用途：这是 Dreamina Canvas 流程中的最终交付步骤。它从已完成节点读取 resourceId，确认资源已就绪，再下载到用户批准的目录，并给出可校验的 SHA-256。适用于：调用方已有完成节点、需要底层文件；上次下载中断需重新校验完整性；用户想在打开文件前查看媒体元数据（时长、尺寸、编码）。不适用于重新运行生成（应使用 dreamina-canvas-quote-and-run），也不处理用户上传文件，CLI 的 resource 系列仅支持读取与下载。
两步交付：
- 校验资源就绪并读取稳定信息： dreamina-canvas --format json resource get <resourceId> --project-id "$PROJECT_ID"
- 原子下载到用户批准目录： dreamina-canvas --format json resource download <resourceId> --project-id "$PROJECT_ID" --output "$USER_APPROVED_DIR"
下载通过临时文件加原子重命名写入，返回的是磁盘上文件的最终大小与 SHA-256，而非预估值，只应信任写入后的响应。
输出目录规则：目录必须由用户批准，技能不会自行创建；调用前目录须存在且可写；CLI 在 --output 内使用规范文件名，不保留原始远端文件名；下载是原子的，--output 中不会出现不完整文件。
限制：不持久化签名 URL、cookie、OAuth 令牌、storageId 或供应商任务 ID；不回显或记录响应体中的 signedUrl、downloadUrl、providerTaskId；不下载到用户未明确指定的目录；不从 node show 或操作状态输出之外推断 resourceId；不把预检 resource get 成功当作完成证明。
校验门槛：仅当退出码为 0、返回 byteCount 与 wc -c <path> 一致、返回 sha256 与 shasum -a 256 <path> 一致、媒体元数据与文件实际编码/尺寸一致（可用 ffprobe 抽查）时才算成功。任何不匹配都视为硬失败，文件被隔离（或按调用方意愿删除）并通知用户。调用前提：已安装 dreamina-canvas、已知小写 resourceId 与 projectId、有用户批准的输出目录。默认提示：下载后始终用字节数与 SHA-256 校验，只以写入后响应为准，绝不持久化签名 URL 或 storage ID。