图是好的，链接死了

素材库场景压测（100 用户 × 24 张图）实测 /api/media 卡在约 1400 req/s，
同等并发下 /health 有 4100 req/s。

每请求新建 client + 签名  1.223ms/次 → 818 次/秒/核
复用 client 只签名        0.385ms/次 → 2598 次/秒/核

签名客户端按配置缓存。素材库一屏 24 张图，每张都重建 client 时实测 1.223ms/次，
复用后 0.385ms/次——快 3.2 倍。

按配置做键而不是裸单例：配置换了必须重建，否则会拿旧域名的 client 继续签，
生产改配置不生效，测试之间也会互相污染。

/**
 * 签名 URL 的缓存寿命。
 *
 * 服务端签的是 900 秒，这里只敢存一半多一点——差值是留给「拿到 URL 到图片
 * 真正加载完」这段时间的。
 * 缓存不设期限会让画布开着超过 15 分钟后素材图**集体裂**：
 * 后端每次都现签是对的，栽的是前端把签好的 URL 当永久地址存了。
 */
const URL_CACHE_TTL_MS = 8 * 60 * 1000;

图片加载失败时调用：作废该 URL 的缓存并重新现签一次。
签名 URL 会过期，光靠 TTL 猜不准（页面可能在后台挂很久）。裂图本身
就是最可靠的过期信号——收到它就重签一次，让节点自己好起来。
同一个 URL 只重试一次，避免真·坏图把请求打成死循环。

线上报障：画布上素材图集体「图片加载失败」。根因是这个端点返回了
resolveAssetUrl 签的 15 分钟 S3 直链，而不是 /api/media 稳定路径。
只断言「有 url 字段」的用例抓不到这种错，必须钉住 URL 的形态。

-    // 读时现签，复用素材那边同一个签名实现
-    signObjectUrl: (objectKey: string) => createPrivateObjectReadUrl(objectKey),
+    // 必须是 stableAssetUrl（/api/media 稳定路径、7 天有效、走后端代理），
+    // 不能是 createPrivateObjectReadUrl 签的 15 分钟 S3 直链——这条 URL 是
+    // 直接交给浏览器渲染 <img> 的，画布开十几分钟产物图就集体裂（线上报障过）。
+    // 「读时现签」只解决了「不存旧 URL」，没解决「签出来的只活 15 分钟」。
+    signObjectUrl: (objectKey: string) => stableAssetUrl(objectKey, ''),

// 稳定媒体 URL：给前端 <img>/<video> 用的持久地址，替代 15 分钟就过期的 S3 签名 URL——
// 页面长驻后图片重新加载 403 裂图的根治方案。请求到达 /api/media 验签后 302 到读时现签的 S3 URL。
// HMAC 即凭证（与 slides raw 下载、local-business-promo blob 同范式，域分隔前缀防跨用），
// 不依赖登录态：img 标签发不出 Authorization 头。
//
// TTL 7 天：覆盖任何真实的页面停留场景。
// exp 对齐到天窗口：同一对象同一天内产出字节级相同的 URL，浏览器缓存可命中；
// 任意时刻拿到的 URL 剩余有效期至少 6 天，不存在「刚拿到就过期」。
export const MEDIA_URL_TTL_MS = 7 * 24 * 60 * 60 * 1000;

吐给浏览器（渲染 <img>/<video>）→ stableAssetUrl：返回 /api/media 稳定路径，
7 天有效，根治「页面长驻后签名过期裂图」
交给上游拉取 → resolveUpstreamAssetUrl：6 小时
本进程内立刻用 → resolveAssetUrl：15 分钟

/** 只活 15 分钟、且指向对象存储域名的签名函数——绝不能出现在面向浏览器的链路里 */
const SHORT_LIVED_SIGNERS = ["createPrivateObjectReadUrl", "resolveAssetUrl"];

/** 这些文件产出的 URL 会被前端直接塞进 <img>/<video> */
const BROWSER_FACING_FILES = [
  "canvas-flow/run-routes.ts",
  "canvas-adapter/material-url-route.ts",
];