diff --git a/docs/project-memory/shared-memory/decision-log.md b/docs/project-memory/shared-memory/decision-log.md
index af11422e1..ecc587fc8 100644
--- a/docs/project-memory/shared-memory/decision-log.md
+++ b/docs/project-memory/shared-memory/decision-log.md
@@ -18,15 +18,15 @@
 
 ## 2026-07-17 生成后抠图原图以 OSS 作为内存生命周期边界
 
-- 背景：角色形象、图标图集和 UI 素材图集的生成原图虽然已先落私有 OSS，但 api-server 仍把带背景原图字节保留到 BgFilter / 阿里云 / 本地 fallback 结束，造成并发任务下的内存峰值叠加。
-- 决策：目标链路的带背景原图上传 OSS 时消费 `DownloadedImage` 所有权，不为上传克隆整张字节缓冲；上传完成后不再跨 BgFilter 调用常驻。BgFilter 只读取 600 秒签名 URL；进入阿里云 fallback 时由 `platform-matting` 新 URL 接口下载原图、上传 `AuthorizeFileUpload` 临时对象，并在开始阿里云推理前结束下载缓冲作用域；阿里云继续失败时，api-server 再从私有 OSS 独立下载原图供本地键色，产出后释放本次原图下载缓冲。
+- 背景：角色形象、图标图集、UI 素材图集和角色动作抽取帧的带背景原图虽然已先落私有 OSS，但 api-server 仍可能把原图字节保留到 BgFilter / 阿里云 / 本地 fallback 结束，造成并发任务下的内存峰值叠加。
+- 决策：目标链路的带背景原图上传 OSS 时消费 `DownloadedImage` 或动作帧字节所有权，不为上传克隆整张字节缓冲；上传完成后不再跨 BgFilter 调用常驻。手动去背景直接复用已有 OSS object key，不下载原图。BgFilter 只读取 600 秒签名 URL；进入阿里云 fallback 时由 `platform-matting` 新 URL 接口下载原图、上传 `AuthorizeFileUpload` 临时对象，并在开始阿里云推理前结束下载缓冲作用域；阿里云继续失败时，api-server 再从私有 OSS 独立下载原图供本地键色，产出后释放本次原图下载缓冲。
 - 边界：不改变接口 DTO、资源记录、画布原图展示、图集切分行为和降级顺序；“释放”指 Rust 所有权和 `Vec<u8>` 析构，RSS 不保证同步下降。
 - 验证方式：`platform-matting` 测试覆盖 URL 下载缓冲在临时上传后结束、降尺寸 Alpha 回贴；`api-server` 结构测试覆盖带背景原图 owned 上传、URL 阿里云 fallback、本地重新下载与原图释放；随后运行两个 crate 的测试与编译检查。
 
 ## 2026-07-15 BgFilter 输入改用私有 OSS 短期签名 URL
 
-- 背景：角色形象、图标图集和 UI 素材图集在调用 BgFilter 前已经把带背景原图持久化到私有 OSS；继续由 api-server 把同一图片作为 multipart `file` 再上传一次，会重复传输图片字节并占用 API 进程网络带宽。
-- 决策：上述生成后抠图链路统一复用已持久化原图的 object key，签发 600 秒 OSS GET URL，并通过 BgFilter multipart 的 `image_url` 字段提交；请求中不再携带 `file`。签名 URL 只交给 BgFilter，不写日志或持久化。2026-07-17 起，原图上传后不再保留图片字节；进入“阿里云通用抠图 → 本地键色”兜底链时按阶段从私有 OSS 重新下载。
+- 背景：角色形象、图标图集、UI 素材图集、角色动作抽取帧和手动去背景在调用 BgFilter 前都已有私有 OSS object key；继续由 api-server 下载或保留图片并作为 multipart `file` 再上传，会重复传输图片字节并占用 API 进程网络与内存。
+- 决策：上述抠图链路统一复用 object key，签发 600 秒 OSS GET URL，并通过 BgFilter multipart 的 `image_url` 字段提交；请求中不再携带 `file`。签名 URL 只交给 BgFilter，不写日志或持久化。2026-07-17 起，生成原图和动作帧上传后不再保留图片字节；进入“阿里云通用抠图 → 本地键色”兜底链时按阶段从私有 OSS 重新下载。
 - 影响范围：仅 `api-server/editor_project` 的 BgFilter 请求输入与相关文档；不改变 BgFilter endpoint、鉴权、`screen_color`、`seg_model`、输出校验、熔断规则、阿里云上传协议或降级顺序。
 - 验证方式：定向测试必须断言 BgFilter 请求函数包含 `image_url` 与 600 秒 OSS 换签，不包含 multipart `file` 或源图字节读取；随后运行 `cargo check -p api-server --manifest-path server-rs/Cargo.toml`。
 
diff --git a/docs/technical/【前端架构】图片画布编辑器MVP接入方案-2026-06-11.md b/docs/technical/【前端架构】图片画布编辑器MVP接入方案-2026-06-11.md
index dd0e28295..34e73a063 100644
--- a/docs/technical/【前端架构】图片画布编辑器MVP接入方案-2026-06-11.md
+++ b/docs/technical/【前端架构】图片画布编辑器MVP接入方案-2026-06-11.md
@@ -21,9 +21,9 @@
 - 生成资源右上角显示元数据按钮，点击打开独立元数据窗口。图片信息页不展示后端组装后的生图 Prompt，也不提供复制 Prompt；只展示该图片生成时用户在面板里提交的输入快照，包括普通生成提示词、规范表单字段、角色设定、图标素材描述、快速编辑提示词、重绘提示词，以及角色规范 / 常规参考图 / 图标规范 / 编辑参考图等参考图卡片，并提供“复制信息”复制当前可见字段。参考图输入快照只保存 `refType/refId` 行引用，其中 `refType="project-resource"` 指向 `editor_project_resource.resourceId`，`refType="asset"` 指向 `editor_asset.assetId`；不得把图片 Data URL、普通 URL 或 `objectKey` 写入 `generationInputs.references`。旧数据或上传图片没有输入快照时显示 `-`，禁止回退展示内部 Prompt。
 - 对生成资源执行重绘时，在右侧创建新的生成结果图层，并自动调整视图显示原图和新图；重绘面板不因提交成功自动关闭，便于连续改提示词。重绘 / 改造输入框只允许从 `generationInputs.fields` 中恢复用户可见输入快照，例如普通生成提示词、视频描述、音效 `prompt`、背景音乐 `gpt_description_prompt`、角色设定、UI 用户输入、图标素材描述、规范表单和宣发素材字段；禁止回退展示资源 `prompt` / `actualPrompt` 中的后端拼接 Prompt、固定生成模板或模型默认提示词。没有用户输入快照的旧图层打开改造时保持空输入，等待用户重新填写。
 - 图片生成 / 修改统一经 api-server BFF 接入 VectorEngine。普通生成、生成规范和重绘保留既有 `gpt-image-2` 路径；图片快速编辑统一打开框选区域 + 单提示词 + 模型选择面板，默认沿用原图模型，不展示参考图或比例 / 尺寸控件；其中生成规范类图片固定 `16:9`、`2K`、`gpt-image-2`，面板底部用与可编辑面板一致的比例 / 尺寸 / 模型胶囊按钮展示固定参数，但按钮为禁用态，不允许在该面板改比例、尺寸或模型。`生成角色形象` 与 `生成图标素材` 支持 `nanobanana2`（`gemini-3.1-flash-image-preview`）和 `gpt-image-2`，默认 `nanobanana2`，并在两类面板之间沿用用户上次选择的模型；两类面板不展示抠图背景色或抠图模型选择；前端用户路径固定提交 `screenColor=auto` 和 `segModel=birefnet`，由后端自动决策具体抠图背景色，`anime-seg` 作为内部保留能力不在用户界面暴露。`nanobanana2` 走 `/v1beta/models/{model}:generateContent`，请求体写入 `generationConfig.imageConfig.aspectRatio/imageSize`；`gpt-image-2` 走 `/v1/images/generations` 或 `/v1/images/edits`，请求体按 VectorEngine 文档映射 `size`。宣发素材三个工作流（游戏首图、详情五图、运营海报）固定使用 `gpt-image-2`，面板模型胶囊为禁用态，不提供 `nanobanana2` 入口；前端按 workflow 同时提交 `outputSize`、`aspectRatio` 和 `imageSize`，其中游戏首图为 `720x540 / 4:3`、详情单图为 `720x1280 / 9:16`、运营海报为 `1280x720 / 16:9`；后端收到 `kind: "publication-material"` 时也强制归一为 `gpt-image-2` 生成和计费，生成回填图层优先使用生成占位的 `originalWidth/originalHeight`，即使上游回包尺寸漂移也不得把宣发素材卡片变成随机 `1:1` 或 `4:3`。纯文本生成走 `/api/editor/images/generations`，重绘在前端读入当前图层图片 Data URL 后走同一图片生成 BFF，并在原图右侧生成一张新图；普通图层重绘作为 `quick-edit` 参考图提交，角色图层重绘必须按 `kind: "character"` 提交，继续套用角色生成器提示词限定、透明 PNG 后处理和角色资产持久化。`生成视频` 走 `/api/editor/videos/generations`，前端模型入口仅展示 Seedance 2.0 Fast / Seedance 2.0 / Kling 3.0 / Kling 3.0 Omni，不展示 Veo 入口，默认 Seedance 2.0 Fast；视频参数按当前正式面板支持的比例、时长、清晰度和声音开关提交，且 Seedance Fast 与 Seedance 标准版必须按各自真实模型 ID 独立映射，不得混用。生成结果以视频图层加入画布。纯文本生成入口采用 Lovart 式画布内占位图 + 锚定生成输入框：点击生成图片后以当前视口世界中心为目标，经统一 placement 避让后创建选中的灰色占位框，输入框跟随占位框显示；待生成、生成中和失败后保留的占位图都必须继续支持拖动，生成完成时真实生成图或视频落在最新占位框位置，输入框继续跟随新生成图层；占位图失焦时隐藏高亮边框、左上角生成器名称和右上角原始尺寸，重新聚焦时再显示，且名称 / 尺寸在画布缩小时按 viewport 反向缩放保持屏幕尺寸稳定；点击所有图片 / 视频生成入口并确认请求开始后，必须隐藏对应设置面板，只保留画布内占位图或原图预览，并在预览上显示 Lovart 式生成中遮罩，避免“面板仍占屏”或“预览一起消失”。图片快速编辑和重绘在调用图片 BFF 前必须把当前图层图片源读取为图片 Data URL；视频素材快速编辑走视频生成 BFF，不允许走图片模型；角色动作的 `生成动画` 仍固定使用 `seedance2.0-fast` 动作 / 视频模型，角色动作素材的 `快速编辑` 按当前帧图片走图片编辑。前端不持有 provider 密钥；上游失败或配置缺失时恢复当前生成设置面板展示失败，不创建 mock 成功图。
-- 图片画布抠图统一使用 BgFilter 服务 `GENARRATIVE_EDITOR_BGFILTER_BASE_URL/remove-background`，默认 `http://58.87.105.82/bgfilter/remove-background`，默认请求超时 `180000ms`（BgFilter CPU 推理）。手动去除背景面向用户任意图片，仍走登录态同源 BFF `POST /api/editor/images/background-removals` 和外部生成队列；worker 固定提交 `background_mode=complex`、`seg_model=birefnet`、`cross_check=off`，不提交 `screen_color`。首次请求失败后立即重试 `1` 次，两次都失败则返回最终错误；manual complex 不接入依赖纯色键值的阿里云 / 本地键色降级链，也不改变 flat 链路的熔断状态。手动与标准纯色背景两类模式共用 `GENARRATIVE_EDITOR_BGFILTER_BASE_URL`、`GENARRATIVE_EDITOR_BGFILTER_TOKEN`、`GENARRATIVE_EDITOR_BGFILTER_REQUEST_TIMEOUT_MS` 和共享 HTTP client；BgFilter token 未配置时只兼容回退读取旧 `GENARRATIVE_EDITOR_BACKGROUND_REMOVAL_TOKEN`。所有令牌都只在服务端注入，前端不持有令牌。worker 对上游结果做响应字节和图片尺寸上限保护，并先落 OSS / asset object；接口只返回 `queueState`，有项目上下文时前端同时创建去背景生成占位并把 `canvasCompletion` 交给后端，完成后由后端写入结果图层和最新项目快照。
+- 图片画布抠图统一使用 BgFilter 服务 `GENARRATIVE_EDITOR_BGFILTER_BASE_URL/remove-background`，默认 `http://58.87.105.82/bgfilter/remove-background`，默认请求超时 `180000ms`（BgFilter CPU 推理）。手动去除背景面向用户任意图片，仍走登录态同源 BFF `POST /api/editor/images/background-removals` 和外部生成队列；worker 校验已有 OSS object key 归属后直接签发 600 秒 URL，固定提交 `image_url`、`background_mode=complex`、`seg_model=birefnet`、`cross_check=off`，不下载原图，也不提交 `file` 或 `screen_color`。首次请求失败后立即重试 `1` 次，两次都失败则返回最终错误；manual complex 不接入依赖纯色键值的阿里云 / 本地键色降级链，也不改变 flat 链路的熔断状态。手动与标准纯色背景两类模式共用 `GENARRATIVE_EDITOR_BGFILTER_BASE_URL`、`GENARRATIVE_EDITOR_BGFILTER_TOKEN`、`GENARRATIVE_EDITOR_BGFILTER_REQUEST_TIMEOUT_MS` 和共享 HTTP client；BgFilter token 未配置时只兼容回退读取旧 `GENARRATIVE_EDITOR_BACKGROUND_REMOVAL_TOKEN`。所有令牌都只在服务端注入，前端不持有令牌。worker 对上游结果做响应字节和图片尺寸上限保护，并先落 OSS / asset object；接口只返回 `queueState`，有项目上下文时前端同时创建去背景生成占位并把 `canvasCompletion` 交给后端，完成后由后端写入结果图层和最新项目快照。
 - 编辑器自己生成的标准纯色背景抠图资产在保存源图后统一调用 BgFilter `background_mode=flat`。角色形象生成、图标 spritesheet 生成、UI 设计图素材提取和角色动作的前端用户路径都固定把 `screenColor=auto` 注入请求体，但用户可见 `generationInputs.fields` 不再记录 `抠图背景色` 或 `抠图模型`；api-server 在组装 prompt 前调用背景决策模块，从 12 个候选色中选择具体 hex，最多重试 3 次，失败后兜底 `#CFEFFF`。后端仍保留手动 hex 解析能力供内部兼容。最终生图 prompt、动作视频实色背景和 BgFilter `screen_color` multipart 字段只接收解析后的具体 hex，不透传 `auto`。四条 flat 路径同时把默认 `segModel=birefnet` 传为 `seg_model`，并显式传 `cross_check`：角色形象生成和角色动作逐帧去背传 `on`，图标 spritesheet 和 UI 设计图素材提取传 `off`，不依赖 BgFilter 服务端默认值；后端仍保留识别 `anime-seg` 的内部兼容能力，但前端用户入口不展示也不提交 `seg_model`、`background_mode` 或 `cross_check`。flat 请求首次失败后立即重试 `1` 次；第二次仍失败、返回非成功状态、空图片或非法图片时，以及连续失败达到 `GENARRATIVE_EDITOR_BGFILTER_CIRCUIT_FAILURE_THRESHOLD=3` 后的 `GENARRATIVE_EDITOR_BGFILTER_CIRCUIT_COOLDOWN_SECONDS=300` 秒熔断期，api-server 都先调用阿里云通用抠图，只有阿里云失败才用本地 `editor_green_screen` 按同一 `screenColor` 兜底去背。角色动作生成的序列帧背景色已与生图统一：后端把源角色图合成到视觉决策出的具体 hex 后再图生视频；抽帧后逐帧进入同一条 `BgFilter（background_mode=flat，cross_check=on）→ 阿里云 → 本地键色` 链路。
-- 角色动作逐帧抠图在 api-server 内复用共享 BgFilter HTTP Client；每一次 HTTP attempt 使用“`GENARRATIVE_EDITOR_BGFILTER_REQUEST_TIMEOUT_MS` 基准值 + `2000ms × 本次实际帧数`”，默认 `32 / 40 / 48` 帧分别为 `244000 / 260000 / 276000ms`，角色形象单图、图标、UI 和手动去背景仍使用基准值。该值是单个请求从发起到响应体读取完成的 timeout，不是整批帧或整项角色动作任务超时；单帧首次失败立即重试 `1` 次并重新计时，第二次仍失败才进入阿里云/本地降级链，整项任务另受 worker long-job 预算约束。全部 `32 / 40 / 48` 帧按“对应绿幕源图落 OSS → BgFilter/降级 → 透明帧落 OSS”连续加入无序在途流水线，允许响应乱序完成并在最终返回前按 `frameIndex` 恢复顺序；任一帧最终失败时仍排空全部已启动请求，整个动作任务失败退款，不发布缺帧动画。
+- 角色动作逐帧抠图在 api-server 内复用共享 BgFilter HTTP Client；每一次 HTTP attempt 使用“`GENARRATIVE_EDITOR_BGFILTER_REQUEST_TIMEOUT_MS` 基准值 + `2000ms × 本次实际帧数`”，默认 `32 / 40 / 48` 帧分别为 `244000 / 260000 / 276000ms`，角色形象单图、图标、UI 和手动去背景仍使用基准值。该值是单个请求从发起到响应体读取完成的 timeout，不是整批帧或整项角色动作任务超时；单帧首次失败立即重试 `1` 次并重新签发 OSS URL、重新计时，第二次仍失败才按 object key 进入阿里云/本地降级链，整项任务另受 worker long-job 预算约束。全部 `32 / 40 / 48` 帧按“对应绿幕源图上传 OSS 并释放原帧字节 → 以签名 URL 调 BgFilter/按 object key 降级 → 透明帧落 OSS”连续加入无序在途流水线，允许响应乱序完成并在最终返回前按 `frameIndex` 恢复顺序；任一帧最终失败时仍排空全部已启动请求，整个动作任务失败退款，不发布缺帧动画。
 - 多产物生成以后端项目快照为唯一画布真相：同一任务实际产生的原始产物、抠图 / 透明化结果和拆分结果都要先登记为 `editor_project_resource`，再通过一次 `canvasCompletion` 原子写入画布。角色形象、图标 spritesheet 和 UI 素材提取的纯色背景原图不能只留在 OSS；透明后处理成功时，处理结果保持主图层和 `generatedLayerId` 锚点，原图及其它附属产物从主结果右侧开始错开放置；透明背景处理最终失败时，只把已保存的原图作为主图完成占位，不放透明处理图，图标和 UI 不继续拆分。source-only fallback 的前端只消费后端返回的 `project` / `resource` 快照，不按缺失字段自行构造透明图、切片或图层；任务以 `completed + warning` 收口。该收口只捕获透明背景处理本身的最终失败；phase 上报、provider 原图持久化、透明处理图持久化和 `canvasCompletion` 写回错误仍正常传播，不能被原图降级吞掉。通用 `warning.reason` 是可直接展示的完整原因，并优先于 `sliceWarning`；既有 `sliceWarning.reason` 只表示透明图成功后的自动拆分失败，保留后端原始诊断，inline 前端仅在展示时补充“图集已生成，但自动拆分未完成：”提示，queue worker 则把它归一为 BFF `warning` 字符串后由前端直接展示。无项目上下文时不创建项目资源或画布图层。
 - 图片快速编辑面板只保留一个提示词输入框和模型选择，不展示额外参考图或比例 / 尺寸控件；原图 / 原素材作为 `/api/editor/images/edits` 的 `sourceImageSrc` 直接提交，不作为 `referenceImageSrcs`。完整图标图集 `icon-spritesheet` 支持快速编辑，拆分后的单个 `icon` 不提供该入口，前后端必须使用同一素材类型规则。打开快速编辑时画布必须自动平移缩放，让原素材完整落在可视区上半部分，底部面板固定出现在素材下方且不遮挡内容，竖屏 UI 素材也必须完整展示。快速编辑右侧显示矩形、椭圆、画笔框选工具，但进入时不默认启用；点击工具后显示选中态，再点同一工具取消启用。完成框选后，画布红色细框显示连续序号，提示词可按这些编号填写每个区域怎么改。点击 `修改` 后仍停留在当前快速编辑面板显示修改中，不创建独立 `Quick Edit Generator` 画布占位；生成成功后直接用结果覆盖原图图层，失败时保留当前面板并在错误红框中显示具体错误文案。
 - 底部生成类按钮每次点击都必须创建独立的画布生成对象；新建规范、角色形象或图标素材时，只切换当前编辑面板，不得销毁此前尚未生成或已生成后的其它生成对象状态。归档为非当前编辑对象的生成占位仍可拖动、删除和等待异步完成，完成 / 失败回写必须按生成对象 ID 读取最新占位状态，不能使用提交瞬间的旧快照。
@@ -88,7 +88,7 @@
 - `PATCH /api/editor/assets/{assetId}`：重命名素材或移动素材到文件夹。
 - `DELETE /api/editor/assets/{assetId}`：删除素材。已放入画布的 project resource 不被级联删除，避免旧画布丢图。
 - `POST /api/editor/images/generations`：按提示词调用 VectorEngine 生成图片；普通图片的 provider 回图先留在内存，尺寸变换成功后只上传变换结果，变换失败则只上传 provider 原图，主结果只写一次 OSS 且不额外创建“原始输出”。角色生成可携带 `model`、`screenColor`、`segModel`、`aspectRatio`、`imageSize` 和 `referenceImageSrcs`；api-server 先保存带纯色背景源图，再调用 BgFilter 并传入 `screen_color=<screenColor>`、`seg_model=<segModel>`，透明处理成功时生成透明 PNG，最终失败时按前述多产物降级规则以原图主结果和通用 `warning` 收口。宣发素材携带 `kind: "publication-material"` 时固定归一为 `gpt-image-2`，不支持 `nanobanana2`。`nanobanana2` 参考图作为 `inline_data` 进入 `generateContent`，`gpt-image-2` 参考图进入 edits；`nanobanana2` 的 `512 / 1024 / 2K` 是标量清晰度档位，后端保留 provider 输出几何尺寸，不按 `宽x高` 解析。普通重绘继续走该接口并把当前图层图片作为参考图；图片快速编辑不走该接口。请求可携带 `projectId`、`assetFolderId`、`assetKind`、`generationInputs` 和 `sourceResourceId`，后端生成完成后在响应中返回实际产物的 project / resource / asset 快照。
-- `POST /api/editor/images/background-removals`：接收当前图片源，校验登录态后无条件创建外部生成任务，响应只返回 `queueState`。worker 由 api-server 解析图片文件，并通过共享 BgFilter HTTP client 调用 `GENARRATIVE_EDITOR_BGFILTER_BASE_URL/remove-background`；multipart 固定为 `file + background_mode=complex + seg_model=birefnet + cross_check=off`，不包含 `screen_color`，首次失败立即重试 `1` 次，两次都失败返回最终错误。请求可携带 `projectId`、`targetLayerId`、`assetFolderId`、`assetLabel`、`sourceResourceId` 和 `canvasCompletion`，有 `canvasCompletion` 时完成后按生成占位写入结果图层，否则沿用旧的目标图层替换路径。令牌只在服务端通过 `GENARRATIVE_EDITOR_BGFILTER_TOKEN` 注入，未配置时兼容回退旧 `GENARRATIVE_EDITOR_BACKGROUND_REMOVAL_TOKEN`。
+- `POST /api/editor/images/background-removals`：接收当前图片的已登记 `objectKey`、`resourceId` 或 `assetId`，校验登录态后无条件创建外部生成任务，响应只返回 `queueState`。worker 解析 object key 并校验归属，不下载原图；调用共享 BgFilter HTTP client 前签发 600 秒 OSS URL，multipart 固定为 `image_url + background_mode=complex + seg_model=birefnet + cross_check=off`，不包含 `file` 或 `screen_color`，首次失败立即重试 `1` 次，两次都失败返回最终错误。请求可携带 `projectId`、`targetLayerId`、`assetFolderId`、`assetLabel`、`sourceResourceId` 和 `canvasCompletion`，有 `canvasCompletion` 时完成后按生成占位写入结果图层，否则沿用旧的目标图层替换路径。令牌只在服务端通过 `GENARRATIVE_EDITOR_BGFILTER_TOKEN` 注入，未配置时兼容回退旧 `GENARRATIVE_EDITOR_BACKGROUND_REMOVAL_TOKEN`。
 - `POST /api/editor/icon-spritesheets/generations`：按图标规范图和素材描述数组生成 spritesheet；api-server 先保存带纯色背景 spritesheet 源图，透明处理成功后再保存透明 spritesheet 并尝试拆分。请求支持 `model`、`screenColor`、`segModel`、`aspectRatio`、`imageSize`、`priceMudPoints`、`projectId`、`assetFolderId` 和 `generationInputs`；`priceMudPoints` 必须来自编辑器生成计费配置中对应生图模型的尺寸档位（如 `nanobanana2` 的 `0.5K / 1K / 2K` 或 `gpt-image-2` 的 `1K / 2K`），后端用 `editor_generation_config` 校验后才调用上游；`nanobanana2` 走原生 `generateContent` 并写入 `generationConfig.imageConfig.aspectRatio/imageSize`，`0.5K` 传 `"512"`；`gpt-image-2` 走 `/v1/images/edits`。透明处理最终失败时只保存并返回原图主结果，不生成透明图或切片；透明图成功但拆分失败时保留整张透明图并返回 `sliceWarning`。响应只返回实际产物对应的 project / resource / asset 快照及可选通用 `warning`。
 - `POST /api/editor/ui-designs/assets/extractions`：前端把红色框选轮廓绘入本地临时图后，先将该图上传 OSS 并确认 asset object，再以返回的 `objectKey` 作为参考图入队；Data URL / Blob URL 只允许停留在上传前的浏览器临时态。接口固定 `gpt-image-2` 和自动决策纯色背景素材提取提示词生成素材 spritesheet；api-server 先保存带纯色背景 spritesheet 源图，透明处理成功后再保存透明 spritesheet 并按连通域尝试拆分为 `素材 1..N`，返回结构复用图标 spritesheet 响应。请求必须携带 `screenColor`、`segModel`、`aspectRatio: "1:1"`、`imageSize: "1K" | "2K"` 和 `priceMudPoints`；框选数量不超过 6 个时前端按 `1:1·1K` 与 gpt-image-2 1K 价格提交，超过 6 个时按 `1:1·2K` 与 2K 价格提交。后端必须在调用上游前校验比例、尺寸和泥点价格，只允许 `1:1 / 1K / 2K`。透明处理最终失败时只保存并返回原图主结果，不生成透明图或切片；透明图成功但拆分失败时保留整张透明图并返回 `sliceWarning`。请求可携带 `projectId`、`assetFolderId`、`generationInputs` 和 `spritesheetLabel`，响应只返回实际产物对应的 project / resource / asset 快照及可选通用 `warning`；前端按后端快照落画布，不补造缺失产物。
 - `POST /api/editor/images/edits`：按提示词和当前图片的已登记 `objectKey` / `resourceId` 修改图片，返回新的生成图片元数据；图片快速编辑当前只提交 `sourceImageSrc`，不提交隐藏的 `referenceImageSrcs`，并随用户当前选择提交 `model / aspectRatio / imageSize / size`。api-server 必须先归一模型再选择 VectorEngine 协议：`nanobanana2` 调用 `/v1beta/models/{model}:generateContent` 并把原图作为 `inline_data`、比例和清晰度写入 `generationConfig.imageConfig`；`gpt-image-2` 调用 `/v1/images/edits` multipart。gpt-image-2 路径在 provider 边界把目标尺寸和所有 multipart 参考图临时补齐到 16 的倍数，回图后在内存恢复业务目标尺寸；nanobanana2 路径保留 provider 按比例和清晰度返回的几何尺寸。成功时只上传最终结果，尺寸恢复失败时只上传 provider 原图；无论是否发生尺寸恢复都只创建一个 project resource / 账号素材，不显示重复“原始输出”。16 对齐尺寸不得泄漏到正常完成的最终响应、资源或图层 Resolution；变换失败降级时以实际 provider 原图尺寸为准。本地红框标记图必须先上传再提交 objectKey；请求携带 project / asset 上下文时由后端创建新 resource / asset，前端只消费响应快照。
@@ -138,7 +138,7 @@
 - 上传按钮和拖拽上传都支持多文件；底部工具栏的上传入口选择文件后直接进入“上传素材”并在当前画布视口中心创建画布图层，素材栏文件夹内的上传入口只写入对应素材文件夹、不自动入画布；拖到文件夹或该文件夹内素材时进入目标文件夹；拖到画布时进入“上传素材”并在投放点创建画布图层。上传图片必须在创建占位素材、画布图层和账号级素材记录前先读取原图 Resolution，图层宽高、`originalWidth/originalHeight` 和素材库 `width/height` 都使用图片本身尺寸；上传视频同样在创建素材和图层前读取视频 metadata 宽高，保证单层下载或 ZIP 导出的真实视频文件重新导入后仍按文件自身尺寸入画布；仅在无法解析尺寸时才使用对应媒体兜底尺寸。
 - 音频 / 视频素材卡和画布媒体图层必须提供稳定的非文字视觉预览：优先使用 `thumbnailSrc` / 视频 `poster`，没有真实首帧或音频封面时使用由媒体类型、素材名和地址派生的确定性视觉底图。视频图层使用原生 `<video controls preload="metadata" playsInline>` 播放，外层图层仍承接选择和拖拽语义；音频图层播放前继续通过 `/api/assets/read-url` 换签。画布素材导出按 `mediaType` 保留真实媒体格式：图片进入 `images/`，音频 / 视频进入 `media/`，文件扩展名从响应 MIME、`objectKey` 或源 URL 推断，不得把音频 / 视频导出成 PNG。
 - 画布素材 ZIP 的 `metadata.json` 只保存前端信息弹窗和导出文件列表可见的展示快照：项目标题、导出时间、图层标题、文件路径、类型、生成输入、模型显示名、Task 短 ID、Object 显示值、Resolution / 时长和导出错误。导出的生成输入只保留用户实际填写或选择的内容；系统默认兜底提示词、固定工作流提示词、内置图标描述、UI 提取素材固定提示词等内置提示词即使存在于历史 `generationInputs`，也不得写入导出元数据。不得把 `projectId`、`layerId`、`resourceId`、`sourceAssetId`、`sourceResourceId`、原始 `prompt` / `actualPrompt` / `provider` 或画布坐标、锁定、隐藏等布局状态写入导出元数据；Object 字段仅沿用信息弹窗当前可见值。
-- `生成角色动作` 的完成结果按序列帧素材处理：图层主 `src` 使用 `frames[0].imageSrc`，`mediaType` 固定为 `image-sequence`，`assetKind` 固定为 `character-animation`，完整帧列表写入 `imageSequenceFrames`；`previewVideoPath` 只保留为上游预览视频来源，不作为画布主媒体。下载和 ZIP 导出必须因此得到序列帧 ZIP / frames 目录，不能回退为预览视频或首帧 PNG；后端抽帧后先保存带绿幕帧源图，再走绿幕透明化后处理并落盘透明帧素材。
+- `生成角色动作` 的完成结果按序列帧素材处理：图层主 `src` 使用 `frames[0].imageSrc`，`mediaType` 固定为 `image-sequence`，`assetKind` 固定为 `character-animation`，完整帧列表写入 `imageSequenceFrames`；`previewVideoPath` 只保留为上游预览视频来源，不作为画布主媒体。下载和 ZIP 导出必须因此得到序列帧 ZIP / frames 目录，不能回退为预览视频或首帧 PNG；后端抽帧后逐帧保存带绿幕源图，上传时消费并释放原帧字节，再用该对象的 600 秒 OSS URL 完成透明化并落盘透明帧素材。
 - 素材面板支持按素材名、文件夹名、生成信息、模型、任务和媒体类型搜索，并支持选择模式框选，一次选中多个素材，并可批量移动或删除上传素材。
 - 图层面板支持按图层名、生成信息、模型、任务和媒体类型搜索；支持选择多个图层后创建图层组，组名和 groupId 随画布布局保存。
 - 小地图支持拖拽视口框，拖动时画布 viewport 跟随移动；`pointermove` 更新必须通过 `requestAnimationFrame` 合帧，结束拖拽时 flush 最后一帧，避免高频 pointermove 直接压垮 React 渲染和项目持久化链路。
diff --git a/docs/【后端架构】server-rs与SpacetimeDB数据契约-2026-05-15.md b/docs/【后端架构】server-rs与SpacetimeDB数据契约-2026-05-15.md
index 856c69cf8..04607e9ad 100644
--- a/docs/【后端架构】server-rs与SpacetimeDB数据契约-2026-05-15.md
+++ b/docs/【后端架构】server-rs与SpacetimeDB数据契约-2026-05-15.md
@@ -240,10 +240,10 @@ npm run check:server-rs-ddd
 
 - LLM：通用 LLM 门面继续使用 `GENARRATIVE_LLM_*`；创意 Agent `gpt-5.4-mini` Chat Completions 文本链路已于 2026-06 从 APIMart 迁移到 VectorEngine，使用 `VECTOR_ENGINE_BASE_URL` / `VECTOR_ENGINE_API_KEY` 构造 OpenAI-compatible client，`api-server` 会把未带 `/v1` 的 VectorEngine base URL 规范化到 `/v1` 后请求 `/chat/completions`。通用 `/api/llm/chat/completions` 代理使用 `GENARRATIVE_LLM_PROVIDER=openai-compatible`、`GENARRATIVE_LLM_BASE_URL=https://api.vectorengine.cn/v1`、`GENARRATIVE_LLM_MODEL=gpt-5.4-mini`；未单独配置 `GENARRATIVE_LLM_API_KEY` 时可复用 `VECTOR_ENGINE_API_KEY`。`APIMART_BASE_URL` / `APIMART_API_KEY` 只作为历史残留，不再作为创意 Agent gpt-5.4-mini 客户端来源；后续排障时优先确认 VectorEngine `/v1/models`、`/v1/chat/completions` 和 `/v1/responses` 可用性。
 - 图片生成：VectorEngine `gpt-image-2` 图片 provider 归属 `platform-image`，密钥只在后端环境变量中；`api-server` 内的 `openai_image_generation.rs` 只是兼容调用面和外部失败审计桥接，不再承载 provider 协议实现。实际外部生成运行记录统一落 `tracking_event`，`event_key = external_generation_run`，metadata 记录开始 / 结束时间、耗时、状态、成功标记、失败原因、provider task id 和结果摘要，不再写回过时的 `ai_task`。DashScope 只按仍在使用的历史能力单独处理，不作为 GPT-image-2 兜底。VectorEngine `/v1/images/generations` 和 `/v1/images/edits` 上游 POST 使用 `libcurl` 发送；`reqwest` 只保留给参考图 URL 下载和响应中图片 URL 下载。`/v1/images/edits` 的 multipart 参考图必须作为 libcurl 文件上传 part 发送，字段名为 `image`，实现上使用 `Form::buffer(file_name, bytes)` 并设置 `Content-Type`；不能只用 `contents(...).filename(...)`，否则上游会把请求转码为缺少图片并返回 `image is required`。`request_send` 阶段的 curl timeout / connect error 按可重试传输错误处理，最多尝试 5 次，并使用指数退避加短抖动；排障时优先看 `attempt`、`max_attempts`、`retry_delay_ms`、`reference_image_bytes_total` 和 `request_params`，不要把 `SendRequest` 当成上游业务错误。
-- 生成后抠图以内存中的 `DownloadedImage` → 私有 OSS owned 上传作为带背景原图生命周期边界：上传消费字节所有权，完成后不保留原图缓冲。BgFilter 必须签发 600 秒 GET URL 并通过 multipart `image_url` 提交，不下载对象或用 `file` 重传；进入阿里云 fallback 时由 `platform-matting` URL 接口单独下载并上传 `AuthorizeFileUpload` 临时对象，在推理前释放下载缓冲；继续 fallback 到本地键色时再单独下载一次原图，本地产出后释放本次原图下载缓冲。签名 URL 不得写入日志、审计或持久化。
+- 抠图输入以私有 OSS 作为内存生命周期边界：生成原图和角色动作抽取帧上传时消费图片字节所有权，上传完成后不保留原图缓冲；手动去背景直接解析并校验已有 OSS object key，不下载原图。BgFilter 必须为 object key 签发 600 秒 GET URL 并通过 multipart `image_url` 提交，不用 `file` 重传；flat 链路进入阿里云 fallback 时由 `platform-matting` URL 接口单独下载并上传 `AuthorizeFileUpload` 临时对象，在推理前释放下载缓冲，继续 fallback 到本地键色时再单独下载一次原图，本地产出后释放本次原图下载缓冲。签名 URL 不得写入日志、审计或持久化。
 - 阿里云通用抠图的非上海地域输入不得使用 `viapiutils/GetOssStsToken`、固定 `viapi-customer-temp` 或 OSS V1 PUT。`platform-matting` 必须按官方新版 SDK Advance 协议调用 `AuthorizeFileUpload`，使用动态返回的单对象 Policy 执行 multipart POST，再把临时上海 OSS URL 交给 `SegmentCommonImage`；输入归一化、结果下载与原尺寸 Alpha 回贴继续留在同一适配器内。该协议仍上传图片字节，不等同于阿里云服务端直接抓取任意公网 URL，也不改变上层 BgFilter → 阿里云 → 本地降级顺序。
-- 编辑器抠图服务：手动 `POST /api/editor/images/background-removals` 与角色形象生成、图标 spritesheet 生成、UI 设计图素材提取、角色动作抽帧后的透明化统一走 BgFilter，配置为 `GENARRATIVE_EDITOR_BGFILTER_BASE_URL`、`GENARRATIVE_EDITOR_BGFILTER_TOKEN` 和 `GENARRATIVE_EDITOR_BGFILTER_REQUEST_TIMEOUT_MS`，默认 base URL 为 `http://58.87.105.82/bgfilter`，默认请求超时为 `180000ms`（BgFilter 当前为 CPU 推理，单次抠图较慢，必须留足超时）；旧 `GENARRATIVE_EDITOR_BACKGROUND_REMOVAL_TOKEN` 只作为 BgFilter token 的兼容回退别名，原手动去背景专用 base URL / timeout 配置已经删除。手动去背景固定传 `background_mode=complex`、`seg_model=birefnet`、`cross_check=off`，不传 `screen_color`；该 API 只接受已登记的 `objectKey`、`resourceId` 或 `assetId`，BFF 入队前和 worker 执行前都拒绝 Data URL。标准纯色背景四条链路固定传 `background_mode=flat`，并显式传 `screen_color=<screenColor>`、`seg_model=<segModel>` 和 `cross_check=<on|off>`，其中角色形象生成和角色动作逐帧去背传 `cross_check=on`，图标 spritesheet 生成和 UI 设计图素材提取传 `cross_check=off`。前端用户路径不展示抠图模型、模式或 cross-check，固定提交默认 `birefnet`，后端仍识别内部保留的 `anime-seg`；这些参数只属于后端内部供应商策略，不进入前端或外部 OpenAPI。标准纯色背景 BgFilter 调用失败，或连续失败达到 `GENARRATIVE_EDITOR_BGFILTER_CIRCUIT_FAILURE_THRESHOLD`（默认 `3`）并在 `GENARRATIVE_EDITOR_BGFILTER_CIRCUIT_COOLDOWN_SECONDS`（默认 `300`）内打开熔断时，继续复用“阿里云通用抠图 → 本地 `editor_green_screen` 键色扣除”兜底链，熔断期不得直接退化到本地兜底。角色动作视频生成的背景色已与生图链路统一：`screenColor=auto` 时由视觉 LLM（`gpt-5-mini`，Responses 协议、low 推理档）读源角色图自动决策，并经硬过滤器剔除与前景 / 皮肤撞色的候选，手动 hex 则尊重用户选择；透明源角色图在提交 Ark 图生视频前先合成到选定背景色实色，使视频背景等于抠图键色；抽帧后逐帧固定使用 `seg_model=birefnet`、`cross_check=on` 进入上述三段式链路。阿里云通用抠图配置为 `GENARRATIVE_ALIYUN_MATTING_ENABLED`、`GENARRATIVE_ALIYUN_MATTING_ENDPOINT`、`GENARRATIVE_ALIYUN_MATTING_ACCESS_KEY_ID`、`GENARRATIVE_ALIYUN_MATTING_ACCESS_KEY_SECRET` 和 `GENARRATIVE_ALIYUN_MATTING_REQUEST_TIMEOUT_MS`；未配置专用 AK/SK 时可复用 `ALIBABA_CLOUD_ACCESS_KEY_ID` / `ALIBABA_CLOUD_ACCESS_KEY_SECRET`，默认 endpoint 为 `imageseg.cn-shanghai.aliyuncs.com`。标准纯色背景链路的 BgFilter 与阿里云抠图失败都写入 `external_api_call_failure` 审计。
-- BgFilter 连接复用、重试与动作帧流水线：api-server 必须在 `AppState` 复用同一个 BgFilter HTTP Client 及 keep-alive 连接池。`GENARRATIVE_EDITOR_BGFILTER_REQUEST_TIMEOUT_MS` 是所有路径的基准请求超时；角色动作逐帧 BgFilter 的每一次 HTTP attempt 使用“基准超时 + `2000ms × 本次实际帧数`”，默认 `32 / 40 / 48` 帧分别为 `244000 / 260000 / 276000ms`，角色形象单图、图标、UI 和手动去背景仍使用基准值。api-server 只在共享 Client 的单次 RequestBuilder 上覆盖该值；它覆盖从请求发起到响应体读取完成，是单次 attempt 的总 deadline，不是整批帧或 worker job 超时，重试会重新获得同样的 deadline，整项任务仍受 worker long-job 预算约束。flat 与 complex 请求首次失败后都立即重试 `1` 次；标准纯色背景 flat 请求第二次仍失败才进入“阿里云通用抠图 → 本地键色”降级链，手动 complex 请求第二次仍失败则返回最终错误，不接入依赖纯色键值的降级链，也不改变 flat 路径的熔断状态。角色动作全部 `32 / 40 / 48` 帧按“单帧绿幕源图先落 OSS → BgFilter/降级 → 透明帧落 OSS”独立流水化，使用覆盖本次全部帧的无序在途集合连续发射，不在 api-server 增加供应商进程锁或固定小并发窗口；返回结果携带原始帧序并在收口时排序。任一帧最终失败时必须先排空全部已启动 Future，再让整个动作任务失败退款，不能发布缺帧动画。
+- 编辑器抠图服务：手动 `POST /api/editor/images/background-removals` 与角色形象生成、图标 spritesheet 生成、UI 设计图素材提取、角色动作抽帧后的透明化统一走 BgFilter，配置为 `GENARRATIVE_EDITOR_BGFILTER_BASE_URL`、`GENARRATIVE_EDITOR_BGFILTER_TOKEN` 和 `GENARRATIVE_EDITOR_BGFILTER_REQUEST_TIMEOUT_MS`，默认 base URL 为 `http://58.87.105.82/bgfilter`，默认请求超时为 `180000ms`（BgFilter 当前为 CPU 推理，单次抠图较慢，必须留足超时）；旧 `GENARRATIVE_EDITOR_BACKGROUND_REMOVAL_TOKEN` 只作为 BgFilter token 的兼容回退别名，原手动去背景专用 base URL / timeout 配置已经删除。手动去背景固定传 `image_url`、`background_mode=complex`、`seg_model=birefnet`、`cross_check=off`，不传 `file` 或 `screen_color`；该 API 只接受已登记的 `objectKey`、`resourceId` 或 `assetId`，BFF 入队前和 worker 执行前都拒绝 Data URL，worker 校验归属后直接签发 OSS URL，不下载原图。标准纯色背景四条链路固定传 `background_mode=flat`，并显式传 `image_url`、`screen_color=<screenColor>`、`seg_model=<segModel>` 和 `cross_check=<on|off>`，其中角色形象生成和角色动作逐帧去背传 `cross_check=on`，图标 spritesheet 生成和 UI 设计图素材提取传 `cross_check=off`。前端用户路径不展示抠图模型、模式或 cross-check，固定提交默认 `birefnet`，后端仍识别内部保留的 `anime-seg`；这些参数只属于后端内部供应商策略，不进入前端或外部 OpenAPI。标准纯色背景 BgFilter 调用失败，或连续失败达到 `GENARRATIVE_EDITOR_BGFILTER_CIRCUIT_FAILURE_THRESHOLD`（默认 `3`）并在 `GENARRATIVE_EDITOR_BGFILTER_CIRCUIT_COOLDOWN_SECONDS`（默认 `300`）内打开熔断时，继续复用“阿里云通用抠图 → 本地 `editor_green_screen` 键色扣除”兜底链，熔断期不得直接退化到本地兜底。角色动作视频生成的背景色已与生图链路统一：`screenColor=auto` 时由视觉 LLM（`gpt-5-mini`，Responses 协议、low 推理档）读源角色图自动决策，并经硬过滤器剔除与前景 / 皮肤撞色的候选，手动 hex 则尊重用户选择；透明源角色图在提交 Ark 图生视频前先合成到选定背景色实色，使视频背景等于抠图键色；抽帧后每帧先上传私有 OSS 并释放原帧缓冲，再以该 object key 的签名 URL 固定使用 `seg_model=birefnet`、`cross_check=on` 进入上述三段式链路。阿里云通用抠图配置为 `GENARRATIVE_ALIYUN_MATTING_ENABLED`、`GENARRATIVE_ALIYUN_MATTING_ENDPOINT`、`GENARRATIVE_ALIYUN_MATTING_ACCESS_KEY_ID`、`GENARRATIVE_ALIYUN_MATTING_ACCESS_KEY_SECRET` 和 `GENARRATIVE_ALIYUN_MATTING_REQUEST_TIMEOUT_MS`；未配置专用 AK/SK 时可复用 `ALIBABA_CLOUD_ACCESS_KEY_ID` / `ALIBABA_CLOUD_ACCESS_KEY_SECRET`，默认 endpoint 为 `imageseg.cn-shanghai.aliyuncs.com`。标准纯色背景链路的 BgFilter 与阿里云抠图失败都写入 `external_api_call_failure` 审计。
+- BgFilter 连接复用、重试与动作帧流水线：api-server 必须在 `AppState` 复用同一个 BgFilter HTTP Client 及 keep-alive 连接池。`GENARRATIVE_EDITOR_BGFILTER_REQUEST_TIMEOUT_MS` 是所有路径的基准请求超时；角色动作逐帧 BgFilter 的每一次 HTTP attempt 使用“基准超时 + `2000ms × 本次实际帧数`”，默认 `32 / 40 / 48` 帧分别为 `244000 / 260000 / 276000ms`，角色形象单图、图标、UI 和手动去背景仍使用基准值。api-server 只在共享 Client 的单次 RequestBuilder 上覆盖该值；它覆盖从请求发起到响应体读取完成，是单次 attempt 的总 deadline，不是整批帧或 worker job 超时，重试会重新签发 600 秒 OSS URL 并获得同样的 request deadline，整项任务仍受 worker long-job 预算约束。flat 与 complex 请求首次失败后都立即重试 `1` 次；标准纯色背景 flat 请求第二次仍失败才进入“阿里云通用抠图 → 本地键色”降级链，手动 complex 请求第二次仍失败则返回最终错误，不接入依赖纯色键值的降级链，也不改变 flat 路径的熔断状态。角色动作全部 `32 / 40 / 48` 帧按“单帧绿幕源图 owned 上传 OSS 并释放原帧 → 以签名 URL 调 BgFilter/按 object key 降级 → 透明帧落 OSS”独立流水化，使用覆盖本次全部帧的无序在途集合连续发射，不在 api-server 增加供应商进程锁或固定小并发窗口；返回结果携带原始帧序并在收口时排序。任一帧最终失败时必须先排空全部已启动 Future，再让整个动作任务失败退款，不能发布缺帧动画。
 - Match3D 物品 sheet：关卡整图完成后走 VectorEngine `/v1/images/edits` multipart `image`，模型为 `gpt-image-2`，`2K 1:1` 输出 `10*10` spritesheet；物品 sheet prompt 固定要求单一纯绿色 `#00FF00 / RGB(0,255,0)` 绿幕背景，后端上传 OSS 前必须把绿幕扣成透明 PNG，并把透明整图写入 `itemSpritesheetImageSrc/itemSpritesheetImageObjectKey`。后端优先按透明 alpha 连通域从该 sheet 识别真实素材矩形并持久化 20 个物品、每个 5 个形态；识别数量不足时才回退 `10*10` 固定网格。通用系列素材图集的行列索引按每行 2 个物品计算，必须落在 `1..=10`，难度只决定运行态加载 3 / 9 / 15 / 20 种。
 - Match3D UI spritesheet 和背景派生图：关卡整图作为参考图并发生成 `1K 1:1` UI spritesheet 与 `1K 9:16` 背景图，模型均为 `gpt-image-2`。UI spritesheet prompt 固定要求单一纯绿色 `#00FF00 / RGB(0,255,0)` 绿幕背景，后端上传 OSS 前必须把绿幕扣成透明 PNG；背景图必须合成为全画幅不透明 PNG。
 - Match3D 1:1 容器 UI：VectorEngine `/v1/images/edits` multipart 参考图。该容器参考图是后端生图协议输入，必须通过 `include_bytes!` 随 `api-server` 编译进二进制，避免 API 单独发布或运行目录缺少 `public/` 时生成失败。
diff --git a/docs/【开发运维】本地开发验证与生产运维-2026-05-15.md b/docs/【开发运维】本地开发验证与生产运维-2026-05-15.md
index b07e557a0..1ba313493 100644
--- a/docs/【开发运维】本地开发验证与生产运维-2026-05-15.md
+++ b/docs/【开发运维】本地开发验证与生产运维-2026-05-15.md
@@ -68,11 +68,11 @@ HTTP 角色的 `GENARRATIVE_SPACETIME_POOL_SIZE` 只表示 procedure / reducer 
 lease 过期后不代表任务一定再次执行：claim transaction 只有在 `attempt < max_attempts` 时才会递增 attempt 并返回 worker；如果过期的是最终 attempt，则直接把 job 收口为 `failed`、清理 lease，并按入队冻结价格为当前 attempt 原子退款或写 cancellation intent。该终态任务不会再次进入 provider executor，迟到 consume 会被 settlement intent 拒绝。
 
 图片画布角色图、图标素材、UI 素材提取和角色动作逐帧去背景时优先调用 BgFilter；当前全部调用都显式传 `background_mode=flat`，保持单一纯色背景抠图语义。默认 `GENARRATIVE_EDITOR_BGFILTER_REQUEST_TIMEOUT_MS=180000`，该值是所有路径的基准请求超时；角色动作逐帧请求的每一次 HTTP attempt 额外增加 `2000ms × 本次实际帧数`，默认 `32 / 40 / 48` 帧对应 `244000 / 260000 / 276000ms`，角色形象单图、图标、UI 和手动去背景继续使用基准值。该 request timeout 不是整批帧或整项任务超时，首次失败后的重试会重新计时；角色动作整项任务仍受默认 `GENARRATIVE_EXTERNAL_GENERATION_WORKER_LONG_JOB_TIMEOUT_SECONDS=1800` 预算约束，排查时以 `editor_bgfilter_request_start.timeout_ms` 确认实际值。连续失败达到 `GENARRATIVE_EDITOR_BGFILTER_CIRCUIT_FAILURE_THRESHOLD=3` 后熔断 `GENARRATIVE_EDITOR_BGFILTER_CIRCUIT_COOLDOWN_SECONDS=300` 秒。BgFilter 调用失败和熔断期均先走阿里云通用抠图，只有阿里云失败才走本地幕布色去背景兜底。阿里云这层默认 `GENARRATIVE_ALIYUN_MATTING_ENABLED=true`，但必须在 `api-server.env` 填入 `GENARRATIVE_ALIYUN_MATTING_ACCESS_KEY_ID` / `GENARRATIVE_ALIYUN_MATTING_ACCESS_KEY_SECRET`（或标准 SDK 命名 `ALIBABA_CLOUD_ACCESS_KEY_ID` / `ALIBABA_CLOUD_ACCESS_KEY_SECRET`）才会真正启用；AccessKey 缺失时启动日志会打印「阿里云抠图 AccessKey 未配置，跳过抠图客户端初始化」，抠图直接塌成 BgFilter→本地两级，`npm run check:api-server-env` 也会给出对应告警。修改这些变量后需要重启对应 `api-server` / worker 进程；排查时先从 worker 启动日志确认 lease 和 job timeout，再看带 `background_mode=flat` 的 `editor_bgfilter_request_start`、`editor_bgfilter_fallback_to_aliyun_matting`、`editor_bgfilter_circuit_open_fallback_to_aliyun_matting`，以及阿里云失败后的 `editor_aliyun_matting_fallback_to_local_screen_background_removal` 日志。
-手动 `POST /api/editor/images/background-removals` 同样调用 BgFilter，但固定传 `background_mode=complex`、`seg_model=birefnet`、`cross_check=off`，不传背景色；首次失败后立即重试 `1` 次，两次都失败则返回最终错误。它不进入只适用于已知纯色背景的阿里云 / 本地键色兜底链，也不改变 flat 路径的熔断状态。标准纯色背景四条链路仍固定传 `background_mode=flat`。两种模式统一使用 `GENARRATIVE_EDITOR_BGFILTER_BASE_URL`、`GENARRATIVE_EDITOR_BGFILTER_TOKEN`、`GENARRATIVE_EDITOR_BGFILTER_REQUEST_TIMEOUT_MS` 和共享 HTTP client；旧 `GENARRATIVE_EDITOR_BACKGROUND_REMOVAL_TOKEN` 只保留为 token 兼容别名。
+手动 `POST /api/editor/images/background-removals` 同样调用 BgFilter，但 worker 只解析并校验已有 OSS object key，直接签发 600 秒 URL，不下载原图；multipart 固定传 `image_url`、`background_mode=complex`、`seg_model=birefnet`、`cross_check=off`，不传 `file` 或背景色。首次失败后立即重试 `1` 次，两次都失败则返回最终错误。它不进入只适用于已知纯色背景的阿里云 / 本地键色兜底链，也不改变 flat 路径的熔断状态。标准纯色背景四条链路仍固定传 `background_mode=flat`。两种模式统一使用 `GENARRATIVE_EDITOR_BGFILTER_BASE_URL`、`GENARRATIVE_EDITOR_BGFILTER_TOKEN`、`GENARRATIVE_EDITOR_BGFILTER_REQUEST_TIMEOUT_MS` 和共享 HTTP client；旧 `GENARRATIVE_EDITOR_BACKGROUND_REMOVAL_TOKEN` 只保留为 token 兼容别名。
 
 阿里云通用抠图的非上海地域输入使用 `AuthorizeFileUpload → Policy POST → SegmentCommonImage` 正式链路，上传 Bucket / Endpoint / ObjectKey 由阿里云动态返回；不得恢复 `GetOssStsToken`、固定 `viapi-customer-temp`、临时 AK/SK 或 OSS V1 PUT。该切换不新增环境变量；真实链路冒烟可运行 `cargo run -p platform-matting --example segment_smoke --manifest-path server-rs/Cargo.toml -- <图片路径>`，预期日志中的输入 host 为授权响应返回的上海 OSS host，并完成结果下载。图片字节仍经过执行任务的 api-server / worker，排障时不要把 Advance 路径误判为阿里云直接抓取任意公网 URL。
 
-BgFilter 对已经落入私有 OSS 的生成原图直接使用 600 秒签名 URL：`api-server` 的 multipart 只提交 `image_url`、`screen_color` 和 `seg_model`，不再提交 `file`，也不会在 BgFilter 调用前重新下载 OSS 对象。带背景原图上传完成后应已消费并释放字节所有权；BgFilter 失败或熔断打开后，阿里云 fallback 才单独下载源对象并上传动态临时桶，临时上传完成即释放本次下载缓冲；阿里云继续失败时本地 fallback 再独立下载，并在本地处理产出后释放本次原图缓冲。排障日志只应出现 object key 与签名有效期，不得记录带 `x-oss-*` 查询参数的完整 URL。这里的释放是 Rust 缓冲析构，不以操作系统 RSS 立即下降作为判据。
+BgFilter 对已经落入私有 OSS 的生成原图、动作抽取帧和手动去背景源图直接使用 600 秒签名 URL：`api-server` 的 multipart 提交 `image_url` 及对应模式参数，不再提交 `file`，也不会在 BgFilter 调用前重新下载 OSS 对象。生成原图和动作帧上传完成后应已消费并释放字节所有权；手动路径从始至终不读取原图字节。flat 路径的 BgFilter 失败或熔断打开后，阿里云 fallback 才单独下载源对象并上传动态临时桶，临时上传完成即释放本次下载缓冲；阿里云继续失败时本地 fallback 再独立下载，并在本地处理产出后释放本次原图缓冲。排障日志只应出现 object key 与签名有效期，不得记录带 `x-oss-*` 查询参数的完整 URL。这里的释放是 Rust 缓冲析构，不以操作系统 RSS 立即下降作为判据。
 
 `我的` 页签或排障面板展示队列等待时，只读取 BFF 队列接口：`GET /api/runtime/external-generation/queue-overview` 查看当前用户可见队列概览，`GET /api/runtime/external-generation/jobs/{jobId}` 查看单 job 状态。生成页 / 进度页不承接队列概览，只展示当前玩法业务进度；队列接口只提供等待 / 运行 / 失败 / 完成状态补充，最终草稿、作品和结果页仍要轮询对应玩法 session/detail 接口收敛到 ready 或 failed；不要直接查询 `external_generation_job` private table，也不要把 worker 内部 payload 暴露到前端。
 
diff --git a/server-rs/crates/api-server/src/aliyun_matting.rs b/server-rs/crates/api-server/src/aliyun_matting.rs
index 2ce0fe118..9f4776ae9 100644
--- a/server-rs/crates/api-server/src/aliyun_matting.rs
+++ b/server-rs/crates/api-server/src/aliyun_matting.rs
@@ -10,39 +10,6 @@ use crate::{
     http_error::AppError, openai_image_generation::DownloadedOpenAiImage, state::AppState,
 };
 
-/// 图片字节 → 阿里云通用抠图 → 原尺寸透明 PNG。
-/// 未配置抠图客户端时返回错误，由调用方决定是否降级本地算法。
-pub(crate) async fn segment_image_with_aliyun_matting(
-    state: &AppState,
-    image: &DownloadedOpenAiImage,
-    log_label: &str,
-) -> Result<DownloadedOpenAiImage, AppError> {
-    let matting_client = state
-        .matting_client()
-        .ok_or_else(aliyun_matting_unconfigured_error)?;
-
-    let file_name = format!("{log_label}.png");
-    let started_at = std::time::Instant::now();
-    let output_bytes = matting_client
-        .segment_image_to_transparent_png(image.bytes.as_slice(), &file_name)
-        .await
-        .map_err(|error| {
-            aliyun_matting_failure_to_app_error(&error, started_at.elapsed().as_millis() as u64)
-        })?;
-    tracing::info!(
-        provider = "aliyun-matting",
-        log_label,
-        elapsed_ms = started_at.elapsed().as_millis() as u64,
-        "阿里云通用抠图完成"
-    );
-
-    Ok(DownloadedOpenAiImage {
-        bytes: output_bytes,
-        mime_type: "image/png".to_string(),
-        extension: "png".to_string(),
-    })
-}
-
 /// 私有 OSS 签名 URL → 延迟下载 → 阿里云临时桶 → 原尺寸透明 PNG。
 /// 下载和临时上传由 platform-matting 收口，源图缓冲不会跨越整次阿里云推理常驻。
 pub(crate) async fn segment_image_url_with_aliyun_matting(
diff --git a/server-rs/crates/api-server/src/character_animation_assets.rs b/server-rs/crates/api-server/src/character_animation_assets.rs
index 965d100db..d89599167 100644
--- a/server-rs/crates/api-server/src/character_animation_assets.rs
+++ b/server-rs/crates/api-server/src/character_animation_assets.rs
@@ -77,7 +77,6 @@ use crate::{
         resolve_editor_screen_background_color,
     },
     http_error::AppError,
-    openai_image_generation::DownloadedOpenAiImage,
     platform_errors::map_oss_error,
     prompt::role_asset_studio::{
         build_role_asset_workflow, normalize_animation_prompt_text_by_key,
@@ -2391,7 +2390,7 @@ async fn process_and_persist_editor_character_animation_frame(
     audit: &crate::external_api_audit::ExternalApiAuditContext,
 ) -> Result<ProcessedEditorCharacterAnimationFrame, AppError> {
     // 中文注释：每一帧只要求自己的绿幕源图先落 OSS，不再等待整批源图全部上传完成。
-    put_character_animation_object(
+    let source_put = put_character_animation_object(
         state,
         LegacyAssetPrefix::Animations,
         vec![
@@ -2405,7 +2404,7 @@ async fn process_and_persist_editor_character_animation_frame(
             frame.extension
         ),
         frame.mime_type.clone(),
-        frame.bytes.clone(),
+        frame.bytes,
         build_asset_metadata(
             EDITOR_CHARACTER_ANIMATION_ASSET_KIND,
             owner_user_id,
@@ -2417,14 +2416,9 @@ async fn process_and_persist_editor_character_animation_frame(
     )
     .await?;
 
-    let image = DownloadedOpenAiImage {
-        bytes: frame.bytes,
-        mime_type: frame.mime_type,
-        extension: frame.extension,
-    };
     let removed = remove_editor_generated_screen_background_with_bgfilter_with_request_timeout(
         state,
-        &image,
+        source_put.object_key.as_str(),
         screen_color,
         EDITOR_BGFILTER_DEFAULT_SEG_MODEL,
         EDITOR_BGFILTER_CROSS_CHECK_ENABLED,
@@ -6147,6 +6141,7 @@ mod tests {
                 "put_character_animation_object",
                 "green-screen-frame",
                 "remove_editor_generated_screen_background_with_bgfilter_with_request_timeout",
+                "source_put.object_key.as_str()",
                 "bgfilter_request_timeout_ms",
                 "finalize_animation_frame_payload",
                 "put_character_animation_object",
@@ -6168,6 +6163,13 @@ mod tests {
                 "finalize_animation_frame_payload",
             ],
         );
+        let frame_pipeline = source
+            .split_once("async fn process_and_persist_editor_character_animation_frame")
+            .and_then(|(_, tail)| tail.split_once("async fn publish_animation_set"))
+            .map(|(body, _)| body)
+            .expect("frame pipeline function should exist");
+        assert!(!frame_pipeline.contains("frame.bytes.clone()"));
+        assert!(!frame_pipeline.contains("DownloadedOpenAiImage"));
     }
 
     #[test]
diff --git a/server-rs/crates/api-server/src/editor_project.rs b/server-rs/crates/api-server/src/editor_project.rs
index cf0ea925d..94b912a63 100644
--- a/server-rs/crates/api-server/src/editor_project.rs
+++ b/server-rs/crates/api-server/src/editor_project.rs
@@ -2956,13 +2956,21 @@ pub(crate) async fn remove_editor_image_background_for_owner(
     let started_at = Instant::now();
     ensure_editor_background_removal_source_is_not_data_url(payload.source_image_src.as_str())?;
     caller.report_processing_phase(state).await?;
-    let source_image = parse_editor_reference_image(
+    let source_object_key = resolve_editor_reference_object_key(
         state,
         caller.owner_user_id.as_str(),
         payload.source_image_src.as_str(),
     )
     .await?;
-    let removed = request_editor_background_removal_image_with_retry(state, source_image).await?;
+    ensure_editor_reference_object_key_owned(
+        state,
+        caller.owner_user_id.as_str(),
+        source_object_key.as_str(),
+    )
+    .await?;
+    let removed =
+        request_editor_background_removal_image_with_retry(state, source_object_key.as_str())
+            .await?;
     let task_id = normalize_optional_string(payload.task_id.clone())
         .unwrap_or_else(|| format!("background-removal-{}", current_utc_micros()));
     let persisted = persist_editor_generated_image(
@@ -3058,12 +3066,12 @@ struct EditorBackgroundRemovalImage {
 
 async fn request_editor_background_removal_image_with_retry(
     state: &AppState,
-    source_image: OpenAiReferenceImage,
+    source_object_key: &str,
 ) -> Result<EditorBackgroundRemovalImage, AppError> {
     let max_attempts = EDITOR_BGFILTER_RETRY_COUNT + 1;
     let mut final_error = None;
     for attempt in 1..=max_attempts {
-        match request_editor_background_removal_image(state, source_image.clone()).await {
+        match request_editor_background_removal_image(state, source_object_key).await {
             Ok(removed) => return Ok(removed),
             Err(error) => {
                 let will_retry = attempt < max_attempts;
@@ -3101,8 +3109,31 @@ pub(crate) async fn remove_editor_generated_screen_background_with_bgfilter(
     seg_model: &str,
     cross_check: bool,
     audit: &crate::external_api_audit::ExternalApiAuditContext,
+) -> Result<EditorScreenBackgroundRemovalOutput, AppError> {
+    remove_editor_generated_screen_background_with_bgfilter_with_request_timeout(
+        state,
+        source_object_key,
+        screen_color,
+        seg_model,
+        cross_check,
+        state.config.editor_bgfilter_request_timeout_ms,
+        audit,
+    )
+    .await
+}
+
+pub(crate) async fn remove_editor_generated_screen_background_with_bgfilter_with_request_timeout(
+    state: &AppState,
+    source_object_key: &str,
+    screen_color: EditorScreenBackgroundColor,
+    seg_model: &str,
+    cross_check: bool,
+    request_timeout_ms: u64,
+    audit: &crate::external_api_audit::ExternalApiAuditContext,
 ) -> Result<EditorScreenBackgroundRemovalOutput, AppError> {
     if let Some(remaining) = editor_bgfilter_circuit_open_remaining(state) {
+        // 熔断打开只跳过 BgFilter 调用本身，仍要走阿里云兜底；绝不能在 cooldown 内直接退化到
+        // 低质量本地扣色，否则整段冷却期从「双供应商降级」退化成单一本地键色扣除。
         tracing::warn!(
             provider = "bgfilter",
             screen_color = screen_color.hex,
@@ -3129,107 +3160,6 @@ pub(crate) async fn remove_editor_generated_screen_background_with_bgfilter(
             screen_color,
             seg_model,
             cross_check,
-            state.config.editor_bgfilter_request_timeout_ms,
-        )
-        .await
-        {
-            Ok(image) => {
-                record_editor_bgfilter_success();
-                return Ok(EditorScreenBackgroundRemovalOutput {
-                    image,
-                    provider: "BgFilter",
-                    model: seg_model.to_string(),
-                });
-            }
-            Err(error) => {
-                record_editor_bgfilter_failure(state);
-                let will_retry = attempt < max_attempts;
-                tracing::warn!(
-                    provider = "bgfilter",
-                    screen_color = screen_color.hex,
-                    seg_model,
-                    cross_check,
-                    attempt,
-                    max_attempts,
-                    will_retry,
-                    error = %error,
-                    error_details = ?error.details(),
-                    "editor_bgfilter_request_attempt_failed"
-                );
-                crate::external_api_audit::record_matting_external_api_failure(
-                    state,
-                    audit,
-                    "bgfilter",
-                    state.config.editor_bgfilter_base_url.clone(),
-                    "editor-screen-background-removal",
-                    "bgfilter_segment",
-                    crate::external_api_audit::matting_failure_audit_status_code(&error),
-                    crate::external_api_audit::matting_failure_audit_timeout(&error),
-                    crate::external_api_audit::matting_failure_audit_latency_ms(&error),
-                    error.message().to_string(),
-                    crate::external_api_audit::matting_failure_audit_raw_excerpt(&error),
-                )
-                .await;
-                if will_retry {
-                    continue;
-                }
-                final_error = Some(error);
-            }
-        }
-    }
-
-    if let Some(error) = final_error {
-        tracing::warn!(
-            provider = "bgfilter",
-            screen_color = screen_color.hex,
-            seg_model,
-            cross_check,
-            error = %error,
-            error_details = ?error.details(),
-            "editor_bgfilter_fallback_to_aliyun_matting"
-        );
-    }
-    fallback_editor_screen_background_removal(state, source_object_key, screen_color, audit).await
-}
-
-pub(crate) async fn remove_editor_generated_screen_background_with_bgfilter_with_request_timeout(
-    state: &AppState,
-    image: &DownloadedOpenAiImage,
-    screen_color: EditorScreenBackgroundColor,
-    seg_model: &str,
-    cross_check: bool,
-    request_timeout_ms: u64,
-    audit: &crate::external_api_audit::ExternalApiAuditContext,
-) -> Result<EditorScreenBackgroundRemovalOutput, AppError> {
-    if let Some(remaining) = editor_bgfilter_circuit_open_remaining(state) {
-        // 熔断打开只跳过 BgFilter 调用本身，仍要走阿里云兜底；绝不能在 cooldown 内直接退化到
-        // 低质量本地扣色，否则整段冷却期从「双供应商降级」退化成单一本地键色扣除。
-        tracing::warn!(
-            provider = "bgfilter",
-            screen_color = screen_color.hex,
-            seg_model,
-            cross_check,
-            cooldown_ms = remaining.as_millis() as u64,
-            "editor_bgfilter_circuit_open_fallback_to_aliyun_matting"
-        );
-        return fallback_editor_screen_background_removal_from_bytes(
-            state,
-            image,
-            screen_color,
-            audit,
-        )
-        .await;
-    }
-
-    let max_attempts = EDITOR_BGFILTER_RETRY_COUNT + 1;
-    let mut final_error = None;
-    for attempt in 1..=max_attempts {
-        match request_editor_generated_screen_background_bytes_with_bgfilter(
-            state,
-            image,
-            screen_color,
-            seg_model,
-            cross_check,
             request_timeout_ms,
         )
         .await
@@ -3289,16 +3219,16 @@ pub(crate) async fn remove_editor_generated_screen_background_with_bgfilter_with
             error_details = ?error.details(),
             "editor_bgfilter_fallback_to_aliyun_matting"
         );
-        return fallback_editor_screen_background_removal_from_bytes(
+        return fallback_editor_screen_background_removal(
             state,
-            image,
+            source_object_key,
             screen_color,
             audit,
         )
         .await;
     }
 
-    fallback_editor_screen_background_removal_from_bytes(state, image, screen_color, audit).await
+    fallback_editor_screen_background_removal(state, source_object_key, screen_color, audit).await
 }
 
 /// BgFilter 不可用（熔断打开或调用失败）时的统一兜底链：先阿里云通用抠图，失败再退本地键色扣除。
@@ -3368,59 +3298,6 @@ async fn fallback_editor_screen_background_removal(
     }
 }
 
-async fn fallback_editor_screen_background_removal_from_bytes(
-    state: &AppState,
-    image: &DownloadedOpenAiImage,
-    screen_color: EditorScreenBackgroundColor,
-    audit: &crate::external_api_audit::ExternalApiAuditContext,
-) -> Result<EditorScreenBackgroundRemovalOutput, AppError> {
-    match crate::aliyun_matting::segment_image_with_aliyun_matting(
-        state,
-        image,
-        "editor-screen-background",
-    )
-    .await
-    {
-        Ok(image) => Ok(EditorScreenBackgroundRemovalOutput {
-            image,
-            provider: "Aliyun Matting",
-            model: "segment-common-image".to_string(),
-        }),
-        Err(error) => {
-            tracing::warn!(
-                provider = "aliyun-matting",
-                screen_color = screen_color.hex,
-                error = %error,
-                error_details = ?error.details(),
-                "editor_aliyun_matting_fallback_to_local_screen_background_removal"
-            );
-            if crate::external_api_audit::matting_failure_external_call_attempted(&error) {
-                crate::external_api_audit::record_matting_external_api_failure(
-                    state,
-                    audit,
-                    "aliyun-matting",
-                    state.config.aliyun_matting_endpoint.clone(),
-                    "editor-screen-background-removal",
-                    "aliyun_segment",
-                    crate::external_api_audit::matting_failure_audit_status_code(&error),
-                    crate::external_api_audit::matting_failure_audit_timeout(&error),
-                    crate::external_api_audit::matting_failure_audit_latency_ms(&error),
-                    error.message().to_string(),
-                    crate::external_api_audit::matting_failure_audit_raw_excerpt(&error),
-                )
-                .await;
-            }
-            remove_editor_generated_green_screen_background(image, screen_color).map(|image| {
-                EditorScreenBackgroundRemovalOutput {
-                    image,
-                    provider: "Genarrative Local",
-                    model: "screen-color-keying".to_string(),
-                }
-            })
-        }
-    }
-}
-
 fn editor_bgfilter_circuit_open_remaining(state: &AppState) -> Option<Duration> {
     let threshold = state.config.editor_bgfilter_circuit_failure_threshold;
     if threshold == 0 {
@@ -3629,207 +3506,32 @@ async fn request_editor_generated_screen_background_with_bgfilter(
     Ok(image)
 }
 
-async fn request_editor_generated_screen_background_bytes_with_bgfilter(
-    state: &AppState,
-    image: &DownloadedOpenAiImage,
-    screen_color: EditorScreenBackgroundColor,
-    seg_model: &str,
-    cross_check: bool,
-    request_timeout_ms: u64,
-) -> Result<DownloadedOpenAiImage, AppError> {
-    let url = editor_bgfilter_endpoint(state)?;
-    let call_id = format!("bgfilter-call-{}", current_utc_micros());
-    let request_started_at = Instant::now();
-    let timeout_ms = request_timeout_ms.max(1);
-    let input_bytes = image.bytes.len();
-    let source_mime_type = image.mime_type.clone();
-    let source_file_name = format!(
-        "editor-generated-source.{}",
-        image.extension.trim_start_matches('.')
-    );
-    tracing::info!(
-        %call_id,
-        upstream_url = %url,
-        file_name = %source_file_name,
-        mime_type = %source_mime_type,
-        screen_color = screen_color.hex,
-        seg_model,
-        background_mode = EDITOR_BGFILTER_BACKGROUND_MODE_FLAT,
-        cross_check,
-        input_bytes,
-        timeout_ms,
-        "editor_bgfilter_request_start"
-    );
-    let http_client = state.editor_bgfilter_http_client();
-    let file_part = reqwest::multipart::Part::bytes(image.bytes.clone())
-        .file_name(source_file_name)
-        .mime_str(source_mime_type.as_str())
-        .map_err(|error| {
-            AppError::from_status(StatusCode::BAD_REQUEST).with_details(json!({
-                "provider": "bgfilter",
-                "message": format!("图片 MIME 类型无效：{error}"),
-            }))
-        })?;
-    let form = reqwest::multipart::Form::new()
-        .part("file", file_part)
-        .text("screen_color", screen_color.hex.to_string())
-        .text("seg_model", seg_model.to_string())
-        .text("background_mode", EDITOR_BGFILTER_BACKGROUND_MODE_FLAT)
-        .text(
-            "cross_check",
-            editor_bgfilter_cross_check_form_value(cross_check),
-        );
-    let mut request = http_client
-        .post(url.as_str())
-        .timeout(Duration::from_millis(timeout_ms))
-        .multipart(form);
-    if let Some(token) = state
-        .config
-        .editor_bgfilter_token
-        .as_deref()
-        .map(str::trim)
-        .filter(|token| !token.is_empty())
-    {
-        request = request.header("X-Genarrative-Image-Token", token);
-    }
-    let response = request.send().await.map_err(|error| {
-        let latency_ms = request_started_at.elapsed().as_millis() as u64;
-        tracing::warn!(
-            %call_id,
-            elapsed_ms = latency_ms,
-            timeout = error.is_timeout(),
-            error = %error,
-            "editor_bgfilter_request_failed"
-        );
-        map_editor_bgfilter_error(error, latency_ms)
-    })?;
-    let status = response.status();
-    if !status.is_success() {
-        let message = response
-            .text()
-            .await
-            .unwrap_or_else(|error| format!("读取上游错误失败：{error}"));
-        tracing::warn!(
-            %call_id,
-            upstream_status = status.as_u16(),
-            elapsed_ms = request_started_at.elapsed().as_millis() as u64,
-            upstream_message = %message.chars().take(160).collect::<String>(),
-            "editor_bgfilter_upstream_rejected"
-        );
-        return Err(
-            AppError::from_status(StatusCode::BAD_GATEWAY).with_details(json!({
-                "provider": "bgfilter",
-                "message": "BgFilter 服务返回非成功状态",
-                "upstreamStatus": status.as_u16(),
-                "latencyMs": request_started_at.elapsed().as_millis() as u64,
-                "upstreamMessage": message.chars().take(500).collect::<String>(),
-            })),
-        );
-    }
-    let mime_type = response
-        .headers()
-        .get(reqwest::header::CONTENT_TYPE)
-        .and_then(|value| value.to_str().ok())
-        .and_then(normalize_editor_reference_image_mime_type)
-        .unwrap_or("image/png")
-        .to_string();
-    let upstream_elapsed_ms = response
-        .headers()
-        .get("x-bgfilter-elapsed-ms")
-        .and_then(|value| value.to_str().ok())
-        .and_then(|value| value.parse::<u64>().ok());
-    let upstream_seg_model = response
-        .headers()
-        .get("x-bgfilter-seg-model")
-        .and_then(|value| value.to_str().ok())
-        .map(ToOwned::to_owned);
-    let upstream_screen_color = response
-        .headers()
-        .get("x-bgfilter-screen-color")
-        .and_then(|value| value.to_str().ok())
-        .map(ToOwned::to_owned);
-    let upstream_cross_check = response
-        .headers()
-        .get("x-bgfilter-cross-check")
-        .and_then(|value| value.to_str().ok())
-        .map(ToOwned::to_owned);
-    let bytes = read_editor_image_removal_response_bytes(
-        response,
-        "bgfilter",
-        "BgFilter",
-        request_started_at,
-    )
-    .await?;
-    if bytes.is_empty() {
-        return Err(
-            AppError::from_status(StatusCode::BAD_GATEWAY).with_details(json!({
-                "provider": "bgfilter",
-                "message": "BgFilter 服务未返回图片",
-                "latencyMs": request_started_at.elapsed().as_millis() as u64,
-            })),
-        );
-    }
-    let decoded = decode_editor_removed_background_image(bytes.as_slice(), "bgfilter")?;
-    let image = DownloadedOpenAiImage {
-        bytes,
-        extension: editor_reference_image_extension(mime_type.as_str()).to_string(),
-        mime_type,
-    };
-    tracing::info!(
-        %call_id,
-        status = status.as_u16(),
-        width = decoded.width(),
-        height = decoded.height(),
-        screen_color = screen_color.hex,
-        seg_model,
-        cross_check,
-        upstream_screen_color = upstream_screen_color.as_deref().unwrap_or(""),
-        upstream_seg_model = upstream_seg_model.as_deref().unwrap_or(""),
-        upstream_cross_check = upstream_cross_check.as_deref().unwrap_or(""),
-        input_bytes,
-        output_bytes = image.bytes.len(),
-        elapsed_ms = request_started_at.elapsed().as_millis() as u64,
-        upstream_elapsed_ms,
-        "editor_bgfilter_request_done"
-    );
-
-    Ok(image)
-}
-
 async fn request_editor_background_removal_image(
     state: &AppState,
-    source_image: OpenAiReferenceImage,
+    source_object_key: &str,
 ) -> Result<EditorBackgroundRemovalImage, AppError> {
     let url = editor_bgfilter_endpoint(state)?;
+    let signed_image_url = sign_editor_private_object_read_url(
+        state,
+        source_object_key,
+        EDITOR_MATTING_SOURCE_URL_EXPIRE_SECONDS,
+    )?;
     let call_id = format!("background-removal-call-{}", current_utc_micros());
     let request_started_at = Instant::now();
     let timeout_ms = state.config.editor_bgfilter_request_timeout_ms.max(1);
-    let input_bytes = source_image.bytes.len();
-    let source_file_name = source_image.file_name.clone();
-    let source_mime_type = source_image.mime_type.clone();
     tracing::info!(
         %call_id,
         upstream_url = %url,
-        file_name = %source_file_name,
-        mime_type = %source_mime_type,
+        source_object_key,
+        image_url_expire_seconds = EDITOR_MATTING_SOURCE_URL_EXPIRE_SECONDS,
         background_mode = EDITOR_BGFILTER_BACKGROUND_MODE_COMPLEX,
         cross_check = EDITOR_BGFILTER_CROSS_CHECK_DISABLED,
-        input_bytes,
         timeout_ms,
         "editor_background_removal_request_start"
     );
     let http_client = state.editor_bgfilter_http_client();
-    let file_part = reqwest::multipart::Part::bytes(source_image.bytes)
-        .file_name(source_image.file_name)
-        .mime_str(source_image.mime_type.as_str())
-        .map_err(|error| {
-            AppError::from_status(StatusCode::BAD_REQUEST).with_details(json!({
-                "provider": "bgfilter",
-                "message": format!("图片 MIME 类型无效：{error}"),
-            }))
-        })?;
     let form = reqwest::multipart::Form::new()
-        .part("file", file_part)
+        .text("image_url", signed_image_url.clone())
         .text("background_mode", EDITOR_BGFILTER_BACKGROUND_MODE_COMPLEX)
         .text("seg_model", EDITOR_BGFILTER_DEFAULT_SEG_MODEL)
         .text(
@@ -3862,6 +3564,7 @@ async fn request_editor_background_removal_image(
             .text()
             .await
             .unwrap_or_else(|error| format!("读取上游错误失败：{error}"));
+        let message = sanitize_editor_bgfilter_upstream_message(&message, &signed_image_url);
         tracing::warn!(
             %call_id,
             upstream_status = status.as_u16(),
@@ -3910,7 +3613,6 @@ async fn request_editor_background_removal_image(
         status = status.as_u16(),
         width = decoded.width(),
         height = decoded.height(),
-        input_bytes,
         output_bytes = image.bytes.len(),
         elapsed_ms = request_started_at.elapsed().as_millis() as u64,
         upstream_elapsed_ms,
@@ -10598,18 +10300,17 @@ mod tests {
         let state = AppState::new(AppConfig {
             editor_bgfilter_base_url: base_url,
             editor_bgfilter_request_timeout_ms: 20,
+            oss_bucket: Some("genarrative-assets".to_string()),
+            oss_endpoint: Some("oss-cn-beijing.aliyuncs.com".to_string()),
+            oss_access_key_id: Some("test-ak".to_string()),
+            oss_access_key_secret: Some("test-sk".to_string()),
             ..AppConfig::default()
         })
         .expect("state should build");
-        let source_image = DownloadedOpenAiImage {
-            bytes: encode_test_png(2, 2),
-            mime_type: "image/png".to_string(),
-            extension: "png".to_string(),
-        };
 
-        let removed = request_editor_generated_screen_background_bytes_with_bgfilter(
+        let removed = request_editor_generated_screen_background_with_bgfilter(
             &state,
-            &source_image,
+            "generated-character-drafts/editor/source.png",
             parse_editor_screen_background_color(Some("#CFEFFF"))
                 .expect("screen color should parse"),
             EDITOR_BGFILTER_DEFAULT_SEG_MODEL,
@@ -10636,18 +10337,20 @@ mod tests {
             editor_bgfilter_base_url: base_url,
             editor_bgfilter_token: Some("manual-complex-token".to_string()),
             editor_bgfilter_request_timeout_ms: 5_000,
+            oss_bucket: Some("genarrative-assets".to_string()),
+            oss_endpoint: Some("oss-cn-beijing.aliyuncs.com".to_string()),
+            oss_access_key_id: Some("test-ak".to_string()),
+            oss_access_key_secret: Some("test-sk".to_string()),
             ..AppConfig::default()
         })
         .expect("state should build");
-        let source_image = OpenAiReferenceImage {
-            bytes: encode_test_png(2, 2),
-            mime_type: "image/png".to_string(),
-            file_name: "manual-source.png".to_string(),
-        };
 
-        let removed = request_editor_background_removal_image_with_retry(&state, source_image)
-            .await
-            .expect("BgFilter PNG response should decode");
+        let removed = request_editor_background_removal_image_with_retry(
+            &state,
+            "generated-character-drafts/editor/manual-source.png",
+        )
+        .await
+        .expect("BgFilter PNG response should decode");
         let request = request_receiver
             .recv_timeout(Duration::from_secs(1))
             .expect("mock server should capture request");
@@ -10659,7 +10362,10 @@ mod tests {
         assert!(
             lowercase_request.contains("\r\nx-genarrative-image-token: manual-complex-token\r\n")
         );
-        assert!(request_text.contains("name=\"file\"; filename=\"manual-source.png\""));
+        assert!(request_text.contains("name=\"image_url\""));
+        assert!(request_text.contains("genarrative-assets.oss-cn-beijing.aliyuncs.com"));
+        assert!(lowercase_request.contains("x-oss-signature-version"));
+        assert!(!request_text.contains("name=\"file\""));
         assert!(request_text.contains("name=\"background_mode\"\r\n\r\ncomplex\r\n"));
         assert!(request_text.contains("name=\"seg_model\"\r\n\r\nbirefnet\r\n"));
         assert!(request_text.contains("name=\"cross_check\"\r\n\r\noff\r\n"));
@@ -10803,6 +10509,8 @@ mod tests {
             "struct EditorBackgroundRemovalImage",
             &[
                 "caller.report_processing_phase(state).await?",
+                "resolve_editor_reference_object_key",
+                "ensure_editor_reference_object_key_owned",
                 "request_editor_background_removal_image_with_retry",
             ],
         );
@@ -10848,7 +10556,7 @@ mod tests {
                 "editor_bgfilter_circuit_open_remaining",
                 "fallback_editor_screen_background_removal",
                 "EDITOR_BGFILTER_RETRY_COUNT + 1",
-                "request_editor_generated_screen_background_bytes_with_bgfilter",
+                "request_editor_generated_screen_background_with_bgfilter",
                 "will_retry",
                 "record_matting_external_api_failure",
                 "fallback_editor_screen_background_removal",
@@ -10902,6 +10610,9 @@ mod tests {
             "fn editor_bgfilter_endpoint",
             &[
                 "editor_bgfilter_endpoint",
+                "sign_editor_private_object_read_url",
+                "EDITOR_MATTING_SOURCE_URL_EXPIRE_SECONDS",
+                "\"image_url\"",
                 "editor_bgfilter_request_timeout_ms.max(1)",
                 "state.editor_bgfilter_http_client()",
                 "editor_bgfilter_token",
@@ -10918,7 +10629,12 @@ mod tests {
             source,
             "async fn request_editor_background_removal_image(",
             "fn editor_bgfilter_endpoint",
-            &["\"screen_color\"", "reqwest::Client::builder"],
+            &[
+                "\"screen_color\"",
+                ".part(\"file\"",
+                "reqwest::multipart::Part::bytes",
+                "reqwest::Client::builder",
+            ],
         );
         assert_function_not_contains(
             source,
@@ -10993,7 +10709,7 @@ mod tests {
             &[
                 "let max_attempts = EDITOR_BGFILTER_RETRY_COUNT + 1",
                 "for attempt in 1..=max_attempts",
-                "request_editor_generated_screen_background_bytes_with_bgfilter",
+                "request_editor_generated_screen_background_with_bgfilter",
                 "let will_retry = attempt < max_attempts",
                 "if will_retry",
                 "continue",
@@ -11233,7 +10949,7 @@ mod tests {
             &[
                 "let max_attempts = EDITOR_BGFILTER_RETRY_COUNT + 1",
                 "for attempt in 1..=max_attempts",
-                "request_editor_background_removal_image(state, source_image.clone())",
+                "request_editor_background_removal_image(state, source_object_key)",
                 "let will_retry = attempt < max_attempts",
                 "if will_retry",
                 "continue",