后端重写提交

server-rs/crates/api-server/README.md

@@ -42,6 +42,8 @@
 20. 接入 `POST /api/auth/wechat/bind-phone` 微信待绑定账号补绑手机号链路
 21. 接入 `POST /api/assets/objects/bind` 已确认对象绑定业务实体槽位链路
 22. 接入 `POST /api/assets/sts-upload-credentials` 禁用式 STS 写权限 contract
+23. 接入 `custom-world-library`、`custom-world-gallery` 与 agent `publish_world` 首批 Axum facade
+24. 接入 custom world agent `session create / session snapshot` Axum facade
 
 后续与本 crate 直接相关的任务包括：
 
@@ -64,6 +66,8 @@
 17. [x] 接入 `/api/auth/wechat/bind-phone`
 18. [x] 接入 `/api/assets/objects/bind`
 19. [x] 接入 `/api/assets/sts-upload-credentials`
+20. [x] 接入 `custom world library / gallery / publish_world` 首批 facade
+21. [x] 接入 `custom world agent session create / snapshot` facade
 
 当前 tracing 约定：
 
@@ -131,3 +135,4 @@
 11. 当前手机号登录与微信登录都复用 `module-auth` 的进程内认证仓储，`api-server` 负责请求解析、场景判定、系统 JWT 签发与 refresh cookie 写回。
 12. 当前微信回调不会把第三方 token 直接透传给前端或 SpacetimeDB，而是统一换成系统签发的 JWT。
 13. 当前 `/api/assets/sts-upload-credentials` 按“服务器上传、Web 只下载”口径固定返回 `403`，不向浏览器下发 OSS 写权限。
+14. 当前 `/api/runtime/custom-world/agent/sessions` 与 `/api/runtime/custom-world/agent/sessions/{session_id}` 只提供 deterministic session 骨架与 snapshot 读取，不承诺 message submit、operation query、card detail 的完整能力。