# 核销表 · 工程底座

> 90分级验收（孙总方法论·硬门禁）。已吸收独立交叉验证修正（⚠️）。auto=机器判定，human=目视。
> ⚠️审计结论：S1-S6 全部"待执行"(代码现状未改)。行号经核对准确。

## 模块目标
7项底座硬伤：①并发上限5 ②上传 magic number ③选标杆 ④无key置灰 ⑤lightbox ⑥前端不显token余额(红线) ⑦SSE一次性ticket(红线)。

## Ralph 修改步骤

| # | 改什么 | 落点 |
|---|--------|------|
| S1 | MAX_CONCURRENT_TASKS_PER_USER 默认 2→5 | config.py:45 |
| S2 | create_generation_task 在 _check_user_has_key 后加并发校验：count(status in pending/running) >= MAX 则 raise_business；顶部 import get_settings | task_service.py:~44 |
| S3 | await file.read() 后校验 magic number：JPEG `\xff\xd8\xff`/PNG `\x89PNG\r\n\x1a\n`/WebP `RIFF`+data[8:12]==`WEBP`，都不匹配 raise_business('文件内容与扩展名不符') | products.py:~177 |
| S4 | page.tsx 加 loadKeys 调 GET /api/v1/api-keys 存 hasKey；NewTaskForm 按钮 disabled 加 `hasKey===false`，false 时 alert 区显示"未配置Key,去配置-API Key录入" | tasks/new/page.tsx:36 + NewTaskForm.tsx:112 |
| S5 | 新建 BenchmarkSelector.tsx(≤80行) 调 GET /products/{id}/benchmarks 多选 checkbox；NewTaskForm 引入放"今天主题"后，传 form.benchmark_ids+onFormChange | 新建 + NewTaskForm.tsx |
| S6 | 新建 ImageLightbox.tsx(≤80行) fixed inset-0 z-50 遮罩+居中img，点背景/Esc 关闭；ImageProgressCard 图片加 onClick 触发 | 新建 + ImageProgressCard.tsx |

## 验收清单（做完一个勾一个）

- [ ] **A1**〔auto〕并发默认5：`grep MAX_CONCURRENT_TASKS_PER_USER config.py` 含 '= 5'。
- [ ] **A2**〔auto〕并发校验在：`grep task_service.py` 出现 status.in_ + MAX_CONCURRENT 引用。（建议补真跑：第6个任务被拒，底-1）
- [ ] **A3**〔auto〕magic number 校验：`grep products.py` 出现 ≥2种 magic bytes 字面量。（建议补真跑：.exe改.jpg 上传被拒）
- [ ] **A4**〔auto〕无key置灰：`grep tasks/new/page.tsx` 含 /api/v1/api-keys + hasKey；`grep NewTaskForm.tsx` hasKey 在 disabled 条件中。
- [ ] **A5**〔auto〕选标杆：`ls BenchmarkSelector.tsx` 存在 + `grep NewTaskForm.tsx` 含 BenchmarkSelector/benchmark_ids。
- [ ] **A6**〔human〕lightbox：`ls ImageLightbox.tsx` 存在 + ImageProgressCard 含 onClick；人工点图确认放大弹层、Esc 关闭。
- [ ] **A7**〔auto〕前端无token余额(红线)：⚠️审计修正——`grep -rn '余额\|用量\|balance\|token_usage' frontend/src` 排除 ApiKeysTab 的引导语"余额和用量请到中转站后台查看"(合规用法)，其余必须为空。
- [ ] **A8**〔auto〕SSE 用 ticket(红线)：`grep sse.ts` 含 'ticket=' 不含 'token='；`grep stream.py` 含 ticket Query；`grep sse_ticket.py` 含 issue_ticket+consume_ticket。

## 待北哥定义（不阻断代码）
- 并发上限 5 是否按客户实跑量调整(改 config.py 一行即可)。
- benchmark_ids 选入后 prompt 如何消费标杆 highlights/screenshot(归入第2环 S10/S11)。