docs: record huobao override path and credential blocker

docs/AUDIT_2026-03-18.md

@@ -154,8 +154,11 @@
 - 使用复制自旧目录的 `config.yaml + drama_generator.db + data/storage` 在隔离目录启动了 upstream 实例，地址为 `http://127.0.0.1:5681`
 - 上游实例健康检查通过，`POST /api/v1/dramas` 可正常创建剧本
 - 新的图片和视频生成请求已能走到 provider 调用层，但当前复制出的 AI 配置凭证返回 `403 access denied for invalid user`
+- 进一步在旧改版隔离实例 `http://127.0.0.1:5682` 上重放了 fresh 图片请求，返回同样的 `403 access denied for invalid user`
+- 结论因此进一步收敛：当前 blocker 不是 upstream 回归，而是外部图片/视频凭证已失效
+- 已在 `huobao-drama-upstream` 增加按服务类型的运行时覆盖能力，可用 `HUOBAO_TEXT_* / HUOBAO_IMAGE_* / HUOBAO_VIDEO_*` 环境变量接管数据库中的 AI 配置
 
-结论更新：`huobao-drama-upstream` 的代码级兼容迁移已经完成，当前剩余 blocker 是外部 qnaigc 凭证失效，导致无法用“旧配置副本”继续 fresh 生成。
+结论更新：`huobao-drama-upstream` 的代码级兼容迁移已经完成，当前剩余 blocker 是外部图片/视频凭证失效，导致无法用“旧配置副本”继续 fresh 生成；但新的运行时 env 覆盖路径已经就位，后续补新 key 不需要再手改 SQLite。
 
 ## 当前已完成迁移面
 
@@ -175,5 +178,5 @@
 
 1. 小红书账号级内容源还未做真实平台验证
 2. `douyin` public 直抓仍受反爬限制，生产落地还需要补 cookie 或人工页面采集协作链
-3. `huobao-drama-upstream` 已完成代码迁移并可编译，但 fresh smoke 受外部 qnaigc 凭证 `403 invalid user` 阻塞
+3. `huobao-drama-upstream` 已完成代码迁移并可编译，但 fresh smoke 受外部图片/视频凭证 `403 invalid user` 阻塞
 4. `douyin` 新接口已上线 live，但还需要补一轮真实账号级回归，确认手工 payload 和相似账号分析都稳定

docs/LAN_E2E_GUIDE_2026-03-18.md

@@ -209,11 +209,20 @@ docker compose up -d --build
 补充说明（2026-03-20）：
 
 - `huobao-drama-upstream` 已在隔离目录用复制的旧配置和数据库起过实例，`/health` 正常
-- fresh 图片/视频生成请求已能进入 provider 调用，但当前复制出的 qnaigc 凭证返回 `403 invalid user`
-- 如果你要重新验证 upstream fresh 生成，先更新 `ai_service_configs` 里的可用凭证，再复跑即可
+- fresh 图片/视频生成请求已能进入 provider 调用，但当前复制出的图片/视频凭证返回 `403 invalid user`
+- 同样的 fresh 图片请求已在旧改版隔离实例 `http://127.0.0.1:5682` 上重放，结论一致，所以当前不是 upstream 回归问题
+- `huobao-drama-upstream` 现在支持 `HUOBAO_TEXT_* / HUOBAO_IMAGE_* / HUOBAO_VIDEO_*` 运行时覆盖数据库里的 AI 配置
+- 如果你要重新验证 upstream fresh 生成，优先给 huobao 进程补这些环境变量，再复跑即可
+
+推荐覆盖字段：
+
+- `HUOBAO_TEXT_PROVIDER / BASE_URL / API_KEY / MODELS`
+- `HUOBAO_IMAGE_PROVIDER / BASE_URL / API_KEY / MODELS`
+- `HUOBAO_VIDEO_PROVIDER / BASE_URL / API_KEY / MODELS`
+- 如需强制指定端点，还可补 `ENDPOINT / QUERY_ENDPOINT`
 
 ## 9. 当前已知卡点
 
 - 抖音 public 页面直抓会命中反爬挑战；生产接入仍需要 cookie 或人工页面采集协助
 - 小红书账号级内容源还未做真实平台验证
-- `huobao-drama-upstream` 代码已迁移完成，但 fresh 生成仍受外部 qnaigc 凭证 `403 invalid user` 阻塞
+- `huobao-drama-upstream` 代码已迁移完成，但 fresh 生成仍受外部图片/视频凭证 `403 invalid user` 阻塞

docs/MVP_STATUS_2026-03-18.md

@@ -45,10 +45,11 @@
 
 - 小红书账号级内容源还未做真实平台验证
 - `douyin` public 主页直抓会命中 `public_profile_anti_bot_challenge`；当前已验证手工 payload 导入、分析、相似账号搜索和对标关系可作为可用兜底路径
-- `huobao-upstream` 已能全量编译，但用旧配置副本做 fresh 生成时会被外部 qnaigc 返回 `403 invalid user`
+- `huobao-upstream` 已能全量编译；并且旧改版隔离实例也已重放确认，当前 fresh 生成被外部图片/视频凭证统一返回 `403 invalid user`
+- `huobao-upstream` 已新增 `HUOBAO_TEXT_* / HUOBAO_IMAGE_* / HUOBAO_VIDEO_*` 运行时覆盖能力，后续补新 key 可直接接管数据库配置
 
 ## 下一步优先级
 
-1. 更新 `huobao` 可用凭证后，再对 upstream 版补一轮完整 `drama -> images -> video` fresh smoke
+1. 更新 `huobao` 可用图片/视频凭证后，用新的 env 覆盖能力对 upstream 版补一轮完整 `drama -> images -> video` fresh smoke
 2. 补抖音真实账号的 cookie / 手工页面采集联调，以及小红书账号级验证
 3. 把 `collector` live 切换结果和部署回滚说明继续固化到仓库