feat(rich): 安卓能编辑富文本了，图片直链换成短期签名，表格不再撑破抽屉

三件欠账一次清：

1. 图片直链签名化
   - 新增 `backend/app/services/signing.py`：HMAC-SHA256，密钥由 `JWT_SECRET` 域分离派生
     （`attachment-raw-v1`），载荷 `workspace_id:attachment_id:exp`，默认 30 分钟
   - `/raw` 支持 `?exp=&sig=`，不需要登录态；签名里绑了工作区，跨租户链接直接拒
   - 附件对象多一个 `raw_url`，前端每次渲染现签，正文里只存不带凭据的 `/raw`
   - 保留旧 `?token=` 通道，给未升级的客户端过渡

2. 安卓富文本编辑器
   - `ui/RichTextEditorScreen.kt`：Markdown 工具栏（粗体/斜体/标题/列表/引用/代码/链接/图片），
     选区包裹与行首前缀都按光标位置来；贴图走附件接口，插入签名直链
   - 预览用 Markwon，图片用 Coil；正文落在一张白纸卡片里，不再贴屏幕边
   - 从任务详情与知识点都能进，保存按 `body_md` 回写（PATCH 带 version）

3. 表格
   - 只读渲染走 markdown-it 的 GFM 表，`display:block + overflow-x:auto`：
     宽表横向滚动、窄表铺满，都不撑破抽屉

验证：pytest 74 passed；richtext 15 / smoke 7 / tickets 8 / knowledge 7 全绿；
tsc -b 0 错；vite build 通过（主包 299.42 kB / gzip 74.96 kB）；
安卓 assembleDebug 成功并在 API 35 模拟器走通编辑与预览。

仍欠：保存后回列表而非回详情抽屉、图片压缩与缩略图、HTML 片段按文本显示。

web/e2e/richtext.mjs

@@ -3,8 +3,8 @@
  *
  * 走真浏览器而不是只测接口，因为要验的正是四件"只有真渲染才看得见"的事：
  *  1. 输 `**粗体**` 之后编辑器里真的变成了 <strong>（IR 模式的输入规则生效）；
- *  2. 上传的图片在编辑器里能显示（说明 /raw 直链带对了令牌）；
- *  3. 存进库的正文是**干净**的（不含 ?token=），否则几天后满篇红叉；
+ *  2. 上传的图片在编辑器里能显示（说明 /raw 直链带对了签名）；
+ *  3. 存进库的正文是**干净**的（不含 ?exp=/?sig=），否则几天后满篇红叉；
  *  4. 重新打开抽屉，正文与附件都还在（证明落库而不是活在内存）。
  */
 import { chromium } from "playwright-core";
@@ -123,7 +123,8 @@ try {
   const saved = await call("GET", `/workspaces/${ws.id}/items/${item.id}`, null, token);
   const body = String(saved.body_md ?? "");
   check("正文已落库", body.includes("必须") && body.includes("财务口径"), body.slice(0, 40));
-  check("落库正文不含令牌", !body.includes("token="), body.includes("token=") ? "含 token=" : "");
+  const leaked = ["token=", "exp=", "sig="].filter((needle) => body.includes(needle));
+  check("落库正文不含凭据（token/exp/sig）", leaked.length === 0, leaked.join(","));
 
   // —— 3. 编辑器插入图片（走的是粘贴/拖拽同一段上传逻辑）——
   const uploadInput = drawer.locator('.vditor input[type="file"]');
@@ -134,7 +135,11 @@ try {
   await img.waitFor({ timeout: 10000 });
   const src = (await img.getAttribute("src")) ?? "";
   check("上传后编辑器里出现图片", Boolean(src), src.slice(0, 60));
-  check("图片走带令牌的 /raw 直链", src.includes("/raw?token="), src.slice(0, 60));
+  check(
+    "图片走带签名的 /raw 直链",
+    src.includes("/raw?") && (src.includes("sig=") || src.includes("token=")),
+    src.slice(0, 80),
+  );
   await page.waitForTimeout(800);
   check("图片资源能取到（/raw 返回 200）", rawHits.includes(200), rawHits.join(","));
 
@@ -164,6 +169,24 @@ try {
   }
   check("重新打开后附件仍在", stillThere);
 
+  // —— 6. 只读渲染里的表格：宽表能横向滚动，不被挤成一坨 ——
+  const tableMd = [
+    "| 项目 | 金额 | 说明 |",
+    "| --- | --- | --- |",
+    "| 打印费 | 12.00 | 电子发票 |",
+    "| 快递费 | 23.50 | 到付 |",
+  ].join("\n");
+  await call("POST", `/workspaces/${ws.id}/items/${item.id}/comments`, { body_md: tableMd }, token);
+  await drawer2.getByRole("button", { name: "关闭" }).click();
+  await page.getByRole("button", { name: "整理发票原件", exact: true }).click();
+  const drawer3 = page.getByRole("dialog");
+  await drawer3.waitFor();
+  const table = drawer3.locator(".prose-dadao table").first();
+  await table.waitFor({ timeout: 10000 });
+  check("评论区表格渲染出来了", (await drawer3.locator(".prose-dadao td").count()) >= 4);
+  const box = await table.boundingBox();
+  check("表格没有撑破抽屉宽度", box !== null && box.width <= 900, `${box?.width ?? "无"} px`);
+
   const realProblems = problems.filter((p) => !p.includes("favicon"));
   check("控制台与网络无报错", realProblems.length === 0, realProblems.slice(0, 3).join(" | "));
 } catch (err) {