feat: protect video playback access

docs/refactor/next-development-todo.md

@@ -8,7 +8,7 @@
 
 - Supabase/PostgreSQL 多租户 schema、RLS、索引、触发器。
 - Node.js API 分层：`core/features`。
-- 学生端核心 API：题库、练习、答题、错题、收藏、背单词、知识手册、分数线、视频、资料、订单、权益、个人中心。
+- 学生端核心 API：题库、练习、答题、错题、收藏、背单词、知识手册、分数线、视频播放签名、资料、订单、权益、个人中心。
 - 租户后台 API：品牌、域名、设置、支付账户、登录 provider、私密密钥、活动、激活码、优惠券、成员权限、审计、内容管理。
 - 平台后台 API：租户、SaaS 套餐、订阅、账单、服务费收款、用量。
 - 销售/代理/CRM 增长链路：邀请码、扫码事件、首绑保护、团队、统计、CRM 队列。
@@ -33,7 +33,7 @@
 
 2. 对象存储
    - 已接阿里云 OSS、腾讯云 COS、Supabase Storage 的上传/下载签名 provider。
-   - 继续补上传后对象存在性校验、PDF 预览地址、视频播放签名、防盗链、水印和 worker 校验。
+   - 继续补上传后对象存在性校验、PDF 预览地址、视频深度防盗链、动态水印和 worker 校验。
    - `content_assets` 继续作为资源台账，不允许前端绕过台账直接访问私有资源。
 
 3. 真实导入 dry-run
@@ -71,8 +71,8 @@
    - 租户采纳、复制、授权、版本同步策略。
 
 5. 视频会员控制
-   - 视频 SVIP 权限、播放次数扣减。
-   - 防盗链、水印、播放日志、播放统计。
+   - 已完成视频 SVIP 权限、播放次数扣减、签名播放和播放日志。
+   - 继续补深度防盗链、动态水印、播放统计。
    - 单题视频和通用知识视频混合推荐。
 
 6. 学习统计