feat: enforce asset watermark preview flow

README.md

@@ -30,12 +30,12 @@
 
 - Supabase Auth/JWT、租户角色模板、班级/教师/学生范围权限已可联调；生产前还要做真实云端 Auth/JWKS 回归和 RLS 深测。
 - 阿里云/腾讯云短信、微信小程序登录、微信网页登录、QQ 登录、手机号绑定/换绑、微信支付、支付宝主链路、微信/支付宝发起退款/查询确认/退款通知、支付/退款补偿 worker 已完成本地适配；资金对账已支持手工/API 账单导入、微信/支付宝官方账单下载任务、provider-bills worker 自动导入比对、差错工单处理、异常订单运营台和人工调整凭证复核报表；真实生产账号、真实回调域名和真实生产账单抽样验收还没接完。
-- OSS/COS/Supabase Storage 上传下载签名 provider 已接入；上传后校验、PDF/图片预览、资源访问事件、动态水印上下文、锁定资源 CDN 边界、资源复检 worker、内置 `metadata_rules` 安全扫描和外部 HTTP 杀毒/内容安全 scanner 接入层已完成。生产还要配置真实扫描服务 endpoint/token，并继续补转码/CDN 级水印、CDN 刷新和对象生命周期策略。
+- OSS/COS/Supabase Storage 上传下载签名 provider 已接入；上传后校验、PDF/图片预览、资源访问事件、动态水印上下文、锁定资源 CDN 边界、资源复检 worker、内置 `metadata_rules` 安全扫描和外部 HTTP 杀毒/内容安全 scanner 接入层已完成；Taro 学生资料页已按短期签名和 `watermark.traceId` 渲染可见水印确认/预览第一版。生产还要配置真实扫描服务 endpoint/token，并继续补转码/CDN 级水印、CDN 刷新和对象生命周期策略。
 - Excel/CSV 导入解析已完成并复用 `content_import_jobs/items/issues` 管线；大批量异步导入 worker 基础已接入，支持 queued job 消费、重试和审计；导入后复检、模板下载和字段映射 API 已完成，前端 UI 待接。
 - 题库导出已完成服务端结构化 payload、PDF/Word 二进制 worker、每日一练基础导出和每日一练 ZIP 图片素材包；后续还要补更精细试卷模板、多模板排版和导出操作台体验。
 - 优惠券复杂规则和核销报表已可联调，包含状态启停、活动分组、最低订单金额、优惠封顶、单用户限次、首单限制、适用套餐/地区、核销明细和活动报表；Taro 租户营销中心已接优惠券规则表单、筛选、核销明细和报表第一版。
 - 勋章管理/手动发放已可联调；自动发放规则、积分活动联动、分佣真实打款 provider、发票、批量凭证上传、CRM 富卡片模板、失败告警、死信运营台、销售转化看板、公共题库版本通知和冲突处理操作台还没完成。
-- `apps/taro` 已建立 Taro 4 React 跨端前端地基，包含 H5 学生端、租户后台、平台后台三套构建入口、租户解析、统一 API client 和 Supabase Auth client 初始化；学生端第一批页面已接入登录、首页、题库、练习、背单词、知识手册、分数线、AI 择校推荐、资料和个人中心，已新增 `RichContent` 安全渲染组件用于题干、选项、解析、知识手册和逐题复盘，并升级背单词为今日计划/单元学习/收藏练习、卡片翻转、发音、美/英音切换和本地位置恢复第一版；租户后台第一批页面已接入工作台、数据看板、学生/班级、题库内容、营销中心、财务运营和租户设置，营销中心已接 CRM、分佣结算、优惠券规则/核销报表，财务运营已接退款状态机、官方账单任务、对账异常、差错工单和调整凭证第一版，设置页已接主题模板、草稿预览/发布、角色模板和成员绑定第一版；平台后台已接入工作台、租户管理、账务中心、公共题库授权，以及创建租户、状态变更、订阅、账单、收款、用量和题库授权第一版写操作。
+- `apps/taro` 已建立 Taro 4 React 跨端前端地基，包含 H5 学生端、租户后台、平台后台三套构建入口、租户解析、统一 API client 和 Supabase Auth client 初始化；学生端第一批页面已接入登录、首页、题库、练习、背单词、知识手册、分数线、AI 择校推荐、资料和个人中心，已新增 `RichContent` 安全渲染组件用于题干、选项、解析、知识手册和逐题复盘，已升级背单词为今日计划/单元学习/收藏练习、卡片翻转、发音、美/英音切换和本地位置恢复第一版，并补齐资料预览/下载的短签名、水印 traceId 和强制水印容器第一版；租户后台第一批页面已接入工作台、数据看板、学生/班级、题库内容、营销中心、财务运营和租户设置，营销中心已接 CRM、分佣结算、优惠券规则/核销报表，财务运营已接退款状态机、官方账单任务、对账异常、差错工单和调整凭证第一版，设置页已接主题模板、草稿预览/发布、角色模板和成员绑定第一版；平台后台已接入工作台、租户管理、账务中心、公共题库授权，以及创建租户、状态变更、订阅、账单、收款、用量和题库授权第一版写操作。
 - 根目录已清理为新 Supabase SaaS monorepo 编排层；旧 PocketBase/React 项目和旧构建产物仅保留在 `参考/` 目录作为迁移参考，不进入 Git 提交。
 
 更完整的进度看这些文档：

apps/taro/src/pages/student/assets/index.tsx

@@ -1,20 +1,62 @@
 import { useEffect, useState } from 'react';
 import Taro from '@tarojs/taro';
-import { Button, Text, View } from '@tarojs/components';
+import { Button, Text, View, WebView } from '@tarojs/components';
-import { loadContentAssets, signAssetDownload, signAssetPreview, type ContentAsset } from '@/services/catalog';
+import {
+  loadContentAssets,
+  signAssetDownload,
+  signAssetPreview,
+  type AssetWatermarkContext,
+  type ContentAsset,
+  type SignedAssetLink,
+} from '@/services/catalog';
 import '../student.css';
 
-function openUrl(url?: string) {
+type PreviewState = {
+  kind: 'preview' | 'download';
+  asset: ContentAsset;
+  link: SignedAssetLink;
+  watermark?: AssetWatermarkContext;
+};
+
+function openUrl(url?: string, copiedText = '签名链接已复制，请在浏览器中打开') {
   if (!url) return;
   if (process.env.TARO_ENV === 'h5' && typeof window !== 'undefined') {
     window.open(url, '_blank', 'noopener,noreferrer');
     return;
   }
   Taro.setClipboardData({ data: url });
+  Taro.showToast({ title: copiedText, icon: 'none' });
+}
+
+function isImageAsset(asset: ContentAsset) {
+  const mime = asset.mimeType || '';
+  const type = asset.assetType || '';
+  const name = asset.fileName || '';
+  return mime.startsWith('image/') || type === 'image' || /\.(png|jpe?g|webp|gif)$/i.test(name);
+}
+
+function formatExpires(link?: SignedAssetLink) {
+  if (link?.expiresAt) return `有效期至 ${new Date(link.expiresAt).toLocaleString()}`;
+  if (link?.expiresInSec) return `约 ${link.expiresInSec} 秒后过期`;
+  return '短期签名，离开页面后请重新申请';
+}
+
+function watermarkStyle(watermark?: AssetWatermarkContext) {
+  return {
+    opacity: String(watermark?.opacity ?? 0.16),
+  };
+}
+
+function canOpenOutside(state: PreviewState | null) {
+  if (!state?.link.url) return false;
+  if (state.kind === 'download') return true;
+  return state.watermark?.required !== true;
 }
 
 export default function StudentAssetsPage() {
   const [assets, setAssets] = useState<ContentAsset[]>([]);
+  const [previewState, setPreviewState] = useState<PreviewState | null>(null);
+  const [loadingAssetId, setLoadingAssetId] = useState('');
   const [error, setError] = useState('');
 
   useEffect(() => {
@@ -25,24 +67,44 @@ export default function StudentAssetsPage() {
 
   async function preview(asset: ContentAsset) {
     try {
+      setLoadingAssetId(asset.id);
+      setError('');
       const payload = await signAssetPreview(asset.id);
-      openUrl(payload.preview?.url);
+      if (!payload.preview?.url) throw new Error('后端未返回可预览签名');
+      setPreviewState({ kind: 'preview', asset: payload.item || asset, link: payload.preview, watermark: payload.watermark });
     } catch (nextError) {
       setError(nextError instanceof Error ? nextError.message : '预览失败');
+    } finally {
+      setLoadingAssetId('');
     }
   }
 
   async function download(asset: ContentAsset) {
     try {
+      setLoadingAssetId(asset.id);
+      setError('');
       const payload = await signAssetDownload(asset.id);
-      openUrl(payload.download?.url);
+      if (!payload.download?.url) throw new Error('后端未返回可下载签名');
+      const watermark = payload.watermark;
+      if (watermark?.required) {
+        setPreviewState({ kind: 'download', asset: payload.item || asset, link: payload.download, watermark });
+        Taro.showToast({ title: '请确认水印追踪码后下载', icon: 'none' });
+        return;
+      }
+      openUrl(payload.download?.url, '下载签名已复制，请及时使用');
     } catch (nextError) {
       setError(nextError instanceof Error ? nextError.message : '下载失败');
+    } finally {
+      setLoadingAssetId('');
     }
   }
 
+  function openSignedLink() {
+    openUrl(previewState?.link.url, previewState?.kind === 'download' ? '下载签名已复制，请及时使用' : '预览签名已复制，请及时打开');
+  }
+
   return (
-    <View className='student-page'>
+    <View className='student-page assets-page'>
       <View className='student-topbar'>
         <View className='student-title-block'>
           <Text className='student-kicker'>Assets</Text>
@@ -50,15 +112,64 @@ export default function StudentAssetsPage() {
           <Text className='student-subtitle'>私有文件必须向后端申请短期签名，前端不直接拼对象存储地址。</Text>
         </View>
       </View>
+
+      {previewState ? (
+        <View className='asset-preview-panel section-block'>
+          <View className='amount-row'>
+            <View>
+              <Text className='section-heading'>{previewState.kind === 'download' ? '确认下载' : '资料预览'} · {previewState.asset.title || previewState.asset.fileName || '未命名资料'}</Text>
+              <Text className='row-meta'>{formatExpires(previewState.link)} · {previewState.link.signatureMode || 'signed'}</Text>
+            </View>
+            <Button className='secondary-button' onClick={() => setPreviewState(null)}>关闭</Button>
+          </View>
+          <View className='asset-preview-frame'>
+            {previewState.kind === 'download' ? (
+              <View className='asset-download-confirm'>
+                <Text className='row-main'>已获取一次性下载授权</Text>
+                <Text className='row-meta'>下载前请确认页面水印和追踪码。签名 URL 不会长期保存，过期后需要重新申请。</Text>
+              </View>
+            ) : null}
+            {previewState.kind === 'preview' && process.env.TARO_ENV === 'h5' ? (
+              <WebView className='asset-preview-iframe' src={previewState.link.url || ''} />
+            ) : null}
+            {previewState.kind === 'preview' && process.env.TARO_ENV !== 'h5' ? (
+              <View className='asset-download-confirm'>
+                <Text className='row-main'>已获取预览授权</Text>
+                <Text className='row-meta'>当前小程序容器不直接嵌入私有文件。请先确认水印追踪码，再使用外部打开或复制签名链接。</Text>
+              </View>
+            ) : null}
+            {previewState.watermark?.mode === 'visible_overlay' && previewState.watermark.required ? (
+              <View className={`asset-watermark ${previewState.watermark.repeat ? 'repeat' : ''} ${previewState.watermark.position || 'diagonal'}`} style={watermarkStyle(previewState.watermark)}>
+                <Text className='asset-watermark-text'>{previewState.watermark.text || previewState.watermark.traceId}</Text>
+              </View>
+            ) : null}
+          </View>
+          <View className='asset-security-strip'>
+            <Text className='row-meta'>追踪码：{previewState.watermark?.traceId || '无'}。截图、转发或录屏外泄时，租户后台可按追踪码回查访问事件。</Text>
+            <View className='toolbar wrap checkout-actions'>
+              {isImageAsset(previewState.asset) && previewState.watermark?.required !== true ? (
+                <Button className='secondary-button' onClick={() => Taro.previewImage({ current: previewState.link.url || '', urls: [previewState.link.url || ''] })}>系统看图</Button>
+              ) : null}
+              {canOpenOutside(previewState) ? (
+                <Button className={previewState.kind === 'download' ? 'primary-button' : 'secondary-button'} onClick={openSignedLink}>{previewState.kind === 'download' ? '确认下载' : '外部打开'}</Button>
+              ) : null}
+            </View>
+            {previewState.kind === 'preview' && previewState.watermark?.required ? (
+              <Text className='row-meta'>该资源要求可见水印，不能脱离当前水印容器外部打开；小程序端如无法覆盖原生预览，请使用 H5 资料页查看。</Text>
+            ) : null}
+          </View>
+        </View>
+      ) : null}
+
       <View className='list-stack'>
         {assets.map(item => (
           <View className='list-row' key={item.id}>
             <Text className='row-main'>{item.title || item.fileName || '未命名资料'}</Text>
-            <Text className='row-meta'>{item.assetType || 'asset'} · {item.visibility || 'public'}</Text>
+            <Text className='row-meta'>{item.assetType || 'asset'} · {item.visibility || 'public'}{item.previewStatus ? ` · ${item.previewStatus}` : ''}</Text>
             {item.description ? <Text className='row-meta'>{item.description}</Text> : null}
             <View className='toolbar'>
-              <Button className='secondary-button' onClick={() => preview(item)}>预览</Button>
+              <Button className='secondary-button' onClick={() => preview(item)}>{loadingAssetId === item.id ? '申请中' : '预览'}</Button>
-              <Button className='primary-button' onClick={() => download(item)}>下载</Button>
+              <Button className='primary-button' onClick={() => download(item)}>{loadingAssetId === item.id ? '申请中' : '下载'}</Button>
             </View>
           </View>
         ))}

apps/taro/src/pages/student/student.css

@@ -516,3 +516,94 @@
   color: #94a3b8;
   font-size: 20px;
 }
+
+.assets-page .list-stack {
+  margin-top: 20px;
+}
+
+.asset-preview-panel {
+  padding: 24px;
+  border: 1px solid #bfdbfe;
+  border-radius: 8px;
+  background: #fff;
+}
+
+.asset-preview-frame {
+  position: relative;
+  min-height: 720px;
+  overflow: hidden;
+  border: 1px solid #dbe3ee;
+  border-radius: 8px;
+  background: #f8fafc;
+}
+
+.asset-preview-iframe {
+  width: 100%;
+  height: 720px;
+  border: 0;
+  background: #fff;
+}
+
+.asset-download-confirm {
+  padding: 60px 36px;
+}
+
+.asset-watermark {
+  position: absolute;
+  inset: 0;
+  z-index: 3;
+  display: flex;
+  align-items: center;
+  justify-content: center;
+  pointer-events: none;
+  color: #0f172a;
+}
+
+.asset-watermark.repeat {
+  align-items: stretch;
+  justify-content: stretch;
+  background-image:
+    repeating-linear-gradient(
+      -28deg,
+      transparent 0,
+      transparent 92px,
+      rgba(15, 23, 42, 0.08) 92px,
+      rgba(15, 23, 42, 0.08) 94px,
+      transparent 94px,
+      transparent 168px
+    );
+}
+
+.asset-watermark.diagonal .asset-watermark-text,
+.asset-watermark.repeat .asset-watermark-text {
+  transform: rotate(-24deg);
+}
+
+.asset-watermark.bottom-right {
+  align-items: flex-end;
+  justify-content: flex-end;
+  padding: 24px;
+}
+
+.asset-watermark.center {
+  align-items: center;
+  justify-content: center;
+}
+
+.asset-watermark-text {
+  max-width: 86%;
+  color: #0f172a;
+  font-size: 32px;
+  font-weight: 850;
+  line-height: 1.35;
+  text-align: center;
+  word-break: break-word;
+}
+
+.asset-security-strip {
+  margin-top: 16px;
+  padding: 18px;
+  border: 1px solid #e2e8f0;
+  border-radius: 8px;
+  background: #f8fafc;
+}

apps/taro/src/services/catalog.ts

@@ -137,6 +137,13 @@ export interface AssetWatermarkContext {
   renderHint: string;
 }
 
+export interface SignedAssetLink {
+  url?: string;
+  expiresAt?: string | null;
+  expiresInSec?: number | null;
+  signatureMode?: string | null;
+}
+
 export async function loadRegions() {
   return apiRequest<{ items?: RegionItem[] }>('/api/catalog/regions');
 }
@@ -204,9 +211,9 @@ export async function loadContentAssets(query: { entryId?: string; contentNodeId
 }
 
 export async function signAssetPreview(assetId: string) {
-  return apiRequest<{ preview?: { url?: string }; item?: ContentAsset; watermark?: AssetWatermarkContext }>('/api/catalog/assets/preview', { query: { assetId } });
+  return apiRequest<{ preview?: SignedAssetLink; item?: ContentAsset; watermark?: AssetWatermarkContext }>('/api/catalog/assets/preview', { query: { assetId } });
 }
 
 export async function signAssetDownload(assetId: string) {
-  return apiRequest<{ download?: { url?: string }; item?: ContentAsset; watermark?: AssetWatermarkContext }>('/api/catalog/assets/download', { query: { assetId } });
+  return apiRequest<{ download?: SignedAssetLink; item?: ContentAsset; watermark?: AssetWatermarkContext }>('/api/catalog/assets/download', { query: { assetId } });
 }

docs/refactor/frontend-handoff-index.md

@@ -46,7 +46,7 @@
 - 生产鉴权已具备 Supabase JWT API 入口，自定义角色模板基础 API 已可用；仍要做真实云端 Auth/JWKS 回归、RLS 深测和班级/学生范围权限细化，前端不要继续使用 `x-user-id`。
 - 不要把“Supabase 支持前端 Data API”误解为“本项目所有业务表都由 Taro 直写”；订单、支付、权益、租户后台、导入、CRM、私有资源必须走 RPC、`apps/api`、Edge Function 或 worker 这类后端命令层。
 - 短信、微信小程序/网页登录、QQ 登录、微信支付、支付宝支付 provider 已有本地 adapter 和测试覆盖；生产账号、回调域名、证书和商户资料仍需正式联调。
-- 对象存储已完成签名 provider、上传后校验、PDF/图片预览、动态水印上下文、资源复检 worker、内置安全扫描、外部 HTTP scanner 接入层和租户后台媒体运营报表；CDN 防盗链、转码级视频水印和真实 AV/内容安全服务联调还要补。
+- 对象存储已完成签名 provider、上传后校验、PDF/图片预览、动态水印上下文、资源复检 worker、内置安全扫描、外部 HTTP scanner 接入层和租户后台媒体运营报表；Taro 学生资料页已接短期签名、水印 traceId 展示和强制水印容器第一版；CDN 防盗链、转码级视频水印和真实 AV/内容安全服务联调还要补。
 - 题目/单词/知识手册/分数线/视频 JSON/CSV/Excel 导入已可联调；大批量导入可传 `executionMode=async` 交给 imports worker；模板下载、字段映射 API、导入任务详情和导入后复检已可用。租户内容页已经可以选择文件或粘贴内容、下载模板、执行后端预览、编辑本次字段别名、同步/异步提交导入、轮询异步 job、查看问题行并触发/查看复检；后续还要补真实数据 dry-run 验收和更完整的目标入口/集合选择。
 - 数据看板、分佣结算、财务运营、勋章手动发放和主题模板发布基础 API 已可联调；勋章自动发放、真实打款 provider、发票、真实生产账单抽样验收、AI 择校真实 provider、主题素材库/模板市场等仍是后续商用增强项。
 
@@ -75,10 +75,10 @@
 | 背单词 | `apps/taro/src/pages/student/vocabulary/index.tsx` | `vocabulary-units`、`vocabulary-words`、`vocabulary/review-plan`、`vocabulary/review`、`vocabulary/favorites`；已接今日计划、单元学习、收藏练习、卡片翻转、发音、美/英音切换、本地进度恢复和单词跳转 |
 | 知识手册 | `apps/taro/src/pages/student/handbook/index.tsx` | `handbook-subjects`、`handbook-chapters`、`handbook-entries`；已接 RichContent 阅读渲染第一版 |
 | 分数线 | `apps/taro/src/pages/student/scoreline/index.tsx` | `scoreline/records` |
-| 资料 | `apps/taro/src/pages/student/assets/index.tsx` | `assets`、`assets/preview`、`assets/download` |
+| 资料 | `apps/taro/src/pages/student/assets/index.tsx` | `assets`、`assets/preview`、`assets/download`；已接短期签名、过期信息、可见水印覆盖、traceId 展示和强制水印资源外部预览限制 |
 | 个人中心 | `apps/taro/src/pages/student/profile/index.tsx` | `profile/me`、`check-in`、`badges`、`exam-countdowns`、`svip-plans`、`orders`、`entitlements`、`activation-codes`、`leaderboard` |
 
-当前页面主要用于打通接口和路由。学生端第一版学习闭环已经覆盖“选地区 -> 进题库 -> 创建 session -> 答题卡/答题/主观题自评/复合题多小题/收藏/反馈/视频 -> 交卷报告逐题复盘 -> 错题/收藏复习”，背单词已经覆盖“单元 -> 今日计划/全单元/收藏练习 -> 卡片翻转 -> 发音 -> 认识/再记上报 -> 本地恢复”，会员闭环已经覆盖“选套餐 -> 领优惠券 -> 下单 -> 创建支付参数 -> 状态轮询 -> 订单详情/售后入口”。`apps/taro/src/components/RichContent.tsx` 是学生端题干、选项、解析和知识手册的统一安全渲染组件：它只支持受控 Markdown 图片、基础表格、粗体、代码和公式占位，不执行任意 HTML/JS，也会拒绝 `javascript:`、`data:` 等危险图片地址。后续 UI 需要继续按旧题库视觉和 Taro H5/小程序限制优化，并重点补真正 KaTeX/小程序公式方案、私有题图签名资源映射、小程序分享/支付容器体验。
+当前页面主要用于打通接口和路由。学生端第一版学习闭环已经覆盖“选地区 -> 进题库 -> 创建 session -> 答题卡/答题/主观题自评/复合题多小题/收藏/反馈/视频 -> 交卷报告逐题复盘 -> 错题/收藏复习”，背单词已经覆盖“单元 -> 今日计划/全单元/收藏练习 -> 卡片翻转 -> 发音 -> 认识/再记上报 -> 本地恢复”，资料页已经覆盖“列表 -> 申请预览/下载短签名 -> 展示水印 traceId -> H5 水印容器预览或确认下载”，会员闭环已经覆盖“选套餐 -> 领优惠券 -> 下单 -> 创建支付参数 -> 状态轮询 -> 订单详情/售后入口”。`apps/taro/src/components/RichContent.tsx` 是学生端题干、选项、解析和知识手册的统一安全渲染组件：它只支持受控 Markdown 图片、基础表格、粗体、代码和公式占位，不执行任意 HTML/JS，也会拒绝 `javascript:`、`data:` 等危险图片地址。后续 UI 需要继续按旧题库视觉和 Taro H5/小程序限制优化，并重点补真正 KaTeX/小程序公式方案、私有题图签名资源映射、小程序分享/支付容器体验。
 
 ## 已落地的 Taro 租户后台页面
 

docs/refactor/implementation-status.md

@@ -32,7 +32,7 @@
 | 知识手册 | 已建手册科目、章节、条目，并可绑定 `content_entries/content_nodes` | 已支持内容导入 | 只读 API、租户后台手册科目/章节/条目维护 API、嵌套 JSON 预览导入已实现 | 核心 API 集成测试含导入断言，Taro 类型检查含 RichContent 阅读页 | 学生端阅读、RichContent 安全渲染、后台维护和批量 JSON 导入基础可用，搜索、高亮、目录锚点、真正公式渲染、富文本资源/版本管理待补 |
 | 分数线 | 已建院校、专业、字段、记录表 | 已支持导入映射 | 字段、院校、专业、记录、趋势、年份、租户后台维护 API、JSON 预览导入已实现 | 核心 API 集成测试含导入断言 | 查询、后台维护和批量 JSON 导入基础闭环已实现，复杂动态筛选和 AI 择校上下文待补 |
 | 题目视频讲解 | 已建 `video_explanations`、`question_videos` | 已支持导入映射 | 单题视频、批量预加载、通用视频搜索、播放签名、视频次数扣减、播放水印上下文、租户后台视频创建绑定 API、JSON 预览导入已实现 | 核心 API 集成测试含播放、水印 traceId 和导入断言 | 播放、权益、后台绑定、动态水印上下文和批量 JSON 导入链路已实现，深度防盗链、转码级水印和播放统计待补 |
-| 资料下载/PDF | 已扩展 `content_assets`，新增资源台账和导入任务表 | 旧 `app_assets/images` 兼容导入 | 租户后台资源管理、OSS/COS/Supabase Storage 上传/下载签名、上传确认、PDF/图片预览签名、资源访问审计、动态水印上下文、内置安全扫描、外部 HTTP scanner 接入层、题库导出 PDF/Word/每日一练 ZIP 自动发布可信资源、学生端资料列表/下载权限已实现 | 核心 API 集成测试含 SVIP 资料下载、安全扫描门禁、水印 traceId，assets worker 覆盖内置规则与外部 scanner 通过/失败/不可用 fail-closed，exports worker 测试 | 资料资源基础闭环可跑，真实 AV/内容安全服务联调、CDN 防盗链、转码/CDN 级水印和资料下载前端渲染待补 |
+| 资料下载/PDF | 已扩展 `content_assets`，新增资源台账和导入任务表 | 旧 `app_assets/images` 兼容导入 | 租户后台资源管理、OSS/COS/Supabase Storage 上传/下载签名、上传确认、PDF/图片预览签名、资源访问审计、动态水印上下文、内置安全扫描、外部 HTTP scanner 接入层、题库导出 PDF/Word/每日一练 ZIP 自动发布可信资源、学生端资料列表/下载权限已实现 | 核心 API 集成测试含 SVIP 资料下载、安全扫描门禁、水印 traceId，assets worker 覆盖内置规则与外部 scanner 通过/失败/不可用 fail-closed，exports worker 测试；Taro 类型检查覆盖学生资料水印预览/下载确认 | 资料资源基础闭环可跑，Taro 学生资料页已接短期签名、可见水印覆盖、追踪码展示和强制水印资源外部打开限制第一版；真实 AV/内容安全服务联调、CDN 防盗链、转码/CDN 级水印待补 |
 | 个人中心 | 已建 `student_profiles`、会员权益、订单、练习记录、`badges/user_badges` | 已支持部分用户资料和勋章导入 | 个人资料、目标院校/专业、手机号绑定/换绑、会员状态、最近练习、统计聚合、签到积分、题目反馈、考试倒计时、勋章 API 已实现 | API 集成测试 | 学生端基础个人中心已实现，学习报告可视化和更细任务系统待补 |
 | 活动/优惠 | 已建优惠券、激活码、激活码批次、banner、FAQ、公告、勋章等基础表 | 部分支持 | banner/FAQ/公告只读与租户后台维护、激活码预检查/兑换、激活码批次、批量生成激活码、优惠券维护、前台领取/下单抵扣、最低金额、优惠封顶、单用户限次、首单限制、适用套餐/地区、活动分组、核销明细、核销报表、勋章维护和手动发放已实现 | 核心 API 集成测试 | 基础运营后台可用，勋章自动发放、积分活动联动、营销自动化和前端活动操作台继续补 |
 | 销售/代理客资追踪 | 已建推荐码、首绑客资、团队关系、小程序码缓存、CRM 队列 | 旧 `referral_tracks` 已有映射基础 | 邀请码、扫码/分享事件、首绑保护、销售统计、客资明细、手动补绑、团队关系、CRM 配置/队列、CRM worker 推送已实现 | 核心 API 集成测试、CRM worker 集成测试 | 增长链路基础可用，真实微信小程序码、CRM 分配策略、富卡片和销售转化看板待补 |

docs/refactor/legacy-feature-gap-matrix.md

@@ -32,7 +32,7 @@
 | 分数线 | `ScorelinePage.tsx` | 已覆盖 | 动态字段/趋势、后台维护和 JSON 批量导入已有；后续补复杂筛选优化和 AI 择校数据上下文 |
 | 商城/SVIP | `Store.tsx`、`SvipModal.tsx` | 部分覆盖 | 套餐、订单、订单详情/状态轮询、权益、激活码预检查/兑换、优惠券领取/下单抵扣、微信支付/支付宝 provider 主链路、内部退款状态机、微信/支付宝发起退款、退款查询确认、退款通知 webhook、支付/退款补偿 worker、全额退款权益撤销、资金对账手工/API 导入比对、微信/支付宝官方账单下载 worker、异常查询、差错工单和事件轨迹、异常订单运营台、人工调整凭证复核报表已有；Taro 学生收银台/订单详情和租户财务运营台第一版已接；仍缺更完整售后体验、真实生产账单抽样验收和生产账号联调 |
 | 个人中心 | `Profile.tsx` | 部分覆盖 | 基本资料、手机号绑定/换绑、权益、订单统计、练习历史、学习统计、签到积分、考试倒计时、趋势和勋章展示 API 已有；缺学习报告可视化 |
-| 资料下载 | `QuestionExporterPublishModal.tsx` 等 | 部分覆盖 | 资源台账、上传确认、签名下载、PDF/图片预览、动态水印上下文、worker 复检、内置安全扫描和外部 HTTP scanner 接入层已有；缺前端水印渲染、深度防盗链、真实 AV/内容安全服务联调和生命周期策略 |
+| 资料下载 | `QuestionExporterPublishModal.tsx` 等 | 部分覆盖 | 资源台账、上传确认、签名下载、PDF/图片预览、动态水印上下文、Taro 学生端水印 traceId 预览/下载确认、worker 复检、内置安全扫描和外部 HTTP scanner 接入层已有；仍缺深度防盗链、真实 AV/内容安全服务联调、转码/CDN 级水印和生命周期策略 |
 | AI 择校推荐 | 业务规划新增 | 部分覆盖 | 已有 SVIP 门禁、学生输入 schema、地区/分数线上下文、稳定 JSON 输出、报告台账、审计和 Taro 学生端基础页；真实 AI provider、prompt 版本管理后台、报告 PDF 渲染和更细推荐算法待补 |
 | 题目反馈 | `02-API接口.md` 用户反馈 | 部分覆盖 | 学生提交、本人列表、租户后台处理、状态事件、反馈奖励积分已覆盖；缺处理通知、前端消息提醒和批量统计 |
 | 签到积分 | `Profile.tsx`、`02-API接口.md` | 部分覆盖 | 每日签到、连续签到基础、积分流水、重复签到幂等已覆盖；缺积分兑换、活动任务和更完整的运营规则 |

docs/refactor/next-development-todo.md

@@ -57,6 +57,7 @@
    - 已补内容资源安全扫描状态机：确认上传后进入 `securityScanStatus=pending`，扫描通过后才能发布、下载、预览或视频播放；后台可查 `/api/tenant-content/assets/security-scan-events`。
    - 已补资源访问事件 `content_asset_access_events`，覆盖上传签名/确认、学生下载/预览、后台下载/预览的 granted/denied、短 TTL、签名模式、IP、UA 和动态水印 traceId。
    - 已补签名访问动态水印上下文：学生资料下载/预览、租户后台下载/预览和视频播放都会返回 `watermark`，并将 traceId 写入访问事件或播放事件。
+   - 已补 Taro 学生资料页水印容器第一版：预览/下载都先请求后端短签名，展示过期时间、签名模式和 `watermark.traceId`；强制水印资源不会提供脱离水印容器的外部预览入口。
    - 已补租户后台媒体运营报表，支持资料/视频访问汇总、Top 资源/视频和 traceId 回查；大租户后续再把实时查询替换为日/周预聚合。
    - 已收紧锁定资源 CDN 边界：`members/svip/private` 外链默认拒绝，必须显式 provider-managed 才允许；视频绑定资源也复用该策略。
    - 已补外部 HTTP 杀毒/内容安全 scanner 接入层、失败关闭、生产 readiness 阻断和动态水印 traceId 审计；继续联调真实扫描服务、转码/CDN 级水印、CDN 刷新和对象生命周期策略。
@@ -211,7 +212,7 @@
    - 趋势图
 
 7. 资料下载
-   - PDF 列表、权限提示、预览、下载
+   - PDF 列表、权限提示、短签名预览、下载确认和动态水印 traceId 展示已接第一版
 
 8. 个人中心
    - 会员权益、订单、激活码兑换
@@ -228,7 +229,7 @@
 ## 推荐下一步顺序
 
 1. 补租户后台写操作台：公共题库采纳/同步、冲突查看、单条/批量冲突采纳平台或保留本地、导入问题、模板预览/下载、上传/粘贴 preview/import、字段映射编辑、异步导入轮询、导入后复检详情、权限驱动工作台、学生创建/更新/批量导入/批量分班/备注/跟进、角色模板配置、成员绑定模板、CRM 配置/队列/跟进分配策略、分佣规则/成员比例/结算生成审核打款/导出/凭证复核已接第一版；继续补成员批量运营、更细数据范围 UI、真实打款 provider 和发票。
-2. 继续补 Taro 学生端旧体验：地区选择、刷题答题卡、后端权威断点续练、本地进度恢复、模拟倒计时、主观题后端自评、阅读理解/案例分析多小题、视频播放、反馈、模考报告、逐题复盘、错题/收藏专题、收银台、订单详情、售后入口、题干/解析/知识手册 RichContent 安全渲染、背单词卡片学习/发音/收藏练习已接第一版；继续补真正 KaTeX/小程序公式方案、私有题图签名资源映射、背单词更细统计、小程序支付容器、分享场景和状态管理。
+2. 继续补 Taro 学生端旧体验：地区选择、刷题答题卡、后端权威断点续练、本地进度恢复、模拟倒计时、主观题后端自评、阅读理解/案例分析多小题、视频播放、反馈、模考报告、逐题复盘、错题/收藏专题、收银台、订单详情、售后入口、题干/解析/知识手册 RichContent 安全渲染、背单词卡片学习/发音/收藏练习、资料短签名水印预览/下载确认已接第一版；继续补真正 KaTeX/小程序公式方案、私有题图签名资源映射、背单词更细统计、小程序支付容器、分享场景和状态管理。
 3. 补平台后台增强：租户详情/编辑、平台审计报表、自动计费、账单批量操作和更细平台权限点。
 4. 云服务器部署 Supabase/PostgreSQL 和 API，配置对象存储生产环境变量，跑 `check:refactor` 的远程等价测试。
 5. 导出现有 PocketBase 数据，做完整 dry-run 迁移。

docs/refactor/taro-frontend-integration.md

@@ -313,6 +313,7 @@ tenant:<tenantId>:theme
 - `repeat=true` 建议做斜向重复水印；`position=bottom-right` 或 `center` 可作为单水印模式。
 - 不要把 `traceId` 当隐私信息隐藏；它是外泄追踪码，会同步写入后端访问事件。
 - 小程序端如果原生 PDF/video 组件覆盖层能力受限，应使用自定义容器包裹组件，至少在可视区域显示固定水印和 traceId。
+- 当前 `apps/taro/src/pages/student/assets/index.tsx` 已按该契约接入：预览和下载都先向后端申请短期签名，页面展示过期时间、签名模式、`watermark.traceId` 和可见水印。若资源要求 `watermark.required=true`，H5 预览不提供脱离水印容器的外部打开入口；下载会先展示水印确认面板，再由用户确认打开/复制签名链接。小程序端如无法保证原生组件覆盖层，应提示使用 H5 资料页或只展示水印确认，不直接嵌入私有文件。
 
 锁定资源 CDN 规则：
 
@@ -2376,7 +2377,7 @@ npm run build:taro:h5:platform
 
 下一批前端开发重点：
 
-- 学生端：地区选择、题目视频播放、题目反馈、错题/收藏专题页、模考交卷报告、收银台、订单详情、售后入口、题干/解析/知识手册 RichContent 安全渲染、逐题复盘、背单词卡片学习/发音/收藏练习已接第一版；下一批继续补真正 KaTeX/小程序公式方案、私有题图签名资源映射、背单词更细统计、小程序支付容器和分享场景。
+- 学生端：地区选择、题目视频播放、题目反馈、错题/收藏专题页、模考交卷报告、收银台、订单详情、售后入口、题干/解析/知识手册 RichContent 安全渲染、逐题复盘、背单词卡片学习/发音/收藏练习、资料短签名水印预览/下载确认已接第一版；下一批继续补真正 KaTeX/小程序公式方案、私有题图签名资源映射、背单词更细统计、小程序支付容器和分享场景。
 - 租户后台：工作台已接权限驱动模块入口；学生运营页已接学生创建/更新、禁用/恢复、批量导入、批量分班、学生备注、跟进任务和完成跟进第一版；题库内容页已接公共题库采纳/同步、冲突查看、单条/批量采纳平台或保留本地、导入问题、模板预览/下载、异步任务轮询和导入后复检第一版；营销中心已接 CRM 配置保存、CRM 队列按状态查看、分佣默认规则、成员分佣比例、分佣订单明细、结算单生成、审核通过/驳回、标记线下打款、优惠券规则表单、筛选、核销明细和核销报表第一版；财务运营页已接退款申请/审核/供应商提交与查询、官方账单任务、对账批次/异常明细、差错工单处理、人工调整凭证提交/复核和异常订单运营台第一版；租户设置页已接主题模板、草稿预览、发布、角色模板创建、编辑、停用、权限点、菜单、模块、字段、基础数据范围、成员搜索/新建、成员绑定模板、成员状态和额外权限覆盖第一版；下一批继续补更精细的学生导入模板体验、真实生产账单抽样验收、真实打款 provider、发票、更细数据范围 UI 和主题素材库。
 - 平台后台：租户创建、状态变更、订阅开通、账单生成、人工收款确认、用量录入、公共题库授权编辑已接第一版；继续补租户详情/编辑、平台审计、自动计费和批量账单操作。
 - 小程序：验证 `Taro.login`、微信支付、分享 scene/referral、Supabase client 兼容性；如不稳定，保留 `apps/api/auth/*` 作为小程序登录适配层。