安全、验证与撤销

PosterPilot 将每次海报或配置写入都视为需要审核的操作。建议、FUN 结果、合集系列、自动化和发现任务本身都不会写入海报。

写入契约

媒体服务器海报、Kometa 元数据、上传、合集和 config.yml 修改都遵循同一流程：

1. 暂存海报或配置输入。
2. 预览准确的目标、目的地、槽位、写入和跳过项。
3. 确认服务器签发的计划。计划会过期、只能使用一次，并绑定到预览内容与源指纹。
4. 只执行冻结的操作，不重新发现或替换候选项。
5. 写入后验证每个目的地。
6. 按目的地和槽位记录修订，包括失败。

如果选择、当前海报、合集成员、Kometa 文件、目的地或其他绑定输入在预览后发生变化，确认会被拒绝。请重新预览，不要重用旧令牌。

对于单个条目，若预览的计划没有任何警告——没有跳过项且至少有一次写入——PosterPilot 会在同一次点击中自行发出确认，第 2–3 步无需单独的对话框。存在跳过项、空计划、“应用并跳转下一个”以及合集操作仍保留显式确认步骤。两种情况下服务器端契约完全相同：计划仍会被预览、会过期、只能使用一次，并按冻结内容执行。

保存的内容

修改前，PosterPilot 会记录槽位的先前状态。媒体服务器支持读取图片字节时，会在数据目录保存按内容寻址的本地快照。Kometa 修订会保存之前的受管 YAML 值，也会记录原本不存在该值的情况。

时间线只追加不改写。再次应用或撤销不会删除原来的尝试。上传文件使用安全的内容标识；凭据和含密钥的 URL 不会暴露在浏览器历史中。

警告

无法读取原图时，该槽位会记录为不可用。PosterPilot 不会声称它能够精确恢复。确认撤销前请仔细检查预览。

验证状态

• 精确 — 可以将目的地与预期内容或受管 YAML 值进行比较。
• 尽力验证 — 提供方能给出稳定的新图片标识，但不能提供逐字节证据。
• 失败或不可用 — 写入失败、结果不匹配或证据不足；绝不会显示为已验证成功。

媒体服务器与 Kometa 的结果相互独立。因此“二者”可能部分成功；某一季或单集失败也不会隐藏其他槽位的成功。

部分失败与重试

任务详情会显示成功、失败、跳过和中断数量，以及受影响的目的地和槽位。仅重试失败项会为可重试单元创建关联任务，不会重复成功写入。验证错误、配置缺失或过期计划需要先修正设置并重新预览。

“应用并下一个”只会在所有选定目标完成并通过验证后前进；否则会留在当前项目并显示记录的详情。

从时间线撤销

在项目详情的海报时间线中，可以预览撤销某个可用修订、某一季或整个项目。预览会列出可恢复、不可用和已恢复的槽位。确认后恢复先前快照／值，在支持时验证，并追加新的撤销修订。

撤销严格限定范围：恢复一季不会改变剧集主海报或其他季；恢复 Kometa 元数据不会重写无关 YAML。混合结果仍可审计和单独重试。

Kometa 配置安全

结构化同步、原始 YAML 保存和备份恢复都有独立的预览与确认。浏览器中的 diff 会隐藏密钥；确认写入采用原子备份替换。已更改、过期、陈旧或重复使用的计划不会写入任何内容。参阅 Kometa 管理器。

安全操作习惯

• 持久化 /data；未设置 APP_SECRET 时将 .app-key 一并备份。
• 检查跳过项；跳过不等于验证成功。
• 反复重试服务器、提供方或路径错误前先运行诊断。
• 升级、清除服务器或恢复前创建应用备份。
• 自动化保持审核优先；内置计划不会自动应用海报。

继续阅读使用或自动化与恢复。

确认会将冻结的计划交给持久化任务队列，因此大规模撤销（例如整个合集）会上报进度，并在重启后继续执行，而不会随发起它的请求一起中断。