多视图视图地址的注释改成 TODO：接线时必须补地址校验，并删掉引错的 ADR 依据

- platform-tripo：`view_value` 的说明不再引用 ADR 0001（那份 ADR 里没有这条约定），改成 `TODO(multiview-url-validation)`，写明当前只有冒烟示例与接口测试能构造 `Url` 形态、api-server 没有现役入口，以及真正接线时必须在构造侧补协议 / 账号密码 / 内网主机校验 - 同时点明 image-to-model 的 `PublicUrl` 是同一处待办
2026-09-24 21:06:28 +08:00
parent e20ff2e89e
commit 8fa2bfc3ed
1 changed files with 8 additions and 2 deletions
@@ -83,8 +83,14 @@ fn view_inputs_wire(inputs: &Model3dMultiviewInputs) -> Result<Vec<Value>, Tripo

 /// 单个视图的显式取值：URL 与 file_token 各自一种形态，不合并成裸字符串。
 ///
-/// 只做非空白校验，不在这里收窄地址范围（例如拒绝 userinfo / 内网主机）：该字段是
-/// provider 侧要读的地址，与 image-to-model 的 `PublicUrl` 同一口径，见 ADR 0001 的边界约定。
+/// 只做非空白校验，不在这里收窄地址范围（例如拒绝 userinfo / 内网主机）。
+///
+/// TODO(multiview-url-validation): 现在的理由只是「还没接线」，不是在给这个字段发放行条：
+/// 能构造 `Model3dMultiviewInputs::Url` 的只有冒烟示例与接口测试，`api-server` 里没有任何
+/// 路由或调用方会构造它，所以「客户端可以提交任意地址」今天不成立。等真正接线时必须先在
+/// 构造侧补校验——协议只允许 http/https、拒绝带账号密码的地址，并拒绝本机回环与内网主机
+/// （口径同 `TripoUrl::parse`）。本条原先写「见 ADR 0001 的边界约定」，但 ADR 0001 里并没有
+/// 这条约定，是引错了（评审 #66）；image-to-model 的 `PublicUrl` 是同一处待办。
 fn view_value(view: &Model3dViewInput) -> Option<Value> {
    match view {
        Model3dViewInput::Url { url } => {