媒体与存储

媒体索引与业务真相在主节点，文件对象落到 Local、Direct 或 Relay 存储。上传选择站点类型，不直接选择某一成员；固定对象只由一个物理节点完整保存。

上传、改名、隐藏、删除和优先级参与同一事务/文件变更栅栏。文件夹改名仅同父目录，不是跨目录移动。歌词和显式关联在主节点；自动同名关联仅显式管理员触发，不覆盖人工关联。

网络中断应原地等待并续读，不切下一首或显示黄色自动跳曲提示。HTTP Range 与连续音频缓冲语义见播放连续性。

上传刷新导致的过期预留不能仅依靠浏览器 finally 清理。当前版本在启动及每三十秒进行有预算的 reconciliation：仅在持有同一 OS lease、确认无活动写入/文件/身份/日志后释放预留；远端完整匹配的哈希/大小/ETag 收据修复丢失 finalize 并保留文件；离线或不确定必须保留预留并重试。过期不是删除媒体的依据。上传流式写入与 heartbeat 使用独立连接预算，详情见上传生命周期。

浏览器加密仍是未启用的开发基础，不包含在本轮镜像/上传 P0 发布中；不要据此上传密文或假定数据库冷备份包含解密私钥。