docs: add T-548 download cmhub images via system curl (Win10+)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/06-tasks.md

@@ -138,6 +138,7 @@
 | T-545 | ② cmhub 生图和下载并发上限 5 + 独立下载线程池 | T-535, T-533, T-519 | 背景：实测 10 图片并发时，cmhub 后台单条生成小于 200 秒，但本地下载 `/media/generated/images/*.png` 常见 24~185 秒且有连接失败；如果每个生图线程同时负责“等待 cmhub 返回 + 下载 + 转 JPEG + 保存”，下载慢会占住生图线程，后续任务排队。方案：cmhub 模式下实际生图请求并发 = `min(ai.image_concurrency, 5)`；拿到 `image_url` 后把下载/转 JPEG/保存交给独立下载线程池，下载线程数与实际生图请求并发一致、同样最大 5；不新增用户可见配置项，⑤仍只保留「图片并发」。②开始日志必须显示用户设置图片并发、cmhub 实际生图并发和下载并发；分段日志继续记录“cmhub 已返回 image_url / 下载完成 / 本地保存完成”的耗时。下载失败按当前任务失败记录，但不得重新调用 cmhub 生图接口导致重复扣点；`cover_done/generated_done` 必须等下载保存成功并写 DB 后才计数；停止逻辑继续取消未开始项，运行中请求/下载允许自然完成或失败。direct 兼容路径暂不改变。补 `tests/test_ai.py` 覆盖并发上限和下载线程池不阻塞后续生图提交、下载失败不重复扣点；补 `tests/test_gui.py` 覆盖开始日志显示实际并发 | DONE |
 | T-536 | GUI 按钮圆角全局统一 | T-512, T-513, T-523 | 现象：只有③「开始更新」及少数上色按钮（删除批次/删除账号/未匹配(n)）有 `border-radius: 4px`，其余按钮走原生渲染显直角——不一致。根因：圆角是 T-512/T-513 给按钮上色时顺带写进 QSS 的副产品，不是全局形状决策；一旦给 `QPushButton` 设 stylesheet 就放弃原生渲染，才补了 radius/border。方案（**方式 A：全局统一圆角**）：① 在 `app/gui/widgets.py` 抽一个**共享按钮基础样式常量/helper**（统一 `border-radius`，如 4px，与卡片 6px 圆角语言协调），并**接管按钮的全部视觉状态**——normal/hover/pressed/disabled/focus 的背景、边框都定义好，避免全局设 QSS 后按钮变扁平方块、丢 hover 反馈；② 在主窗口/app 级用全局 `QPushButton` QSS 应用该基础样式，让**所有按钮共享同一圆角**；③ warning（`startUpdateButton`）与 danger（`_danger_outline_button_style`：删除批次/删除账号/未匹配）按钮改为**只叠加颜色**，复用共享基础样式的圆角/内边距/状态，不再各自重写 radius/border——杜绝“上色=顺带圆角”的隐性耦合；④ 以 Windows 为主目标做一次视觉自测（hover/按下/禁用不劣于原生）。只改 GUI 样式层（`widgets.py` + 主窗口全局 QSS + 各上色按钮引用），不改任何按钮的启用/禁用逻辑、行为、业务流程、DB、Excel、Shopee/CDP。GUI 单测至少断言上色按钮仍带各自语义色且不再各自硬写 radius（改为引用共享样式）；圆角外观本身以人工视觉验收为准 | DONE |
 | T-546 | cmhub 客户端共享 Session + 连接池 + 代理处理（补 T-545 未覆盖的下载慢根因） | T-545, T-526 | 现象：实测生图拿到 `image_url` 后本地下载单条约 191 秒、而同一 URL 用 curl 约 10 秒；日志伴随 `connect_timeout: 连接 cmhub 超时`。T-545 已做「生图并发上限 5 + 独立下载线程池」解决“下载堵住生图槽位”的流水线问题，但**未根治单条下载在并发争抢下变慢**。根因（代码核实）：① cmhub 所有 HTTP（`_cmhub_call_once` 的生成/models/balance、`_download_cmhub_image` 的下载）都是**裸 `requests.get`/`requests.request`、无共享 `Session`**，每个任务全新 TCP+TLS，叠加同步生成长连接（单条 60~260s）与 `connect_timeout` 触发的重试，形成连接风暴/连接饥饿；② `requests` 默认 `trust_env=True` 读 `HTTP(S)_PROXY`/`ALL_PROXY`，若系统带慢代理会拖累，而干净窗口的 curl 直连快。方案：① cmhub 所有 HTTP 统一走一个**模块级共享 `requests.Session`**，挂 `HTTPAdapter(pool_connections/pool_maxsize)`，池大小 ≥（实际生图并发 + 下载并发）以免连接不足排队、复用连接减少握手与 connect_timeout；生成与下载共享该 Session（`requests.Session` 跨线程发请求安全，但连接池要够大）；② 代理处理——诊断日志脱敏记录 cmhub 请求是否经代理；对 cmhub 请求提供明确策略（可配 `trust_env=False` 或显式 `proxies`），避免误走慢代理，默认可先保持读环境但提供关闭开关；③ 复测口径——Session+连接池到位后单条下载耗时应回落到与 curl 同量级；若在 T-545 的并发上限 5 下仍显著慢，评估把 cmhub 生图默认并发再降（1~2）；④ 确认 connect_timeout 重试退避不加剧连接风暴。诊断建议：可先临时把图片并发设 1 复测以区分“并发争抢”与“代理”。边界：只改 `app/ai.py` 的 cmhub HTTP 客户端层（+ 可选 config 代理项）+ 诊断日志 + 相关文档；不改 cmhub 协议、T-545 的并发/下载池语义、生成编排、DB、Excel、CDP/Shopee。测试：`tests/test_ai.py` 覆盖共享 Session 被复用（mock 同一 session 多次调用）、代理配置被尊重、连接池大小设定；现有 cmhub 用例保持绿。落地：`app/ai.py` 加模块级 `_cmhub_session()`（`HTTPAdapter` 池 `CMHUB_HTTP_POOL_SIZE=32`）+ `_apply_cmhub_proxy()`；生成/下载/models/balance 统一走该 Session；`ai.cmhub.use_system_proxy` 默认 `false`（绕过系统代理，公网网关直连），`_cmhub_runtime` 读取并应用、`fetch_cmhub_models/balance` 加同名参数；`test_ai.py` 补 3 项新测试并把原 18 处 `requests` mock 改到共享 Session；243 单测全绿。**待 Windows 实网复测确认下载提速**（troubleshooting 已加「cmhub 图片下载很慢」排障节与代理定位命令） | DONE |
+| T-548 | cmhub 图片下载改用系统 curl（Win10+ 自带） | T-546, T-538 | 背景：图片下载慢的另一手段——用 curl（用户的快基准）下载。curl 在 **Windows 10+ 自带**（`C:\Windows\System32\curl.exe`），**无需捆绑**（不用项目里 `wget/` 那个 2022 老 wget，其 OpenSSL 太旧且捆绑二进制易被杀软误报）；应用底线本就是 Win10+（PySide6/Qt6 不支持 Win7）。**前置说明**：若 T-546 的代理绕过已让 requests 下载回落到 curl 同量级，本任务可作可选/降级；此处按用户要求落地。方案：① **只改图片下载这一步**（`app/ai.py` `_download_cmhub_image`），cmhub 生成/models/balance 仍走 requests 共享 Session。② 后端选择：新增 config `ai.cmhub.download_with_curl`（`auto`/`true`/`false`，默认 `auto`=Windows 且检测到 curl 用 curl，否则回退 requests）；`shutil.which("curl")` 或固定 `System32\curl.exe` 检测；**非 Windows / 无 curl / curl 执行失败 → 自动回退现有 requests 下载**（保证 Linux/Mac/CI/无 curl 环境和现有测试不受影响）。③ **安全防护（硬要求）**：a) SSRF 不可绕过——调 curl 前仍执行 `_assert_public_http_url()` 拦内网/回环 IP，用 `subprocess.run([...], shell=False)` 参数列表、不拼 shell；b) token 不泄漏——`image_url` 带 `?token=...`，直接进命令行会出现在进程列表（tasklist）和日志，改用 curl `-K <临时配置文件>`（把 `url = "..."` 写进临时文件传入、用完删）避免 URL 进程列表暴露，日志一律脱敏、不打印完整 URL/命令；c) 绕过代理——按 `use_system_proxy`：false 时加 `--noproxy "*"`（这才是 curl 快的关键，与 T-546 一致），true 时不加。④ 超时/大小：`--connect-timeout <connect>` + `--max-time <read≈650>`；下载到临时文件、读回字节后**仍复用现有 `_save_jpeg` 重编码**；保留 20MB 上限（`--max-filesize` + 落盘后大小复核）。⑤ 重试：沿用现有 `_download_cmhub_image_with_retry`（3 次），只替换内层下载实现；curl 非零退出=失败、走现有重试语义。⑥ 打包：curl 系统自带、不捆绑、不改 spec；`docs/packaging.md` 注明依赖 Win10+ 自带 curl。测试：`tests/test_ai.py` mock `subprocess.run`——断言 curl 参数含 `--noproxy`/超时/`-K` 临时配置（URL 不在 argv）、SSRF 校验先于 curl、curl 失败回退 requests、非 Windows/无 curl 自动回退；现有下载用例保持绿。边界：只改 `_download_cmhub_image` 下载后端 + config 项 + 诊断脱敏 + 打包文档；不改生成/API 调用、`_save_jpeg`、并发/重试语义、DB、Excel、CDP/Shopee | TODO |
 
 ## Phase 8 · 工程基础设施后续（`docs/engineering-review.md`）