fix(storage): 强化外部图片导入与 Skill 异常引导

docs/integration-guide.md

@@ -51,6 +51,7 @@ curl -X POST http://localhost:3010/api/projects \
 
 JSON 请求中的 `images` 为 1–30 个公开 HTTP/HTTPS URL，且平台必须已有活动 COS 配置。数组顺序就是展示顺序，第一张为封面。
 
+- 所有 URL 都会先拒绝 `localhost`、本机、私有网段、局域网和保留地址；即使域名与配置同源也不会绕过这项检查。
 - URL 与活动 COS 的公开域名或 CDN 域名同源时直接保存，不重复上传。
 - 其他域名的图片会由服务端下载并转存到活动 COS，最终入库 URL 来自该 COS。
 - 外部图片单张不得超过 20 MB，必须返回受支持的图片类型；本机、内网、保留地址和非标准端口会被拒绝。
@@ -68,7 +69,7 @@ curl -X POST http://localhost:3010/api/projects/1/works \
   }'
 ```
 
-相同 `projectId + externalId` 的重试不会重复创建，响应包含 `idempotent: true`。异源图片成功转存后不再依赖原地址长期可用。
+相同 `projectId + externalId` 的重试不会重复创建，响应包含 `idempotent: true`。异源图片成功转存后不再依赖原地址长期可用；任意图片校验或转存失败时不会创建作品记录。
 
 ## 创建新验收轮次