpoint 恢复、文件证据、AI/切片/字幕、文案、排期和发布任务创建；与 job_service（约1,171行）共同形成核心 God Component，修改任一步骤的回归半径很大。
-- **Publish Center** · `app/services/publish_service.py:1` — publish_service.py 仍约4776行，集中承担配置、账号、OAuth、文案、封面、队列、历史、OpenCLI兼容和API发布职责，属于真实 God Component，修改影响面较大。
-- **Publish Center** · `app/services/publish_service.py:2968` — 历史查询 SQL 仍先按大写 PUBLISH_HISTORY_STATUSES 过滤，再做 legacy 状态归一化；数据库中的 lowercase/旧状态记录会在归一化前被排除，历史页与统计可能漏数据。
-- **Publish Center** · `app/services/publish_service.py:2173` — sync_task_publish_jobs 中封面生成异常仅写入 cover_error 后继续创建 WAITING 发布任务，未计入 errors；同步接口可能返回 ok，但任务实际缺少封面，后续发送就绪检查才失败。
-- **Publish Center** · `app/services/publish_service.py:2818` — create_batch_publish_jobs 对不存在的 output_clip_id 直接 continue，最后无论缺失多少输入都返回 status=ok，调用方无法区分全部无效、部分成功和完整成功。
-- **Publish Center** · `app/services/publish_readiness.py:167` — PUBLISH_MODES 仍允许 api_publish，但 build_send_readiness 的 resolved_mode 只接受 local_browser/manual_export；API 模式可以创建，却在发送前统一判定 unsupported_publish_mode。
-- **Publish Center** · `app/services/publish_providers.py:141` — BilibiliPublishProvider 完成配置和 access_token 校验后固定抛出 bilibili_provider_pending，属于可创建、可排队但无法执行的真实发布入口，仍是 placeholder/stub。
-- **Publish Center** · `app/services/publish_providers.py:81` — DouyinPublishProvider 将上传和创建作品拆成两个非幂等 HTTP 调用；上传已被平台接受但客户端读取响应时超时或断网，重试可能产生重复作品，未转入人工复核或使用幂等键。
-- **Publish Scheduler** · `app/services/publish_scheduler.py:756-785` — recover_interrupted_jobs 每轮加载全部 PUBLISHING 任务，并逐个同步调用 Worker execution；没有批量上限、并发控制或退避，Worker 超时或不可用时恢复耗时随任务数线性增长并阻塞后续排期。
-- **Publish Scheduler** · `app/services/publish_scheduler.py:283-304` — list_due_jobs 每轮 SELECT 全部 SCHEDULED 记录，再逐条在 Python 中解析并过滤时间，没有 SQL due 条件、分页或批量上限，排期规模增长会增加扫描内存和调度延迟。
-- **Publish Scheduler** · `app/services/publish_scheduler.py:133-1789` — PublishScheduler 约 1,700 行并集中承担排期计算、任务领取、结果写回、Worker 恢复、重试修复、人工复核、批量排期及旧版兼容，状态路径修改的回归半径较大。
-- **Publishers & Worker** · `scripts/publish_host_worker.py:297` — _prior_job_execution_requires_review 会跳过 corrupt 或缺失/无效 identity 的旧 journal；若旧执行已开始上传但身份未持久化，重试可能无法关联并再次提交。browser_opened 仍属于 safe_retry_phases，存在浏览器动作已发生而 journal 尚未推进的重复发布窗口。
-- **SQLite Persistence** · `app/db/database.py:614` — init_db 仍先执行历史列探测迁移 helper，再执行账本迁移；helper 内部使用 executescript（如 :1074），会隐式提交此前 DML，后续 helper 失败时可能留下部分 Schema/数据变更而无对应 schema_migrations 记录。
-- **SQLite Persistence** · `scripts/backup_restore.py:362` — 备份验证仅执行 quick_check、必要表/行数和 manifest 文件哈希校验，未执行 PRAGMA foreign_key_check，也未核对 schema_migrations 版本/checksum；外键损坏或结构账本漂移可能被当作可恢复备份。
-- **SQLite Persistence** · `scripts/backup_restore.py:602` — restore_backup_bundle 在替换数据库及删除 -wal/-shm 前没有活动应用/Worker 互斥或停止检查；运行中的 SQLite 连接可能继续写入旧 inode/WAL，造成恢复后丢写或双数据库视图。
-- **Ops & Delivery** · `.github/workflows/ci.yml:3` — CI 仅监听 master push/PR；feature/docs 直接 push 不即时验证，问题延迟到开 PR。
-- **Ops & Delivery** · `scripts/start_docker_opencli.ps1:24` — 健康检查异常只警告不返回非零，服务失败也可能被调用方视为启动成功。
-- **Ops & Delivery** · `scripts/start.ps1:30` — Demo 覆盖生效前先对正式 E 盘配置运行 doctor，新机/迁移机的隔离 Demo 可能被旧路径阻断。
-- **Ops & Delivery** · `scripts/start.ps1:71` — Worker 启动异常被捕获后继续并报告工作台成功，发布能力不可用时易被误判完整健康。
-- **Ops & Delivery** · `scripts/restore.ps1:27` — 恢复只以健康响应判断 App 运行，StopServices 只停 Compose；native/异常健康进程可能仍持有 DB 时执行替换。
-- **Ops & Delivery** · `scripts/backup.ps1:33` — 备份默认包含 .env 且不加密，仅显式 ExcludeEnv 才排除，包被共享时泄漏本机秘密。
-- **Ops & Delivery** · `tests/test_native_scripts.py:11` — 启停测试主要是源码字符串断言，Windows smoke 不做实际 restore/冲突/清理失败与恢复后健康验证。
-- **Ops & Delivery** · `scripts/seed_demo_data.py:32` — 缺 FFmpeg 时仍插入无媒体路径 Demo 数据并成功退出，数量检查通过但媒体 smoke 不可信。
-
-### LOW (24)
-
-- **Frontend UI** · `app/static/js/app.js:374-386; app/static/js/app.js:721-776` — AI 分析期间禁用的控件集合不包含动态生成的历史结果恢复按钮，也不包含显示/刷新历史按钮；用户仍可在新分析运行时恢复旧结果或刷新历史，与后台新 Job 的最终写回形成前端竞态。后端若拒绝该操作，页面仍会额外发出冲突请求。
-- **API & Runtime** · `app/core/config.py:93` — 新分域 AI_ANALYSIS_REMOTE_* / AI_PUBLISH_REMOTE_* 配置仍通过 _env_first 回退到 AI_REMOTE_*，同时 Settings 继续保留完整旧字段组；兼容来源有文档说明但长期存在来源漂移和配置行为不一致风险。
-- **API & Runtime** · `app/routers/tasks.py:1` — tasks.py 约 537 行、publish.py 约 514 行，包含大量重复的 try/except 与一行式 service 转发；路由、错误映射、同步/异步边界和兼容规则集中在大型 glue 文件中，修改入口时 blast radius 较大。
-- **Media & Storage** · `app/services/storage_service.py:256` — allocate_task_dir_name(reserve=True) 先独占创建目录，再由调用方写入 tasks 记录；进程在两步之间退出会留下没有数据库记录的孤儿任务目录，当前没有启动扫描或清理机制。
-- **Media & Storage** · `app/services/storage_service.py:503` — 上传直接写入最终 source 文件；上传或后续建档失败时的 unlink 异常被静默忽略，进程在上传中途退出也没有跨进程清理清单，可能留下未被任务引用的半成品媒体。
-- **Media & Storage** · `app/services/storage_service.py:842` — 遗留 move_task_directory_to_trash 使用 reserve=False 的存在性检查后分配回收站目录，没有独占预占；并发删除同名任务可能选择相同目标目录并发生移动冲突。当前未发现运行时调用，但兼容入口仍可被恢复使用。
-- **Media & Storage** · `app/services/video_cut_service.py:185` — cut_single_clip 在 FFmpeg 成功前先删除 plan.output_path；若重复执行同一 CutPlan 后发生超时、启动失败或输出切换失败，之前已经有效的成片会先被删除，临时文件原子替换无法保护旧结果。
-- **AI Selection** · `app/services/ai_analysis_workflow_service.py:878-925` — 数据库没有历史 run 时会从 analysis.json 兼容合成 active run，当前只检查 JSON 对象和基础 meta 类型，不验证 checksum、完整 schema、selection_profile、候选字段或文件与数据库代际一致性。
-- **AI Selection** · `app/services/ai/ai_clip_service.py:4-39` — generate_candidate_clips_placeholder 仍返回固定 fake output；当前未发现主流程调用，但误调用会产生伪造候选，属于 legacy/placeholder dead code。
-- **Task Review & Cut** · `app/services/task_lifecycle_service.py:159-164; app/services/task_lifecycle_service.py:182-229` — create_task_record 在数据库 INSERT 前预创建任务目录；若随后数据库写入失败，服务层本身没有补偿删除空目录的路径，直接调用服务函数时仍可能留下孤儿目录。
-- **Subtitle** · `app/services/subtitle_workflow_service.py:240-257` — 遗留 _activate_subtitle_job 仍可无 lease、revision、status 或 task/output_clip 约束直接激活指定记录；当前主渲染路径未调用，但 task_service 仍导入并保留兼容入口。
-- **Pipeline & Job Queue** · `app/services/pipeline_engine.py:1804` — _read_json 在 OSError/JSONDecodeError 时静默返回 fallback；损坏的 metadata、schedule 或配置会被当作空结构继续处理，降低故障可见性和人工恢复依据。
-- **Publish Center** · `app/services/publish_service.py:1610` — 批量查询每一行都调用 _normalize_job；该函数随后构建 readiness 并触发账号/运行态解析，批量页面可能产生逐行重复查询，数据量增长后会放大响应延迟。
-- **Publish Center** · `app/services/publish_providers.py:204` — _post_multipart 使用 read_bytes 将整个视频读入内存，再与 multipart 头部 join；大文件发送峰值内存约为文件大小的两倍，存在资源受限环境下的稳定性风险。
-- **Publish Scheduler** · `app/services/publish_scheduler.py:276-281` — shutdown 会等待后台 Task 完整结束，但没有超时或取消兜底；run_once 被 Worker 长超时、数据库锁或文件操作阻塞时，应用停机可能长时间挂起。
-- **Publish Scheduler** · `app/services/publish_scheduler.py:1840-1845` — queue_snapshot 对非法 scheduled_at 静默 pass，损坏排期会从今日任务视图消失，未产生告警或异常计数。
-- **Publishers & Worker** · `app/services/publishers/browser_runtime.py:315` — screenshot 捕获 Exception 后直接返回空字符串，不记录错误或阶段；发布失败诊断可能静默丢失截图证据。
-- **Publishers & Worker** · `app/services/publishers/page_scripts.py:14` — 通过延迟导入 app.services.publish_service 并调用其私有 DOM 脚本维持旧发布协议，形成 Worker/发布服务间的 legacy glue 耦合。
-- **SQLite Persistence** · `app/db/database.py:811` — workflow_jobs claim 索引仅覆盖 status、next_attempt_at、created_at，未包含 lease_expires_at；租约过期接管/恢复扫描仍需过滤大量记录，规模增长后会退化。
-- **SQLite Persistence** · `app/db/database.py:169` — tasks.status 无 CHECK 约束且默认仍为 pending_video，历史迁移 :1091-1100 继续归一化 lowercase legacy 状态，而 app/models/task.py:38 同时接受新旧两套枚举，数据库层无法保证唯一状态协议。
-- **SQLite Persistence** · `scripts/backup_restore_runtime.py:142` — runtime 入口通过 monkeypatch 替换 backup_restore 的全局函数并重新导出 API；core 与 runtime 两套导入路径的行为可能随新增校验漂移，形成 legacy/dual-format glue。
-- **Ops & Delivery** · `scripts/acceptance.ps1:115` — 验收递归扫描正式任务目录，媒体量大/锁文件会显著拖慢或阻断 release gate。
-- **Ops & Delivery** · `scripts/backup_restore_runtime.py:142` — import 时 monkeypatch backup core，全局行为依赖导入顺序。
-- **Ops & Delivery** · `docs/PORTABLE_SETUP.md:127` — 文档描述与当前 start.ps1 实现不符，旧 Next Steps 又保留兼容入口，启动排障认知漂移。
+### MED (58)
+
+- **Frontend UI** · `app/templates/clip_review.html:154-155; app/static/js/app.js:109-145` — 空态“运行 Codex CLI 分析”走通用 handleProcessAction；/process/ai 返回持久化 job_id 后没有等待或轮询分支，直接 window.location.reload()。按钮随后恢复可用，用户无法在该页确认后台 Job 状态，运行期间可重复点击。
+- **Frontend UI** · `app/static/js/app.js:449-500; app/templates/clip_review.html:195-200` — renderAiAnalysisSummary 只按 clips/clip_summaries 渲染并给出“去检查并生成切片”，没有读取 analysis_incomplete、quality_degraded、coverage_percent、failed_units；审核页生成/同步按钮也仅按 clips 是否存在启用。不完整或降级结果直到后端门禁拒绝才暴露。
+- **Frontend UI** · `app/static/js/app.js:1811-1827,1951-1967,720-727` — waitForAiAnalysisJob 使用无限 while(true)，没有超时、AbortController 或读取重试；pollAiAnalysisStatus 仅成功响应才安排下一次定时器，初始调用和定时回调均用 catch(() => {}) 静默吞错。一次网络或 JSON 异常即可停止状态刷新；前台等待失败时服务端 Job 仍可能运行。
+- **Frontend UI** · `app/static/js/publish-center.js:1332-1342,1643-1679` — 发送中心保存依次 PATCH target、PATCH send-content、PUT experiment-assignment，没有事务、补偿或失败后回读；最后一步失败时前两步已经持久化，但界面统一显示保存失败并保留旧 experimentId，形成内容已变更而实验归因不确定。
+- **Frontend UI** · `app/static/js/publish-center.js:1142-1180,1423-1429,2246` — refreshJobs 每 5 秒把服务端快照直接写入编辑器的 account_id、publish_mode、cover_file_path、cover_time_seconds，没有 focus、dirty 或版本保护。用户编辑尚未保存时轮询到旧快照会覆盖账号、发布方式和封面选择，丢失本地输入。
+- **API & Runtime** · `app/routers/tasks.py:67-102,212-215,391-398; app/routers/publish.py:68-108,202-208,251-305,316-446` — 多个 async handler 仍直接执行同步重任务或外部 I/O：上传后的 create_task_record 会同步执行媒体预检/FFprobe/FFmpeg，process_audio/process_video_cuts 直接运行 FFmpeg，发布账号与排期接口直接调用 PublishWorkerClient._request(urlopen，默认超时 1800 秒)，刷新队列、封面和 AI 文案也直接执行同步服务，可能阻塞 FastAPI event loop。内容复盘导出已在排除模块中使用 run_in_threadpool 并有专项线程隔离测试，未计入本模块。最小修复应将纯同步 handler 改为 def 或完整包裹 run_in_threadpool，并补充并发健康检查响应测试。
+- **API & Runtime** · `app/routers/publish.py:55-70` — 抖音 OAuth URL/回调捕获裸 Exception，并将 str(exc) 直接写入 HTTP detail 或 redirect 查询参数；底层 provider、网络或数据库异常可能携带诊断信息并进入浏览器历史和日志。相关网络异常来自 app/services/publish_providers.py:216-226。应按类型映射安全错误码，原始异常仅服务端记录，并增加错误哨兵不回显测试。
+- **API & Runtime** · `app/models/task.py:243-300,353-410` — PublishBatchScheduleUpdate、PublishScheduleNextStartRequest、PublishBatchJobCreate、PublishBatchTargetUpdate、ClipCandidateBatchUpdate 的批量列表缺少长度上限，现有校验仅做非空/去重；下游 app/services/publish_scheduler.py:1022-1118,1205-1226 和 publish_service.py:2810-2831,3410-3425 会展开 SQL IN 参数并逐项处理，超大请求可能触发 SQLite 变量限制、内存/耗时压力或未转换的 500。应在模型边界设上限并补充超限 API 测试。
+- **API & Runtime** · `app/models/task.py:38-72; app/routers/tasks.py:162-170` — TaskStatus 同时暴露 uppercase 全自动状态和 lowercase 手工/遗留状态，路由接受两套值，服务层分别维护状态标签、进度、转换和生命周期集合；大小写协议混用时会出现精确匹配冲突、错误进度或无法转换。应在 API 边界规范化单一状态协议，并补充跨模式状态转换矩阵测试。
+- **Media & Storage** · `app/services/storage_service.py:693` — 删除 manifest 只在当前进程内写入并由内存中的 StagedTaskMediaCleanup 继续处理；没有启动扫描、manifest 加载或跨进程恢复入口。进程在目录已移入暂存区、数据库提交前崩溃会留下任务原目录缺失；提交后、finalize 前崩溃则暂存区长期遗留，重复删除也不会扫描清理。
+- **Media & Storage** · `app/services/storage_service.py:362` — resolve_video_file_path 对已存在路径直接返回，未验证是否位于允许根目录；validate_source_video_path 虽有根校验，但发布、字幕和查询等调用方直接复用该解析器后仅检查 exists/is_file。异常数据库 output_file_path 因此仍可能被本地发布流程读取或上传为任意现有文件。
+- **Transcription** · `app/services/transcript_service.py:1131-1158,1191-1228` — faster-whisper 的 model.transcribe 调用、模型加载和 raw_segments 生成器迭代均没有绝对时限或内部取消检查；持久 Worker 只能依赖最长约 1800 秒的无进度 watchdog，旧版直连/后台任务路径没有外层 job 截止时间，模型卡死时可能长期占用进程。
+- **Transcription** · `app/services/transcript_service.py:113-191` — run_ffmpeg_audio_extract 只有无进度 watchdog，没有 started_at 或绝对 wall-clock deadline；循环收到任意 FFmpeg 输出就刷新 last_progress_at，即使 out_time_ms 不再推进也可能持续运行。旧版直连音频处理不带 job_id，无法依赖外层任务 watchdog。
+- **Transcription** · `app/services/transcript_service.py:1034-1042; app/services/transcript_workflow_service.py:122-148` — 进度文件损坏、不可读、JSON 顶层非 dict 时统一返回 {}；状态层将其当作‘没有进度’且 is_stale=False，既不暴露损坏证据，也不会触发恢复/人工复核，重启后可能误判为可正常重跑或静默丢失运行状态。
+- **Transcription** · `app/services/transcript_service.py:67-77,1191-1228,1291-1367; app/services/transcript_workflow_service.py:221-260,346-430` — 模型缓存、当前 provider/model/device/compute 元数据和运行集合均为模块级可变状态，且运行集合没有锁。旧版 BackgroundTasks 可并发处理不同任务，任务 A 写进度/Markdown 时可能读到任务 B 的 provider 或模型标签；并发模型加载也无锁，设置变化时 _WHISPER_MODEL_KEY 可能与实际加载模型不同。
+- **Transcription** · `app/services/transcription_checkpoint_service.py:40-50,68-75; app/services/transcript_workflow_service.py:321-328` — 大于 1 MiB 的音频指纹只哈希文件大小、前 1 MiB 和后 1 MiB，中间内容替换后仍可命中旧 checkpoint；同时工作流仅凭现有 transcript 能读出一行就跳过重转，不校验源文件指纹、provider 或模型，可能把旧分片结果用于新音频。
+- **AI Selection** · `app/services/ai_analysis_workflow_service.py:1023-1037,1330-1369` — 恢复路径仅从 active ai_analysis_runs 读取 payload 并校验 workflow_job_id，未核对 clip_candidates 的 source_analysis_run_id、候选 ID/数量、转写或源文件代际；随后可直接覆盖 analysis.json。候选表、run payload 与派生文件发生漂移时仍会展示或恢复旧 run。
+- **AI Selection** · `app/services/ai/ai_clip_analyzer.py:485-562` — _normalize_ai_clip_item 为缺失的标题、摘要、推荐理由、剪辑建议、spread、confidence 和封面位置填入默认值；仅有时间范围的稀疏 Provider 响应可通过 Pydantic。通用分析随后固定写入 invalid_item_count=0，并只按失败单元设置 analysis_incomplete，语义不完整的候选会被当作正常结果。
+- **AI Selection** · `app/services/ai_analysis_workflow_service.py:1` — ai_analysis_workflow_service.py 当前约 1406 行，同时承担 Provider 编排、任务状态与租约、候选 SQL、Prompt/运行历史、恢复、analysis.json 物化及 API 结果组装，职责和测试边界过宽，局部修改的回归影响面较大。
+- **Task Review & Cut** · `app/services/video_cut_workflow_service.py:38-107,516-603` — _create_cut_run 只校验当前租约和任务未取消，不检查同一任务已有 queued/running 的切片工作；多个入口可同时创建 cut_run 并执行 cut_clips，导致重复 FFmpeg、状态互相覆盖和无效资源消耗。
+- **Task Review & Cut** · `app/services/task_lifecycle_service.py:373-406` — 完成状态门禁只查询 active、completed 的 output_clip 数据库行，不验证 output_file_path 仍存在且为文件，也不核对记录是否来自当前 active cut_run；残留索引或被删除的成片仍可能让任务进入完成状态。
+- **Task Review & Cut** · `app/services/task_service.py:1198-1232; app/services/video_cut_workflow_service.py:274-323` — _active_outputs_match_enabled_candidates 仅比较候选 ID、数量和输出路径存在性；切片落库虽保存 source_fingerprint，但复用判断不读取它，也没有内容指纹、大小或可播放性校验。源视频被替换或输出被截断时，审核同步可能错误跳过重新切片。
+- **Task Review & Cut** · `app/services/task_service.py:898-968` — list_clip_candidates 对损坏的 quality_evidence_json 静默回退为空字典，但 start_time/end_time 在 try 块外直接解析；单条历史候选时间格式损坏会抛 ValueError，使审核列表接口整体不可用，且数据损坏被隐藏。
+- **Task Review & Cut** · `app/services/task_query_service.py:293-334,469-486` — 片段总览的 can_cut 只依据启用候选和源文件存在性，不考虑 analysis_incomplete、quality_degraded 或运行状态；系统状态页又精确匹配 lowercase 状态，遗漏全自动的 CREATED、FAILED_*、PENDING_SUBTITLE_REVIEW、COMPLETED，页面统计和操作按钮会失真。
+- **Task Review & Cut** · `app/services/task_service.py:508-593,1388-1468,1517-1570; app/services/task_query_service.py:165-251` — task_service.py 约 1570 行，继续集中任务状态、AI、转写、切片、字幕、发布同步和查询，并保留多组转发 task_query_service 的包装器；_row_to_task 对每个任务单独查询 output_clip，Dashboard/字幕总览又重复批量查询和映射输出，存在 N+1 查询、重复逻辑和较大的维护回归半径。
+- **Content Review & Feedback** · `app/services/content_review_service.py:1` — content_review_service.py 当前约 2387 行，同时承担 CSV/XLSX 解析、官方导出规范化、指标聚合、作品匹配、诊断建议、实验生命周期及多类 SQLite 写入，形成高耦合 God Component，局部修改的维护和回归影响面过大。
+- **Subtitle** · `app/services/subtitle_auto_workflow_service.py:42-50,51-108` — 自动字幕流程在验证 workflow job lease 之前就创建并提交字幕工作、轨道等副作用；旧 Worker 若失去 lease，仍可能先写入新对象，之后才被 fencing 拦住，形成重复或孤立字幕状态。
+- **Subtitle** · `app/services/subtitle_data_service.py:1017-1074` — 读取 ASR chunk 时遇到坏 JSON 会静默跳过，剩余分片仍可组装为合法字幕；部分转写数据可能被当成完整结果继续审核或烧录，缺少 fail-closed 完整性证据。
+- **Subtitle** · `app/services/subtitle_data_service.py:162-190,1222-1230,236-330` — 源字幕 revision 先提交，随后每个片段同步各自独立事务；中途失败会留下部分片段已更新、部分仍是旧版本的非原子状态，重试和人工判断成本高。
+- **Subtitle** · `app/services/subtitle_auto_workflow_service.py:513-569` — 恢复已有字幕产物只验证路径存在且是文件，没有校验非空、大小、哈希或媒体可读性；截断或损坏文件可能被误当成可恢复成功。
+- **Subtitle** · `app/services/subtitle_data_service.py:1-1443` — SubtitleDataService 同时承担 revision、轨道、片段同步、ASR chunk、波形和文件落盘，且波形路径先把整段 PCM 载入内存再下采样；长视频会放大内存峰值，中心化职责也增加回归面。
+- **Pipeline & Job Queue** · `app/services/pipeline_engine.py:1475-1479,1606-1622,1688-1708,1732-1734,1777-1779` — SQLite 侧 Job/Task 写回虽有 lease，但选片、排期、clip_metadata、summary 仍直接 write_text，_update_selected_clips 也直接提交；固定同名 .tmp 及 lease 检查与文件 replace 不在同一原子边界，旧 Worker 或并发重试可能覆盖新代次产物。
+- **Pipeline & Job Queue** · `app/services/job_worker.py:260-267` — WorkflowJobRunner._run 调用 claim_next_job 位于 try/except 外；瞬态 SQLite 异常会直接终止 daemon Worker 线程，没有 supervisor、重启或失败信号。
+- **Pipeline & Job Queue** · `app/services/job_worker.py:255-258,314-335,475-495` — stop() 只设置停止事件并 join 25 秒；子进程树终止失败时循环可能继续，join 超时后线程和子进程仍可存活，不能保证干净停机。
+- **Pipeline & Job Queue** · `app/services/job_worker.py:293-298; app/services/job_worker_process.py:17-27` — 父 Worker 以 stdout/stderr=DEVNULL 启动子进程，子进程异常只打印到被丢弃的 stderr；父进程最终只能记录泛化退出码，显著降低故障定位能力。
+- **Pipeline & Job Queue** · `app/services/job_service.py:163-177; app/services/pipeline_engine.py:1313-1322,1810-1816` — payload/result/checkpoint 坏 JSON 被静默保留或降级为默认值；坏 payload 可能以字符串进入后续逻辑，损坏 metadata 可能触发重新生成并隐藏重复成本。
+- **Pipeline & Job Queue** · `app/services/pipeline_engine.py:88-1817` — PipelineEngine 单文件约 1932 行并承担九步编排、恢复、指纹、数据库与各业务步骤，后续局部修改存在真实跨步骤回归风险。
+- **Publish Center** · `app/services/publish_service.py:1-4793` — 单文件同时承载发布配置、账号/OAuth、内容与封面生成、队列同步、历史查询、元数据升级、浏览器自动化和 API 执行，职责高度集中，修改与回归影响面过大。
+- **Publish Center** · `app/services/publish_service.py:2173-2183; 2707-2731` — 封面生成异常被写入 cover_error 后仍创建 WAITING 任务；同步路径未把该异常计入 errors，可能返回 ok，错误延迟到后续 readiness 阶段才暴露。
+- **Publish Center** · `app/services/publish_service.py:2810-2831` — create_batch_publish_jobs 对不存在的 output_clip_id 直接 continue，最终仍返回 status=ok，调用方无法区分全部成功、部分成功和输入错误。
+- **Publish Center** · `app/services/publish_providers.py:117-142; app/services/publish_service.py:2681-2807` — Bilibili 已被配置校验、api_publish 模式和队列流程接入，但 provider.publish() 在校验通过后必然抛出 bilibili_provider_pending，用户可创建一个确定会失败的发布任务。
+- **Publish Center** · `app/services/publish_providers.py:70-114; app/services/publish_service.py:4576-4618` — 抖音发布由非幂等的 upload_url 与 create_url 两次请求组成，上传成功后第二次请求超时会被整体记为失败；重试可能再次上传并产生重复投稿，代码没有幂等键、远端回执持久化或未知结果隔离。
+- **Publish Center** · `app/services/publish_service.py:2948-2979` — 发布历史 SQL 直接按大写 PUBLISH_HISTORY_STATUSES 过滤，查询阶段不调用 _normalize_publish_status；若长期运行进程或外部导入仍留下 lower/旧 status，历史与日历会漏项。启动迁移通常会规范化，但查询本身仍不具备兼容保护。
+- **Publish Scheduler** · `app/services/publish_scheduler.py:283-304` — list_due_jobs 每轮 SELECT 全部 SCHEDULED，再逐条在 Python 解析和过滤时间，没有 SQL 到期条件、分页或批量上限；排期规模增长会提高扫描内存和调度延迟。
+- **Publish Scheduler** · `app/services/publish_scheduler.py:756-870` — recover_interrupted_jobs 每轮加载全部 PUBLISHING，并逐条同步查询 Worker execution；没有批量上限或退避，Worker 超时/不可用时恢复耗时会线性增长并阻塞后续排期。
+- **Publish Scheduler** · `app/services/publish_scheduler.py:133-1924` — PublishScheduler 约 1800 行，集中排期计算、任务领取、结果写回、Worker 恢复、重试修复、人工复核、批量排期及旧版兼容；状态机修改的验证范围仍过大。
+- **Publishers & Worker** · `scripts/publish_host_worker.py:454-483` — 跨 execution 扫描对损坏或缺失 identity 的旧 journal 直接跳过；若旧执行已产生上传副作用但身份未落盘，新 execution 无法关联并可能再次投稿。
+- **Publishers & Worker** · `scripts/publish_host_worker.py:717-719` — 官方作品报表同步的通用异常处理将 str(exc) 直接拼入 HTTP detail；底层 Playwright、文件路径或页面诊断可能暴露给调用方，错误边界未统一脱敏。
+- **SQLite Persistence** · `app/db/database.py:896-918` — init_db 先执行多组未纳入 schema_migrations 的历史 ALTER/executescript 迁移，之后才进入账本事务；中途失败会留下已落盘的部分结构或数据变更，并发启动也缺少统一迁移互斥。
+- **SQLite Persistence** · `scripts/backup_restore.py:56-96,598-665` — 恢复仅一次性探测健康端点，失败会视为无活动服务；BEGIN EXCLUSIVE 也是瞬时检查，整个检查到替换过程没有应用/调度器/恢复任务共享互斥，存在 TOCTOU 写入窗口。
+- **SQLite Persistence** · `app/services/database_backup_service.py:112-129; scripts/backup_restore.py:418-426` — 备份验证强制要求 schema_migrations 表和账本内容；迁移账本引入前创建的历史备份没有兼容升级路径，会被直接拒绝验证或恢复。
+- **SQLite Persistence** · `app/db/database.py:2084-2104` — _migrate_tasks_table 每次初始化都把不在硬编码状态白名单内的值改成 pending_video，没有版本或账本保护；未知、未来或旧历史状态可能被静默重置。
+- **Ops & Delivery** · `scripts/start.ps1:22-33,95-100; docker-compose.dev.yml:1-6; docker-compose.yml:17-41` — Development/Demo 在选择 Compose overlay 前先执行 doctor；开发 overlay 仍继承正式 data、任务目录和 PUBLISH_SCHEDULER_ENABLED=true，旧存储路径可能阻断隔离 Demo，开发调度器也可能触碰正式任务。
+- **Ops & Delivery** · `scripts/start_publish_worker.ps1:108-140,145-175; scripts/start.ps1:70-79,108-140; scripts/start_native.ps1:106-117,170-235` — 启动流程先创建 Worker，再启动 Docker/native Web；后续失败时没有 finally 终止本次创建的 Worker，8765 进程可能驻留并影响后续启动，现有测试仅做静态断言。
+- **Ops & Delivery** · `scripts/watch_docker_publish_worker.ps1:164-192,216-224,235-238` — Worker 连接修复失败时会持续等待并 force-recreate workflow，长期 Token 或网络故障可形成约 80 秒一轮的无限容器重建循环。
+- **Ops & Delivery** · `scripts/start_docker_opencli.ps1:24-29; scripts/start.ps1:196-204,237-252` — 兼容启动器 health 异常只打印仍在初始化并正常返回；主启动器对 Worker 未连接也仅警告，最终仍返回成功，可能让用户误判发布链路已就绪。
+- **Ops & Delivery** · `scripts/restore.ps1:84-92; scripts/backup_restore.py:56-75,598-650` — 恢复前仅做一次健康检查和瞬时 BEGIN EXCLUSIVE，检查、回滚备份、媒体暂存与数据库替换之间没有持续进程互斥，服务可能在窗口内重新写入。
+- **Ops & Delivery** · `scripts/backup.ps1:25-43,67-70; scripts/backup_restore.py:267-312` — 普通备份默认包含 .env，只有显式 -ExcludeEnv 才排除；ZIP 内 API Key/Token 明文仍有复制或共享扩散风险。
+
+### LOW (16)
+
+- **Frontend UI** · `app/static/js/app.js:1-2461; app/static/js/publish-center.js:1-2247; app/static/css/styles.css:1-6494` — 前端仍把跨页面请求、多个 Job 轮询、审核/裁切/字幕/配置事件与渲染状态集中在两个约 2K 行脚本和一个约 6.5K 行全局样式中，职责与状态共享使轮询或页面状态改动的回归半径持续偏大。
+- **Media & Storage** · `app/services/storage_service.py:490` — save_uploaded_video 从 503 行直接以 wb 写入最终 source 文件，没有 .part 文件和原子替换；请求异常时 unlink 失败被静默忽略，进程崩溃/断电无法执行清理，可能留下无数据库引用的半成品上传并占用最多 4GB 磁盘。
+- **Media & Storage** · `app/services/storage_service.py:256` — allocate_task_dir_name(reserve=True) 在数据库 INSERT 前用 mkdir 预占目录；调用方若在预占与建档之间崩溃，目录没有任务记录且当前没有孤儿目录扫描或恢复机制。正常 HTTP 异常可清理，但无法覆盖进程级中断。
+- **Media & Storage** · `app/services/video_cut_service.py:185` — cut_single_clip 在 FFmpeg 启动前先 unlink plan.output_path；build_output_path 的正常工作流通常生成新路径，但同一 CutPlan/输出路径重试时，失败或超时会先删除已有有效成片，临时文件原子替换无法保护旧结果。
+- **Transcription** · `app/services/transcript_service.py:347-549` — 本地与 Volcengine 转写分别复制了完整的分片遍历、checkpoint、进度、偏移和清理生命周期；两条路径已出现不同的请求不确定态处理，后续修复取消、租约或计数逻辑需同步维护，存在行为漂移风险。该文件同时承担 FFmpeg、模型、远程 HTTP、checkpoint、进度和 Markdown，变更影响面较大。
+- **AI Selection** · `app/services/ai_analysis_workflow_service.py:878-925` — 数据库没有历史 run 时，_ensure_ai_analysis_history_from_current_file 会从 analysis.json 兼容合成 active run；当前仅检查 JSON 对象和基础 meta 类型，不验证 checksum、完整 schema、selection_profile、候选字段或文件与数据库代际一致性。
+- **AI Selection** · `app/services/ai/ai_clip_service.py:4-39` — generate_candidate_clips_placeholder 仍返回三条固定 ClipCandidate，完全不读取转写、Provider 或任务输入；当前未发现主流程调用，但误调用会产生伪造候选，属于遗留 placeholder/fake output。
+- **Content Review & Feedback** · `app/services/content_review_service.py:2092-2100;app/routers/content_review.py:236-239` — delete_item_match 的 UPDATE 仅按 snapshot_id 执行，没有 account_id、平台或当前归属约束；多账号场景下，旧页面或持有已知快照 ID 的请求可解除另一账号的作品关联。
+- **Content Review & Feedback** · `app/services/content_review_service.py:388-390,421-424,483-486` — 官方作品缺平台 ID 时，内部键只由规范化标题和发布时间生成；两条同标题同秒、或仅标点不同的合法作品会命中 seen_ids 并静默 continue，导入行数和快照数据减少且没有人工确认提示。
+- **Content Review & Feedback** · `app/models/content_review.py:6-7;app/routers/content_review.py:64-70` — ContentMetricImportCommitRequest.confirm 默认 True，提交接口只拒绝显式 false；空 JSON 即可直接确认并写入预览批次，弱化了要求用户明确确认的导入门禁。
+- **Subtitle** · `app/services/subtitle_auto_workflow_service.py:140-171` — 旧式字幕 Job 激活逻辑依赖较弱的状态约束，异常恢复或并发执行时缺少与当前 workflow generation 等价的完整校验。
+- **Publish Scheduler** · `app/services/publish_scheduler.py:276-281` — shutdown 等待后台 Task 完整结束但没有超时或取消兜底；run_once 若被 Worker 超时、数据库锁或文件操作卡住，应用停机可能长时间等待。
+- **Publish Scheduler** · `app/services/publish_scheduler.py:1830-1850` — queue_snapshot 对非法 scheduled_at 静默忽略，损坏排期会从今日视图消失且没有告警或异常计数。
+- **Publishers & Worker** · `app/services/publishers/browser_runtime.py:315-322` — 截图失败捕获所有 Exception 后仅返回空字符串且不记录阶段或原因；失败诊断会携带空 screenshot，无法区分取证失败。
+- **Publishers & Worker** · `app/services/publishers/page_scripts.py:14-150` — 页面脚本入口通过延迟导入 publish_service，并由多个包装函数调用其私有 DOM 脚本；活动 Worker 依赖约 4.8k 行旧服务的私有符号，形成 legacy glue 耦合。
+- **SQLite Persistence** · `app/db/database.py:807-893` — 指标快照、实验及实验项只有单列外键，没有复合账号归属约束；数据库层面仍可接受跨账号批次、作品或实验混绑记录。
 
 ## Cross-cutting themes
 
-- **本地单体架构是当前可运行的主要原因.** FastAPI + SQLite WAL + 文件产物 + 持久化 Job + Windows Worker 与个人本机规模匹配；不需要微服务化，现有恢复骨架应保留。
-- **P0 数据一致性与迁移入口已经 fail closed.** 测试误删、活动库外键、媒体删除回滚、切片/字幕批次和迁移账本已处理；仍需在受控停机窗口首次正式迁移，并逐步把旧 helper 收编到账本。
-- **Job、发布执行和字幕恢复代际已封口.** Workflow lease token、Publish execution fencing、任务状态转换、取消恢复、切片与字幕原子提交已经完成；旧 Worker/旧 execution 不能覆盖新结果。
-- **P0/P1 运行时稳定线已经完成.** AI 候选/run/任务终态、持久 Job、单元计费账本、不完整结果门禁与本地安全边界已收口；当前可按本机单用户、人工复核范围判定为稳定 V1。
-- **本地安全边界已从隐式信任变为显式 fail closed.** AI/Publish Secret DTO、旧 Provider 结果脱敏、loopback client 校验、Docker 回环绑定、Origin 白名单、作品 URL 和动态 DOM XSS 已收紧；不扩大为多用户权限系统。
-- **复杂度集中而非全项目平均恶化.** publish_service.py、publish-center.js、app.js、publish_scheduler.py、subtitle_data_service.py 和 transcript_service.py 是主要 God Component；应按业务边界渐进拆分。
-- **测试已与活动数据隔离，但 Coverage 与真实故障闭环仍不足.** Pytest 已强制使用进程级 sandbox，P0/P1 失败矩阵持续扩充；Coverage 尚未采集，Playwright 可选跳过和真实平台/进程故障闭环仍需在 P2 补齐。
-- **遗留目录迁移脚本不得用于活动库.** scripts/migrate_task_dirs_to_project_names.py 仍是唯一 Codemap HIGH：它不属于当前运行链路，但缺少 WAL-aware 备份与文件补偿；在 P2 专项替换前必须保持停用。
+- **本地单体架构仍与当前产品边界匹配.** FastAPI、SQLite WAL、文件产物、持久化 Job 与 Windows Worker 适合本机单用户规模；本轮没有证据支持微服务、全量 ORM 或前端框架迁移。
+- **整改前的 A-F 六项问题已经关闭.** 长直播质量元数据、迁移原子性与 Prompt 外键、反馈来源 Run、作品时长口径、官方导出异步边界和堆叠 PR CI 均有直接回归证据。
+- **没有未关闭的 P0/P1 回归.** 独立复审曾发现预览按钮状态回归，已在最终 revision 修复并由宽屏、窄屏浏览器用例覆盖；当前活动库 quick_check 正常、外键违规为 0。
+- **剩余风险集中在运行韧性而非正常路径.** 历史兼容迁移、备份恢复持续互斥、文件 checkpoint 与 SQLite lease、Worker 自愈和错误取证仍有条件触发的中等风险。
+- **发布与前端仍保留条件性边界.** 部分保存、自动刷新覆盖脏表单、未完成的 B站 API Provider 和旧 journal 身份缺失，仅在启用对应模式或出现真实故障时值得单独处理。
+- **复杂度集中但不值得全面重构.** publish_service.py、content_review_service.py、database.py、app.js 与 PipelineEngine 是主要热点；只应在触碰对应业务时按事务和边界渐进拆分。
+- **测试与 CI 已形成收口证据.** 全量 867 项测试和 PR #67/#68/#69 的 Linux、Windows、Docker 检查均通过；Sonar 仍无 coverage.xml，质量门禁失败应作为后续质量工程而非继续改业务代码的理由。
diff --git a/.codemap/modules.json b/.codemap/modules.json
index 11f1755..c3ea8a5 100644
--- a/.codemap/modules.json
+++ b/.codemap/modules.json
@@ -3,13 +3,13 @@
   "project": "NiuMa Studio",
   "lang": "zh",
   "subtitle": "牛马片场 · 本地 AI 高光生产后台工程体检",
-  "generatedAt": "2026-08-24",
+  "generatedAt": "2026-08-30",
   "htmlPath": ".codemap/codemap.html",
   "mdPath": ".codemap/codemap.md",
   "spineDesc": "用户通过页面/API 创建素材任务，SQLite Job 驱动转写、AI 选片、审核切片和字幕，再由发送中心排期并交给 Windows Chrome Worker，所有状态与审计证据回写 SQLite。",
-  "tracked_loc": 55768,
-  "tracked_files": 132,
-  "rev": "56f4d501087860145412fa6ecc411252ae8e877e"
+  "tracked_loc": 62146,
+  "tracked_files": 139,
+  "rev": "12ca670b521507d1df47750721933342c5b7a8d3"
  },
  "excludes": [
   ".venv/",
@@ -78,36 +78,32 @@
  ],
  "reportThemes": [
   [
-   "本地单体架构是当前可运行的主要原因",
-   "FastAPI + SQLite WAL + 文件产物 + 持久化 Job + Windows Worker 与个人本机规模匹配；不需要微服务化，现有恢复骨架应保留。"
+   "本地单体架构仍与当前产品边界匹配",
+   "FastAPI、SQLite WAL、文件产物、持久化 Job 与 Windows Worker 适合本机单用户规模；本轮没有证据支持微服务、全量 ORM 或前端框架迁移。"
   ],
   [
-   "P0 数据一致性与迁移入口已经 fail closed",
-   "测试误删、活动库外键、媒体删除回滚、切片/字幕批次和迁移账本已处理；仍需在受控停机窗口首次正式迁移，并逐步把旧 helper 收编到账本。"
+   "整改前的 A-F 六项问题已经关闭",
+   "长直播质量元数据、迁移原子性与 Prompt 外键、反馈来源 Run、作品时长口径、官方导出异步边界和堆叠 PR CI 均有直接回归证据。"
   ],
   [
-   "Job、发布执行和字幕恢复代际已封口",
-   "Workflow lease token、Publish execution fencing、任务状态转换、取消恢复、切片与字幕原子提交已经完成；旧 Worker/旧 execution 不能覆盖新结果。"
+   "没有未关闭的 P0/P1 回归",
+   "独立复审曾发现预览按钮状态回归，已在最终 revision 修复并由宽屏、窄屏浏览器用例覆盖；当前活动库 quick_check 正常、外键违规为 0。"
   ],
   [
-   "P0/P1 运行时稳定线已经完成",
-   "AI 候选/run/任务终态、持久 Job、单元计费账本、不完整结果门禁与本地安全边界已收口；当前可按本机单用户、人工复核范围判定为稳定 V1。"
+   "剩余风险集中在运行韧性而非正常路径",
+   "历史兼容迁移、备份恢复持续互斥、文件 checkpoint 与 SQLite lease、Worker 自愈和错误取证仍有条件触发的中等风险。"
   ],
   [
-   "本地安全边界已从隐式信任变为显式 fail closed",
-   "AI/Publish Secret DTO、旧 Provider 结果脱敏、loopback client 校验、Docker 回环绑定、Origin 白名单、作品 URL 和动态 DOM XSS 已收紧；不扩大为多用户权限系统。"
+   "发布与前端仍保留条件性边界",
+   "部分保存、自动刷新覆盖脏表单、未完成的 B站 API Provider 和旧 journal 身份缺失，仅在启用对应模式或出现真实故障时值得单独处理。"
   ],
   [
-   "复杂度集中而非全项目平均恶化",
-   "publish_service.py、publish-center.js、app.js、publish_scheduler.py、subtitle_data_service.py 和 transcript_service.py 是主要 God Component；应按业务边界渐进拆分。"
+   "复杂度集中但不值得全面重构",
+   "publish_service.py、content_review_service.py、database.py、app.js 与 PipelineEngine 是主要热点；只应在触碰对应业务时按事务和边界渐进拆分。"
   ],
   [
-   "测试已与活动数据隔离，但 Coverage 与真实故障闭环仍不足",
-   "Pytest 已强制使用进程级 sandbox，P0/P1 失败矩阵持续扩充；Coverage 尚未采集，Playwright 可选跳过和真实平台/进程故障闭环仍需在 P2 补齐。"
-  ],
-  [
-   "遗留目录迁移脚本不得用于活动库",
-   "scripts/migrate_task_dirs_to_project_names.py 仍是唯一 Codemap HIGH：它不属于当前运行链路，但缺少 WAL-aware 备份与文件补偿；在 P2 专项替换前必须保持停用。"
+   "测试与 CI 已形成收口证据",
+   "全量 867 项测试和 PR #67/#68/#69 的 Linux、Windows、Docker 检查均通过；Sonar 仍无 coverage.xml，质量门禁失败应作为后续质量工程而非继续改业务代码的理由。"
   ]
  ],
  "modules": [
@@ -131,53 +127,50 @@
     "tests/test_group_select_all.py",
     "tests/test_subtitle_editor.py"
    ],
-   "loc": 13764,
-   "contentHash": "2d2166297bd28a802517fdea820e36153f83cdf9799a3e3593a86d7d3b649519",
-   "score": 62,
-   "grade": "C",
+   "loc": 15416,
+   "contentHash": "57b9ca567d74d4fe20480f20f98eece159f6097e2270dd6518d1c7b4bd0c675f",
+   "score": 54,
+   "grade": "D",
    "tags": [
+    "god-component",
     "bloat",
-    "glue",
-    "fallback",
-    "silent-except",
-    "legacy",
-    "over-fit"
+    "silent-except"
    ],
    "findings": [
     {
      "sev": "MED",
-     "loc": "app/templates/clip_review.html:154; app/static/js/app.js:103-132",
-     "text": "片段审核空状态的“运行 Codex CLI 分析”仍绑定通用 handleProcessAction；/process/ai 现在返回持久化 job_id 后，该处理器没有等待或轮询 Job，而是在收到排队响应后直接 window.location.reload()。用户会看到仍无候选片段的旧页面，并可能在后台任务未完成时再次点击，造成重复请求或重复计费边界。"
+     "loc": "app/templates/clip_review.html:154-155; app/static/js/app.js:109-145",
+     "text": "空态“运行 Codex CLI 分析”走通用 handleProcessAction；/process/ai 返回持久化 job_id 后没有等待或轮询分支，直接 window.location.reload()。按钮随后恢复可用，用户无法在该页确认后台 Job 状态，运行期间可重复点击。"
     },
     {
      "sev": "MED",
-     "loc": "app/static/js/app.js:437-490; app/templates/clip_review.html:194-198",
-     "text": "AI 结果卡片始终按“AI 分析完成”渲染并显示“去检查并生成切片”，片段审核页只按是否存在 clips 启用生成切片和同步发送中心按钮；前端没有读取或展示 analysis_incomplete、quality_degraded、partial 等结果标记。后端虽可拒绝不合格切片，但页面会把降级/不完整结果呈现为正常结果，用户仍会尝试后续操作。"
+     "loc": "app/static/js/app.js:449-500; app/templates/clip_review.html:195-200",
+     "text": "renderAiAnalysisSummary 只按 clips/clip_summaries 渲染并给出“去检查并生成切片”，没有读取 analysis_incomplete、quality_degraded、coverage_percent、failed_units；审核页生成/同步按钮也仅按 clips 是否存在启用。不完整或降级结果直到后端门禁拒绝才暴露。"
     },
     {
      "sev": "MED",
-     "loc": "app/static/js/app.js:1927-1945",
-     "text": "AI 状态轮询只在成功读取后安排下一次定时器；fetch、JSON 解析或临时网络异常会被调用方 catch(() => {}) 静默吞掉，且不会重新调度，导致页面永久停止刷新而无提示。轮询恢复没有退避、重试上限或明确的读取失败状态。"
+     "loc": "app/static/js/app.js:1811-1827,1951-1967,720-727",
+     "text": "waitForAiAnalysisJob 使用无限 while(true)，没有超时、AbortController 或读取重试；pollAiAnalysisStatus 仅成功响应才安排下一次定时器，初始调用和定时回调均用 catch(() => {}) 静默吞错。一次网络或 JSON 异常即可停止状态刷新；前台等待失败时服务端 Job 仍可能运行。"
     },
     {
      "sev": "MED",
-     "loc": "app/static/js/app.js:1805-1822",
-     "text": "waitForAiAnalysisJob 是无限 while 循环，每秒直接 fetch，没有 AbortController、总超时或网络错误重试；一次临时读取异常就会跳到外层“AI 分析失败”，但服务端 Job 仍可能继续执行，前端重新启用按钮，用户可能再次发起请求并误判任务已失败。"
+     "loc": "app/static/js/publish-center.js:1332-1342,1643-1679",
+     "text": "发送中心保存依次 PATCH target、PATCH send-content、PUT experiment-assignment，没有事务、补偿或失败后回读；最后一步失败时前两步已经持久化，但界面统一显示保存失败并保留旧 experimentId，形成内容已变更而实验归因不确定。"
     },
     {
      "sev": "MED",
-     "loc": "app/static/js/app.js:711-718; app/static/js/app.js:1927-1946",
-     "text": "页面重新打开时只轮询 AI 状态和运行日志；当后台 Job 在该页面生命周期内完成后，轮询停止，但不会自动重新读取 ai-analysis-runs 或渲染最新结果。跨页面/跨进程恢复场景可能显示 100%/已完成，却仍保留旧候选片段和旧历史，必须人工刷新历史或整页刷新。"
+     "loc": "app/static/js/publish-center.js:1142-1180,1423-1429,2246",
+     "text": "refreshJobs 每 5 秒把服务端快照直接写入编辑器的 account_id、publish_mode、cover_file_path、cover_time_seconds，没有 focus、dirty 或版本保护。用户编辑尚未保存时轮询到旧快照会覆盖账号、发布方式和封面选择，丢失本地输入。"
     },
     {
      "sev": "LOW",
-     "loc": "app/static/js/app.js:374-386; app/static/js/app.js:721-776",
-     "text": "AI 分析期间禁用的控件集合不包含动态生成的历史结果恢复按钮，也不包含显示/刷新历史按钮；用户仍可在新分析运行时恢复旧结果或刷新历史，与后台新 Job 的最终写回形成前端竞态。后端若拒绝该操作，页面仍会额外发出冲突请求。"
+     "loc": "app/static/js/app.js:1-2461; app/static/js/publish-center.js:1-2247; app/static/css/styles.css:1-6494",
+     "text": "前端仍把跨页面请求、多个 Job 轮询、审核/裁切/字幕/配置事件与渲染状态集中在两个约 2K 行脚本和一个约 6.5K 行全局样式中，职责与状态共享使轮询或页面状态改动的回归半径持续偏大。"
     }
    ],
-   "auditedHash": "2d2166297bd28a802517fdea820e36153f83cdf9799a3e3593a86d7d3b649519",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "56f4d501087860145412fa6ecc411252ae8e877e"
+   "auditedHash": "57b9ca567d74d4fe20480f20f98eece159f6097e2270dd6518d1c7b4bd0c675f",
+   "auditedAt": "2026-08-30",
+   "auditedRev": "12ca670b521507d1df47750721933342c5b7a8d3"
   },
   {
    "id": "api_runtime",
@@ -200,60 +193,52 @@
     "pipeline_queue",
     "publish_center",
     "publish_scheduler",
+    "content_review",
     "persistence"
    ],
+   "exclude": [
+    "app/models/content_review.py",
+    "app/routers/content_review.py"
+   ],
    "desc": "加载配置、初始化应用与安全中间件，并把页面/API 请求路由到业务服务。",
    "tests": [
     "tests/test_p0_security.py",
     "tests/test_publish_api_flow.py",
     "tests/test_task_defaults.py"
    ],
-   "loc": 2948,
-   "contentHash": "be58ee5d147bab5fd5da3046e53a33a2f05b899fbad204785a71e9b12114c622",
+   "loc": 2995,
+   "contentHash": "5605faba89171459dd8820e36fd7cbc599950ead1bac0fd36bf2aee597278b79",
    "score": 63,
    "grade": "C",
    "tags": [
-    "fallback",
     "legacy",
-    "dual-format",
-    "bloat",
-    "glue"
+    "dual-format"
    ],
    "findings": [
     {
      "sev": "MED",
-     "loc": "app/routers/publish.py:59",
-     "text": "OAuth URL 与 callback 仍捕获 broad Exception，并把 str(exc) 直接放入 HTTP detail 或重定向查询参数；tasks.py、subtitles.py 也存在同类映射。异常文本可能包含本地路径、数据库、FFmpeg 或第三方接口诊断，形成浏览器可见的信息泄漏。"
+     "loc": "app/routers/tasks.py:67-102,212-215,391-398; app/routers/publish.py:68-108,202-208,251-305,316-446",
+     "text": "多个 async handler 仍直接执行同步重任务或外部 I/O：上传后的 create_task_record 会同步执行媒体预检/FFprobe/FFmpeg，process_audio/process_video_cuts 直接运行 FFmpeg，发布账号与排期接口直接调用 PublishWorkerClient._request(urlopen，默认超时 1800 秒)，刷新队列、封面和 AI 文案也直接执行同步服务，可能阻塞 FastAPI event loop。内容复盘导出已在排除模块中使用 run_in_threadpool 并有专项线程隔离测试，未计入本模块。最小修复应将纯同步 handler 改为 def 或完整包裹 run_in_threadpool，并补充并发健康检查响应测试。"
     },
     {
      "sev": "MED",
-     "loc": "app/routers/tasks.py:212",
-     "text": "async process_audio 直接调用同步的 process_task_audio，服务层会执行 FFmpeg/文件与数据库操作；process_video_cuts:392-400 同样直接调用同步切片流程。长请求会阻塞 FastAPI event loop，使轮询、健康检查和其他 API 排队，并增加超时后的重复请求风险。"
+     "loc": "app/routers/publish.py:55-70",
+     "text": "抖音 OAuth URL/回调捕获裸 Exception，并将 str(exc) 直接写入 HTTP detail 或 redirect 查询参数；底层 provider、网络或数据库异常可能携带诊断信息并进入浏览器历史和日志。相关网络异常来自 app/services/publish_providers.py:216-226。应按类型映射安全错误码，原始异常仅服务端记录，并增加错误哨兵不回显测试。"
     },
     {
      "sev": "MED",
-     "loc": "app/models/task.py:38",
-     "text": "TaskStatus 同时保留 uppercase 自动流程状态与 lowercase legacy 状态（pending_processing、ai_analyzing、completed 等），同一业务状态存在双协议；API、数据库查询和状态转换需要维护两套值，容易出现状态筛选和迁移口径不一致。"
+     "loc": "app/models/task.py:243-300,353-410",
+     "text": "PublishBatchScheduleUpdate、PublishScheduleNextStartRequest、PublishBatchJobCreate、PublishBatchTargetUpdate、ClipCandidateBatchUpdate 的批量列表缺少长度上限，现有校验仅做非空/去重；下游 app/services/publish_scheduler.py:1022-1118,1205-1226 和 publish_service.py:2810-2831,3410-3425 会展开 SQL IN 参数并逐项处理，超大请求可能触发 SQLite 变量限制、内存/耗时压力或未转换的 500。应在模型边界设上限并补充超限 API 测试。"
     },
     {
      "sev": "MED",
-     "loc": "app/models/task.py:243",
-     "text": "批量输入列表缺少统一上限：PublishBatchScheduleUpdate.job_ids/confirmed_schedule、PublishBatchJobCreate.output_clip_ids:287、ClipCandidateBatchUpdate.clips:406 与 PublishBatchTargetUpdate.job_ids 均可任意增长。对应路由会逐项执行数据库、文件或发布操作，缺少请求级资源上限，异常大请求可造成内存和处理时间消耗。"
-    },
-    {
-     "sev": "LOW",
-     "loc": "app/core/config.py:93",
-     "text": "新分域 AI_ANALYSIS_REMOTE_* / AI_PUBLISH_REMOTE_* 配置仍通过 _env_first 回退到 AI_REMOTE_*，同时 Settings 继续保留完整旧字段组；兼容来源有文档说明但长期存在来源漂移和配置行为不一致风险。"
-    },
-    {
-     "sev": "LOW",
-     "loc": "app/routers/tasks.py:1",
-     "text": "tasks.py 约 537 行、publish.py 约 514 行，包含大量重复的 try/except 与一行式 service 转发；路由、错误映射、同步/异步边界和兼容规则集中在大型 glue 文件中，修改入口时 blast radius 较大。"
+     "loc": "app/models/task.py:38-72; app/routers/tasks.py:162-170",
+     "text": "TaskStatus 同时暴露 uppercase 全自动状态和 lowercase 手工/遗留状态，路由接受两套值，服务层分别维护状态标签、进度、转换和生命周期集合；大小写协议混用时会出现精确匹配冲突、错误进度或无法转换。应在 API 边界规范化单一状态协议，并补充跨模式状态转换矩阵测试。"
     }
    ],
-   "auditedHash": "be58ee5d147bab5fd5da3046e53a33a2f05b899fbad204785a71e9b12114c622",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "56f4d501087860145412fa6ecc411252ae8e877e"
+   "auditedHash": "5605faba89171459dd8820e36fd7cbc599950ead1bac0fd36bf2aee597278b79",
+   "auditedAt": "2026-08-30",
+   "auditedRev": "e03c6cac1ae489805700e7d4797ddc882d52e97e"
   },
   {
    "id": "media_storage",
@@ -277,10 +262,10 @@
     "tests/test_path_resolution.py",
     "tests/test_long_live_foundation.py"
    ],
-   "loc": 1635,
-   "contentHash": "ec7d7c1c77275b12ac6cad06027256c44aa6a9e9a75e21c277cb6734001772e0",
-   "score": 78,
-   "grade": "B",
+   "loc": 1639,
+   "contentHash": "065cef24d625891460757f167ac91ff6599801bf5de06350a464fbfc05a3cba1",
+   "score": 73,
+   "grade": "C",
    "tags": [
     "fallback",
     "legacy",
@@ -291,37 +276,32 @@
     {
      "sev": "MED",
      "loc": "app/services/storage_service.py:693",
-     "text": "任务媒体删除已写入 manifest 并分阶段移动，但没有跨进程扫描、加载或恢复入口。进程在暂存完成、数据库提交前崩溃会使数据库仍可见任务的原目录已被移走；数据库提交后、finalize 前崩溃则 cleanup_pending 只存在于本次响应，重启后不会自动清理或恢复。"
+     "text": "删除 manifest 只在当前进程内写入并由内存中的 StagedTaskMediaCleanup 继续处理；没有启动扫描、manifest 加载或跨进程恢复入口。进程在目录已移入暂存区、数据库提交前崩溃会留下任务原目录缺失；提交后、finalize 前崩溃则暂存区长期遗留，重复删除也不会扫描清理。"
     },
     {
      "sev": "MED",
      "loc": "app/services/storage_service.py:362",
-     "text": "resolve_video_file_path 对已存在路径直接返回，不验证路径是否位于允许根目录；get_source_video_path 及多个非 HTTP 调用方复用该入口，数据库中的异常视频/产物路径仍可能被发布、字幕或任务查询流程读取为本地任意文件。HTTP 媒体路由已有更严格的任务目录校验，但共享原语本身仍不安全。"
+     "text": "resolve_video_file_path 对已存在路径直接返回，未验证是否位于允许根目录；validate_source_video_path 虽有根校验，但发布、字幕和查询等调用方直接复用该解析器后仅检查 exists/is_file。异常数据库 output_file_path 因此仍可能被本地发布流程读取或上传为任意现有文件。"
     },
     {
      "sev": "LOW",
-     "loc": "app/services/storage_service.py:256",
-     "text": "allocate_task_dir_name(reserve=True) 先独占创建目录，再由调用方写入 tasks 记录；进程在两步之间退出会留下没有数据库记录的孤儿任务目录，当前没有启动扫描或清理机制。"
+     "loc": "app/services/storage_service.py:490",
+     "text": "save_uploaded_video 从 503 行直接以 wb 写入最终 source 文件，没有 .part 文件和原子替换；请求异常时 unlink 失败被静默忽略，进程崩溃/断电无法执行清理，可能留下无数据库引用的半成品上传并占用最多 4GB 磁盘。"
     },
     {
      "sev": "LOW",
-     "loc": "app/services/storage_service.py:503",
-     "text": "上传直接写入最终 source 文件；上传或后续建档失败时的 unlink 异常被静默忽略，进程在上传中途退出也没有跨进程清理清单，可能留下未被任务引用的半成品媒体。"
-    },
-    {
-     "sev": "LOW",
-     "loc": "app/services/storage_service.py:842",
-     "text": "遗留 move_task_directory_to_trash 使用 reserve=False 的存在性检查后分配回收站目录，没有独占预占；并发删除同名任务可能选择相同目标目录并发生移动冲突。当前未发现运行时调用，但兼容入口仍可被恢复使用。"
+     "loc": "app/services/storage_service.py:256",
+     "text": "allocate_task_dir_name(reserve=True) 在数据库 INSERT 前用 mkdir 预占目录；调用方若在预占与建档之间崩溃，目录没有任务记录且当前没有孤儿目录扫描或恢复机制。正常 HTTP 异常可清理，但无法覆盖进程级中断。"
     },
     {
      "sev": "LOW",
      "loc": "app/services/video_cut_service.py:185",
-     "text": "cut_single_clip 在 FFmpeg 成功前先删除 plan.output_path；若重复执行同一 CutPlan 后发生超时、启动失败或输出切换失败，之前已经有效的成片会先被删除，临时文件原子替换无法保护旧结果。"
+     "text": "cut_single_clip 在 FFmpeg 启动前先 unlink plan.output_path；build_output_path 的正常工作流通常生成新路径，但同一 CutPlan/输出路径重试时，失败或超时会先删除已有有效成片，临时文件原子替换无法保护旧结果。"
     }
    ],
-   "auditedHash": "ec7d7c1c77275b12ac6cad06027256c44aa6a9e9a75e21c277cb6734001772e0",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "56f4d501087860145412fa6ecc411252ae8e877e"
+   "auditedHash": "065cef24d625891460757f167ac91ff6599801bf5de06350a464fbfc05a3cba1",
+   "auditedAt": "2026-08-29",
+   "auditedRev": "efb3e5a74d61eb71fab4f4d1bc3834486c6a54db"
   },
   {
    "id": "transcription",
@@ -345,50 +325,51 @@
     "tests/test_long_live_foundation.py"
    ],
    "loc": 2276,
-   "contentHash": "0e7b974a289de7b62a22333d90b6ac8e9db2a8118cac505279546d75ea2fe74a",
-   "score": 64,
+   "contentHash": "b21738f143c2e9e9ee3f310f82f2d162c409ce32f698da32577e24768bca2a7c",
+   "score": 63,
    "grade": "C",
    "tags": [
     "fallback",
     "silent-except",
+    "legacy",
     "duplication",
     "god-component"
    ],
    "findings": [
     {
      "sev": "MED",
-     "loc": "app/services/transcript_service.py:1099-1129,1159-1196",
-     "text": "faster-whisper 的 model.transcribe 与模型加载没有单次调用或绝对时限；模型/解码器卡住时只能依赖外层 Worker，直接转写路径可能长期占用。"
+     "loc": "app/services/transcript_service.py:1131-1158,1191-1228",
+     "text": "faster-whisper 的 model.transcribe 调用、模型加载和 raw_segments 生成器迭代均没有绝对时限或内部取消检查；持久 Worker 只能依赖最长约 1800 秒的无进度 watchdog，旧版直连/后台任务路径没有外层 job 截止时间，模型卡死时可能长期占用进程。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/transcript_service.py:164-191",
-     "text": "FFmpeg 音频提取只有无进展 watchdog，没有绝对 wall-clock deadline；进程持续输出进度但实际不结束时仍可能无限运行。"
+     "loc": "app/services/transcript_service.py:113-191",
+     "text": "run_ffmpeg_audio_extract 只有无进度 watchdog，没有 started_at 或绝对 wall-clock deadline；循环收到任意 FFmpeg 输出就刷新 last_progress_at，即使 out_time_ms 不再推进也可能持续运行。旧版直连音频处理不带 job_id，无法依赖外层任务 watchdog。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/transcript_service.py:981-989",
-     "text": "进度文件损坏、读取失败或顶层非 dict 时统一返回空字典，静默丢失故障证据，恢复逻辑无法区分初始状态与持久化损坏。"
+     "loc": "app/services/transcript_service.py:1034-1042; app/services/transcript_workflow_service.py:122-148",
+     "text": "进度文件损坏、不可读、JSON 顶层非 dict 时统一返回 {}；状态层将其当作‘没有进度’且 is_stale=False，既不暴露损坏证据，也不会触发恢复/人工复核，重启后可能误判为可正常重跑或静默丢失运行状态。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/transcript_service.py:67-77,1259-1270",
-     "text": "活动 provider/model/device/compute_type 仍使用模块级可变全局；同一进程并发转写会互相覆盖运行元数据和进度展示。"
+     "loc": "app/services/transcript_service.py:67-77,1191-1228,1291-1367; app/services/transcript_workflow_service.py:221-260,346-430",
+     "text": "模型缓存、当前 provider/model/device/compute 元数据和运行集合均为模块级可变状态，且运行集合没有锁。旧版 BackgroundTasks 可并发处理不同任务，任务 A 写进度/Markdown 时可能读到任务 B 的 provider 或模型标签；并发模型加载也无锁，设置变化时 _WHISPER_MODEL_KEY 可能与实际加载模型不同。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/transcript_service.py:347-549",
-     "text": "本地与火山远程分片分别复制 chunk、checkpoint、进度和异常收口逻辑，两个实现继续存在维护分叉。"
+     "loc": "app/services/transcription_checkpoint_service.py:40-50,68-75; app/services/transcript_workflow_service.py:321-328",
+     "text": "大于 1 MiB 的音频指纹只哈希文件大小、前 1 MiB 和后 1 MiB，中间内容替换后仍可命中旧 checkpoint；同时工作流仅凭现有 transcript 能读出一行就跳过重转，不校验源文件指纹、provider 或模型，可能把旧分片结果用于新音频。"
     },
     {
-     "sev": "MED",
-     "loc": "app/services/transcript_service.py:83-1395",
-     "text": "单文件仍混合 FFmpeg、faster-whisper、远程 HTTP、幂等 checkpoint、进度文件和 Markdown 生成，约 1400 行，职责边界和回归影响面偏大。"
+     "sev": "LOW",
+     "loc": "app/services/transcript_service.py:347-549",
+     "text": "本地与 Volcengine 转写分别复制了完整的分片遍历、checkpoint、进度、偏移和清理生命周期；两条路径已出现不同的请求不确定态处理，后续修复取消、租约或计数逻辑需同步维护，存在行为漂移风险。该文件同时承担 FFmpeg、模型、远程 HTTP、checkpoint、进度和 Markdown，变更影响面较大。"
     }
    ],
-   "auditedHash": "0e7b974a289de7b62a22333d90b6ac8e9db2a8118cac505279546d75ea2fe74a",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "56f4d501087860145412fa6ecc411252ae8e877e"
+   "auditedHash": "b21738f143c2e9e9ee3f310f82f2d162c409ce32f698da32577e24768bca2a7c",
+   "auditedAt": "2026-08-29",
+   "auditedRev": "efb3e5a74d61eb71fab4f4d1bc3834486c6a54db"
   },
   {
    "id": "ai_selection",
@@ -400,8 +381,7 @@
     "app/services/ai_analysis_workflow_service.py",
     "app/services/ai_config_service.py",
     "app/services/ai_prompt_preset_service.py",
-    "app/services/ai_clip_service.py",
-    "app/services/clip_feedback_service.py"
+    "app/services/ai_clip_service.py"
    ],
    "coupling": "core",
    "deps": [
@@ -415,8 +395,8 @@
     "tests/test_long_live_selection.py",
     "tests/test_variety_comedy_selection.py"
    ],
-   "loc": 6031,
-   "contentHash": "60f1d8ab002c31dbec0d955d62707d06502b95f72ee9d12776155772fc01735f",
+   "loc": 6120,
+   "contentHash": "3a13f3e28315901d332fc794eb37e1573f539696e51984410e4577f6df69a774",
    "score": 70,
    "grade": "C",
    "tags": [
@@ -431,33 +411,33 @@
    "findings": [
     {
      "sev": "MED",
-     "loc": "app/services/ai_analysis_workflow_service.py:1273-1320,1322-1360",
-     "text": "active run 的 payload clips、clip_candidates 和 analysis.json 分开读取；恢复/返回路径未校验三者的数量、ID、内容及代际一致性，候选账本漂移时仍可能把 active run 当作可信结果继续展示或恢复。"
+     "loc": "app/services/ai_analysis_workflow_service.py:1023-1037,1330-1369",
+     "text": "恢复路径仅从 active ai_analysis_runs 读取 payload 并校验 workflow_job_id，未核对 clip_candidates 的 source_analysis_run_id、候选 ID/数量、转写或源文件代际；随后可直接覆盖 analysis.json。候选表、run payload 与派生文件发生漂移时仍会展示或恢复旧 run。"
     },
     {
-     "sev": "LOW",
-     "loc": "app/services/ai_analysis_workflow_service.py:878-925",
-     "text": "数据库没有历史 run 时会从 analysis.json 兼容合成 active run，当前只检查 JSON 对象和基础 meta 类型，不验证 checksum、完整 schema、selection_profile、候选字段或文件与数据库代际一致性。"
+     "sev": "MED",
+     "loc": "app/services/ai/ai_clip_analyzer.py:485-562",
+     "text": "_normalize_ai_clip_item 为缺失的标题、摘要、推荐理由、剪辑建议、spread、confidence 和封面位置填入默认值；仅有时间范围的稀疏 Provider 响应可通过 Pydantic。通用分析随后固定写入 invalid_item_count=0，并只按失败单元设置 analysis_incomplete，语义不完整的候选会被当作正常结果。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/ai/ai_clip_analyzer.py:414-490,597-615",
-     "text": "AI JSON 解析通过别名映射、literal_eval 和默认值补齐缺失标题、摘要、理由、置信度等字段；模型 schema 退化时仍可能被合成为看似完整的候选结果。"
+     "loc": "app/services/ai_analysis_workflow_service.py:1",
+     "text": "ai_analysis_workflow_service.py 当前约 1406 行，同时承担 Provider 编排、任务状态与租约、候选 SQL、Prompt/运行历史、恢复、analysis.json 物化及 API 结果组装，职责和测试边界过宽，局部修改的回归影响面较大。"
     },
     {
-     "sev": "MED",
-     "loc": "app/services/ai_analysis_workflow_service.py:1-1470",
-     "text": "单文件约 1400 行，同时承担 Provider 编排、任务状态、租约、候选替换、文件落盘、历史 run、恢复和 API 返回；职责与测试边界过宽，修改 blast radius 较大。"
+     "sev": "LOW",
+     "loc": "app/services/ai_analysis_workflow_service.py:878-925",
+     "text": "数据库没有历史 run 时，_ensure_ai_analysis_history_from_current_file 会从 analysis.json 兼容合成 active run；当前仅检查 JSON 对象和基础 meta 类型，不验证 checksum、完整 schema、selection_profile、候选字段或文件与数据库代际一致性。"
     },
     {
      "sev": "LOW",
      "loc": "app/services/ai/ai_clip_service.py:4-39",
-     "text": "generate_candidate_clips_placeholder 仍返回固定 fake output；当前未发现主流程调用，但误调用会产生伪造候选，属于 legacy/placeholder dead code。"
+     "text": "generate_candidate_clips_placeholder 仍返回三条固定 ClipCandidate，完全不读取转写、Provider 或任务输入；当前未发现主流程调用，但误调用会产生伪造候选，属于遗留 placeholder/fake output。"
     }
    ],
-   "auditedHash": "60f1d8ab002c31dbec0d955d62707d06502b95f72ee9d12776155772fc01735f",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "56f4d501087860145412fa6ecc411252ae8e877e"
+   "auditedHash": "3a13f3e28315901d332fc794eb37e1573f539696e51984410e4577f6df69a774",
+   "auditedAt": "2026-08-30",
+   "auditedRev": "12ca670b521507d1df47750721933342c5b7a8d3"
   },
   {
    "id": "task_review_cut",
@@ -485,63 +465,116 @@
     "tests/test_clip_review_publish_sync.py",
     "tests/test_versioning_rollback.py"
    ],
-   "loc": 3094,
-   "contentHash": "b61dc1321ba5e1e1b14052163be7ca8bf64850b6f493dc996594dbe89977b657",
-   "score": 68,
+   "loc": 3422,
+   "contentHash": "b6688ef0f3970d9ac55abeaa335893c4de42e69aa6f70fdde04478cb2a2de87f",
+   "score": 63,
    "grade": "C",
    "tags": [
     "god-component",
     "glue",
     "duplication",
+    "bloat",
     "fallback",
+    "silent-except",
     "dual-format",
     "legacy"
    ],
    "findings": [
     {
      "sev": "MED",
-     "loc": "app/services/video_cut_workflow_service.py:516-582; app/services/video_cut_workflow_service.py:87-105",
-     "text": "process_task_video_cuts 创建切片批次前仍未校验任务必须处于允许切片的状态，也未检查同一任务是否已有其他 queued/running workflow job；_create_cut_run 只排除 CANCELLED，能够把任意非取消任务写成 cutting。同步切片、AI 候选替换和异步切片并发时仍存在过期候选和状态互相覆盖风险。"
+     "loc": "app/services/video_cut_workflow_service.py:38-107,516-603",
+     "text": "_create_cut_run 只校验当前租约和任务未取消，不检查同一任务已有 queued/running 的切片工作；多个入口可同时创建 cut_run 并执行 cut_clips，导致重复 FFmpeg、状态互相覆盖和无效资源消耗。"
     },
     {
      "sev": "MED",
      "loc": "app/services/task_lifecycle_service.py:373-406",
-     "text": "公共状态转换的完成前置条件仍只查询 output_clip 数据库记录，不验证 output_file_path 对应文件真实存在，也不核对当前 active cut_run。残留或损坏的 output_clip 索引可以让任务被标记为 completed，主状态与实际产物不一致。"
+     "text": "完成状态门禁只查询 active、completed 的 output_clip 数据库行，不验证 output_file_path 仍存在且为文件，也不核对记录是否来自当前 active cut_run；残留索引或被删除的成片仍可能让任务进入完成状态。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/task_query_service.py:234-272",
-     "text": "片段总览的 can_cut 仍只依据 enabled_count 和 source_exists，不读取已统一校验的 analysis_incomplete/quality_degraded，也不排除 AI_ANALYZING 等运行状态。后端已阻止质量降级或不完整分析切片时，页面仍会显示可生成切片。"
+     "loc": "app/services/task_service.py:1198-1232; app/services/video_cut_workflow_service.py:274-323",
+     "text": "_active_outputs_match_enabled_candidates 仅比较候选 ID、数量和输出路径存在性；切片落库虽保存 source_fingerprint，但复用判断不读取它，也没有内容指纹、大小或可播放性校验。源视频被替换或输出被截断时，审核同步可能错误跳过重新切片。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/task_query_service.py:204-208; app/services/task_query_service.py:245-304; app/services/task_query_service.py:417-428",
-     "text": "Dashboard、片段总览和系统状态统计只识别 lowercase completed/completed_with_errors，而全自动流水线使用 uppercase COMPLETED 状态，自动完成任务可能漏计或显示为待前置/待检查，继续保留两套状态格式的展示不一致。"
+     "loc": "app/services/task_service.py:898-968",
+     "text": "list_clip_candidates 对损坏的 quality_evidence_json 静默回退为空字典，但 start_time/end_time 在 try 块外直接解析；单条历史候选时间格式损坏会抛 ValueError，使审核列表接口整体不可用，且数据损坏被隐藏。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/task_service.py:687-744",
-     "text": "list_clip_candidates 对每条历史候选直接解析 start_time/end_time 及多个评分字段，单条坏时间或坏数值格式会让整个审核列表抛 ValueError，阻断人工检查和后续修复。"
+     "loc": "app/services/task_query_service.py:293-334,469-486",
+     "text": "片段总览的 can_cut 只依据启用候选和源文件存在性，不考虑 analysis_incomplete、quality_degraded 或运行状态；系统状态页又精确匹配 lowercase 状态，遗漏全自动的 CREATED、FAILED_*、PENDING_SUBTITLE_REVIEW、COMPLETED，页面统计和操作按钮会失真。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/task_service.py:926-960",
-     "text": "_active_outputs_match_enabled_candidates 只比较启用候选 ID、数量和 output_file_path 是否存在，不验证文件内容、大小、可播放性或 source_fingerprint。路径存在但文件损坏或被外部替换时，审核同步可能错误跳过重新切片。"
-    },
+     "loc": "app/services/task_service.py:508-593,1388-1468,1517-1570; app/services/task_query_service.py:165-251",
+     "text": "task_service.py 约 1570 行，继续集中任务状态、AI、转写、切片、字幕、发布同步和查询，并保留多组转发 task_query_service 的包装器；_row_to_task 对每个任务单独查询 output_clip，Dashboard/字幕总览又重复批量查询和映射输出，存在 N+1 查询、重复逻辑和较大的维护回归半径。"
+    }
+   ],
+   "auditedHash": "b6688ef0f3970d9ac55abeaa335893c4de42e69aa6f70fdde04478cb2a2de87f",
+   "auditedAt": "2026-08-30",
+   "auditedRev": "12ca670b521507d1df47750721933342c5b7a8d3"
+  },
+  {
+   "id": "content_review",
+   "label": "Content Review & Feedback",
+   "band": "workflow",
+   "path": "content review and Douyin feedback loop",
+   "paths": [
+    "app/models/content_review.py",
+    "app/routers/content_review.py",
+    "app/services/content_review_service.py",
+    "app/services/clip_feedback_service.py"
+   ],
+   "coupling": "high",
+   "deps": [
+    "ai_selection",
+    "task_review_cut",
+    "publish_center",
+    "publisher_worker",
+    "persistence"
+   ],
+   "desc": "导入并匹配抖音官方作品指标，关联 Prompt、候选与发布记录，形成内容复盘和实验反馈闭环。",
+   "tests": [
+    "tests/test_content_review.py",
+    "tests/test_content_review_browser.py",
+    "tests/test_content_review_foundation.py",
+    "tests/test_douyin_analytics_worker.py"
+   ],
+   "loc": 2830,
+   "contentHash": "eadb4262d8f714441f7549727561e3d895957ebc7ff42f97062262ee89138019",
+   "score": 70,
+   "grade": "C",
+   "tags": [
+    "bloat",
+    "god-component",
+    "over-fit"
+   ],
+   "findings": [
     {
      "sev": "MED",
-     "loc": "app/services/task_service.py:1-101; app/services/task_service.py:1246-1299; app/services/task_query_service.py:89-172",
-     "text": "TaskService 仍约 1,300 行，同时承担任务状态、AI、字幕、转写、切片、数据库写入和页面查询；底部保留多组只转发到 task_query_service 的包装函数，而 task_query_service 又复制 list_output_clips 的路径解析、字幕状态和发布就绪逻辑，核心修改的 blast radius 仍较大。"
+     "loc": "app/services/content_review_service.py:1",
+     "text": "content_review_service.py 当前约 2387 行，同时承担 CSV/XLSX 解析、官方导出规范化、指标聚合、作品匹配、诊断建议、实验生命周期及多类 SQLite 写入，形成高耦合 God Component，局部修改的维护和回归影响面过大。"
     },
     {
      "sev": "LOW",
-     "loc": "app/services/task_lifecycle_service.py:159-164; app/services/task_lifecycle_service.py:182-229",
-     "text": "create_task_record 在数据库 INSERT 前预创建任务目录；若随后数据库写入失败，服务层本身没有补偿删除空目录的路径，直接调用服务函数时仍可能留下孤儿目录。"
+     "loc": "app/services/content_review_service.py:2092-2100;app/routers/content_review.py:236-239",
+     "text": "delete_item_match 的 UPDATE 仅按 snapshot_id 执行，没有 account_id、平台或当前归属约束；多账号场景下，旧页面或持有已知快照 ID 的请求可解除另一账号的作品关联。"
+    },
+    {
+     "sev": "LOW",
+     "loc": "app/services/content_review_service.py:388-390,421-424,483-486",
+     "text": "官方作品缺平台 ID 时，内部键只由规范化标题和发布时间生成；两条同标题同秒、或仅标点不同的合法作品会命中 seen_ids 并静默 continue，导入行数和快照数据减少且没有人工确认提示。"
+    },
+    {
+     "sev": "LOW",
+     "loc": "app/models/content_review.py:6-7;app/routers/content_review.py:64-70",
+     "text": "ContentMetricImportCommitRequest.confirm 默认 True，提交接口只拒绝显式 false；空 JSON 即可直接确认并写入预览批次，弱化了要求用户明确确认的导入门禁。"
     }
    ],
-   "auditedHash": "b61dc1321ba5e1e1b14052163be7ca8bf64850b6f493dc996594dbe89977b657",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "56f4d501087860145412fa6ecc411252ae8e877e"
+   "auditedHash": "eadb4262d8f714441f7549727561e3d895957ebc7ff42f97062262ee89138019",
+   "auditedAt": "2026-08-30",
+   "auditedRev": "12ca670b521507d1df47750721933342c5b7a8d3"
   },
   {
    "id": "subtitle",
@@ -564,14 +597,13 @@
     "tests/test_subtitle_auto_workflow.py"
    ],
    "loc": 3067,
-   "contentHash": "bdbb1edf69efb3c42f96fd9cff31dfa9e173ba56a2345d191b73531c5ad8f37f",
-   "score": 64,
+   "contentHash": "8660418e0a30c2282c9f6c376bce480b4384dda97fb09b18bff3848daac34928",
+   "score": 63,
    "grade": "C",
    "tags": [
     "fallback",
     "silent-except",
     "legacy",
-    "duplication",
     "bloat",
     "god-component"
    ],
@@ -579,37 +611,37 @@
     {
      "sev": "MED",
      "loc": "app/services/subtitle_auto_workflow_service.py:42-50,51-108",
-     "text": "prepare_task_subtitle_review 先执行 ensure_source_track/ensure_clip_track 并提交 revision/track 副作用，之后才检查活动 Job 与当前 lease；旧 Worker 失租或并发冲突时仍可能留下字幕数据库变更。"
+     "text": "自动字幕流程在验证 workflow job lease 之前就创建并提交字幕工作、轨道等副作用；旧 Worker 若失去 lease，仍可能先写入新对象，之后才被 fencing 拦住，形成重复或孤立字幕状态。"
     },
     {
      "sev": "MED",
      "loc": "app/services/subtitle_data_service.py:1017-1074",
-     "text": "_load_source_cues 对 checksum、JSON 或 segment 错误直接跳过；只要其他 chunk 仍有 cue 就生成部分字幕 revision，损坏转写会被静默降级为缺句结果。"
+     "text": "读取 ASR chunk 时遇到坏 JSON 会静默跳过，剩余分片仍可组装为合法字幕；部分转写数据可能被当成完整结果继续审核或烧录，缺少 fail-closed 完整性证据。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/subtitle_data_service.py:1222-1230,236-330",
-     "text": "_sync_dependent_clip_tracks 逐条调用各自事务的 sync_clip_track；源轨已提交后任一切片同步失败，会留下部分 up_to_date、部分 pending_sync 状态。"
+     "loc": "app/services/subtitle_data_service.py:162-190,1222-1230,236-330",
+     "text": "源字幕 revision 先提交，随后每个片段同步各自独立事务；中途失败会留下部分片段已更新、部分仍是旧版本的非原子状态，重试和人工判断成本高。"
     },
     {
      "sev": "MED",
      "loc": "app/services/subtitle_auto_workflow_service.py:513-569",
-     "text": "checkpoint 与 DB 恢复证据只检查 completed/verified、路径 exists 和 is_file，不检查非空、size/fingerprint 或可被 FFprobe 验证；截断或零字节最终文件仍可能被恢复为成功。"
+     "text": "恢复已有字幕产物只验证路径存在且是文件，没有校验非空、大小、哈希或媒体可读性；截断或损坏文件可能被误当成可恢复成功。"
     },
     {
      "sev": "LOW",
-     "loc": "app/services/subtitle_workflow_service.py:240-257",
-     "text": "遗留 _activate_subtitle_job 仍可无 lease、revision、status 或 task/output_clip 约束直接激活指定记录；当前主渲染路径未调用，但 task_service 仍导入并保留兼容入口。"
+     "loc": "app/services/subtitle_auto_workflow_service.py:140-171",
+     "text": "旧式字幕 Job 激活逻辑依赖较弱的状态约束，异常恢复或并发执行时缺少与当前 workflow generation 等价的完整校验。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/subtitle_data_service.py:1222-1230",
-     "text": "字幕数据层继续集中承担 revision/cue 持久化、导入导出、ASS、波形和 FFprobe，单文件约 1434 行，变更影响面和重复事务路径较大。"
+     "loc": "app/services/subtitle_data_service.py:1-1443",
+     "text": "SubtitleDataService 同时承担 revision、轨道、片段同步、ASR chunk、波形和文件落盘，且波形路径先把整段 PCM 载入内存再下采样；长视频会放大内存峰值，中心化职责也增加回归面。"
     }
    ],
-   "auditedHash": "bdbb1edf69efb3c42f96fd9cff31dfa9e173ba56a2345d191b73531c5ad8f37f",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "56f4d501087860145412fa6ecc411252ae8e877e"
+   "auditedHash": "8660418e0a30c2282c9f6c376bce480b4384dda97fb09b18bff3848daac34928",
+   "auditedAt": "2026-08-29",
+   "auditedRev": "e2ca3907f1d9f2c8c19d744f3061693195dbbd76"
   },
   {
    "id": "pipeline_queue",
@@ -639,59 +671,51 @@
     "tests/test_job_queue.py",
     "tests/test_subtitle_auto_workflow.py"
    ],
-   "loc": 4095,
-   "contentHash": "bd2e33520b473b9dff951c8facb733411fa879987643082a891b8bf2d5694a2e",
-   "score": 66,
+   "loc": 4109,
+   "contentHash": "8b5e328af30e33f90afd14d79d15a29f00872c52ff4fb52ff65409c1ba800763",
+   "score": 63,
    "grade": "C",
    "tags": [
     "fallback",
     "silent-except",
-    "legacy",
-    "stub",
     "bloat",
-    "god-component",
-    "glue"
+    "god-component"
    ],
    "findings": [
     {
      "sev": "MED",
-     "loc": "app/services/pipeline_engine.py:1600",
-     "text": "_write_json_atomic 只在写临时文件前后调用 require_active_job_lease，最终 temporary_path.replace(path) 以及 _create_schedule 的直接 write_text（1614-1616）不带 owner/lease 条件；租约在最后检查后被接管时，旧 Worker 仍可能覆盖新 Worker 的 metadata/schedule 派生文件。数据库 Job 状态虽已 fencing，但文件产物仍存在跨进程陈旧写入窗口。"
+     "loc": "app/services/pipeline_engine.py:1475-1479,1606-1622,1688-1708,1732-1734,1777-1779",
+     "text": "SQLite 侧 Job/Task 写回虽有 lease，但选片、排期、clip_metadata、summary 仍直接 write_text，_update_selected_clips 也直接提交；固定同名 .tmp 及 lease 检查与文件 replace 不在同一原子边界，旧 Worker 或并发重试可能覆盖新代次产物。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/job_worker.py:234",
-     "text": "WorkflowJobRunner.stop 只等待 worker 线程最多 25 秒；若 terminate_process_tree 持续失败，_run_job_subprocess 会保留 lease 并继续重试，但 stop 返回后应用生命周期仍会继续关闭，线程/子进程可能未结束、lease 也未立即释放，下一进程只能等待租约过期恢复。"
+     "loc": "app/services/job_worker.py:260-267",
+     "text": "WorkflowJobRunner._run 调用 claim_next_job 位于 try/except 外；瞬态 SQLite 异常会直接终止 daemon Worker 线程，没有 supervisor、重启或失败信号。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/job_worker.py:272",
-     "text": "父 Worker 启动子进程时将 stdout/stderr 都重定向到 DEVNULL（272-276），job_worker_process 仅把异常文本打印到 stderr；子进程实际堆栈、Provider/FFmpeg 错误完全丢失，父进程最终只能记录退出码，重启恢复和人工诊断证据不足。"
+     "loc": "app/services/job_worker.py:255-258,314-335,475-495",
+     "text": "stop() 只设置停止事件并 join 25 秒；子进程树终止失败时循环可能继续，join 超时后线程和子进程仍可存活，不能保证干净停机。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/job_service.py:163",
-     "text": "_row_to_dict 对 payload_json/result_json/checkpoint_json 的 JSONDecodeError 仅 pass，字段保留为原始字符串；job_worker 随后按 dict 调用 payload.get 等操作时会产生不清晰的 AttributeError/失败，损坏队列数据没有明确的不可恢复数据错误状态。"
+     "loc": "app/services/job_worker.py:293-298; app/services/job_worker_process.py:17-27",
+     "text": "父 Worker 以 stdout/stderr=DEVNULL 启动子进程，子进程异常只打印到被丢弃的 stderr；父进程最终只能记录泛化退出码，显著降低故障定位能力。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/job_worker.py:70",
-     "text": "JOB_TYPE_PUBLISH 仍在 job_service 中声明并可由 create_job 创建，但 execute_job 只有未支持分支（70-71）会失败；这是可入队、可查询却没有执行器的遗留/stub 入口，队列状态语义对调用方不完整。"
+     "loc": "app/services/job_service.py:163-177; app/services/pipeline_engine.py:1313-1322,1810-1816",
+     "text": "payload/result/checkpoint 坏 JSON 被静默保留或降级为默认值；坏 payload 可能以字符串进入后续逻辑，损坏 metadata 可能触发重新生成并隐藏重复成本。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/pipeline_engine.py:88",
-     "text": "PipelineEngine 文件约 1,926 行，仍集中承担步骤编排、租约/取消检查、AutoPipelineCheckpoint 恢复、文件证据、AI/切片/字幕、文案、排期和发布任务创建；与 job_service（约1,171行）共同形成核心 God Component，修改任一步骤的回归半径很大。"
-    },
-    {
-     "sev": "LOW",
-     "loc": "app/services/pipeline_engine.py:1804",
-     "text": "_read_json 在 OSError/JSONDecodeError 时静默返回 fallback；损坏的 metadata、schedule 或配置会被当作空结构继续处理，降低故障可见性和人工恢复依据。"
+     "loc": "app/services/pipeline_engine.py:88-1817",
+     "text": "PipelineEngine 单文件约 1932 行并承担九步编排、恢复、指纹、数据库与各业务步骤，后续局部修改存在真实跨步骤回归风险。"
     }
    ],
-   "auditedHash": "bd2e33520b473b9dff951c8facb733411fa879987643082a891b8bf2d5694a2e",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "56f4d501087860145412fa6ecc411252ae8e877e"
+   "auditedHash": "8b5e328af30e33f90afd14d79d15a29f00872c52ff4fb52ff65409c1ba800763",
+   "auditedAt": "2026-08-30",
+   "auditedRev": "12ca670b521507d1df47750721933342c5b7a8d3"
   },
   {
    "id": "publish_center",
@@ -721,9 +745,9 @@
     "tests/test_publish_task_linkage.py",
     "tests/test_publish_history.py"
    ],
-   "loc": 5654,
-   "contentHash": "7a13cff1d83735a2396e98709b58d9a9ec55b3aef5c32b91373a3a5de4cac13f",
-   "score": 65,
+   "loc": 5669,
+   "contentHash": "06d9de5764cf28eea706b572c9e997764a6e7ff702349ab803fce8b53331948b",
+   "score": 64,
    "grade": "C",
    "tags": [
     "god-component",
@@ -733,58 +757,44 @@
     "fallback",
     "silent-except",
     "placeholder",
-    "duplication"
+    "duplication",
+    "glue"
    ],
    "findings": [
     {
      "sev": "MED",
-     "loc": "app/services/publish_service.py:1",
-     "text": "publish_service.py 仍约4776行，集中承担配置、账号、OAuth、文案、封面、队列、历史、OpenCLI兼容和API发布职责，属于真实 God Component，修改影响面较大。"
+     "loc": "app/services/publish_service.py:1-4793",
+     "text": "单文件同时承载发布配置、账号/OAuth、内容与封面生成、队列同步、历史查询、元数据升级、浏览器自动化和 API 执行，职责高度集中，修改与回归影响面过大。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/publish_service.py:2968",
-     "text": "历史查询 SQL 仍先按大写 PUBLISH_HISTORY_STATUSES 过滤，再做 legacy 状态归一化；数据库中的 lowercase/旧状态记录会在归一化前被排除，历史页与统计可能漏数据。"
+     "loc": "app/services/publish_service.py:2173-2183; 2707-2731",
+     "text": "封面生成异常被写入 cover_error 后仍创建 WAITING 任务；同步路径未把该异常计入 errors，可能返回 ok，错误延迟到后续 readiness 阶段才暴露。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/publish_service.py:2173",
-     "text": "sync_task_publish_jobs 中封面生成异常仅写入 cover_error 后继续创建 WAITING 发布任务，未计入 errors；同步接口可能返回 ok，但任务实际缺少封面，后续发送就绪检查才失败。"
+     "loc": "app/services/publish_service.py:2810-2831",
+     "text": "create_batch_publish_jobs 对不存在的 output_clip_id 直接 continue，最终仍返回 status=ok，调用方无法区分全部成功、部分成功和输入错误。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/publish_service.py:2818",
-     "text": "create_batch_publish_jobs 对不存在的 output_clip_id 直接 continue，最后无论缺失多少输入都返回 status=ok，调用方无法区分全部无效、部分成功和完整成功。"
+     "loc": "app/services/publish_providers.py:117-142; app/services/publish_service.py:2681-2807",
+     "text": "Bilibili 已被配置校验、api_publish 模式和队列流程接入，但 provider.publish() 在校验通过后必然抛出 bilibili_provider_pending，用户可创建一个确定会失败的发布任务。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/publish_readiness.py:167",
-     "text": "PUBLISH_MODES 仍允许 api_publish，但 build_send_readiness 的 resolved_mode 只接受 local_browser/manual_export；API 模式可以创建，却在发送前统一判定 unsupported_publish_mode。"
+     "loc": "app/services/publish_providers.py:70-114; app/services/publish_service.py:4576-4618",
+     "text": "抖音发布由非幂等的 upload_url 与 create_url 两次请求组成，上传成功后第二次请求超时会被整体记为失败；重试可能再次上传并产生重复投稿，代码没有幂等键、远端回执持久化或未知结果隔离。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/publish_providers.py:141",
-     "text": "BilibiliPublishProvider 完成配置和 access_token 校验后固定抛出 bilibili_provider_pending，属于可创建、可排队但无法执行的真实发布入口，仍是 placeholder/stub。"
-    },
-    {
-     "sev": "MED",
-     "loc": "app/services/publish_providers.py:81",
-     "text": "DouyinPublishProvider 将上传和创建作品拆成两个非幂等 HTTP 调用；上传已被平台接受但客户端读取响应时超时或断网，重试可能产生重复作品，未转入人工复核或使用幂等键。"
-    },
-    {
-     "sev": "LOW",
-     "loc": "app/services/publish_service.py:1610",
-     "text": "批量查询每一行都调用 _normalize_job；该函数随后构建 readiness 并触发账号/运行态解析，批量页面可能产生逐行重复查询，数据量增长后会放大响应延迟。"
-    },
-    {
-     "sev": "LOW",
-     "loc": "app/services/publish_providers.py:204",
-     "text": "_post_multipart 使用 read_bytes 将整个视频读入内存，再与 multipart 头部 join；大文件发送峰值内存约为文件大小的两倍，存在资源受限环境下的稳定性风险。"
+     "loc": "app/services/publish_service.py:2948-2979",
+     "text": "发布历史 SQL 直接按大写 PUBLISH_HISTORY_STATUSES 过滤，查询阶段不调用 _normalize_publish_status；若长期运行进程或外部导入仍留下 lower/旧 status，历史与日历会漏项。启动迁移通常会规范化，但查询本身仍不具备兼容保护。"
     }
    ],
-   "auditedHash": "7a13cff1d83735a2396e98709b58d9a9ec55b3aef5c32b91373a3a5de4cac13f",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "56f4d501087860145412fa6ecc411252ae8e877e"
+   "auditedHash": "06d9de5764cf28eea706b572c9e997764a6e7ff702349ab803fce8b53331948b",
+   "auditedAt": "2026-08-30",
+   "auditedRev": "12ca670b521507d1df47750721933342c5b7a8d3"
   },
   {
    "id": "publish_scheduler",
@@ -812,7 +822,7 @@
     "tests/test_publish_timezones.py"
    ],
    "loc": 2362,
-   "contentHash": "7e0f1ec4494c65899b8f29f572c60be557c92140e767f74419bf81b361f10d05",
+   "contentHash": "f32a500bfb7ef63560545618518afa00414d1286be200956506c7459dae7d422",
    "score": 74,
    "grade": "C",
    "tags": [
@@ -824,33 +834,33 @@
    "findings": [
     {
      "sev": "MED",
-     "loc": "app/services/publish_scheduler.py:756-785",
-     "text": "recover_interrupted_jobs 每轮加载全部 PUBLISHING 任务，并逐个同步调用 Worker execution；没有批量上限、并发控制或退避，Worker 超时或不可用时恢复耗时随任务数线性增长并阻塞后续排期。"
+     "loc": "app/services/publish_scheduler.py:283-304",
+     "text": "list_due_jobs 每轮 SELECT 全部 SCHEDULED，再逐条在 Python 解析和过滤时间，没有 SQL 到期条件、分页或批量上限；排期规模增长会提高扫描内存和调度延迟。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/publish_scheduler.py:283-304",
-     "text": "list_due_jobs 每轮 SELECT 全部 SCHEDULED 记录，再逐条在 Python 中解析并过滤时间，没有 SQL due 条件、分页或批量上限，排期规模增长会增加扫描内存和调度延迟。"
+     "loc": "app/services/publish_scheduler.py:756-870",
+     "text": "recover_interrupted_jobs 每轮加载全部 PUBLISHING，并逐条同步查询 Worker execution；没有批量上限或退避，Worker 超时/不可用时恢复耗时会线性增长并阻塞后续排期。"
     },
     {
      "sev": "MED",
-     "loc": "app/services/publish_scheduler.py:133-1789",
-     "text": "PublishScheduler 约 1,700 行并集中承担排期计算、任务领取、结果写回、Worker 恢复、重试修复、人工复核、批量排期及旧版兼容，状态路径修改的回归半径较大。"
+     "loc": "app/services/publish_scheduler.py:133-1924",
+     "text": "PublishScheduler 约 1800 行，集中排期计算、任务领取、结果写回、Worker 恢复、重试修复、人工复核、批量排期及旧版兼容；状态机修改的验证范围仍过大。"
     },
     {
      "sev": "LOW",
      "loc": "app/services/publish_scheduler.py:276-281",
-     "text": "shutdown 会等待后台 Task 完整结束，但没有超时或取消兜底；run_once 被 Worker 长超时、数据库锁或文件操作阻塞时，应用停机可能长时间挂起。"
+     "text": "shutdown 等待后台 Task 完整结束但没有超时或取消兜底；run_once 若被 Worker 超时、数据库锁或文件操作卡住，应用停机可能长时间等待。"
     },
     {
      "sev": "LOW",
-     "loc": "app/services/publish_scheduler.py:1840-1845",
-     "text": "queue_snapshot 对非法 scheduled_at 静默 pass，损坏排期会从今日任务视图消失，未产生告警或异常计数。"
+     "loc": "app/services/publish_scheduler.py:1830-1850",
+     "text": "queue_snapshot 对非法 scheduled_at 静默忽略，损坏排期会从今日视图消失且没有告警或异常计数。"
     }
    ],
-   "auditedHash": "7e0f1ec4494c65899b8f29f572c60be557c92140e767f74419bf81b361f10d05",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "56f4d501087860145412fa6ecc411252ae8e877e"
+   "auditedHash": "f32a500bfb7ef63560545618518afa00414d1286be200956506c7459dae7d422",
+   "auditedAt": "2026-08-29",
+   "auditedRev": "e2ca3907f1d9f2c8c19d744f3061693195dbbd76"
   },
   {
    "id": "publisher_worker",
@@ -875,9 +885,9 @@
     "tests/test_publish_worker_client.py",
     "tests/test_publish_fencing.py"
    ],
-   "loc": 2738,
-   "contentHash": "13f332520f2fc5d872bd52b2dc645804524e005dbedd0990f787c72ee8fbafb4",
-   "score": 80,
+   "loc": 2945,
+   "contentHash": "177963f9f377762f905be0371667df7c9c9c56377f48dad2ba393f7d4bcdf41d",
+   "score": 79,
    "grade": "B",
    "tags": [
     "legacy",
@@ -888,23 +898,28 @@
    "findings": [
     {
      "sev": "MED",
-     "loc": "scripts/publish_host_worker.py:297",
-     "text": "_prior_job_execution_requires_review 会跳过 corrupt 或缺失/无效 identity 的旧 journal；若旧执行已开始上传但身份未持久化，重试可能无法关联并再次提交。browser_opened 仍属于 safe_retry_phases，存在浏览器动作已发生而 journal 尚未推进的重复发布窗口。"
+     "loc": "scripts/publish_host_worker.py:454-483",
+     "text": "跨 execution 扫描对损坏或缺失 identity 的旧 journal 直接跳过；若旧执行已产生上传副作用但身份未落盘，新 execution 无法关联并可能再次投稿。"
+    },
+    {
+     "sev": "MED",
+     "loc": "scripts/publish_host_worker.py:717-719",
+     "text": "官方作品报表同步的通用异常处理将 str(exc) 直接拼入 HTTP detail；底层 Playwright、文件路径或页面诊断可能暴露给调用方，错误边界未统一脱敏。"
     },
     {
      "sev": "LOW",
-     "loc": "app/services/publishers/browser_runtime.py:315",
-     "text": "screenshot 捕获 Exception 后直接返回空字符串，不记录错误或阶段；发布失败诊断可能静默丢失截图证据。"
+     "loc": "app/services/publishers/browser_runtime.py:315-322",
+     "text": "截图失败捕获所有 Exception 后仅返回空字符串且不记录阶段或原因；失败诊断会携带空 screenshot，无法区分取证失败。"
     },
     {
      "sev": "LOW",
-     "loc": "app/services/publishers/page_scripts.py:14",
-     "text": "通过延迟导入 app.services.publish_service 并调用其私有 DOM 脚本维持旧发布协议，形成 Worker/发布服务间的 legacy glue 耦合。"
+     "loc": "app/services/publishers/page_scripts.py:14-150",
+     "text": "页面脚本入口通过延迟导入 publish_service，并由多个包装函数调用其私有 DOM 脚本；活动 Worker 依赖约 4.8k 行旧服务的私有符号，形成 legacy glue 耦合。"
     }
    ],
-   "auditedHash": "13f332520f2fc5d872bd52b2dc645804524e005dbedd0990f787c72ee8fbafb4",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "56f4d501087860145412fa6ecc411252ae8e877e"
+   "auditedHash": "177963f9f377762f905be0371667df7c9c9c56377f48dad2ba393f7d4bcdf41d",
+   "auditedAt": "2026-08-30",
+   "auditedRev": "12ca670b521507d1df47750721933342c5b7a8d3"
   },
   {
    "id": "persistence",
@@ -928,52 +943,46 @@
     "tests/test_database_backup_service.py",
     "tests/test_p1_1_db_performance.py"
    ],
-   "loc": 3756,
-   "contentHash": "9ad2d3c8874bf07b1938c8f9784fcce5b45e686ccddf0a4e056b2744299e213c",
-   "score": 72,
+   "loc": 4927,
+   "contentHash": "35dbcb3316f7e6b3ad78e0f9628e986808bf78c48955f79a409a1214a2459952",
+   "score": 68,
    "grade": "C",
    "tags": [
     "legacy",
     "dual-format",
-    "bloat",
-    "god-component",
+    "fallback",
     "glue"
    ],
    "findings": [
     {
      "sev": "MED",
-     "loc": "app/db/database.py:614",
-     "text": "init_db 仍先执行历史列探测迁移 helper，再执行账本迁移；helper 内部使用 executescript（如 :1074），会隐式提交此前 DML，后续 helper 失败时可能留下部分 Schema/数据变更而无对应 schema_migrations 记录。"
+     "loc": "app/db/database.py:896-918",
+     "text": "init_db 先执行多组未纳入 schema_migrations 的历史 ALTER/executescript 迁移，之后才进入账本事务；中途失败会留下已落盘的部分结构或数据变更，并发启动也缺少统一迁移互斥。"
     },
     {
      "sev": "MED",
-     "loc": "scripts/backup_restore.py:362",
-     "text": "备份验证仅执行 quick_check、必要表/行数和 manifest 文件哈希校验，未执行 PRAGMA foreign_key_check，也未核对 schema_migrations 版本/checksum；外键损坏或结构账本漂移可能被当作可恢复备份。"
+     "loc": "scripts/backup_restore.py:56-96,598-665",
+     "text": "恢复仅一次性探测健康端点，失败会视为无活动服务；BEGIN EXCLUSIVE 也是瞬时检查，整个检查到替换过程没有应用/调度器/恢复任务共享互斥，存在 TOCTOU 写入窗口。"
     },
     {
      "sev": "MED",
-     "loc": "scripts/backup_restore.py:602",
-     "text": "restore_backup_bundle 在替换数据库及删除 -wal/-shm 前没有活动应用/Worker 互斥或停止检查；运行中的 SQLite 连接可能继续写入旧 inode/WAL，造成恢复后丢写或双数据库视图。"
+     "loc": "app/services/database_backup_service.py:112-129; scripts/backup_restore.py:418-426",
+     "text": "备份验证强制要求 schema_migrations 表和账本内容；迁移账本引入前创建的历史备份没有兼容升级路径，会被直接拒绝验证或恢复。"
     },
     {
-     "sev": "LOW",
-     "loc": "app/db/database.py:811",
-     "text": "workflow_jobs claim 索引仅覆盖 status、next_attempt_at、created_at，未包含 lease_expires_at；租约过期接管/恢复扫描仍需过滤大量记录，规模增长后会退化。"
-    },
-    {
-     "sev": "LOW",
-     "loc": "app/db/database.py:169",
-     "text": "tasks.status 无 CHECK 约束且默认仍为 pending_video，历史迁移 :1091-1100 继续归一化 lowercase legacy 状态，而 app/models/task.py:38 同时接受新旧两套枚举，数据库层无法保证唯一状态协议。"
+     "sev": "MED",
+     "loc": "app/db/database.py:2084-2104",
+     "text": "_migrate_tasks_table 每次初始化都把不在硬编码状态白名单内的值改成 pending_video，没有版本或账本保护；未知、未来或旧历史状态可能被静默重置。"
     },
     {
      "sev": "LOW",
-     "loc": "scripts/backup_restore_runtime.py:142",
-     "text": "runtime 入口通过 monkeypatch 替换 backup_restore 的全局函数并重新导出 API；core 与 runtime 两套导入路径的行为可能随新增校验漂移，形成 legacy/dual-format glue。"
+     "loc": "app/db/database.py:807-893",
+     "text": "指标快照、实验及实验项只有单列外键，没有复合账号归属约束；数据库层面仍可接受跨账号批次、作品或实验混绑记录。"
     }
    ],
-   "auditedHash": "9ad2d3c8874bf07b1938c8f9784fcce5b45e686ccddf0a4e056b2744299e213c",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "4d30e346b2f75ca8c55a3fdb2fb836eaa0328e78"
+   "auditedHash": "35dbcb3316f7e6b3ad78e0f9628e986808bf78c48955f79a409a1214a2459952",
+   "auditedAt": "2026-08-30",
+   "auditedRev": "12ca670b521507d1df47750721933342c5b7a8d3"
   },
   {
    "id": "ops_delivery",
@@ -1002,8 +1011,8 @@
     "tests/test_release_version.py",
     "tests/test_publish_worker_autostart.py"
    ],
-   "loc": 4348,
-   "contentHash": "cedfdb41e1d9fb89d361d1f4071b696bc0d1584e9e35db556c5a9f51c513ab2a",
+   "loc": 4369,
+   "contentHash": "11c533edc574714f5dc30fbd5d6ad5eeb2ccd3e7fa2f6bd668930c341bea7d83",
    "score": 68,
    "grade": "C",
    "tags": [
@@ -1013,74 +1022,43 @@
     "duplication",
     "bloat",
     "glue",
-    "silent-except",
-    "monkeypatch"
+    "silent-except"
    ],
    "findings": [
     {
      "sev": "MED",
-     "loc": ".github/workflows/ci.yml:3",
-     "text": "CI 仅监听 master push/PR；feature/docs 直接 push 不即时验证，问题延迟到开 PR。"
+     "loc": "scripts/start.ps1:22-33,95-100; docker-compose.dev.yml:1-6; docker-compose.yml:17-41",
+     "text": "Development/Demo 在选择 Compose overlay 前先执行 doctor；开发 overlay 仍继承正式 data、任务目录和 PUBLISH_SCHEDULER_ENABLED=true，旧存储路径可能阻断隔离 Demo，开发调度器也可能触碰正式任务。"
     },
     {
      "sev": "MED",
-     "loc": "scripts/start_docker_opencli.ps1:24",
-     "text": "健康检查异常只警告不返回非零，服务失败也可能被调用方视为启动成功。"
+     "loc": "scripts/start_publish_worker.ps1:108-140,145-175; scripts/start.ps1:70-79,108-140; scripts/start_native.ps1:106-117,170-235",
+     "text": "启动流程先创建 Worker，再启动 Docker/native Web；后续失败时没有 finally 终止本次创建的 Worker，8765 进程可能驻留并影响后续启动，现有测试仅做静态断言。"
     },
     {
      "sev": "MED",
-     "loc": "scripts/start.ps1:30",
-     "text": "Demo 覆盖生效前先对正式 E 盘配置运行 doctor，新机/迁移机的隔离 Demo 可能被旧路径阻断。"
+     "loc": "scripts/watch_docker_publish_worker.ps1:164-192,216-224,235-238",
+     "text": "Worker 连接修复失败时会持续等待并 force-recreate workflow，长期 Token 或网络故障可形成约 80 秒一轮的无限容器重建循环。"
     },
     {
      "sev": "MED",
-     "loc": "scripts/start.ps1:71",
-     "text": "Worker 启动异常被捕获后继续并报告工作台成功，发布能力不可用时易被误判完整健康。"
-    },
-    {
-     "sev": "HIGH",
-     "loc": "scripts/migrate_task_dirs_to_project_names.py:211",
-     "text": "任务目录迁移用非 WAL-aware 主库 copy，先移动目录再统一更新提交，无文件补偿，异常会让路径/DB 不一致。"
-    },
-    {
-     "sev": "MED",
-     "loc": "scripts/restore.ps1:27",
-     "text": "恢复只以健康响应判断 App 运行，StopServices 只停 Compose；native/异常健康进程可能仍持有 DB 时执行替换。"
+     "loc": "scripts/start_docker_opencli.ps1:24-29; scripts/start.ps1:196-204,237-252",
+     "text": "兼容启动器 health 异常只打印仍在初始化并正常返回；主启动器对 Worker 未连接也仅警告，最终仍返回成功，可能让用户误判发布链路已就绪。"
     },
     {
      "sev": "MED",
-     "loc": "scripts/backup.ps1:33",
-     "text": "备份默认包含 .env 且不加密，仅显式 ExcludeEnv 才排除，包被共享时泄漏本机秘密。"
+     "loc": "scripts/restore.ps1:84-92; scripts/backup_restore.py:56-75,598-650",
+     "text": "恢复前仅做一次健康检查和瞬时 BEGIN EXCLUSIVE，检查、回滚备份、媒体暂存与数据库替换之间没有持续进程互斥，服务可能在窗口内重新写入。"
     },
     {
      "sev": "MED",
-     "loc": "tests/test_native_scripts.py:11",
-     "text": "启停测试主要是源码字符串断言，Windows smoke 不做实际 restore/冲突/清理失败与恢复后健康验证。"
-    },
-    {
-     "sev": "MED",
-     "loc": "scripts/seed_demo_data.py:32",
-     "text": "缺 FFmpeg 时仍插入无媒体路径 Demo 数据并成功退出，数量检查通过但媒体 smoke 不可信。"
-    },
-    {
-     "sev": "LOW",
-     "loc": "scripts/acceptance.ps1:115",
-     "text": "验收递归扫描正式任务目录，媒体量大/锁文件会显著拖慢或阻断 release gate。"
-    },
-    {
-     "sev": "LOW",
-     "loc": "scripts/backup_restore_runtime.py:142",
-     "text": "import 时 monkeypatch backup core，全局行为依赖导入顺序。"
-    },
-    {
-     "sev": "LOW",
-     "loc": "docs/PORTABLE_SETUP.md:127",
-     "text": "文档描述与当前 start.ps1 实现不符，旧 Next Steps 又保留兼容入口，启动排障认知漂移。"
+     "loc": "scripts/backup.ps1:25-43,67-70; scripts/backup_restore.py:267-312",
+     "text": "普通备份默认包含 .env，只有显式 -ExcludeEnv 才排除；ZIP 内 API Key/Token 明文仍有复制或共享扩散风险。"
     }
    ],
-   "auditedHash": "cedfdb41e1d9fb89d361d1f4071b696bc0d1584e9e35db556c5a9f51c513ab2a",
-   "auditedAt": "2026-08-25",
-   "auditedRev": "56f4d501087860145412fa6ecc411252ae8e877e"
+   "auditedHash": "11c533edc574714f5dc30fbd5d6ad5eeb2ccd3e7fa2f6bd668930c341bea7d83",
+   "auditedAt": "2026-08-30",
+   "auditedRev": "12ca670b521507d1df47750721933342c5b7a8d3"
   }
  ]
 }
\ No newline at end of file
diff --git a/DEVELOPMENT_LOG.md b/DEVELOPMENT_LOG.md
index 3c86d43..03ca8e5 100644
--- a/DEVELOPMENT_LOG.md
+++ b/DEVELOPMENT_LOG.md
@@ -1,5 +1,14 @@
 # Development Log
 
+## 2026-08-30 第二次工程复检整改收口
+
+- 使用 Codemap、Code Overhaul 和 SonarQube 26.8 对最终 revision `12ca670` 完成整改后全量复检，并生成 `PROJECT_REAUDIT.md`。
+- 上次 13 个 P0/P1 核心问题保持 `13/13` 关闭；整改前 A-F 六项问题为 `6/6` 关闭。独立复审发现的预览按钮状态回归已在最终 revision 修复，当前没有未关闭的新 P0/P1。
+- Codemap 14 个模块全部完成独立复审，`needs_audit=0`；HIGH 从 1 条降为 0，平均分从 65.4 提升到 66.8，D 模块从 3 个降为 1 个。
+- SonarQube 没有新增 Bug 或 Vulnerability，但增加 4 条 Code Smell；Quality Gate 因没有 `coverage.xml` 和 4 个 new-code 规则问题为 ERROR。本轮如实保留，不为追分继续修改高风险迁移或前端函数。
+- 最终全量 `867 passed`；PR #67、#68、#69 的 Linux、Windows host smoke 和 Docker image smoke 全部通过。活动库只读检查为 `quick_check=ok`、外键违规 0，但本轮新增迁移尚未应用。
+- 当前健康度为 `80/100 · 稳定 V1`，已经达到停止本轮业务代码优化的条件；剩余历史迁移、恢复互斥、文件/lease、Worker 可观测性和启动隔离问题按真实触发条件进入 P2。
+
 ## 2026-08-30 内容复盘异步边界与陈旧预览保护
 
 - 官方作品导出路由将账号解析、同步 Worker 调用、行数校验和 SQLite 提交整体放入线程池；原有登录、验证、限流、页面变化、下载失败和 Worker 不可用错误码保持不变。
diff --git a/NEXT_STEPS.md b/NEXT_STEPS.md
index da40010..970abb3 100644
--- a/NEXT_STEPS.md
+++ b/NEXT_STEPS.md
@@ -1,5 +1,14 @@
 # Next Steps
 
+## 2026-08-30 第二次工程复检收口后的下一步
+
+1. 停止继续做全项目重构、格式化、God Service 拆分或 Sonar 追分；本轮源码优化已经达到停止条件。
+2. 由用户按 PR #67 → #68 → #69 的堆叠顺序审阅并明确确认合并；Codex 不会自动合并。
+3. 合并后若准备启用新迁移，先确认没有正在发布或处理的任务，停止相关 Web/Worker，备份活动 SQLite，再受控启动并检查 `20260830_01_ai_prompt_version_fk`、`PRAGMA quick_check` 与 `PRAGMA foreign_key_check`。
+4. 活动库当前大小为 10,276,864 字节且检查正常，但 mtime 持续被现有服务更新；不要把测试隔离误写成活动库完全静止，也不要在服务运行时手工迁移或恢复。
+5. 只有真实触发时才另开 P2：恢复前补持续互斥；遇到 Worker 异常退出补 stderr/自愈；启用 B站 API 或高频批量编辑前补部分成功和脏表单保护；需要隔离 Demo 前拆分正式路径与调度器。
+6. 如果未来要求 Sonar Quality Gate 必须为绿，单独增加 `coverage.xml` 产出并校准 new-code 门槛，不要通过机械拆函数或重复字面量清理改变本轮结论。
+
 ## 2026-08-30 内容复盘异步边界验收
 
 1. 合并并受控重启 Web 后，普通查看页面不需要点击任何导出、AI 或投稿按钮；先确认内容复盘、任务详情和系统状态可同时正常打开。
diff --git a/PROJECT_REAUDIT.md b/PROJECT_REAUDIT.md
new file mode 100644
index 0000000..1001db1
--- /dev/null
+++ b/PROJECT_REAUDIT.md
@@ -0,0 +1,207 @@
+# NiuMa Studio 第二次工程复检整改收口报告
+
+> 复检日期：2026-08-30
+> 上次稳定基线：`PROJECT_AUDIT.md` 的 `78/100 · 稳定 V1`
+> 整改前复检：`e2ca3907f1d9f2c8c19d744f3061693195dbbd76`，`72/100`
+> 整改后代码：`12ca670b521507d1df47750721933342c5b7a8d3`
+> 方法：Codemap 全模块独立复扫 + Code Overhaul 整改后增量复评 + SonarQube 26.8 同项目键复扫 + 本地隔离回归 + GitHub 三环境 CI
+> 边界：本报告只复检和更新审计产物；没有在本分支继续修改业务代码，没有迁移活动库，没有调用真实 AI、Chrome、抖音或 B站，也没有合并任何整改 PR。
+
+## 1. 最终结论
+
+当前项目健康度为 **80/100 · 稳定 V1**。相对整改前的第二次复检 `72/100` 提升 8 分，相对上次完整 P0/P1 收口的 `78/100` 提升 2 分。
+
+- 上次 `PROJECT_AUDIT.md` 的 **13 个 P0/P1 核心问题当前为 13/13 保持关闭**。
+- 整改前 `PROJECT_REAUDIT.md` 列出的 **A-F 六项必须修复问题为 6/6 关闭**。
+- 本轮实现后曾由独立前端复审发现 1 个按钮状态回归；它已在最终 revision 修复并增加宽屏、窄屏浏览器回归。**当前没有未关闭的新 P0/P1 回归。**
+- Codemap 从 `1 HIGH / 63 MED / 17 LOW` 变为 `0 HIGH / 58 MED / 16 LOW`；平均分从 `65.4` 提升到 `66.8`，D 模块从 3 个减为 1 个。
+- SonarQube 没有新增 Bug 或 Vulnerability，但增加 4 个 Code Smell、50 分钟技术债；**Sonar Quality Gate ERROR**，原因是没有 `coverage.xml` 和 4 个 new-code 规则问题。
+- 结论是：**可以停止本轮业务代码优化。** 剩余问题都应按真实触发条件另开小任务，不应为评分、格式、重复字面量或 God Service 大小继续扩大重构。
+
+这里的“可以停止”只表示源码整改范围已经收口，不表示已经上线：PR #67、#68、#69 仍未合并，**活动库未迁移**，本轮新增迁移尚未应用。
+
+## 2. 复检快照与证据
+
+| 项目 | 整改前 | 整改后 | 结果 |
+| --- | ---: | ---: | --- |
+| Git revision | `e2ca390` | `12ca670` | 包含 A-F 修复及前端回归修正 |
+| Codemap 模块 | 14 | 14 | 全部重新审计，`needs_audit=0` |
+| Codemap 跟踪代码 | 61,805 行 / 139 文件 | 62,146 行 / 139 文件 | +341 行，主要为修复与测试 |
+| Codemap 平均分 | 65.4 | 66.8 | +1.4 |
+| Codemap 等级 | 1 B / 10 C / 3 D | 1 B / 12 C / 1 D | D 模块减少 2 个 |
+| Codemap Findings | 1 HIGH / 63 MED / 17 LOW | 0 HIGH / 58 MED / 16 LOW | HIGH 清零，总数 -7 |
+| 全量 pytest | 854 passed | 867 passed | +13，全部通过 |
+| GitHub CI | 当前堆叠 PR 无 checks | PR #67/#68/#69 均三环境全绿 | CI 链路恢复 |
+
+最终 Codemap 产物：
+
+- 交互图：`.codemap/codemap.html`
+- 文本摘要：`.codemap/codemap.md`
+- 结构化状态：`.codemap/modules.json`
+
+## 3. 上次问题解决了多少
+
+### 3.1 `PROJECT_AUDIT.md` 的 P0/P1：13/13 保持关闭
+
+| 类别 | 数量 | 当前结果 |
+| --- | ---: | --- |
+| P0 | 3/3 | 测试库隔离、活动库外键一致性、可恢复删除均未回退 |
+| P1 | 10/10 | Secret/鉴权、路径、Job/Publish fencing、状态与切片、转写、AI 完整性、XSS、迁移账本等主契约均保持 |
+
+活动库只读复核结果为 `quick_check=ok`、`foreign_key_check=0`，文件大小仍为 `10,276,864` 字节。数据库 mtime 在验证期间继续被现有服务更新，因此不能宣称活动库“完全未变化”；测试使用独立临时数据库，且未对活动库打开写连接。
+
+### 3.2 整改前 A-F：6/6 已关闭
+
+| 项目 | 当前状态 | 直接证据 |
+| --- | --- | --- |
+| A. 长直播成功结果被质量门禁误判 | 已解决 | canonical meta 明确写入 `quality_degraded=false`，完整结果可进入后续门禁 |
+| B. 内容反馈迁移非原子、旧库 Prompt FK 不等价 | 已解决 | 逐语句事务执行；旧表受控重建并验证 FK、孤儿、索引、触发器、失败回滚和重试 |
+| C. 显式反馈错误绑定当前 active run | 已解决 | 只采用候选 `source_analysis_run_id`；来源不可信时保持未归因，不猜测 active run |
+| D. 官方作品 Prompt 指标时长口径不一致 | 已解决 | 导入、候选和输出片段使用统一的有效时长回退链 |
+| E. 官方导出阻塞 FastAPI 事件循环 | 已解决 | 账号解析、Worker 调用、结果校验和 SQLite 提交整体移入线程池 |
+| F. 堆叠 PR 无 CI | 已解决 | PR #67、#68、#69 的 Linux、Windows host smoke、Docker image smoke 全部通过 |
+
+阶段验证分别为：阶段 1 全量 `861 passed`，阶段 2 全量 `865 passed`，阶段 3 和最终 revision 全量 `867 passed`；迁移专项 `28 passed`，异步边界专项 `39 passed`，最终宽屏/窄屏浏览器用例 `2 passed`。
+
+## 4. 新回归风险检查
+
+本轮没有遗留的新 P0/P1 回归，但发现并关闭过一条实现回归：
+
+- 首版陈旧预览保护在切换账号后会让“重新预览”按钮持续禁用，旧确认请求完成时还可能重新启用无效的确认按钮。
+- 最终提交 `12ca670` 根据当前文件、账号、批次和请求代际重新计算按钮状态，旧响应不能覆盖新上下文。
+- 该问题由独立 Codemap 前端审计发现，并用 1440px 与 390px 两种浏览器视口直接回归。
+
+当前仍存在两类发布前风险，但不是源码回归：
+
+1. PR #67、#68、#69 尚未合并；整改代码还没有进入默认分支。
+2. 活动库尚未应用 `20260830_01_ai_prompt_version_fk`；只读检查明确显示该迁移未落账。后续只能在备份、停止相关服务并按堆叠顺序合并后受控应用。
+
+## 5. Codemap 最终结果
+
+| 模块 | 整改前 | 当前 | 变化 |
+| --- | ---: | ---: | ---: |
+| AI Selection | 55/D | 70/C | +15 |
+| Content Review & Feedback | 61/C | 70/C | +9 |
+| API & Runtime | 58/D | 63/C | +5 |
+| Media & Storage | 73/C | 73/C | 0 |
+| Transcription | 63/C | 63/C | 0 |
+| Task Review & Cut | 63/C | 63/C | 0 |
+| Subtitle | 63/C | 63/C | 0 |
+| Publish Center | 64/C | 64/C | 0 |
+| Publish Scheduler | 74/C | 74/C | 0 |
+| Publishers & Worker | 79/B | 79/B | 0 |
+| SQLite Persistence | 68/C | 68/C | 0 |
+| Pipeline & Job Queue | 65/C | 63/C | -2 |
+| Frontend UI | 57/D | 54/D | -3 |
+| Ops & Delivery | 73/C | 68/C | -5 |
+
+后三项降分来自本轮独立复扫把原有的文件/lease 边界、启动失败残留 Worker、Demo 正式路径继承、UI 轮询和部分保存问题重新计入，并不代表最终提交重新引入了 P0/P1。Codemap 分数是审计判断，不是单纯按 diff 自动加分；应优先看 HIGH 已清零和修复契约是否有直接测试。
+
+## 6. SonarQube 前后指标
+
+本轮继续使用 SonarQube Community Build `26.8.0.126808`、Scanner `8.1.0.6389` 和相同项目键 `niuma-studio-local-audit`。基线为整改前 `e2ca390`，当前为 `12ca670`。
+
+| 指标 | 整改前 | 当前 | 变化 |
+| --- | ---: | ---: | ---: |
+| ncloc | 52,787 | 53,109 | +322 |
+| 导入测试 | 854 | 867 | +13，100% 成功 |
+| Issues | 654 | 658 | +4 |
+| Bugs | 32 | 32 | 0 |
+| Vulnerabilities | 1 | 1 | 0 |
+| Security Hotspots | 0 | 0 | 0 |
+| Code Smells | 621 | 625 | +4 |
+| Duplication | 0.3% | 0.3% | 0 |
+| Coverage | 0.0% | 0.0% | 仍无 `coverage.xml` 输入 |
+| Cognitive Complexity | 10,189 | 10,267 | +78 |
+| Cyclomatic Complexity | 10,280 | 10,352 | +72 |
+| Technical Debt | 5,383 分钟 | 5,433 分钟 | +50 分钟 |
+| Maintainability / Reliability / Security | A / C / D | A / C / D | 不变 |
+| Quality Gate | OK，`conditions=[]` | **ERROR** | 新代码 Coverage 与 4 个规则问题触发 |
+
+严重度由 `4 Blocker / 221 Critical / 366 Major / 63 Minor` 变为 `4 / 225 / 366 / 63`。新增 4 条全部是 Code Smell，不是 Bug 或 Vulnerability：
+
+- `database.py` 两条重复字面量规则；
+- 数据库迁移修复函数 Cognitive Complexity `29 > 15`；
+- 内容复盘预览处理函数 Cognitive Complexity `21 > 15`。
+
+Quality Gate 失败需要如实保留，但不应误读：`new_coverage=0` 表示没有覆盖率报告输入，不等于 867 项测试没有覆盖代码。若以后把 Sonar Gate 设为合并硬门禁，应单独增加 `coverage.xml` 产出并校准 new-code 规则；不建议为了消除这 4 条 smell 再拆高风险迁移函数或制造纯清洁性 diff。
+
+## 7. Code Overhaul 整改后结论
+
+- 架构：FastAPI + SQLite + 文件产物 + Windows Worker 仍适合本机单用户产品，不需要微服务、消息队列、React/Vue 或全量 ORM 重写。
+- 代码质量：复杂度仍集中在 `publish_service.py`、`content_review_service.py`、`database.py`、`PipelineEngine` 和大体量原生前端；只有下一次真实修改相邻业务时才应渐进拆分。
+- 测试：A-F 都有直接业务不变量测试，不再只是接口返回 200 或元素存在；本地全量和三环境 CI 形成闭环。
+- 性能：本轮最明确的 30 分钟事件循环阻塞已经关闭；其余同步重任务只有在实际并发响应变差时再处理。
+- 依赖：未修改依赖文件，`pip check` 通过。可更新项主要是 Pydantic、uvicorn、Ruff 等小版本，没有证据要求本轮升级。
+- 真实边界：本轮没有执行真实 Provider、FFmpeg 长任务、Chrome 登录/风控或平台投稿，因此这些仍需按产品使用过程人工验收，不能由 mock 测试代替。
+
+## 8. 当前仍值得继续处理的问题
+
+以下问题有真实影响，但都不应阻止本轮结束；只有满足触发条件时再单独立项。
+
+| 问题 | 何时值得处理 | 当前优先级 |
+| --- | --- | --- |
+| 历史兼容迁移不全在 ledger 事务内，旧备份又强制要求新 ledger | 下一次需要升级很老的 SQLite 或恢复 ledger 之前的备份前 | P2 |
+| 备份恢复缺少贯穿健康检查到数据库替换的持续应用/Worker 互斥 | 下一次真正执行活动库恢复前，必须先补门禁或受控停服 | P2，高影响低频 |
+| 文件 checkpoint 与 SQLite lease 不是统一原子边界，Worker claim 异常可退出且 stderr 被丢弃 | 需要更强的无人值守恢复、出现旧 Worker 覆盖或难诊断退出时 | P2 |
+| 发送中心仍有部分成功提示、5 秒刷新覆盖脏表单、B站 API Provider 可配置但未实现 | 启用 B站 API、提高批量编辑频率或真实遇到部分保存时 | P2 |
+| Demo/Development 仍可能继承正式路径和调度器，启动失败后可能残留 Worker | 需要把 Demo 当真正隔离环境或频繁自动启停时 | P2 |
+| AI 恢复仍依赖部分默认归一化，坏 JSON 可能静默回退 | 真实 Provider 输出漂移、恢复成本异常或 Prompt 归因异常时 | P2 |
+
+不再建议单独处理：全项目格式化、为拆分而拆分 God Service、重复字面量、全面类型标注、切换前端框架，以及只为提高 Sonar 分数进行的机械修改。
+
+## 9. 验证结果
+
+| 验证 | 最终结果 |
+| --- | --- |
+| pytest 全量 | `867 passed`，9 个既有弃用警告 |
+| 阶段 3 专项 | `39 passed` |
+| 浏览器回归 | 1440px 与 390px，`2 passed` |
+| Ruff | 通过 |
+| Python compileall | 通过 |
+| JavaScript `node --check` | 9/9 通过 |
+| PowerShell Parser | 20/20，0 错误 |
+| Compose | base、base+dev、base+demo 均通过 |
+| `pip check` | 通过 |
+| `git diff --check` | 通过，仅既有 LF→CRLF 提示 |
+| PR #67 CI | Linux、Windows、Docker 全绿 |
+| PR #68 CI | Linux、Windows、Docker 全绿 |
+| PR #69 CI | Linux、Windows、Docker 全绿 |
+
+## 10. 当前健康度评分
+
+| 维度 | 整改前 | 当前 | 说明 |
+| --- | ---: | ---: | --- |
+| 架构合理性 | 7 | 7 | 本地单体仍匹配范围 |
+| 业务逻辑 | 8 | 9 | 长直播、归因和时长口径恢复可信 |
+| 代码质量 | 6 | 6 | HIGH 清零；复杂度和 Sonar smell 仍限制上限 |
+| 数据设计 | 7 | 9 | 本轮迁移原子性与旧库 FK 等价性补齐；历史兼容迁移仍保留 P2 |
+| 稳定性 | 7 | 8 | 异步边界和前端代际已修；Worker/文件边界仍有条件风险 |
+| 测试 | 8 | 10 | 867 项、本轮业务不变量和三环境 CI 全绿 |
+| 安全性 | 8 | 8 | Secret、鉴权、Origin 和人工风控边界未回退 |
+| 性能与资源 | 6 | 7 | 已移除最明确的事件循环长阻塞 |
+| 可观测性 | 7 | 7 | Worker stderr、坏 JSON 和启动降级仍不足 |
+| 文档与可维护性 | 8 | 9 | Codemap、任务文档、日志和复检证据同步 |
+| **总分** | **72/100** | **80/100** | **稳定 V1，可以停止本轮业务代码优化** |
+
+## 11. 是否已经达到“可以停止本轮优化”
+
+**是。** 停止条件已经满足：
+
+1. A-F 六项正确性、迁移、归因、异步和 CI 问题全部关闭；
+2. 新发现的前端按钮回归已在最终 revision 修复；
+3. 最终全量测试、浏览器回归、静态检查和三环境 CI 全部通过；
+4. 当前没有 Codemap HIGH，也没有新增 Sonar Bug/Vulnerability；
+5. 剩余问题均有明确触发条件，继续修改的边际收益低于回归风险。
+
+后续正确动作不是继续“清代码”，而是按堆叠顺序审阅和合并 PR，在受控停服、备份和只读预检后应用迁移，再进行不触发真实投稿的上线检查。任何自动合并、活动库迁移、真实 Provider 或平台操作都不属于本报告授权范围。
+
+## 12. Git 与交付状态
+
+- 真实默认分支：`master`
+- CI 修复：PR #66 已经用户确认并 Squash 合并，`master=b2f949a`
+- 正确性修复：PR #67，OPEN / CLEAN / CI 全绿
+- 迁移修复：PR #68，OPEN / CLEAN / CI 全绿
+- 异步与前端修复：PR #69，OPEN / CLEAN / CI 全绿
+- 本报告分支：`codex/docs-post-remediation-reaudit`
+- 合并状态：#67、#68、#69 均未合并；本轮没有执行自动合并