同步图片 provider 路由白名单与启动日志文档

ADR 补充业务名与 gpt-image-2-c 的拒绝规则

决策记录补充启动报错点名环境变量与启动日志

docs/project-memory/shared-memory/decision-log.md

@@ -1,5 +1,18 @@
 # 决策记录
 
+## 2026-09-21 图片 provider 路由白名单拒绝业务名与已退役的 gpt-image-2-c
+
+- 背景：GPT Image 2.5 迁移后，`resolve_image_provider` 仍把业务模型名 `gpt-image-2.5` 与历史 `gpt-image-2-c` 一起判为 Tiantoken，等于把「非 provider model」留在 provider 边界的白名单里。`gpt-image-2-c` 自 2026-07-21 起只是首选模型失败时的兜底 provider model，兜底移除后仅剩历史审计字符串；api-server 的图片请求一律传具体 `provider_model`（`gpt-image-2.5-flare-c` / `gpt-image-2.5-sunburst-c` / nanobanana）。
+- 决策：`resolve_image_provider` 白名单只接受现役具体 provider model；业务名 `gpt-image-2.5` 与 `gpt-image-2-c` 命中即拒绝（`不支持的图片模型`）。业务名仍由 api-server 在任务边界解析成具体 key；`gpt-image-2-c` 只作为历史 fallback / 审计字符串存在，永不参与路由；`gpt-image-2` 继续作为历史可读值接受。
+- 影响范围：`server-rs/crates/platform-image/src/image_provider/protocol/request.rs` 与其集成测试。提交边界（画布参数、Agent 工具参数、External v1 请求 DTO、前端历史布局恢复）对 `gpt-image-2` / `gpt-image-2-c` 的兼容解析保持不变。
+- 验证：`cargo test -p platform-image` 22 项通过，新增 `resolve_image_provider_rejects_business_model_and_accepts_concrete_models`；`cargo test -p api-server` 1115 项通过。
+
+## 2026-09-21 图片 provider 启动期缺配置的报错点名环境变量
+
+- 背景：两个图片 provider client 都在 `AppState::new` 构造，缺 base URL / API key 即阻止 api-server 启动；旧报错只写「tiantoken 图片 provider 缺少 BASE_URL 配置」，没有点名变量名，而 `TIANTOKEN_*` 已不再从 `VECTOR_ENGINE_*` 回退，运维迁移时不易定位。
+- 决策：保持「不回退、缺失即启动失败」，但报错文案补上具体变量名（`VECTOR_ENGINE_BASE_URL` / `VECTOR_ENGINE_API_KEY` 或 `TIANTOKEN_BASE_URL` / `TIANTOKEN_API_KEY`）；client 构造成功后用 `info` 记录 provider、base_url、超时与对应 env 变量名，便于确认实际生效的 provider 配置。
+- 验证：`cargo check -p api-server` 通过；`cargo test -p api-server` 1115 项通过（0 失败）。
+
 ## 2026-09-21 渠道进安装身份：不同渠道的 AGC 包体在同一台设备并存
 
 - 背景：渠道此前只决定更新端点（`plugins.updater.endpoints`）与渲染层平台 origin，`productName` / `identifier` 与渠道无关，于是所有渠道共用 `%LOCALAPPDATA%\陶泥儿` 安装目录、同一个卸载项（`HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\陶泥儿`，另有 `HKCU\Software\genarrative\陶泥儿`）以及同一份 `%APPDATA%\world.genarrative.ai-game-creator` 数据目录。本机 0.1.48 安装实测：主程序二进制里只有 1 处 `agc/dev-win/latest.json`、0 处 release 端点，说明渠道在产物里只体现为端点。后果是后装的渠道静默顶掉先装的渠道，并接管更新端点、平台服务器与本地登录态/项目数据。