图片恢复支持对象存储（R2）；专题也改成归人不归数据集

R2 上的图怎么救：库里的行没了就只剩桶里有那些键，不列桶无从得知它们叫什么。
给 internal/media 加了 ListObjects（ListObjectsV2 + SigV4 + 自动翻页 + XML 解析）：
- 路径式访问、请求只到桶；查询串必须**先百分号编码再签名**（canonicalQuery 按原样取
  RawQuery，两边得是同一份字节，prefix 里的 / 要写成 %2F）。
- ⚠️ R2 的 API Token 默认只给对象读写，没有 s3:ListBucket 就 403。列桶失败**不让整个
  恢复失败**：本地那半照救，原因进 Warnings、页面用红色提示条显示（否则站长会以为恢复完了）。
- 候选对象 = 本地目录 ∪ 桶里 .webp（同键以本地为准）；行的 storage 按「对象实际在哪」写，
  bytes 用桶里报的 Size。另加一条 warning：挂回了却没配 s3_public_base ⇒ 行有了页面空白，
  这比「没恢复」更难懂。

专题（用户拍板「一并做」）：topics.dataset_id 同样带 CASCADE，删数据集带走专题，而专题
只存在这张表里、没有恢复来源。外键摘掉，所有查询 dataset_id → user_id（loadTopics、
topicPage、保存/删除/开关、pageBase.HasTopics）；**内容仍照当前生效数据集算**
（topicContent 不动）——变的是「这份定义归谁」。Dataset 补 UserID 供前台按属主定位
用户级数据；管理专题不再要求有生效数据集。

导出链路未改动：place_images / topics / Dataset.UserID 都不参与 .rondbackup 导出，
全量验收（含导出保真、ZRAW 夹取、编号对齐那批）PASS=331 FAIL=0 SKIP=0。

.workbuddy/memory/2026-09-30.md

@@ -241,3 +241,21 @@ UUID 集合也与换之前逐条一致）。
 并给夹具补了收尾清理（外键没了，必须自己清）。
 
 新增用例 4 条（`image_recovery_test.go`）。
+
+### 补记（23:20）：对象存储上的图 + 专题一并改
+
+用户：「一并做，而且有部分资源在 R2 上，怎么办？」
+
+**R2 侧**：行没了就只剩桶里有那些键，不列桶无从得知它们叫什么 ⇒ 给 `internal/media` 加了
+`ListObjects`（ListObjectsV2 + SigV4 + 翻页 + XML）。两个坑：查询串必须**先编码再签**
+（`canonicalQuery` 按原样取 RawQuery，prefix 里的 `/` 得写成 `%2F`，否则签名与发送不是同一份字节）；
+R2 的 Token 默认没有 `s3:ListBucket` ⇒ 403。列不动时**不让整个恢复失败**：本地那半照救，
+原因进 `Warnings`（页面红色提示条）。另外「挂回了却没配 `s3_public_base`」会让行有了、页面一片空白，
+比「没恢复」更难懂，也写进 warning。
+
+**专题**：按用户拍板做成归人不归数据集。外键摘掉，所有查询 `dataset_id` → `user_id`
+（`loadTopics`/`topicPage`/保存/删除/开关/`HasTopics`）；**内容仍照生效数据集算**（`topicContent` 不动）。
+`Dataset` 补 `UserID`（`datasetFor` 多查一列）供前台按属主定位用户级数据。
+用例除「删数据集后专题还在」外，还直接查 `pg_constraint` 确认外键确实不在——只看行为可能被别的原因弄绿。
+
+**导出链路没碰**：`place_images` / `topics` / `Dataset.UserID` 都不参与 `.rondbackup` 导出。

.workbuddy/memory/MEMORY-details.md

@@ -632,3 +632,30 @@ Core Data 元数据、索引、持久化历史、`ZRAWVISIT` 采样点、`ZTRIP*
 行没了文件还在 ⇒ 按坐标挂回（含预演不写库、幂等、挂回后**页面口径** `placeImagesOf` 看得见）、
 早期键布局与 `parseImageKey` 的表驱动、**数据集已删 ⇒ 靠底座库认回**（并在报告里说明来源）、
 删数据集不再带走图片行与文件。
+
+### 三十四补记：对象存储（R2）侧 + 专题也一起改了（2026-09-30 23:20）
+
+**R2 上的图怎么救**：行没了就只剩桶里有那些键，不列桶无从得知它们叫什么。
+`internal/media` 加了 `ListObjects(ctx, prefix)`（ListObjectsV2 + SigV4 + 自动翻页 + XML 解析）：
+- 请求形状是**路径式、只到桶**：`GET <endpoint>/<bucket>?list-type=2&prefix=…`，
+  查询串必须**先百分号编码再签名**（`canonicalQuery` 按原样取 `RawQuery`，两边得是同一份字节，
+  prefix 里的 `/` 要写成 `%2F`）。翻页靠 `continuation-token`。
+- ⚠️ R2 的 API Token 默认只给对象读写，**没有 `s3:ListBucket` 就列不出来**（403 AccessDenied）。
+  列桶失败**不能让整个恢复失败**：本地那半照救，原因作为 `report.Warnings` 带出去，
+  页面上用红色提示条显示（否则站长会以为恢复完了）。
+- 候选对象 = 本地目录遍历 ∪ 桶里 `.webp`，同键以本地为准；行的 `storage` 按「对象实际在哪」写，
+  `bytes` 用桶里报的 Size。⚠️ 挂回了却没配 `s3_public_base` ⇒ 行有了、页面一片空白
+  （`placeImagesOf` 会跳过取不到址的行）——这个比「没恢复」更难懂，也要写进 warning。
+
+**专题也改成归人不归数据集**（用户拍板「一并做」）：
+- `topics.dataset_id` 同样带 CASCADE ⇒ 删数据集带走专题，而专题**只存在这张表里**，没有恢复来源。
+- 改法：外键摘掉（`ALTER TABLE topics DROP CONSTRAINT IF EXISTS topics_dataset_id_fkey`），
+  所有查询从 `dataset_id` 换成 `user_id`（`loadTopics`、`topicPage`、保存/删除/开关、`pageBase.HasTopics`）。
+  **专题内容仍照当前生效数据集算**（`topicContent` 的 dataset_id 不动）——变的是「这份定义归谁」。
+- 附带：`Dataset` 补了 `UserID`（`datasetFor` 多查一列），前台与后台都能直接按属主定位用户级数据
+  （专题/备注/结论都是这一类）；`topicMutate` 不再要求有生效数据集。
+- 用例盯住迁移本身：直接查 `pg_constraint` 里 `topics_dataset_id_fkey` 必须不存在
+  （只看「删数据集没删专题」可能被别的原因弄绿）。
+
+**不影响导出**：这轮动的 `place_images` / `topics` / `Dataset.UserID` 都不参与 `.rondbackup` 导出
+（导出只读 datasets/places/visits/movements/weather/entity_raw）。

.workbuddy/memory/MEMORY.md

@@ -56,7 +56,9 @@
 - 预演按 `VisitUUID`/`ActivityUUID` 对齐、只读；`raw #>> '{ZIDENTIFIER_,$blob}'` 是 base64 须转 hex 比；地点只认坐标（`PlaceCoordKey` 6 位）。
 - 附属数据（备注/投票/图片）主键=`place_key` 坐标键（非 dataset+src_pk）；Go 与 SQL 两套须逐位一致。
 - ⚠️ **附属数据不能挂数据集外键**：`place_images` 曾按 `dataset_id` CASCADE ⇒ 删旧数据集=删图片行、**文件却留在盘上**（读取按坐标键、行按数据集级联，两套口径打架）。已摘掉外键；恢复走后台「图片挂载恢复」，认地点靠旧数据集留下的 `baselines/<id>.sqlite`（**别清 baselines 目录**）。`image_recovery_test.go`（details 卅四）
-- ⚠️ `topics` **仍**带 CASCADE（专题随数据集删掉、无恢复来源）——同类陷阱，待拍板。
+- ⚠️ 恢复**同时扫对象存储**（R2/S3）：`media.ListObjects`（ListObjectsV2 + SigV4，查询串先编码再签），
+  需 `s3:ListBucket` 权限；列不动时本地照救 + warning。**专题同理**：`topics` 已改成归人不归数据集
+  （`user_id` 过滤，内容仍照生效数据集算）。用户级数据靠 `Dataset.UserID` 定位。（details 卅四）
 - ⚠️ `schema.sql` 迁移块必须收敛且排在依赖表之后（插在 `place_images` 前：开发库无症、**新库起不来**）。
 - 合并 `backup_merge.go`：整个 `withTx`、不删除；新行 `*_visit_src` 写**库里的 src_pk**；必须 `writeRawRow`；删地点前先查有无到访（CASCADE）。