出图：Nanobanana 3 Pro

• 产出：视频封面、分镜示意、UI mock、字幕样式参考图、品牌水印素材。
• 输入：结构化 Prompt（风格、分辨率、主体、留白区域、文字安全区）。
• 约束：图片资产必须走“不可变版本号”命名（见 No-Rollback Protocol）。

artifacts/
  {job_id}/
    v0001/
      props.json
      assets/ (by hash)
      frames/ (optional)
      raw/ (optional)
      out.mp4
      qc.json
      runlog.jsonl
    v0002/
      ...
    latest.json   (仅元数据：指向 v0002；可覆盖，但不触碰产物目录)

4.3 执行层策略（让系统仍然可用）

• Preflight 校验：在写任何产物前完成 schema 校验、素材 HEAD/大小/类型、磁盘配额预估。
• Copy-on-write：任何“变更”都写新版本目录；旧版本保留以便审计/对比（但不是回滚）。
• Resume 机制：同版本内允许“未完成目录继续写入”（例如 frames 渲染到一半），但最终产物一旦完成就冻结；若最终产物已冻结则必须开新版本修复。
• 幂等键：对外请求使用 idempotency_key → 映射到 job_id；重试不产生重复收费/重复对外回调。
• 安全降级：当 filtergraph/字幕超复杂时，优先使用预设模板开关，不接收任意用户字符串。

# bundle（或你也可在 worker 中复用 bundle 缓存）
npx remotion bundle ./remotion/index.tsx --out=dist/remotion-bundle

# render frames（写到版本目录，避免覆盖）
npx remotion render dist/remotion-bundle Main \
  --props=./artifacts/JOB123/v0001/props.json \
  --image-format=png \
  --output=./artifacts/JOB123/v0001/frames

npx remotion render dist/remotion-bundle Main \
  --props=./artifacts/JOB123/v0001/props.json \
  --output=./artifacts/JOB123/v0001/raw/raw.mp4

7.3 FFmpeg：frames + voice + bgm → out.mp4（参数数组 + 命令行）

示例包含 ducking（sidechaincompress）。生产环境请把“是否 ducking/音量档位”做成预设开关，不允许用户注入任意滤镜。

Node spawn 参数数组（示例）

[
  "-y",
  "-framerate","30",
  "-i","./artifacts/JOB123/v0001/frames/%06d.png",
  "-i","./artifacts/JOB123/v0001/assets/voice.wav",
  "-i","./artifacts/JOB123/v0001/assets/bgm.mp3",
  "-filter_complex",
  "[1:a]aformat=sample_fmts=fltp:sample_rates=48000:channel_layouts=stereo,volume=1.0[voice];" +
  "[2:a]aformat=sample_fmts=fltp:sample_rates=48000:channel_layouts=stereo,volume=0.25[bgm];" +
  "[bgm][voice]sidechaincompress=threshold=0.02:ratio=8:attack=10:release=200[bgmduck];" +
  "[voice][bgmduck]amix=inputs=2:normalize=0[aout]",
  "-map","0:v:0",
  "-map","[aout]",
  "-c:v","libx264",
  "-pix_fmt","yuv420p",
  "-preset","medium",
  "-crf","20",
  "-r","30",
  "-c:a","aac",
  "-ar","48000",
  "-shortest",
  "./artifacts/JOB123/v0001/out/out.mp4"
]

等价命令行（示例）

ffmpeg -y \
  -framerate 30 -i "./artifacts/JOB123/v0001/frames/%06d.png" \
  -i "./artifacts/JOB123/v0001/assets/voice.wav" \
  -i "./artifacts/JOB123/v0001/assets/bgm.mp3" \
  -filter_complex "\
[1:a]aformat=sample_fmts=fltp:sample_rates=48000:channel_layouts=stereo,volume=1.0[voice];\
[2:a]aformat=sample_fmts=fltp:sample_rates=48000:channel_layouts=stereo,volume=0.25[bgm];\
[bgm][voice]sidechaincompress=threshold=0.02:ratio=8:attack=10:release=200[bgmduck];\
[voice][bgmduck]amix=inputs=2:normalize=0[aout]" \
  -map 0:v:0 -map "[aout]" \
  -c:v libx264 -pix_fmt yuv420p -preset medium -crf 20 -r 30 \
  -c:a aac -ar 48000 -shortest \
  "./artifacts/JOB123/v0001/out/out.mp4"

No-Rollback 提醒：输出目录必须是新版本目录；同名 out.mp4 不允许覆盖（若要修复，生成 v0002）。

7.4 TS/Node 目录结构骨架（适配 skills + No-Rollback）

repo/
  remotion/
    index.tsx
    compositions/Main.tsx
    assets/fonts/              # 字体随仓库固定版本（determinism）
  apps/
    api/server.ts
    worker/
      worker.ts               # Opus 规划后驱动 skills 执行
      jobSpec.ts              # schema + validation
      versioning.ts           # allocateNextVersion(job_id)
      paths.ts                # artifact paths (job_id + version)
      assets/cache.ts         # by hash, immutable
      render/remotion.ts      # render frames/mp4
      media/ffmpeg.ts         # build args[], spawn via skill
      media/qc.ts             # ffprobe + 黑帧/静音检测
      observability/log.ts
      observability/metrics.ts
      storage/uploader.ts
  artifacts/                  # 本地示例；线上可映射到对象存储
  Dockerfile

7.5 关键函数签名（建议）

type JobSpec = {
  jobId: string;
  idempotencyKey?: string;
  compositionId: string;
  fps: number;
  width: number;
  height: number;
  props: Record<string, unknown>;
  assets: {
    voiceUrl?: string;
    bgmUrl?: string;
    images?: string[];
    videos?: string[];
  };
  output: {
    container: "mp4";
    vcodec: "h264" | "h265";
    target: "generic" | "tiktok" | "kuaishou" | "youtube";
    loudnessTargetLufs?: number; // e.g. -14
    enableDucking?: boolean;
  };
};

async function allocateNextVersion(jobId: string): Promise<{ version: string }>; // v0001
async function validateJob(job: JobSpec): Promise<void>;
async function prepareArtifactDirs(jobId: string, version: string): Promise<void>; // must fail if exists
async function downloadAssetsImmutable(job: JobSpec, version: string): Promise<Record<string,string>>; // returns local paths by hash
async function renderFrames(job: JobSpec, version: string): Promise<{ framesDir: string }>;
async function postProcess(job: JobSpec, version: string, inputs: { framesDir: string }): Promise<{ outMp4: string }>;
async function qualityCheck(jobId: string, version: string, outMp4: string): Promise<{ ok: boolean; reasons: string[] }>;
async function publishLatest(jobId: string, version: string): Promise<void>; // update latest.json only

8.3 安全清单（必须）

• FFmpeg 命令：只允许 cmd + args[]；拒绝 shell 字符串。
• 路径安全：realpath + 限制在工作目录内；拒绝 ../ 与软链逃逸。
• URL 安全：白名单域名/签名 URL；限制大小/超时；校验内容类型；返回 hash 并缓存。
• filtergraph：只允许预设开关（ducking/loudnorm/overlay）；不接收任意用户文本。
• 审计：runlog.jsonl 记录每一步输入/输出摘要、版本号、耗时与错误码（不可变）。