docs(tasks): close T-677 recovery gaps

docs/tasks/T-677.md

@@ -58,17 +58,23 @@ T-529 把普通用户的 AI 后端收口为 cmhub：⑤ 隐藏「AI 后端」下
 
 ### 3a. 运行配置冻结与保存竞争
 
-- ② `GenerateWorker`、⑥商品套图生成与 AI 帮写开始时必须冻结本轮 AI 配置快照；运行中打开⑤并保存来源切换，不得让同一批任务前后混用默认网关和自定义网关。
+- ② `GenerateWorker`、⑥商品套图生成与 AI 帮写开始时必须冻结本轮 AI **运行时快照**；运行中打开⑤并保存来源切换，不得让同一批任务前后混用默认网关和自定义网关。
+- 运行时快照不能只是浅拷贝共享 `config`：默认网关的 API Key 在独立 `cmhub.json` 中读取，自定义模型和 API Key 在 `ai_models.json` 中读取。worker 创建前必须深拷贝本轮实际所需的来源、地址、别名/模型、超时、代理和密钥到**仅内存**的运行时对象；运行期间不得再次从上述配置文件读取这些值。密钥不得写入 SQLite、运行日志、异常正文或 UI。
 - ⑤保存来源成功后，主窗口需通知⑥刷新来源能力状态；⑥再次显示时也应重新检查当前来源。可以用 `SettingsTab` 的保存成功 signal/callback 与 `MainWindow` 转发实现，但不得依赖用户重启程序。
-- 即使 UI 刷新遗漏，worker/service 层仍必须按创建时的冻结来源执行，不能读取被后续保存原地修改的共享 `config`。
+- 即使 UI 刷新遗漏，worker/service 层仍必须按创建时的冻结运行时对象执行，不能读取被后续保存原地修改的共享 `config` 或配置文件。
 
 ### 4. 必须同版本处理的六个联动
 
-1. **⑥商品套图入口拦截**：`ai.backend != "cmhub"` 时，正式可见的 `ProductSuiteTab`「生成套图」、图片重试和「AI帮写」入口置灰并说明「商品套图仅支持默认网关」；保存来源切换后立即刷新，切入⑥时也再次刷新。旧 `ImageStudioTab` 不在主 Tab 栏（`app/gui/widgets.py:57` 的 `TAB_TITLES` 不含它，`tests/test_gui.py` 显式断言其不存在），由第 2 条的服务层防线覆盖即可，**不单独为它改 UI**。
+1. **⑥商品套图入口拦截与已提交任务恢复**：`ai.backend != "cmhub"` 时，正式可见的 `ProductSuiteTab`「生成套图」、会新建请求的图片重试和「AI帮写」入口置灰并说明「商品套图仅支持默认网关」；保存来源切换后立即刷新，切入⑥时也再次刷新。
+
+   - 已提交的默认网关任务例外：若当前项目存在 `generation_source="cmhub"`、`provider="cmhub"` 且 `task_id` 非空、可恢复的 job，⑥仍须提供显式「继续查询已提交图片」入口（或在进入项目后自动恢复），供用户轮询、下载和保存已扣点任务；该入口不能伪装为「重试」，因为重试会新建并再次计费。
+   - 继续查询失败且默认网关配置已被删除或更换时，提示「默认网关配置不可用，请恢复原默认网关配置后继续查询已提交图片」，不得改走自定义网关、不得自动新建任务，也不得暴露密钥。
+   - 旧 `ImageStudioTab` 不在主 Tab 栏（`app/gui/widgets.py:57` 的 `TAB_TITLES` 不含它，`tests/test_gui.py` 显式断言其不存在），可复用其 worker/service，但**不能把它作为⑥用户恢复已扣点任务的唯一入口**。
 2. **⑥防御性服务拦截，但必须区分"新建"与"取回"**：UI 置灰不足以作为费用边界，同时**不得把已经扣过点的任务困死**。
 
-   - **拒绝**：新建与新提交——`ProductSuiteGenerateWorker` 在创建 job 前拒绝非默认网关；`image_studio_generation` 侧拦在 `create_generation_jobs()` 与 `_submit_or_resume_job()` 中"尚无 `image_task_id`"的提交分支。
+   - **拒绝**：新建与新提交——`ProductSuiteGenerateWorker` 在直接调用 `image_studio.create_job()` 前拒绝非默认网关；`image_studio_generation.create_generation_jobs()` 必须新增并接收运行时来源参数后再建 job，避免其他调用方绕过；`_submit_or_resume_job()` 在**尚无商品套图 `task_id`** 的提交分支再次校验。三层判断使用同一守卫，不能只改其中一层。
-   - **放行**：已提交任务的轮询、下载与保存——`resume_image_jobs()` 同样走 `run_jobs()`（`app/image_studio_generation.py:142-163`），**不能在 `run_jobs()` 入口一刀切拒绝**，否则用户切到自定义网关后，此前已提交到默认网关、已预扣点数、正等待轮询取回的生图任务将永久拿不回来（钱已花、图丢失）。已有 `image_task_id` 的 job 必须继续用默认网关凭据完成轮询与下载。
+   - **放行**：已提交任务的轮询、下载与保存——`resume_image_jobs()` 同样走 `run_jobs()`（`app/image_studio_generation.py:142-163`），**不能在 `run_jobs()` 入口一刀切拒绝**，否则用户切到自定义网关后，此前已提交到默认网关、已预扣点数、正等待轮询取回的生图任务将永久拿不回来（钱已花、图丢失）。仅当 job 同时满足 `generation_source="cmhub"`、`provider="cmhub"`、`task_id` 非空且处于可恢复状态时，才允许继续用冻结的默认网关运行时轮询与下载；其他来源或无 `task_id` 的 job 必须拒绝，不能仅凭“存在任务 ID”放行。
+   - `task_id` 是 `image_studio_jobs` 的套图异步任务字段；普通② AI 生成任务的 `tasks.image_task_id` 是另一张表的字段，本任务涉及前者，文档、代码和测试不得混用。
    - 口径依据：Obsidian《卡密设备绑定与套餐授权方案》第五节 §5「已被服务端接受的异步任务轮询、下载：允许，避免已预扣点数却拿不到结果」。本任务与该原则保持一致，实现时不要另立边界。
    - `ProductSuiteAiWriteWorker` 与 `analyze_product_images()` 保持非默认网关不可用（图片理解无异步任务、不存在已扣点待取回的情形，可直接拒绝）；UI 必须在读取默认网关模型目录、展示扣点确认、提交图片理解前拦截，而不是等待运行后报错。
 3. **⑥商品套图说明**：⑤自定义面板增加说明行，明确「图片理解与商品套图仅默认网关支持」；拦截提示使用同一中文口径，不显示技术实现或 cmhub Key 信息。
@@ -95,15 +101,16 @@ T-529 把普通用户的 AI 后端收口为 cmhub：⑤ 隐藏「AI 后端」下
 - [ ] 选默认网关时只显示默认网关配置（Base URL / API Key / 三个别名 / 连接超时 / 检查余额 / 测试连接·查余额）；选自定义网关时只显示自定义模型列表、模型详情与默认文本/图像模型选择。
 - [ ] 保存后 `config.json` 的 `ai.backend` 正确写入 `cmhub` / `direct`；`cmhub.json` 与 `ai_models.json` 在来回切换保存后内容均不丢失。
 - [ ] 载入 `backend=direct` 的存量配置时选中「自定义网关」并正确回填自定义模型；缺失或 `cmhub` 时选中「默认网关」。
-- [ ] 自定义网关下②生文、②生图可用；⑥商品套图的生成、重试和 AI 帮写入口被拦截并提示仅默认网关支持；worker/service 防线证明非默认网关不会创建 job、读取默认网关模型目录、提交新请求或扣点。
+- [ ] 自定义网关下②生文、②生图可用；⑥商品套图的新建、重新生成和 AI 帮写入口被拦截并提示仅默认网关支持；worker/service 防线证明非默认网关不会创建 job、读取默认网关模型目录、提交新请求或扣点。
-- [ ] **切到自定义网关后，此前已提交（已有 `image_task_id`）的默认网关生图任务仍可通过 `resume_image_jobs()` 完成轮询、下载与保存，不因来源切换被拒绝或丢失**；未提交的 job 则被拒绝创建。
+- [ ] **切到自定义网关后，⑥仍可在正式商品套图界面继续查询此前已提交的默认网关任务**：仅 `generation_source/provider` 均为 `cmhub` 且 `task_id` 非空的 job 可轮询、下载和保存，不因来源切换被拒绝或丢失；该入口不新建任务、不二次扣点。无 `task_id` 的 job、非默认网关来源 job、以及“重新生成”均被拒绝。
-- [ ] ②/⑥运行开始后保存来源切换，不影响已启动任务的来源快照；保存完成后⑥按钮状态立即刷新，重新进入⑥时也正确刷新。
+- [ ] 默认网关运行时配置缺失时，继续查询给出“恢复原默认网关配置后继续查询”的中文提示，不改走自定义网关，不暴露密钥。
+- [ ] ②/⑥运行开始后保存来源切换、修改默认网关 Key 或修改自定义模型，不影响已启动任务的来源快照；快照深拷贝并包含独立配置文件读取的实际运行时值，密钥仅存在 worker 内存，保存完成后⑥按钮状态立即刷新，重新进入⑥时也正确刷新。
 - [ ] 自定义网关下「批量生成前检查余额」不可见；②日志/状态栏显示"不计点数"口径而非 `0 点`，且清除旧余额；默认网关下点数与余额展示不回归。
 - [ ] 自定义配置不完整时可保存；②按本轮生成内容在创建 worker 前给出"去⑤补齐"的可读提示，不发请求、不改任务状态、不崩溃。
 - [ ] 自定义模型 CRUD 的立即保存与来源选择的待保存语义均有明确中文反馈；放弃设置不回滚已保存模型，但恢复未保存来源选择。
 - [ ] `auto` 接口类型的实际请求行为有测试覆盖，不宣称自动探测或未实现的 `images/generations` 支持（若 `tests/test_ai.py` 现有用例已覆盖该分支，确认后即可，不必重复补）。
 - [ ] ⑤ 面板、⑤触发的状态栏、以及②余额 label 的可见文案不再出现 `cmhub` 字样；内部标识（含 `objectName`、配置键、日志字段）和 `app/ai.py` 错误消息不在本次范围。
-- [ ] `tests/test_gui.py` 覆盖：选择器互斥与默认选中、面板显隐、dirty 与保存生效、存量 `backend=direct` 载入、模型立即保存与来源待保存语义、②预检、⑥入口/worker拦截、余额控件显隐、点数文案分支、运行配置快照；`tests/test_ai.py` 覆盖 direct 文本/图片、`auto` 的既有请求路径与缺配置报错；现有 backend 相关断言同步更新不回归。
+- [ ] `tests/test_gui.py` 覆盖：选择器互斥与默认选中、面板显隐、dirty 与保存生效、存量 `backend=direct` 载入、模型立即保存与来源待保存语义、②预检、⑥新建入口拦截与正式界面的已提交任务继续查询、余额控件显隐、点数文案分支、运行配置快照；`tests/test_image_studio_generation.py` 覆盖新建提交守卫、`task_id` 恢复守卫、`generation_source/provider` 不匹配拒绝及来源切换后的轮询下载；`tests/test_ai.py` 覆盖 direct 文本/图片、`auto` 的既有请求路径与缺配置报错；现有 backend 相关断言同步更新不回归。
 - [ ] `docs/ui/tab5-settings-T677.svg` 已产出并在 `docs/ui/README.md` 登记。
 
 ## 测试与文档