feat: import scorelines and videos

docs/refactor/frontend-handoff-index.md

@@ -21,7 +21,7 @@
 7. `docs/refactor/multitenant-auth-security-contract.md`
    - 多租户、鉴权、权限、资源签名和生产安全红线。
 8. `docs/refactor/content-import-contract.md`
-   - 后台内容导入、题目 JSON、单词、知识手册的后端校验契约。
+   - 后台内容导入、题目 JSON、单词、知识手册、分数线、视频的后端校验契约。
 
 ## 当前可进入的前端工作
 
@@ -43,8 +43,8 @@
 - 生产鉴权已具备 Supabase JWT API 入口，自定义角色模板基础 API 已可用；仍要做真实云端 Auth/JWKS 回归、RLS 深测和班级/学生范围权限细化，前端不要继续使用 `x-user-id`。
 - 不要把“Supabase 支持前端 Data API”误解为“本项目所有业务表都由 Taro 直写”；订单、支付、权益、租户后台、导入、CRM、私有资源必须走 RPC、`apps/api`、Edge Function 或 worker 这类后端命令层。
 - 真实短信、微信登录、QQ 登录、微信支付、支付宝支付 provider 还未正式接完。
-- 对象存储已完成签名 provider，但 PDF 预览、防盗链、视频水印、上传后校验还要补。
-- 大批量 Excel/CSV、分数线、视频导入和异步 worker 还未完成。
+- 对象存储已完成签名 provider、上传后校验、PDF/图片预览和资源复检 worker，但 CDN 防盗链、视频水印和杀毒扫描还要补。
+- 分数线/视频 JSON 导入已可联调；大批量 Excel/CSV 解析和异步导入 worker 还未完成。
 - 数据看板和分佣结算基础 API 已可联调；分佣真实打款/导出/凭证、AI 择校、主题模板市场等仍是后续商用增强项。
 
 ## 前后端协作建议