1.0.04

需要完整镜像更新

• 本版本标记为需要完整 Docker 镜像更新，因为前端基础镜像、后端运行时依赖锁定、容器运行用户、healthcheck 和 compose 运行配置发生变化
• Release manifest 现在写入 requires_image_update: true 和明确原因，设置页会引导到完整镜像更新路径，而不是应用包安装

安全与访问控制

• 将静态 bearer 认证替换为签名会话 token，并为视频流、封面、缩略图、字幕、外部播放列表和静态媒体文件增加短期 media token
• 加固远程图片抓取和本地图片读取，只允许安全图片 URL 与预期本地目录
• 加固备份恢复流程，拒绝不安全归档成员、链接、设备文件，以及逃逸 data_dir 的 tar 路径
• Docker 自更新命令日志和状态输出会遮蔽敏感环境变量值
• Jellyfin 用户名/密码认证在主应用认证未配置时改为失败关闭

初始化与刮削配置

• 修复首次初始化时尚未登录也可以保存 TMDB access token/API 配置
• 设置页保存刮削器/TMDB 配置后会清理前端 config 缓存，手动刮削可立即识别最新 TMDB 状态

构建与发布流水线

• 补齐项目级 Codex/ECC 初始化文件 .agents/、.codex/，并新增 CI 校验 backend tests、backend compile 和 frontend build
• 使用 backend/constraints.txt 锁定后端依赖，同时在 backend/requirements.txt 保留 uvicorn[standard] extras
• Docker 构建更新到 Node 22、Python 3.12 依赖约束、非 root 运行用户和 HTTP healthcheck

---