feat(product-suite): make image pulls cancellable

docs/04-architecture.md

@@ -438,6 +438,7 @@ data/images/<batch_id>/<slug>/<task_id>_<item_id>_new.<ext>    # AI 生成的新
 - `image_studio_projects.suite_settings_json` 持久化套图设置，旧数据库由 `db.init_db()` 原位补列，默认 `{}`；`draft_prompt` 继续保存卖点文本。`image_studio_assets` 中有效商品原图最多16张，历史 missing 记录不占有效名额；手工原图不会因再次同步蝦皮 URL 被误标 missing。⑥原图列表的批量勾选只保存在当前 `SuiteTaskState` 对应的界面上下文，不写库；批量移除由 `remove_original_assets_if_unused()` 一次校验项目归属、原图类型和 job/终选引用，并在单个 SQLite 事务中删除资产行、连续重排 `source_order`。服务不删除本地文件或蝦皮线上图片，任一资产校验失败时整批回滚。
 - T-636 起，`image_studio_projects` 增加 `binding_state`（`draft` / `bound`）和稳定 `storage_key`。既有项目迁移为 `bound`，并以原 `item_id` 回填 `storage_key`；项目目录改用 `storage_key`，因此临时草稿绑定正式商品 ID 后不移动目录、不改写已有资产路径。草稿内部使用 `draft_<uuid>` 作为仅数据库可见的非空 `item_id`，GUI 输入框始终保持空白，用户日志和 cmhub 提示词只使用“临时草稿”或“未绑定商品”，不得暴露该内部值。
 - ⑥已选账号但未填写商品 ID 时允许输入卖点、导入、拖入或粘贴本地图片。非空卖点在现有防抖稳定后会创建一个可恢复临时草稿并保存到 `image_studio_projects.draft_prompt`；首次有效图片导入也会创建草稿。空白卖点、取消选择和全部导入失败不保留空草稿。只有卖点的草稿同样属于可恢复业务内容；卖点清空且没有资产/job 时仍可按空草稿规则清理。草稿可管理本地图片、AI 帮写、生成套图、查看历史和打开结果目录，但在创建 worker、启动 Chrome 或执行 CDP 前禁止「拉取蝦皮主图」。输入合法数字商品 ID 后，经确认原地绑定同一个 `project_id`；资产、job、selection、提示词、套图设置和 `storage_key` 均保持不变。若同账号目标 ID（含软删除项目）已存在则拒绝覆盖或合并。
+- ⑥拉取蝦皮主图使用独立内存 `pull_run_token` 覆盖 URL 读取和本轮后台下载。运行中按钮提供「停止并保留 / 停止并清除本次新增 / 继续拉取」；停止采用协作式安全边界，不强杀线程、Chrome 或已发出的 CDP/HTTP 请求。选择清除时只移除本轮新增、属于当前项目且未被 job/selection 引用的远程原图，并恢复拉取前已有原图的状态和顺序；本地手动导入图片、拉取前已有图片、用户文件和蝦皮线上图片不删除。旧 token 的 URL/下载迟到结果不得覆盖新一轮状态。
 - 启动时恢复未软删除、至少含一条资产或生成任务的草稿为独立中文“临时草稿”标签，按最近更新时间排序。关闭非空草稿可选择保留、软删除或取消；软删除不物理删除图片目录。③「更新蝦皮」只处理正式任务，不接受临时草稿。
 - 第六 Tab 的多个 `SuiteTaskState` 各自保留 generation/pull/import/AI/download worker 与线程引用；切换任务不取消任务。多个任务可并行，但 `image_studio_generation` 使用进程级 semaphore 保证所有套图任务合计最多5个 cmhub 在途 job。线程还在运行时关闭任务只请求协作式停止，模块级引用保留到 `QThread.finished`，不得提前销毁线程对象；下载前后均检查停止信号，停止后的临时文件不入资产库。
 - T-639 后每轮套图生成使用仅存在内存的 `run_token` 隔离迟到信号，progress/finished/cancelled/failed 通过主线程绑定槽统一处理；正常 worker 结果、`QThread.finished` 和本轮 job 连续两次全部终态看门狗共同进入幂等 finalize。GUI 只按本轮明确 `job_ids` 判断完成，不用历史图片数量；即使最终信号丢失也会恢复按钮，旧线程引用仍保留到真实结束。停止为协作式：调度循环约每200ms检查标记并取消未开始 future，提交/轮询在有界请求返回后停止；requests 在流式数据块边界取消，Windows curl 由隐藏窗口 `Popen` 有界 terminate/kill。已有 `task_id` 的停止任务保留 resume，不假设服务端任务被取消或点数退回。

docs/api.md

@@ -378,12 +378,14 @@ create_job(project_id, source_asset_id=None, job_type="main", prompt="", ...) ->
 list_jobs(project_id, statuses=None, path=None) -> list[ImageStudioJob]
 list_resumable_jobs(project_id=None, include_failed_downloads=False, path=None) -> list[ImageStudioJob]
 replace_selections(project_id, selection_type, asset_ids, path=None) -> list[ImageStudioSelection]
-pull_remote_main_image_urls(account_or_alias, item_id, path=None, config=None) -> dict
+pull_remote_main_image_urls(account_or_alias, item_id, path=None, config=None,
+                            should_stop=None) -> dict
 
 # app/image_studio_images.py
 download_remote_image(url, max_bytes=..., timeout=(connect, read)) -> RemoteImage
 load_thumbnail(url, key=None, max_size=220) -> ThumbnailResult
-download_original_asset(asset_id, path=None, config=None) -> ImageStudioAsset
+download_original_asset(asset_id, path=None, config=None,
+                        should_stop=None) -> ImageStudioAsset
 import_original_files(project_id, file_paths, path=None, config=None) -> dict
 import_original_bytes(project_id, content, filename_hint="clipboard.png", ...) -> ImageStudioAsset
 trash_generated_asset(asset_id, path=None, config=None) -> dict
@@ -433,7 +435,7 @@ class GenerateWorker(BaseWorker)           # ② 后台生成：ai.generate_batc
 class ApplyWorker(BaseWorker)              # ③ 后台更新：账号就绪预检 -> 检查或按批调用 editor.apply_task(...) -> db.set_applied/mark_skipped
 class WriteBackWorker(BaseWorker)          # ①/③ 后台回写：旧字段或更新结果写回原 Excel
 class AIModelTestWorker(BaseWorker)        # ⑤ 后台测试 AI 模型连接：appconfig.test_ai_model
-class ImageStudioPullImagesWorker(BaseWorker)      # ⑥ 后台只读拉蝦皮原主图 URL
+class ImageStudioPullImagesWorker(BaseWorker)      # ⑥ 后台只读拉蝦皮原主图 URL；安全边界协作停止
 class ImageStudioDownloadOriginalWorker(BaseWorker)# ⑥ 后台下载远程原图
 class ImageStudioGenerateJobsWorker(BaseWorker)    # ⑥ 后台提交/查询/下载 cmhub 生图 job
 class ImageStudioResumeJobsWorker(BaseWorker)      # ⑥ 后台恢复已有 task_id 的生图 job

docs/routes.md

@@ -243,6 +243,6 @@
 | `ApplyWorker(BaseWorker)` | ③ | 账号就绪预检、检查本轮更新、按每批最大条数分批、按账号并行或串行调用 `editor.apply_task(...)`、逐条 `set_applied()`，失败继续，写运行日志 |
 | `AIModelTestWorker(BaseWorker)` | ⑤ | 后台调用 `appconfig.test_ai_model()` 测试模型连接 |
 | `WriteBackWorker(BaseWorker)` | ①③ | ①回写旧字段；③回写新标题/新封面/更新状态 |
-| `ImageStudioPullImagesWorker / ImageStudioDownloadOriginalWorker / ProductSuiteImportImagesWorker / ProductSuiteGenerateWorker / ProductSuiteAiWriteWorker` | ⑥ | 后台执行只读拉主图、远程原图下载、本地图片校验复制、cmhub 套图生成与AI帮写；不直接操作 QWidget |
+| `ImageStudioPullImagesWorker / ImageStudioDownloadOriginalWorker / ProductSuiteImportImagesWorker / ProductSuiteGenerateWorker / ProductSuiteAiWriteWorker` | ⑥ | 后台执行只读拉主图、远程原图下载、本地图片校验复制、cmhub 套图生成与AI帮写；拉图和本轮下载支持安全边界协作停止，worker 不直接操作 QWidget |
 
 > 采集、生成、更新都是耗时操作，使用 `QObject` worker + `QThread`。Worker 不直接操作 QWidget，只通过 signal 通知主线程刷新 UI。

docs/tasks/T-642.md

@@ -3,7 +3,7 @@ id: T-642
 title: 商品套图拉取主图可停止与本轮图片清理
 phase: 7
 deps: [T-641]
-status: TODO
+status: DONE
 created: 2026-07-16
 ---
 
@@ -151,4 +151,8 @@ git diff --check
 
 ## 执行记录
 
-- 待执行。
+- 2026-07-16：⑥拉取主图新增内存 `pull_run_token` 生命周期，覆盖 URL 读取和本轮远程原图下载。按钮在活动期间显示「停止拉取蝦皮」，停止请求后显示「正在停止...」；停止弹窗提供「停止并保留 / 停止并清除本次新增 / 继续拉取」。重复停止不重复弹窗，账号和商品 ID 在本轮结束前保持锁定，其他任务仍可切换使用。
+- 2026-07-16：`ImageStudioPullImagesWorker` 和 `pull_remote_main_image_urls()` 增加可选 `should_stop`，在账号准备、打开商品页、读取 URL 和同步资产前后检查；当前 CDP 请求返回后安全停止，并继续复用 `close_readonly_product()` 关闭本轮只读 tab。线程结束增加 token 校验和幂等兜底；旧轮次 URL/下载迟到结果不会清除新 worker 或覆盖新状态。
+- 2026-07-16：本轮下载使用 asset ID → token 归属，只取消本轮排队和活动下载，不影响用户此前手动触发的下载。远程图片 requests 下载在请求返回、分块读取和保存前检查取消并关闭 response、清理临时文件；不使用线程强杀或结束 Chrome。
+- 2026-07-16：「停止并清除本次新增」按拉取前 asset 快照与本轮远程 asset 差集处理，只移除当前项目中未被 job/selection 引用的新远程原图；被引用图片保留。本地手动导入和拉取前图片不删除，旧图片状态/顺序恢复，新但被引用的图片追加到旧图片之后；本地文件和蝦皮线上图片不删除。
+- 2026-07-16：拉取生命周期诊断日志只记录 token 短值、项目/商品、数量、清理策略和用时。同步更新架构、API 与路由文档；补齐安全边界取消、response 关闭、快照恢复、本轮下载隔离、按钮三态、清理/引用保护、旧 token、线程结束兜底和真实 `QThread` 完成回归测试。相关 81 项通过；商品套图 GUI 42 项在主工作区通过，其余测试文件在短路径隔离 worktree 中逐文件通过，共覆盖 550 项；Ruff、`compileall` 与 `git diff --check` 均通过。未连接真实账号执行 CDP 停止冒烟，需在测试商品 `51100639510` 上人工确认当前有界请求返回后的停止时延和自动新建 tab 关闭表现。