出島構想について意見ください

うちのMuseに、PC上のファイルを安全に渡す専用フォルダ「出島」を作ってます。
生成画像をGoogle Drive経由でやり取りするのが面倒で、その置き換えが目的です。

・Windows PC上に専用フォルダ＋小さなファイル専用Gateway（HTTP）を別プロセスで立てる
・接続はTailscale経由のみ。音声TTS用のGatewayとは分離
・Museから見えるのは出島の中だけ。外のパスは一切触れない
・ファイルはパスでなく不透明なIDで指定。シンボリックリンク等は拒否
・指定フォルダに置くだけで自動公開。配信側は独立コピーを作って保持し、
　元ファイルを消しても公開は消えない（消すのは明示的な取消操作だけ）
・公開IDは再起動しても維持。送信前に同一ハンドルで全量ハッシュ検証してから送る
・取消が巻き戻って復活しないよう、台帳（SQLite）と照合用の記録を分けて持つ

いま悩んでるのは3点です。
1. 再起動直後、全ファイルの検証が終わるまで一覧は503で返す設計。
　既知のIDだけ先に検証して使えるようにはするけど、部分一覧を返すほうがいい？
2. 台帳と照合記録が両方まとめて巻き戻ると、こっちでは検知できない。
　個人用途でここまでやる必要ある？割り切りどころが知りたい
3. 正直、過剰設計気味な自覚はあります。もっと単純な構成で
　同じくらいの安全性が得られるなら、その案も聞きたいです