把 checkpoint 分支写实为 at-most-once 硬约束而非续跑能力

- worker.rs 模块注释明确 Tripo job 固定 max_attempts = 1，崩溃后租约耗尽直接终态失败、不会被重新 claim，因此不存在续跑路径
- worker.rs 说明 existing_checkpoint 是防御性硬约束，checkpoint 的日常用途是人工对账
- 技术方案与 ADR 把「崩溃后重新 claim 只查询」改写为「不重新 claim，带 checkpoint 的路径绝不二次 submit」
- 实施计划与里程碑同步 checkpoint 语义，不再宣称续跑

docs/technical/【技术方案】Tripo 3D生成API集成-2026-09-21.md

@@ -75,14 +75,14 @@ canvasCompletion? 画布占位框回填，只在项目资源落点下生效
 
 本能力复用现有 `external_generation_job` 队列、worker、租约与 owner 过滤，不新建平行队列、不新增状态枚举、不新增查询接口。状态对外仍是 `queued` / `running` / `completed` / `failed`，阶段提示沿用现有 `phase` 与 `phaseLabel` / `phaseDetail`。
 
-**at-most-once submit** 是本能力与其它生成任务的关键差异。现有 worker 的崩溃恢复模型是“租约过期后由别的 worker 重新 claim，handler 从头重跑”，这对可重跑的 provider 安全，但 Tripo 重跑会二次 submit、二次消耗额度。因此：
+**at-most-once submit** 是本能力与其它生成任务的关键差异。其它生成任务的崩溃恢复模型是“租约过期后由别的 worker 重新 claim，handler 从头重跑”，这对可重跑的 provider 安全，但 Tripo 重跑会二次 submit、二次消耗额度。Tripo job 固定 `max_attempts = 1`，任何 attempt 失败都是终态失败，崩溃后租约耗尽同样直接终态失败、不会被重新 claim，因此不存在“重新 claim 后继续查询”的续跑路径 —— checkpoint 是 at-most-once 的硬约束与人工对账凭据，不是续跑能力。因此：
 
 1. 没有 `providerTaskId` 的 job 才允许 submit；
 2. submit 成功后必须先把 `providerTaskId` 写回 checkpoint，再进入轮询；
 3. 已有 `providerTaskId` 的 job 只允许 `get_task`、下载与落库，绝不允许再次 submit；
 4. submit 成功但 checkpoint 写入失败的 attempt 只能终态失败，不得退回可重试队列，否则重试会二次 submit；该 job 保留脱敏对账信息供人工处理。
 
-失败重试沿用现有语义：`fail` 先按 attempt 冲正扣费，`attempt < maxAttempts` 时回到 `pending` 并延迟重试，否则终态 `failed`。
+失败重试沿用现有语义：`fail` 先按 attempt 冲正扣费，`attempt < maxAttempts` 时回到 `pending` 并延迟重试，否则终态 `failed`。Tripo job 固定 `max_attempts = 1`，这条路径退化为“第一次失败即终态”，永不进入延迟重试。
 
 **provider 成功但落库失败按失败处理**：job 失败、该 attempt 退款，客户端看到 failed。没有正式资源引用就不算交付成功；checkpoint 保留，人工对账可证明这次生成确实发生过。由此产生的“provider 已消耗、用户已退款”净亏损是已知并接受的成本。
 
@@ -196,7 +196,7 @@ width/height  = 预览图像素尺寸
 3. 定价配置缺任一底价键时服务启动失败；请求命中 add-on 后扣费等于底价加全部命中 add-on；`fast` 与 `standard` 不加价。
 4. 组合校验前置于 provider 副作用：`texture=false` + `textureQuality`、`generateParts=true` 与 `texture=true` 的同现请求被拒绝且不扣费。
 5. image-to-model 的 `source` 元数据预检前置于扣费与入队：跨 owner、未登记、已删除与 `kind` 不符的引用返回 400，不产生 operation、不扣费，也不把图片正文读进内存或调用 provider。
-6. worker 崩溃后重新 claim 不会产生第二次 submit：已有 checkpoint 的 job 只轮询、下载与落库。
+6. Tripo job 固定 `max_attempts = 1`：崩溃后租约耗尽即终态失败、不重新 claim，不存在续跑路径；同时任何带 checkpoint 的执行路径都只轮询、下载与落库，绝不二次 submit（防御性硬约束，不依赖配置保证）。
 7. submit 成功但 checkpoint 写入失败的 attempt 终态失败且不自动重提。
 8. provider 成功但落库失败时 job 失败、该 attempt 退款，checkpoint 保留供对账。
 9. worker 落库时构造的完成结果按端点严格类型化，只含模型与预览的正式资源引用，不含 provider task ID 与带签名的临时 URL；标准消费者的队列结果不透传它（与其它画布生成任务一致，结果靠画布 / 素材读回）。