用途：这是 meta-short-drama 发布最终视频前的内部机器审计门禁，不调用模型，也不联系任何媒体服务商，用于确认真实服务商产物、付费提交状态与媒体可解码性。
主要能力：解析规范脚本 script.txt，识别有效镜头及其内容时长；要求参考图、每个有效镜头图片与视频都有净化后的真实服务商回执，拒绝占位符、缺失服务商请求/任务 ID 及运行时回退替换；用 ffprobe 确认镜头 MP4 与最终 MP4 可解码且时长符合承诺。当 Seedance 因服务商政策拒绝某镜头时，仅保留 provider_policy_rejected 原因与白名单政策码，标记该镜头未生成并报告 VIDEO_POLICY_REJECTED，丢弃原始服务商文本、签名 URL、请求 ID 与密钥。
使用方式：入参包括 run_dir（运行时输出目录）、runtime.paid_submission_dispositions（父调度器给出的有界 JSON，只含静态步骤 ID 与固定处置值）、runtime.paid_submission_receipt_proofs（仅含静态步骤 ID 与本次运行捕获的 sha256:<hex> 回执摘要）以及 fallback_outputs（镜头号到回退步骤输出的映射）。父调度器为每个付费步骤提供唯一处置，仅接受 safe_no_submit、maybe_accepted、receipt。
输出：一个 JSON 判定，含 status（verified/degraded/blocked）、媒体来源、有效镜头、内容与最终时长、白名单服务商标识、逐资产付费提交处置、safe_no_submit_assets、may_have_been_billed、paid_submission_status_unknown_assets、unexpected_paid_assets、计费指引与有界问题码；原始提示、服务商响应、回退输出、签名 URL 与凭据不会输出。
限制与规则：处置不明确且无当前运行可证回执时保持 fail-closed，输出 PAID_SUBMISSION_STATUS_UNKNOWN 与资产名清单，提示先查服务商历史；陈旧或伪造的工作区 sidecar 仅报 RECEIPT_NOT_PROVEN_CURRENT_RUN，永不转为 confirmed；脚本中不存在的镜头证据报 UNEXPECTED_PAID_ASSET。最终时长预期为内容时长加固定 4 秒（2 秒标题加 2 秒片尾），容忍编码器时间戳微小差异。