修复素材精修提交与事务恢复

统一解析精修素材名并剥离历史提交后缀

将候选提交参数校验前移到零副作用阶段

严格识别被后续提交取代的旧事务并增加并发提交门禁

支持生成占位卡拖动和精修候选唯一提交

补充素材画布回归测试与合同文档

docs/technical/【技术方案】客户端素材创作无限画布阶段一合同-2026-08-05.md

@@ -903,6 +903,13 @@ cancelling
 | A27 | 取消 | clean、dirty、generating、staging、committing | 分别符合第 12 节；committing 不伪装成可取消 |
 | A28 | 恢复草稿 | 主文件损坏但恢复副本可信/不可信 | 可信副本恢复到 clean history 基线；不可信进入对账，不猜测 |
 | A29 | 登录刷新重放 | context、参考图准备或首次提交返回 401，刷新后以相同 generationId 和幂等身份重放 | 401 账本保持可恢复且第二次真实访问平台；403 直接失败且不刷新；远端最多受理一次 |
+| A30 | 生成卡片拖动 | 生成中拖动占位卡片 | 卡片位置按画布坐标更新并持久化到 generation record，任务状态刷新不覆盖用户位置 |
+| A31 | 精修最终图唯一性 | 选择另一候选图设为最终图 | 入口原图和所有其他候选保持各自快照，只有 `lastCommit.sourceLayerId` 标识唯一正式候选，更新正式 asset 不反向改写历史图层 |
+| A32 | 精修默认比例 | 打开图片的快速编辑 | 按原图宽高映射到最接近的支持比例（1:1、2:3、3:2、9:16、16:9）；尺寸无效时回退 1:1 |
+| A33 | 旧提交被后继提交取代 | 同一 asset 的旧事务未收尾，且后继 committed 事务链、当前 manifest/revision 与最终文件全部可证明 | 旧事务进入 `superseded`，不回滚、不覆盖当前正式图、不重放旧事件；证据不完整仍进入对账 |
+| A34 | 同资源并发正式提交 | 同一 project/draft/asset 存在 prepared 或 reconciliation 事务时再次提交 | 拒绝新提交并要求先安全恢复；已 committed/rolled-back/superseded 事务不阻塞后续提交 |
+| A35 | 精修文件名包含历史提交后缀 | 后续精修重新打开当前 `localPath`，或再次生成 / 设为最终图 | 统一剥离文件名末尾一个或多个 `--<uuid>` 后缀并规范化为合法 1..=80 字符显示名；生成与最终提交使用同一结果 |
+| A36 | 确定性提交参数无效 | 候选提交名称或用途在校验阶段失败 | 在读取候选、staging、transaction 或 ledger 写入前零副作用失败；UI 作为输入校验错误允许继续编辑，不触发安全恢复 |
 
 阶段一至五最终审计只有在矩阵对应的纯模型、共享 React、Web adapter、Tauri adapter、Rust 持久化与 AppSurface 测试全部通过后，才可宣称图片素材创作正式闭环完成。
 
@@ -973,6 +980,7 @@ confirmation-required
 - 桌面 `>760px` 统一使用 `100dvh` 的两行工作台网格，第一行是内部滚动的主视窗/Supervisor，第二行是常驻 Dock。正式 `1280×800` 基线下页面级尺寸合同为 window/document/body `1280×800`；无登录会话的真实 Vite 入口按安全合同停在登录页，不绕过门禁，工作台内部由 AppSurface、共享 chrome 和 CSS 合同测试提供可重复证据。
 - 阶段五定向测试覆盖共享 chrome 的 pressed、Tauri 实际消费的工具组/分隔符、按钮名称、expanded/disabled、生成确认、失败重试、保存/取消，以及生成 dialog、进度/失败卡、状态栏、Supervisor composer 和 Agent Dock 的非裁剪/可见性合同。生成请求、登录态、泥点计费、Host Port、草稿 CAS、manifest/revision、Runtime、审批和保存事务均未改变。
 - 保存设置的产品语义固定为“名称可编辑、用途受控、格式枚举”。create 默认 `game-art`，普通用户只从 `game-art / icon-spec / ui-prototype / art-spritesheet` 四个权威用途选择；界面显示中文名称，不暴露自由 slug 输入。refine 必须继承源 manifest asset 的 `kind` 并锁定，未知历史 kind 原值透传但只显示“原资源用途”，不得借精修改变 subtype。PNG/JPEG/WebP 继续是有限格式选项。
+- refine 的继承名称从当前源 `localPath` 派生时必须使用唯一 canonical 规则：取文件名、去扩展名、循环剥离末尾 `--<uuid v4>` 历史提交后缀，再执行 NFC、非法字符清理、1..=80 字符边界、Windows 保留名和尾随空格/点防护。生成请求和“设为最终图”不得各自解析。名称 / 用途校验失败属于确定性的输入错误，后端必须发生在读取候选与 staging 之前，前端不得把它呈现为事务恢复。
 - 工具动作与保存设置必须是显式上下两行，保存栅格把主按钮列固定为 `max-content` 且禁止换行；容器宽度不足时保存按钮独占整行。普通用户工作区状态只显示项目名称，不直接展示本机绝对项目路径；显式目录选择、权限确认或开发诊断不受该展示规则替代。
 
 ## 16. 2026-08-10 全类型现有资源非破坏性编辑阶段覆盖条款
@@ -1003,5 +1011,6 @@ confirmation-required
 - Tauri 画布普通滚轮按二维 delta 平移，Shift 加纵向滚轮作为横向平移回退，Ctrl/Command 加滚轮才围绕指针缩放；一次 Shift 指针事件序列只能切换一次选择。生成中必须把焦点移到“停止等待”，并阻止 wheel、指针拖拽、缩放快捷键和方向键继续改变画布，避免生成恢复期间写入新的 UI 快照。
 - `editing` 是唯一允许发起新生成的生命周期。`generating/committing/recovering/failed` 及独立 modal 打开时，画布与顶部工具栏必须同时 disabled/inert；生成事件 handler 还要读取当前权威 lifecycle 再次失败关闭，不能依赖遮罩层或渲染时闭包。
 - asset transaction journal 已精确证明目标 asset、正式媒体和 target revision 写入时，恢复应允许当前 manifest 包含该目标的同时已有后续合法追加，且只要求 `currentRevision >= targetRevision`；补齐同一 ledger/draft 后仍复用原 commit/event 身份，不能因为整个 manifest 不再等于历史 after 快照而永久对账。
+- 未收尾事务只有在同一 project/draft/asset 的后继事务为 `committed/event-attempted`，且旧事务 after 与后继 before、后继 after 与当前 manifest/revision、两份最终文件摘要和 manifest 唯一引用全部严格匹配时，才可标记为 `superseded`。该终态保留旧 journal、ledger、snapshots 与候选文件，不修改草稿 lastCommit，也不重放旧事件；任何证据缺失继续保持 `reconciliation-required`。正式提交入口发现同资源存在 `prepared/reconciliation-required` 事务时必须先拒绝并引导安全恢复，避免制造第二笔可覆盖旧结果的提交。
 
 当前阶段不主动扩展 create 专属空画布导入、生成或保存体验；图片继续复用现有画布，其他类型使用同一资源编辑壳按能力分流，不能把视频、音频或版本强塞进图片图层模型。共享持久化、安全、幂等和可访问性缺陷仍必须修复，因为它们直接影响编辑链路。