- 图片端点支持 max/format/quality 缩放参数；清单默认给审查尺寸地址
  （长边 ≤1536 的 JPEG）并带原图宽高与原图地址
- 缩放走魔数嗅探（不信 storage mime）、JPEG 应用 EXIF 方向、GIF 合成
  逻辑画布；宽×高 >6400 万像素不解码像素按原图透传
- 单张变体 500KB 字节预算服务端强制：质量梯次降档、必要时对半降边，
  提示词「读图预算」承诺在最坏噪声图上也成立
- 嗅探/解码失败与超预算一致走原图透传，清单已下发的审查尺寸地址
  不再因无解码器变 404
- 视觉提示词新增「读图预算」节：单张 ≤500KB、整轮 ≤4MB、成对读取、
  超出写 unmeasurable
- openapi/api-docs/reviews.md 同步契约与文档；router 级端到端测试
  锁真实 HTTP + 运行令牌下的字节量级（81.8MB 原图 → 2.21MB 变体）

@@ -600,2 +605,2 @@
-| `GET /screenshots` | 仅视觉运行。`{items:[{id,label,url}], changed}`：`url` 指向图片端点；`changed` = 本次 head 的截图 URL 集合 ≠ 上一轮视觉运行绑定 head 的截图 URL 集合（上一轮的行先**只取本轮开始之前就存在的**——`ensureAssets` 在比较之前已把本轮新收集的 URL 写进同一张共享表，同 head 的 manual rerun 也会再跑视觉轮，不过滤就把新增截图算进上一轮，`changed` 误判 false；再按收集面同一道**结构准入**过滤（含 `#fragment` 规整——旧行可能带 fragment，而结构准入不拒它）、按**张数上限**截断后比较：旧版本写入的 http/带 userinfo 残留与升级前的超限行都会顶住指纹让 `changed` 恒为 true；但**不按当前描述过滤**——描述里真的删掉某张截图时集合确实变了，必须判 changed=true，抹掉它等于把「截图被删」报成未变化）（只作审查员的「是否要对比上一轮」提示；**是否开视觉轮由总账的内容指纹决定**，两者口径不同，别拿它推结论）。 |
-| `GET /screenshots/{assetId}` | 仅视觉运行。图片字节 + Content-Type，按运行所属 PR/SHA 校验；未下载成功 404。 |
+| `GET /screenshots` | 仅视觉运行。`{items:[{id,label,url,width,height,original_url}], changed}`：`url` 是审查尺寸地址（指向图片端点并带缩放参数，长边 ≤1536 的 JPEG——大折叠屏/平板原图逐张读会撑爆审查代理的模型网关，INT-186）；`original_url` 是原图地址（无缩放参数，细节复核时按需取）；`width`/`height` 是原图像素尺寸（JPEG 应用 EXIF 方向后，解码失败/缺文件时字段缺省）；下载失败的行 `error` 非空且 `url`/`original_url`/`width`/`height` 字段全部缺省（JSON 不含这些键）；`changed` = 本次 head 的截图 URL 集合 ≠ 上一轮视觉运行绑定 head 的截图 URL 集合（上一轮的行先**只取本轮开始之前就存在的**——`ensureAssets` 在比较之前已把本轮新收集的 URL 写进同一张共享表，同 head 的 manual rerun 也会再跑视觉轮，不过滤就把新增截图算进上一轮，`changed` 误判 false；再按收集面同一道**结构准入**过滤（含 `#fragment` 规整——旧行可能带 fragment，而结构准入不拒它）、按**张数上限**截断后比较：旧版本写入的 http/带 userinfo 残留与升级前的超限行都会顶住指纹让 `changed` 恒为 true；但**不按当前描述过滤**——描述里真的删掉某张截图时集合确实变了，必须判 changed=true，抹掉它等于把「截图被删」报成未变化）（只作审查员的「是否要对比上一轮」提示；**是否开视觉轮由总账的内容指纹决定**，两者口径不同，别拿它推结论）。 |
+| `GET /screenshots/{assetId}` | 仅视觉运行。图片字节 + Content-Type，按运行所属 PR/SHA 校验；未下载成功 404。query 可带缩放参数 `max`/`format`/`quality`：三个均未提供时返回原图字节，任一提供时其余取默认（max 1536、format jpeg、quality 80；`format` jpeg/png，webp 不支持编码）。护栏：参数 clamp `max`∈[320,2000]、`quality`∈[30,95]，非法值回 400（40004，同 ErrReviewResultInvalid）；超过原图长边不放大按原图返回；宽×高 > 6400 万像素的原图不解码像素、按原图透传（防恶意大图在服务端解码爆内存）；有文件但缩不了（heic/tiff 等有声明类型但无解码器、嗅探/解码/编码失败）同样按原图透传而不是 404——默认审查尺寸地址保持可读。**字节预算强制（INT-186）**：单张变体超 500KB 自动降 JPEG 质量重编、仍超对半降边（下限 320；PNG 无质量旋钮直接降边），长边到下限仍超的病态输入兑底交字节最小的一份——这是提示词「读图预算」（单张 ≤500KB、整轮 ≤4MB）的服务端强制，让承诺在最坏情况下成立；典型 UI 截图第一遍 q80 就达标，零额外成本。 |

@@ -841,0 +841,4 @@
+		// url 默认给审查尺寸（长边 ≤1536 的 JPEG，INT-186）：审查代理逐张读原图
+		// 会撑爆模型网关的请求上限；original_url 保留按需取原图的途径。下载失败
+		// 行不走这里，可选字段全部缺省。
+		item.Url = api.Ptr(*item.OriginalUrl + reviewScaleQuery())

@@ -0,0 +199,4 @@
+	}
+	// 像素预算守卫：头里声明的尺寸超限时根本不解码像素（防解码爆内存），
+	// 报超限错误由调用方回退原图透传。
+	if int64(cfg.Width)*int64(cfg.Height) > reviewScaleMaxPixels {

@@ -0,0 +206,4 @@
+	if cfg.Height > long {
+		long = cfg.Height
+	}
+	if long <= p.Max {

@@ -871,0 +896,4 @@
+	}
+	data, scaledMime, err := scaleReviewScreenshot(ctx, asset.StoragePath, asset.MimeType, scale)
+	if err != nil {
+		if errors.Is(err, errReviewScaleTooLarge) || errors.Is(err, errReviewScaleUnscalable) {

@@ -140,0 +140,4 @@
+## 读图预算
+- 默认只读清单给的审查尺寸 ` + "`url`" + `；` + "`original_url`" + ` 只用于细节复核（缩放后文字/对比度仍判断不了），并在发现里注明用了原图及理由。
+- 单张图片读入 ≤500KB、整轮会话读入图片总量 ≤4MB；清单的审查尺寸通常单张远低于预算。接近上限时先审完已读的截图，没读的写进 ` + "`unmeasurable`" + `（reason 写明预算截断），不要硬塞。
+- 清单里 ` + "`scaled=false`" + ` 的行返回的是原图字节，体积不受预算保护：能不读就不读；必须看的读完即停，并在结论里注明读的是原图。

@@ -0,0 +261,4 @@
+	// 解码字节闸与截图标注裁剪路径共用（总量 1GiB）：并行视觉运行的解码驻留
+	// 不叠加爆内存，等待随请求 ctx 取消。权重按驻留估——RGBA 像素 宽×高×4，
+	// 加一份编码缓冲冗余 ×2（口径 ×8）；超总容量按容量 clamp。
+	weight := int64(cfg.Width) * int64(cfg.Height) * 8

@@ -0,0 +168,4 @@
+		return nil, err
+	}
+	defer f.Close()
+	var head [16]byte

@@ -0,0 +399,4 @@
+		}
+		return img, nil
+	case "image/webp":
+		img, err := webp.Decode(f)

@@ -0,0 +177,4 @@
+	if len(head) < 28 || string(head[12:16]) != "VP8X" {
+		return false
+	}
+	return head[27]&0x02 != 0

@@ -0,0 +173,4 @@
+}
+
+// reviewScreenshotHead 读文件前 32 字节做嗅探与判定样本：PNG 位深（IHDR
+// bit depth 字节在偏移 24）、WebP 动画位（VP8X 在偏移 12，payload 第 4 字节