收口本地上传预算、历史与受理通知并完成共享处理

[zj1123581321]

目标和继任关系

继任 #206，完整落地已批准本地音视频上传的共享转录、固定分享期限、owner 重处理、公开阅读、历史和通知；不是新存储或语音识别平台。
冻结代码：ef425d77cdaecb693aba76ca6cb3f847ad5196e5。主干 c7b38563eb2f06f5ca36c06c6c7da7de9c5e9995 到目标总计25文件，2048增/91删（2139行）；修复增量相对 c216f6f07f90ab34322606ad604919a65e3d78f5 为12文件524增/44删（568行）。

不变式和边界

• 真实上传映射进入共享 ASR/LLM，不经过 URL 下载、抓字幕或跨上传去重。CapsWriter 正文来自 join(tokens)，无 raw[text]、截断、模糊对齐或新增重试/fallback。
• 原媒体和 ASR 临时产物在 LLM 消费入口之前删除；清理异常不先发布 LLM。
• 同来源临时盘使用现有 Runtime 原子预留；CapsWriter 实际文本/JSON 原子写在打开临时文件前计入任务目录当前字节及新 UTF-8 副本，覆盖替换旧目标峰值。不是2倍源字节上界，也不承诺整个data/temp或所有URL下载的硬盘配额。
• 首次 success/failed 固定30天期限，never显式；child/迟到/重启不续期，撤销write-once，仅关闭新读/导出/重处理。flag off不允许误清有效正文/必要映射。
• 三个owner重处理入口与上传分享资格同事务；独立public token不反填legacy空token字段，不按空token串任务。
• source=url在SQL计数/分页前排local_upload；source=upload为本人root，默认查询保持原行为。
• 正常受理通知仍同步沿既有路由、channel、FIFO和最终HTTP发送，包含安全标题、本地标签、可选来源URL及独立分享URL；完整总结→回执顺序保持。
• 上传通知意外异常HTTP500不回滚已经commit的accepted/root/一次queue；同owner/key查询或重复POST取已有receipt，后者不读新body、不新入队。原R2未知回执只查/R3成功commit才正式受理/R18发送fail-loud：没有新的always-202充分保证或后台发送机制。channel返回False保留可检索错误日志与正常202；原URL入口通知异常202行为不改。
• 没有新增任务状态、数据库字段、配置项、依赖、线程、broker/outbox、平台或全URLquota。write-admission局部可选内部回调是把原预算接到实际文本/JSON两个落盘消费者，不是第二资源事实源。

验证和未完成项

• Git实际提交/远端/干净工作区已核。全新独立审查已完成：增量符合批准预算/历史/通知/异常回执四条边界，无未经批准抽象、第二事实源或fallback；完整范围无代码finding或交付阻断。审查Git凭据 96cd595097cf549fa058d2e3a9fefd48b99ca9ea:docs/sessions/261008-local-upload/reviews/C-r3-verdict.md；旧finding-ID因输入隔离未读，由lead原卡/R7登记范围对照补核，不假称reviewer读取旧报告。
• 独立审查仅一次完整make test在固定H2新空scratch执行，运行前无配置/venv/软链且inode隔离，outbound network guard生效，exit0；收集3812项，3项real-preflight-fixtures缺失skip，其余通过。主脑另在新空scratch复测预算/历史/通知异常绿；同新增history/notify两测试在H1真实AssertionError红，不是导入或schema错。
• 真实锁SDK及Transcriber/原子writer、Runtime预算、本机CapsWriter/FunASR fixture对端已运行。实际strace捕获4次ffmpeg成功execve：源文件至FLAC pipe，再解码pipe至PCM；没有手工拼argv或替换SDK transcribe_file。文本97 UTF8字节/JSON439字节、原target峰值、otherheld reservation、合法65539字节fixture写前拒绝且没有tmp新增；实际FunASR capabilities和WS上传体逐字节匹配、源目录不新增文件。完整可复制producer源码保存在本轮审查报告；主脑机器原样提取并在同H2新空scratch独立重跑PASS/exit0及实际argv。这里是字节/协议/拒绝边界，不是模型识别质量或容量上界。
• OCR本地两路leg_timeout，status=skipped/coverage=null，不代表机器扫过无finding；正式CI/gate在ready之后等待。原实现派发report succeeded但运输outcome_conflict/执行器退出码未知仍单独保留（agent-config#4330），不修改报告或强盖成功；本代码判断以真实Git/独立运行/审查与后续正式门禁为准。
• risk-tier: personal。自己和4-5可信朋友；低严重度与原功能合同阻断分别裁决。
• 生产未部署、上传默认off、容量/限额启用值/代理缓冲/恢复域仍unknown。代码本地漏斗已通过；随后ready并等正式必要CI/gate，取得正式READY后才合并，不以draft的成功或skipped替代正式门禁。

[github-actions]

Required Gate v2 — 状态面板

当前状态：pass · 可合并

当前裁决：code_pass / primary_pass

PR 累计主审轮（影子）：1/5 · collecting

历史可能不完整：1 个制品处理失败：URLError；1 个历史重建预算耗尽

Gate 历史（v1；来源为持久化 gate_terminal 制品）

Run	Attempt	Head	状态	PR 累计主审轮（影子）	收件人动作
37860473810	1	ef425d7	skipped	—	无需动作（主审未跑，绿≠过审）
37864605980	1	ef425d7	pass	1/5 · collecting	可合并

历史行按 run_id + run_attempt 去重并只增不删；删除本评论后可由 gate_terminal 制品重建。