feat: secure storage artifact preview

docs/2026-04-18-PHP与Vue收口交付总结.md

@@ -83,6 +83,7 @@
 3. `video-metadata-missing-task-pool` 已迁到 `storage/video-metadata-missing/task-pool`
 4. `domain-seo-external/manual-import` 已迁到 `storage/external-seo/manual-import`
 5. `domain-seo-external/search-console` 模板目录已迁到 `storage/external-seo/search-console`
+6. `Vue 后台` 打开 `external-seo/*`、`video-metadata-missing/*` 这类产物时，不再假设文件直接暴露在 `public`，而是通过后台鉴权预览入口读取 `storage` 文件
 
 以后如果再新增类似后台产物目录，优先原则是：
 
@@ -90,6 +91,13 @@
 2. 默认不要放 `public`
 3. 只有明确需要前台公开访问的静态资源，才考虑进入 `public`
 
+补充一条执行口径：
+
+1. 如果后台页面需要“打开 HTML / JSON / CSV / prompt / payload”
+2. 优先保留文件在 `storage`
+3. 不要因为前台要看，就把私有运行产物重新搬回 `public`
+4. 应优先补 `后台鉴权读取接口 + Vue 打开工具函数`
+
 ### 3. 公共规则侧
 
 已确立为全项目公共主线的内容：