lhk229
e5fb51d1a7
合法 assetId 且不带 sourceResourceId 时，取得端点准入许可后到 OSS 下载之间会
顺序执行 8 次 SpacetimeDB 调用，全是裸 await，第一次真正应用 30 秒预算的是下载。
其中 list_editor_projects + get_editor_asset_library 这对全账号扫描重复了三轮：
resolve_editor_reference_object_key_for_owner 内部两个子函数各扫一轮，
resolve_editor_pixel_art_source_for_owner 再扫第三轮，拉的是同一份数据。
预算从 handler 入口「起算」不等于「覆盖」。deadline 是绝对时刻，早起算只让后续
余额更少；中间不检查就不会在该阶段返回 504，请求会一路走到下载才失败并返回下载
相关文案，误导排障，同时准入许可全程被这些无界调用占用，把并发闸自身变成瓶颈。
去重参照抠图入口 resolve_editor_background_removal_source 的既有范式：扫一次，
注册 ID 解析、归属校验和跨记录 assetKind 收集全部交给 _from_records 纯函数在内存
里完成。归属校验命中已登记记录即短路，只有两份记录都查不到才回落点查。老包装
resolve_editor_reference_object_key_for_owner 保持不动，它服务的是没有任何上下文
的调用方。全账号 RPC 由 6 次降为 2 次，整段由 8 次降为 3 次。
预算侧把 get_editor_project 到来源解析结束整体包进 timeout_at，超时返回 504 且
文案指向归属校验。不重复写 Instant::now() 预检——紧邻的 permit 获取已做过，且本块
首个 await 是网络 IO 不会立即就绪，不构成 timeout_at 先 poll 再判超时的陷阱。
参照 937378ab9 用 assert_function_occurrence_count 把两处全账号扫描各钉为 1 次，
并禁止该函数重新调用取数包装。后者断言调用形式而非裸函数名，否则会命中生产代码里
说明「老包装保持不动」的注释——该陷阱在编写时即由测试抓出。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
文档总览
docs/ 只把当前融合文档和仍在维护的专题文档作为实现依据。旧创作模板、旧创作入口及其专属服务文档仅保留为历史材料，不再要求继续实现或兼容。
必读入口
团队长期约定、决策、流程和排障摘要统一从 项目记忆入口 读取。代码、当前融合文档与项目记忆冲突时，以代码和最新融合文档为准。
当前专题
图片编辑器与 Agent
- 图片画布编辑器 MVP 接入方案
- 图片画布编辑器前端拆分计划
- 画布 Agent 对话面板
- 画布 Agent 会话消息存 OSS
- 图片画布撤销范围与操作提示方案
- 浏览器内 AI Web 工程沙箱预览
- AI Web 工程 Runner 安全模型
后端与公开数据
- 外部生成 Worker 化方案
- BgFilter 受限资源调度方案（同步内部 HTTP 原地等待版）
- 统一公开作品 Read Model 设计
- 外部 OpenAPI 与 API Key 接入方案
- SpacetimeDB 连接池取消安全
后台、宿主壳与运维
- Dashboard 运营看板方案
- 后台多账号与 Tab 访问权限
- 宿主壳能力统一协议
- Expo React Native 与 Tauri 宿主壳方案
- Pingora 独立网关试点
- 本地 SSH 服务器管理面板
测试与协作
历史文档边界
- 旧创作模板、旧创作入口、旧运行态和旧素材生成方案不再从本页索引，也不再作为修复目标。
maincloud、旧 Node/Express/PostgreSQL/Go 后端和人工spacetime --root-dir口径均已废弃。- 历史文档不得覆盖当前融合文档、代码契约或
docs/project-memory/shared-memory/decision-log.md中更新的决策。
命名规则
后续新增 Markdown 文档文件名使用 【标签名】中文标题-日期.md。历史文件不做无关批量重命名；本次涉及的旧文档可直接删除或在当前入口中取消引用。