feat: protect video playback access

docs/refactor/object-storage.md

@@ -4,7 +4,7 @@
 
 ## 目标
 
-题库里的图片、PDF、视频、音频、资料包等媒体资源统一走 `content_assets` 台账和后端签名接口。前端不直接保存或读取云厂商密钥，也不直接拼接私有资源 URL。
+题库里的图片、PDF、视频、音频、资料包等媒体资源统一走 `content_assets` 台账和后端签名接口。前端不直接保存或读取云厂商密钥，也不直接拼接私有资源 URL。题目视频播放还需要经过 `POST /api/videos/play` 校验 SVIP 或视频次数权益后下发短期签名 URL。
 
 已接入的 provider：
 
@@ -34,6 +34,12 @@ PUT /api/tenant-content/assets
 GET /api/catalog/assets/download?assetId=...
 ```
 
+学生端视频播放：
+
+```text
+POST /api/videos/play
+```
+
 后台管理员下载：
 
 ```text
@@ -46,7 +52,7 @@ POST /api/tenant-content/assets/sign-download
 - `objectKey` 默认必须以当前 `tenantId/` 开头，防止跨租户覆盖或读取。
 - 禁止 `..`、反斜杠、编码斜杠等危险 object key。
 - 上传会校验 MIME 类型和文件大小。
-- 下载必须先经过 API 权限判断，再下发短期签名 URL。
+- 下载和视频播放必须先经过 API 权限判断，再下发短期签名 URL。
 - 云厂商 AccessKey、SecretKey、Service Role Key 只存在服务端环境变量，不返回前端。
 - `content_assets` 是资源唯一台账，前端不得绕过台账直接访问私有 bucket。
 
@@ -98,7 +104,7 @@ SUPABASE_STORAGE_SERVICE_KEY=
 - bucket 默认私有，公开资源也建议先经过 CDN/防盗链策略，不让前端直接持有写权限。
 - 图片、PDF、视频分别设置合理的 CORS，只允许前端域名和小程序业务域名访问。
 - 开启对象版本控制、生命周期、跨区域复制或定时备份，满足后续容灾要求。
-- 视频资源建议后续接入转码、水印、防盗链、播放日志和播放次数扣减。
+- 视频资源已接入 SVIP/播放次数校验、短期签名和播放日志；生产阶段继续补转码、动态水印、CDN 防盗链和播放统计。
 - 大文件上传后应由 worker 校验对象是否真实存在、大小/hash 是否匹配，再把资源状态从 `draft` 发布为 `active`。
 
 ## 官方依据