260930-gd-2

修复上游将登录页、HTML 或空结果作为成功图片返回时仍然扣费的问题。图片 URL 在交付与结算前使用受保护的下载路径做有时限、有限读取的图片头检查，兼容 Worker 下载和内联图片回退。

流式错误立即终止；已完成的部分图片仍可获取，只按成功数量结算。套餐失败退款的金额调整和退款标记改为同一事务，避免 SQLite 锁等待及部分提交。

验证：

• 本地 GOWORK=off go test -p 2 ./... 通过；相关包 vet 和全项目 build 通过。
• 图片响应回归覆盖 JSON、JSON 转 SSE、SSE、登录页、HTML、伪造 MIME、重定向、空结果、部分成功、错误后继续完成、内联回退和 Worker。
• ./new-api-image-refund-tests -test.run TestInvalidImageRefundsReservedFunding -test.v -test.timeout 90s：SQLite 3.50.4、MySQL 8.0.46、PostgreSQL 15.19 通过钱包/套餐预扣退款、重复调用及标记写入失败回滚验证。环境变量 IMAGE_REFUND_TEST_MYSQL_DSN 和 IMAGE_REFUND_TEST_POSTGRES_DSN 指向隔离测试库。
• GitHub 全量前后端检查及双架构镜像构建通过。

Docker image

ghcr.io/gudong2003/new-api:260930-gd-2

Multi-architecture image: linux/amd64, linux/arm64

Immutable digest: sha256:9444aaf9fdb80338effca0c0a5311c77bc258b378933f1ee226ab493434e8fcb

Full Changelog: 260930-gd-1...260930-gd-2