feat(游戏共创): 衍生作品发布必填「本次核心改动说明」（版本级存储 + 可达错误码）

按需求文档 revision 1554「发布设置页 → 二创信息区（必填项）」：衍生作品（有血缘行）发布新版本时**必须**
提供「本次核心改动说明」；母版（0 代）不需要——提供了也忽略、不校验、不落库。

- **存储**：`game_distribution_version` **表尾追加** `change_summary: Option<String>`（`#[default(None)]`）；
  列序属 wire format，`game_distribution_version_type` / `_version_snapshot_type` / `_create_version_input_type`
  三个绑定同步重生成（仓外临时 out-dir，只回写受影响文件）。
- **请求**：`GameDistributionCreateVersionRequest.change_summary`（`#[serde(default, skip_serializing_if)]`：
  缺省不序列化 `null`，保住旧客户端的幂等摘要）。
- **校验**：纯函数 `game_distribution_change_summary_violation(value, is_derivative)`，trim 后按**字符**计
  **20..=500** —— 20 是「能写清改了什么」的下限，500 约 1 KiB 上限，兼顾详情页/族谱展示与存储；
  超限或缺失**失败关闭**，错误码 `FORK_CHANGE_SUMMARY_REQUIRED` / `FORK_CHANGE_SUMMARY_INVALID`（均 **400**），
  已登记进 api-server 的 `FORK_` 映射表并纳入「FORK 码由模块真实文案可达」的枚举测试（防上次那种不可达码）。
- **公开投影**：`currentVersion.changeSummary`（衍生为字符串、母版 `null`，发键不发值），版本负载键集合
  逐字钉死为 id/version/entryUrl/sha256/publishedAt/controls/changeSummary，不带对象键/素材 id/审核字段。
- **契约与登记**：Rust DTO + TS 镜像 + parity（`version_summary_payload` 加 `mustEmit: ['changeSummary']`）。
- **文档**：技术方案 `§3.4`（请求增量 + 长度口径与理由 + 两个错误码 + 幂等摘要口径 + 公开投影）、数据契约
  文档的版本表小节（表尾追加列）。
- **测试**：纯函数 5 条（衍生缺失/超短(ASCII 与汉字)/超长(ASCII 与汉字)/区间内 trim 边界/母版忽略）+
  事务 4 条 + 接口 3 条（含公开负载键集合与母版 null）。

门禁：`SPACETIME_SCHEMA_BASE_REF=9f4c7d76 npm run check:spacetime-schema` 0（98 表）；`cargo check --all-targets` 0；
`cargo test -p module-game-distribution` **119 passed**；`cargo test -p api-server game_distribution` **104 passed**；
DTO parity 0（62 组 / 17 构建器 / 15 手拼类型）；`check:encoding` 0（5535 files）；
`cargo fmt --all --manifest-path server-rs/Cargo.toml -- --check` 0；`git diff --check` 0。

注：本块**未提交** `scripts/check-game-distribution-lineage-e2e.mjs` / `check-game-distribution-theme-e2e.mjs` /
`capture-game-lineage-visual.mjs` 的配套改动（属别的 session 的文件，工作区里保留未提交，需其 owner 决定：
衍生作品发布若不传 `changeSummary` 现在会 400，那三个脚本需要同步补字段）。

docs/【后端架构】server-rs与SpacetimeDB数据契约-2026-05-15.md

@@ -585,6 +585,7 @@ Responses 的终态载荷既是工具调用的恢复源，也是正文的恢复
 - 作者回读投影：版本回读（作者本人）与审核回读（管理员）在版本 payload 上追加 `frozenMetadata`（冻结快照原样 JSON，历史版本为 `null`）。只有公开投影会剥掉素材 ID，作者与管理员拿到 `coverAssetId` / `screenshots[].assetId`，因此作者续发时可以直接复用同一批封面与截图素材，不需要为了沿用封面重新上传一次；素材 ID 缺失（旧版本）时前端必须要求作者重新选择封面，不能用对象键反推素材身份。
 - 撤回与回读：`cancel_game_distribution_version_and_return` 只允许把未参与当前公开投影的版本推进到 `cancelled`，并要求 `expected_publication_revision` 与游戏公开修订号一致；`get_game_distribution_version_and_return` 供管理员按版本 ID 直读。客户端看到的 `recoveryAction` 由 `api-server` 按 `status` 派生，不落表。
 - 工程源包（M2b，2026-10-05）：版本行末尾追加三个可空/零默认列 `project_bundle_object_key: Option<String>`、`project_bundle_bytes: u64`（`0` = 未上传）、`project_bundle_sha256: Option<String>`，保存作者**可选**上传的工程源码包（与发行包并列的第二份私有资产）。三列由 `confirm_game_distribution_project_bundle_and_return` 一次性写入（`upload_project_bundle` 幂等动作），只在版本尚未公开（`awaiting_upload` / `upload_failed`）时接受；同一版本已确认工程包后换内容按冲突拒绝，同内容按幂等重放。作品授权非 `forbidden` 时，工程包与发行包走同一道取件鉴权与校验，**平台不设独立的「源码可见性」开关**——作者不传即退化产物级改编。对象键只在服务端使用（投影里只回 `projectBundleBytes` / `projectBundleSha256`），且键名与发行包不同（`.project.zip`），避免同 (作品, 版本) 的两份资产互相覆盖或串缓存。
+- 核心改动说明（2026-10-06）：版本行末尾再追加可空列 `change_summary: Option<String>`（`#[default(None::<String>)]`），保存**衍生作品**发布新版本时必填的「本次核心改动说明」（0 代母版恒为 `NULL`——传了也不校验、不落库）。它是**版本级**事实：同一作品的不同代版本各有各的说明，随版本冻结不可改。由 `create_game_distribution_version_and_return` 在**写库前**校验（失败关闭，不在库里留下没有说明的衍生版本），判据是**血缘行**（不接受客户端自称派生）；长度按 trim 后的**字符**数计、区间 `20–500`（常量 `GAME_DISTRIBUTION_CHANGE_SUMMARY_MIN_CHARS` / `_MAX_CHARS`），违规走 `FORK_CHANGE_SUMMARY_REQUIRED` / `FORK_CHANGE_SUMMARY_INVALID`（均 400）。公开投影只多下发 `changeSummary`（衍生必有、母版 `null`），不含任何私有字段。
 
 ### 后台游戏管理读模型与恢复动作（2026-09-23）
 

docs/【技术方案】游戏共创与作品Fork-2026-10-03.md

@@ -308,7 +308,7 @@ pub(crate) project_bundle_sha256: Option<String>,
 
 | 方法 / 路径 | 说明 |
 | --- | --- |
-| `GET /games/{gameId}`（**既有，响应增量**） | 追加 `forkAuthorization`、`forkCount`、`lineage`（可选）。**不追加 `forkSourceAvailable`**：网页端「改造这个作品」入口的显隐只依据 `forkAuthorization`（已公开 + 非禁止即可引导去取件），真实可复刻形态由 `/games/{gameId}/fork-source` 的 `source` 字段回答，不需要在公开详情里提前判断；若 M2b 需要在详情页区分「可源码级改造 / 只能参考」，再在 M2b 里加该字段。**另追加 `collected`（仅登录用户，2026-10-06）**：登录已认证时返回 `true` / `false`（真实投影，值来自 `is_game_distribution_collected_and_return`）；**匿名请求不返回该字段**（也不发 `false`——`false` 会把「未登录」说成「没收藏」）。该字段随请求者变化，所以这条路径必须 `no-store`、不得有任何共享缓存。**再追加 `themes: [{ themeId, name, badge }]`（2026-10-06 增量，共创主题）**：该作品所属的**公开**主题（只含 `status == published`）；**匿名与登录都发、无主题时恒发空数组**（与「仅登录才发」的 `collected` 不同——没有主题与没登录因此不会被混成同一种缺键）。口径是「先取该作品的**根**、再按根反查公开主题」，所以**第 N 代作品也能看到并跳到主题页**；单条只够渲染跳转入口（简介与成员数去主题页取） |
+| `GET /games/{gameId}`（**既有，响应增量**） | 追加 `forkAuthorization`、`forkCount`、`lineage`（可选）。**不追加 `forkSourceAvailable`**：网页端「改造这个作品」入口的显隐只依据 `forkAuthorization`（已公开 + 非禁止即可引导去取件），真实可复刻形态由 `/games/{gameId}/fork-source` 的 `source` 字段回答，不需要在公开详情里提前判断；若 M2b 需要在详情页区分「可源码级改造 / 只能参考」，再在 M2b 里加该字段。**另追加 `collected`（仅登录用户，2026-10-06）**：登录已认证时返回 `true` / `false`（真实投影，值来自 `is_game_distribution_collected_and_return`）；**匿名请求不返回该字段**（也不发 `false`——`false` 会把「未登录」说成「没收藏」）。该字段随请求者变化，所以这条路径必须 `no-store`、不得有任何共享缓存。**再追加 `themes: [{ themeId, name, badge }]`（2026-10-06 增量，共创主题）**：该作品所属的**公开**主题（只含 `status == published`）；**匿名与登录都发、无主题时恒发空数组**（与「仅登录才发」的 `collected` 不同——没有主题与没登录因此不会被混成同一种缺键）。口径是「先取该作品的**根**、再按根反查公开主题」，所以**第 N 代作品也能看到并跳到主题页**；单条只够渲染跳转入口（简介与成员数去主题页取）**。**版本摘要 `currentVersion` 再追加 `changeSummary`（2026-10-06，衍生作品发布必填项）**：该版本相对**改编来源**作品的核心改动说明——衍生作品必有（`20–500` 个字符，详见下方作者路由的 `POST /versions` 行），0 代母版为 **`null`**（发键不发值：客户端不必靠缺键猜），因此详情页与族谱溯源能逐代展示「这一版改了什么」。它不含任何私有字段（没有对象键 / 素材 id），匿名可读，也不需要按查看者变化 |
 | `GET /games/{gameId}/lineage`（新） | 以该 game 的根为顶返回树：`{ rootGameId, root: LineageNode \| null, nodes: [LineageNode], truncated }`，`LineageNode = { gameId, title, authorName, generation, parentGameId, playCount, status, coverObjectKey }`（`coverObjectKey` 为该节点作品**当前生效的封面对象键**，与公开目录 / 详情**同源同口径**、都来自游戏行 `cover_object_key`，**无封面时为 `null`**；只发对象键，不带 `coverAssetId` 等私有 id），按代际升序 / 同代创建时间升序稳定排序；节点上限 200，超出返回 `truncated: true`。**锚点必须公开可读**：未公开、已软删除或不存在的作品返回 404（与公开详情同口径），不用空标题占位或空树代替 404。树内只出现未软删除且已公开的作品；父/祖辈被排除时孩子照常出现并保留 `generation` 与 `parentGameId`，由展示层标注「原作品已不可用」，不补 null 占位节点 |
 | `GET /games/{gameId}/derived`（新，可选分页） | 直接子代列表：`{ gameId, nodes: [LineageNode], truncated }`，只含未软删除且已公开的直接子代（与公开详情 `forkCount` 同口径，因此条数与「被改编 N」一致）；锚点同样必须公开可读，否则 404 |
 | `GET /api/game-distribution/themes?limit=&cursor=`（新，2026-10-06） | 公开共创主题列表。**匿名可读 + `no-store`**，只含 `status == published` 的主题。响应 `{ themes: [{ themeId, name, summary, badge, memberCount }], nextCursor }`；`memberCount` = 该主题**真实可见成员数**（不截断、不套响应体积上限，也不是成员行总数）。它与详情 `roots` 的长度在可见成员超过 50 时**故意不相等**——「展示上限」不该污染「这个主题有多少棵树」，判定口径仍是同一份。分页沿用 `/my-collections` 那套游标惯例：`limit` 缺省 **20**、上限 **50**、超界**截断**（客户端拿到一个完整页，而不是需要重试的错误）；`cursor` 形如 `"{createdAtMicros}:{themeId}"`（解析只切第一个冒号）；**非法游标 → 400 `THEME_INVALID_CURSOR`**（模块侧报错透传，不吞成 200 空页）；`nextCursor` 为真实值，**末页为 `null`**。排序 `created_at` 倒序 + `themeId` 升序兜底（全序，翻页不重不漏），顺序定义为「**先按可见性过滤、再排序切页**」 |
@@ -321,6 +321,7 @@ pub(crate) project_bundle_sha256: Option<String>,
 | `PUT /games/{gameId}/fork-authorization`（新） | body `{ expectedForkAuthorization, forkAuthorization }` + `Idempotency-Key`；只允许提升；返回最新 `forkAuthorization` 与 `replayed` |
 | `PUT /versions/{versionId}/project-bundle`（**M2b 已实现**） | `application/octet-stream` 整包一次上传（≤ 200 MiB）；另有分片族 `GET …/project-bundle/upload-state`、`PUT …/project-bundle/chunk`（偏移头 `x-genarrative-upload-offset`）、`POST …/project-bundle/complete`（服务端独立跑工程包 zip 门禁 + 算摘要 + 确认）、`POST …/project-bundle/reset`（丢弃未确认的暂存对象）。前置：调用者是该版本作者；版本处于 `awaiting_upload` / `upload_failed`；该版本**尚无**已确认的工程包（换内容 → 409）。对象键由服务端派生（`…/{version_id}.project.zip`），不接受客户端指定。**两个按实现为准的细节（端到端实测，A5/A5b/A6）**：① **非作者上传返回 `404` 而不是 `403`**——api-server 用 `load_owner_version_or_404` 把 owner 不匹配按「版本不存在」处理，与发行包上行族同口径，既不会泄露「这个版本存在但不属于你」，响应里也不含对象键；② **阶段门先判「已存在」再判版本档位**——`ensure_project_bundle_uploadable` 先看 `project_bundle_bytes > 0`（→ 409 `PROJECT_BUNDLE_ALREADY_EXISTS`，因为确认工程包不驱动版本状态机，已确认的版本可能仍停在 `awaiting_upload`），再看 `status`（→ 409 `PROJECT_BUNDLE_UPLOAD_NOT_ALLOWED`）；因此「已公开**且已有**工程包」返回的是 `ALREADY_EXISTS`，只有「已公开**但还没有**工程包」才落到 `UPLOAD_NOT_ALLOWED` |
 | `POST /games`（**既有，请求增量**） | 追加可选 `forkedFromGameId` / `forkedFromVersionId`；再追加可选 `forkAuthorization`（`forbidden` / `nonCommercial` / `full`，**缺省禁止共创**，非法取值整请求 400 + 平台信封），使作者**上架时**即可选择授权档位，不必事后提升 |
+| `POST /games/{gameId}/versions`（**既有，请求增量**，2026-10-06「衍生作品发布必填核心改动说明」） | 追加可选 `changeSummary`：「本次核心改动说明」，发布设置页的「二创信息区」随包提交。**谁必填**：**衍生作品**（该 `gameId` **有血缘行**，即带过 `fork` 声明、代际 ≥ 1）**必须**提供；**0 代母版忽略该字段**——不校验、不落库（写 `NULL`）而不是「可选」，否则一个与血缘无关的字段会在母版上分叉出第二套语义。判定取**血缘行**本身、不接受客户端自称派生（`fork` 声明只在创建作品时生效一次），后续每一版都按血缘行判。**长度口径**：先 `trim` 再按**字符**数计（`chars().count()`，不是字节数——中文一字 3 字节，按字节算会让中文作者只能写 1/3 的内容），区间 **20–500**（常量 `GAME_DISTRIBUTION_CHANGE_SUMMARY_MIN_CHARS` / `_MAX_CHARS` 单点持有）。下限 20 的理由：这一项要回答「这一版相对来源作品改了什么」，比作品标题（40）短、比主题角标（16）长，是一句话能说清的最小规模；只写「改了」这类敷衍串等于没有说明，而展示层要把它当「这一代的差异」读。上限 500 的理由：它是发布流程里的一个文本框、不是正文（作品详细介绍 2000 才是正文），500 个字符足够写清「加了什么玩法、换了什么美术、修了什么」，同时保证详情页 / 族谱里相邻代际不会被挤出首屏。**失败关闭**且两条失败各有稳定码（都 400，客户端可只补说明或改短重试，不必按 409 去刷新后重放）：缺失 / trim 后为空 → **`FORK_CHANGE_SUMMARY_REQUIRED`**；越界 → **`FORK_CHANGE_SUMMARY_INVALID`**。**存储**：`game_distribution_version` 表尾追加可空列 `change_summary`——存**版本级**（同一作品的不同代各说各的改动），随版本冻结不可改。**投影**：公开版本摘要发 `changeSummary`（衍生必有、母版 `null`），见上方公开详情行。**幂等**：该字段属于请求体，因此参与请求摘要——同 `Idempotency-Key` 换说明会被按「同键不同请求」拒绝（409）；`serde` 上缺省**不序列化 `null`**，省略该键的旧客户端请求与升级前逐字节一致，同键重放不会被误判成新请求 |
 
 #### 登录用户（Bearer，**不叠加**发布灰度）