生成器可检测与管理远端主题素材（列表 / 差异 / 覆盖 / 删除）

「传上去」之后还得知道「传得对不对」：同一 slug 传过三次、换过 slug 旧图还在、
重新导出后远端仍是旧版，这些在页面上都看不出来。

- serve.py：s3_request 支持 query；新增 ListObjectsV2（含分页）与 DeleteObject，
  端点 /api/s3/list、/api/s3/delete。
- index.html：远端素材清单按对象键名跟本地比 —— 一致 / 旧图（同名但大小不同）/
  多余（当前主题已不引用）/ 缺失。「补齐差异」只传缺的与旧图，「删除多余」批量删，
  单行可 ↻ 覆盖或 ✕ 删除；删除走 confirm 二次确认。改过 slug 会提示重新检测。
- 修：list 返回完整键而 upload/delete 收相对键，不剥前缀会删到不存在的键
  （S3 回 204，看起来删成功其实没删）。加 relKey() 统一。
- check_sigv4.py 补带 query 的用例（ListObjectsV2 三参数、乱序 token）→ 8/8；
  selftest_upload.py 补列表/分页/幂等删除 → 20 项全过。

.workbuddy/memory/topics/builder.md

@@ -44,3 +44,27 @@
 - 导出面板「素材前缀」`S.assetBase`：空 = `/static/images/themes/<slug>/`；填了 = CSS 写绝对 URL
   （R2/OSS）。**图片地址只能由 `urlOf()` 决定** —— `layerCSS` 曾复制过一份拼接，改一处会出现
   「背景走 CDN、装饰还指本地」。文档见 `docs/theme-assets-cdn.md`。
+- **素材托管（2026-10-21）**：面板两选一 `S.host.mode = local|s3`，字段
+  endpoint/region/bucket/prefix/pathStyle/publicBase 进工程，**accessKey/secretKey 只进
+  sessionStorage**（`SEC_SESSION_KEY`），绝不进草稿/工程 json/导出 zip（有断言）。
+  `publicBaseOf()` 手填优先，空则按 endpoint 推导（path 风格 `<ep>/<桶>/<前缀>`）——
+  对 R2 这个地址不可匿名读，测试的「匿名可读」只给 warn 不拦。
+- **上传走 `serve.py` 代理**，浏览器不直连对象存储：不用配 CORS，密钥不发给第三方。
+  端点 `/api/s3/ping`（探测能力，`python -m http.server` 没有 → 按钮禁用）、
+  `/api/s3/test`、`/api/s3/upload`。上传集合与导出共用 `usedAssetIds()`。
+- ⚠️ **`usedAssetIds()` 返回 Set**：`!ids.length` 恒真、`ids.map` 不存在 → 上传永远报
+  「还没有素材」。用 `[...usedAssetIds()]` 展开。
+- ⚠️ **SigV4 手写，必须对拍**：`dev/theme-builder/check_sigv4.py` 调
+  `dev/sigv4ref`（aws-sdk-go-v2 的 `signer.SignHTTP`）逐字节比。6/6 一致才可信。
+  - 只用 ASCII 用例：裸 `SignHTTP` 默认**二次转义** URI，而 S3 client 内部把
+    `DisableURIPathEscaping` 设成 true（单次编码）。我们跟随 S3 client / AWS 文档 RFC3986。
+  - canonical headers 三件套 `host;x-amz-content-sha256;x-amz-date`，与 SDK 相同；
+    CanonicalHeaders 自身以 `\n` 结尾，故其后与 SignedHeaders 之间有一个空行（规范如此）。
+- ⚠️ **HEAD 桶失败拿不到 `<Code>`**（HEAD 响应无 body）→ 只能按状态码归因
+  （403→AccessDenied / 404→NoSuchBucket / 301|307→PermanentRedirect）。想拿真错误码要靠 PUT。
+- ⚠️ **Windows 上 8777 可能被上一个进程继续占着**（SO_REUSEADDR 让新进程 bind 成功但抢不到
+  accept）。症状：`/api/s3/ping` 返回旧版 404，而代码明明改了。用
+  `Get-NetTCPConnection -LocalPort 8777` 查 PID，或换端口验证。
+- 自测：`python dev/theme-builder/check_sigv4.py`（签名对拍）、
+  `python dev/theme-builder/selftest_upload.py`（假 S3，16 项）、
+  `python dev/theme-builder/mock_s3.py --port 9900`（手动点面板）。