一句话结论
代码侧没有卡点（十本回归 11/11 全过、CF 闸门 7 秒全过、工作树干净）；卡点全在「可不可以给外人看」： 内部路径 940 处、验收台无登录门、素材/授权三条口径没落实。去路径化 + 收验收台门这两件是机械活（0 元、不碰业务服务），做完就能开「给甲方一个登录入口」这种上线。
五个入口现在的真实码（实测）
| 入口 | 实测 | 上线含义 |
|---|---|---|
| 8089 交付站（成果页/台账/看板） | HTTP 200（不用登录） | LAN / Tailscale 谁在网内都能看 —— 要给客户看，得先去路径化 |
| 8080 控制台（中枢） | HTTP 401 | 有登录门 ✓；给客户用得先开账号 |
| 8123 工作台（复刻-混剪） | HTTP 401 | 有登录门 ✓；同上 |
| 8787 队列页 | 只监听 （内网地址）（站外连不上） | 本机用，属正常 |
| 8788 验收台 | HTTP 200（不用登录，LAN 可达） | 口子：上线前必须收进登录门或改成只监听本机 |
拦路虎逐条（每条都有实测与推荐动作）
| # | 拦路虎 | 实测 | 推荐动作 | 耗时 / 花费 | 谁拍 |
|---|---|---|---|---|---|
| 1 | 内部路径泄漏 | 全站 940 处（`sketch-log.html` 635、`待办台账.html` 37、`map-v8-5/6/7` 各 35、`index.html` 30、`目录.html` 29 …） | 写一次「去路径化」把绝对路径换成页内说明（「证据在任务记录.md 段 X」），逐页复跑比对（数字一个不少） | 约 1–2 小时 / 0 元 | 我建议直接做 |
| 2 | 8788 验收台无登录门 | 站外实测 200（不用登录即可看） | 收进 cf 登录门，或改只监听本机（两种都行，看你要不要给客户看验收台） | 10 分钟 / 0 元 | 你选「收门」还是「只本机」 |
| 3 | 素材商用许可未取得 | 复刻线输入＝抖音第三方商品视频（`~/contentforge/recon/原料-20260919/` 4 组，目录名就是抖音视频 ID） | 对外投放前逐片核源取许可；取不到就改用 AI 生成线（seedance，自有素材，无第三方） | 按片核 / 0 元 | 要你定：对外用哪条线 |
| 4 | 人脸/声音授权存疑 | 对外 9 个成片里 4 条 09-23「有声版」的声音来源与授权没逐条核到（如实记存疑）；换脸/口型能力在（MuseTalk/DWPose），你已下令「暂停人物」 | 对外前逐片核「有没有真人脸/真人声」：有 → 补授权或替换；没有 → 片上标注合成来源 | 按片核 / 0 元 | 要你定：4 条有声版怎么处理 |
| 5 | 「全换云端 AI 模式」的缺口 | 现只有一条云端出片通道（`doubao-seedance-2-0-260128`，4 条，≈3.55 元/条）；成本口径已有（成本看板，云端/本机分开） | 要补三件：① 云端各能力的单价表 + 按次报价确认（已有雏形）② 密钥/额度监控 ③ 「哪些能力已经能走云端」对照表 | 半天 / 0 元（只记账不调用） | 我建议上线后紧接着做 |
已经过的两项（附复跑命令）
| 项 | 判定 | 证据 |
|---|---|---|
| 客户数据（手机号/邮箱） | ✅ 0 命中 | 带边界的扫描 grep -rEo "(?<!\\d)1[3-9]\\d{9}(?!\\d)" → 空。提醒：不加边界会因为「长数字 ID 的子串」误报（如 7031490073325604134 里抠出 14900733256，本次就误报过 5 处） |
| 密钥真值 | ✅ 对外面上 0 处 | grep -rEo "sk-[A-Za-z0-9_-]{12,}" ~/contentforge/sketch-share --include=*.html --include=*.md → 0 |
「开公网 + 域名/证书」的三条路（2026-10-09 实测家底）
| 路线 | 现在能不能用 | 需要你做什么 | 证书/域名 |
|---|---|---|---|
| Cloudflare 快速隧道（cloudflared 已装 2026.9.1） | ✅ 不用账号，我这边就能起 | 不用你动 | 自动真证书，地址是随机的 *.trycloudflare.com；进程一停就失效、重启可能换地址 |
| Cloudflare 固定隧道（固定域名） | ⚠ 差账号与域名 | 用你的 Cloudflare 账号登录一次（我把浏览器流程摆出来你点）+ 一个托管在 Cloudflare 的域名 | 自动真证书，地址固定（最像「正式上线」） |
| Tailscale Funnel | ⚠ 未启用（Funnel is not enabled on your tailnet） | 点一下 login.tailscale.com/f/funnel?node=… 启用 —— 但这个站在本网络会被重置，你得先挂代理才打得开 | 自动真证书，地址是 <节点>.ts.net，不用买域名 |
| 反代 + 公网端口映射 | ✗ 走不通 | — | 本机双 NAT 且出口走代理（现测出口 IP （内网地址）），入向无法映射 |
我的推荐：门做完先用快速隧道顶上（不用你动任何账号，马上能发链接给甲方）；你要「固定域名」的正式形态，就用固定隧道，那时只需要你登录一次 Cloudflare。Tailscale Funnel 也行，但要你先挂代理打开后台点启用。
我建议的上线三步（0 元，先做不花你时间的）
- 正在做：① 全站去路径化（940 处 → 0，已派窗口，含备份与逐页比对）② 8089 + 8788 登录门（已派窗口，复用现有 cf_session 门，带一键回滚）。
- 紧接：门验证通过后开公网（先快速隧道顶急用），并把「给客户看的那几页」单独列一份入口清单（客户入口只放成果，不放工作台账）。
- 上线后：补云端 AI 模式三件（单价表 + 按次确认 + 能力对照），全部按你「后期全换云端」的要求推进。