修复V4来源附件URL展示脱敏

docs/project/requirements/M002-v4-order-task-card-domain-model-cp2.md

@@ -560,6 +560,8 @@ GET /api/reservation/order-tasks/{orderTaskId}
 
 来源邮件摘要必须按当前查询酒店过滤。如果 V4 订单任务因脏引用指向了其它酒店的 SourceMessage，详情接口只能返回该 `source_message_id` 的空摘要占位，不得透出对方酒店的主题、外部消息 ID、发件人或会话信息。
 
+前端 V4 来源消息卡只展示来源邮件安全摘要、邮件片段和附件名称 / 类型 / 大小等非 URL 摘要；如果 `source_message_card.display_payload` 中的 `attachments`、`uploaded_media` 或 `file_references` 异常包含直接 URL 字符串，前端必须兜底显示为未命名附件或隐藏，不能在普通业务页面渲染具体 URL。
+
 ### 12.4 S10/S99 来源通知详情
 
 ```text
@@ -584,6 +586,7 @@ GET /api/reservation/source-notifications/{notificationId}
 - 只用于 S10/S99 来源通知详情页。
 - 不返回 `order_task`、`bound_order`、`basic_information_card` 或 `business_cards`。
 - 邮件正文、附件 URL 和会话原文读取仍按 SourceMessage 权限和原文读取审计规则处理。
+- 来源通知详情页复用 V4 来源消息卡展示规则：普通页面只显示安全摘要和附件名称；附件 URL、完整正文和 HTML 只允许通过 SourceMessage 会话详情权限链路查看。
 
 ### 12.5 订单详情时间线