客户端不再持有对象存储的长期密钥。 旧实现用腾讯云 COS SDK 直连，bucket 与 SecretId/SecretKey 明文随 user_getappconfig 的 env 下发给每一个 App 用户（config 表的 COS_* 那几个键）。 抓包或反编译就能拿到这对长期密钥，而它对整个桶有读写权限——不只是自己那部分， User/ 下所有人的录音都能被拉走或删掉。 现在：新增 user_getuploadurl，服务端签发 15 分钟有效、且只对某一个 object key 生效的阿里云 OSS 预签名 PUT URL，客户端拿着它直传。存储与 console 后台传固件/ 产品图同一个桶（ymaioss），不再是两个云厂商两套存储。 服务端 - 新接口 modules/user/api_getuploadurl.go： · object key 由服务端拼死 EAIMAR/User/<uid>/<scene>/<yyyy/MM/dd>/<12位随机>.<ext>， uid 取自会话不采信客户端，客户端连自己传到谁的目录下都决定不了； · scene 白名单 LocalAudio / TranslatAudio / ExternalAudio / ChatImages ——加新场景前要把客户端 addUpload 与 UploadOss.upload 的调用点全捞一遍， 少一个值就是那条链路整条报错，且只在真机跑到才发现； · 扩展名白名单决定 Content-Type，不在表里直接拒，不回退成 application/octet-stream（那等于把桶变成任人上传的网盘）； · 随机名用 crypto/rand 而非 math/rand：key 可枚举就等于别人能猜到录音地址。 - 抽出 comm/ossconf.go：OSS 配置读取、上传根前缀、publicURL 拼接从 console 挪来， console 改为调用它。两边必须落同一个桶，各写一份迟早漂移。 解密用 ${FIELD_ENCRYPT_KEY}，console 与业务服务本就必须配同一把。 客户端 - upload_oss.dart 重写为「要 URL → dio 流式 PUT」，upload() 签名与返回值不变， MeetingUploadService 不用改。用独立 Dio 实例：项目那个挂着 AuthInterceptor， 会加 token 与业务签名头、还会把响应按业务 JSON 解析，直传 OSS 时全是多余， 签名头还可能与预签名冲突。 - Content-Type 必须用服务端回带的值，它计入了签名，写别的会 403。 - agent 图片的 rootDir 从 'User/<uid>/ChatImages' 改成 'ChatImages'： 前缀由服务端加，客户端再拼一层就是重复路径。 真机验证：录音落到 https://oss.ymaikj.com/EAIMAR/User/<uid>/LocalAudio/2026/09/04/howXMScPdsNP.wav， 下载 212524B 与库里 size 逐字节一致，Content-Type=audio/wav，文件头 RIFF/WAVE。 其余三个 scene 走同一段代码但尚未实跑。 ⚠️ 新老客户端并存：老包仍读 COS_* 直传腾讯云，config 表里那 5 个键先别删； 历史录音的 audiourl 是 COS 绝对地址，不会自动搬家。 ⚠️ 录音目前仍是公共可读的（bucket 公共读，实测匿名 GET 206、不存在的 key 404）， 只靠 12 位随机 key 不可猜测来保护。要锁住得转私有桶 + 播放时也签临时读 URL，未做。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Rodger-Wang