feat(rich): 安卓能编辑富文本了，图片直链换成短期签名，表格不再撑破抽屉

三件欠账一次清：

1. 图片直链签名化
   - 新增 `backend/app/services/signing.py`：HMAC-SHA256，密钥由 `JWT_SECRET` 域分离派生
     （`attachment-raw-v1`），载荷 `workspace_id:attachment_id:exp`，默认 30 分钟
   - `/raw` 支持 `?exp=&sig=`，不需要登录态；签名里绑了工作区，跨租户链接直接拒
   - 附件对象多一个 `raw_url`，前端每次渲染现签，正文里只存不带凭据的 `/raw`
   - 保留旧 `?token=` 通道，给未升级的客户端过渡

2. 安卓富文本编辑器
   - `ui/RichTextEditorScreen.kt`：Markdown 工具栏（粗体/斜体/标题/列表/引用/代码/链接/图片），
     选区包裹与行首前缀都按光标位置来；贴图走附件接口，插入签名直链
   - 预览用 Markwon，图片用 Coil；正文落在一张白纸卡片里，不再贴屏幕边
   - 从任务详情与知识点都能进，保存按 `body_md` 回写（PATCH 带 version）

3. 表格
   - 只读渲染走 markdown-it 的 GFM 表，`display:block + overflow-x:auto`：
     宽表横向滚动、窄表铺满，都不撑破抽屉

验证：pytest 74 passed；richtext 15 / smoke 7 / tickets 8 / knowledge 7 全绿；
tsc -b 0 错；vite build 通过（主包 299.42 kB / gzip 74.96 kB）；
安卓 assembleDebug 成功并在 API 35 模拟器走通编辑与预览。

仍欠：保存后回列表而非回详情抽屉、图片压缩与缩略图、HTML 片段按文本显示。

web/src/lib/attachmentUrls.ts

@@ -1,39 +1,45 @@
 /**
- * 附件直链的令牌处理。
+ * 附件直链的地址处理。
  *
- * 库里存的 Markdown 必须是"干净"的：只记 `/api/v1/.../attachments/<id>/raw`。
- * 原因有两条——
- *  1. `<img>` 发不出 Authorization 头，图片只能靠 query 里的 token 鉴权；
- *  2. token 会过期。要是把它写进正文，几天后整篇文档的图片全变红叉，
- *     而且团队里每个人拿到的 token 还不一样，同一个字段没法共用。
+ * 库里存的 Markdown 必须是"干净"的：只记 `/api/v1/.../attachments/<id>/raw`，不带任何查询串。
+ * 原因有三条——
+ *  1. `<img>` 发不出 Authorization 头，图片只能靠 URL 自身携带凭据；
+ *  2. 凭据会过期（令牌 30 分钟、签名也是 30 分钟），写进正文就会几天后满篇红叉；
+ *  3. 同一个字段在团队里要能共用，而每个人的令牌不一样。
  *
- * 所以规则是：**存的时候剥掉，看的时候现加**。token 永远是当前会话的。
+ * 所以规则是：**存的时候剥干净，看的时候现配**。
+ * 优先用后端在附件列表里签好的 `raw_url`（短期签名，别人拿到也只能看这一张图的一小会儿），
+ * 没拿到签名时才退回令牌（兼容老链接，前端已不再主动生成）。
  */
 
 import { session } from "./client";
 
 const UUID = "[0-9a-fA-F-]{36}";
-/** 已经带上（或没带）token 的附件直链 */
-const RAW_URL = new RegExp(`(/api/v1/workspaces/${UUID}/attachments/${UUID}/raw)(?:\\?token=[^)\"'\\s]*)?`, "g");
+/** 附件直链：可能带 token 或 exp/sig，全部视为"要替换的查询串" */
+const RAW_URL = new RegExp(`(/api/v1/workspaces/${UUID}/attachments/(${UUID})/raw)(?:\\?[^)"'\\s]*)?`, "g");
+
+/** 附件 id → 可访问地址（后端签发的 raw_url） */
+export type UrlResources = Record<string, string>;
 
 function tokenSuffix(): string {
   const token = session.access;
   return token ? `?token=${encodeURIComponent(token)}` : "";
 }
 
-/** 保存前调用：把正文里所有 /raw?token=... 的令牌去掉。 */
+/** 保存前调用：把正文里所有直链的查询串去掉。 */
 export function stripAttachmentTokens(source: string): string {
   return (source ?? "").replace(RAW_URL, (_all, url: string) => url);
 }
 
-/** 渲染或加载进编辑器前调用：给所有 /raw 链接补上当前令牌。 */
-export function tokenizeAttachmentUrls(source: string): string {
-  const suffix = tokenSuffix();
-  if (!suffix) return stripAttachmentTokens(source);
-  return (source ?? "").replace(RAW_URL, (_all, url: string) => `${url}${suffix}`);
+/** 渲染 / 装载前调用：按附件 id 换成当前可用的地址。 */
+export function applyAttachmentUrls(source: string, resources?: UrlResources): string {
+  const fallback = tokenSuffix();
+  return (source ?? "").replace(RAW_URL, (_all, url: string, _ws: string, id: string) => {
+    const signed = resources?.[id];
+    if (signed) return signed;
+    return fallback ? `${url}${fallback}` : url;
+  });
 }
 
-/** 只处理 HTML 里的 img/src 与 a/href（已渲染的预览用）。 */
-export function tokenizeAttachmentHtml(html: string): string {
-  return tokenizeAttachmentUrls(html);
-}
+/** 兼容旧名字：只处理 HTML（已渲染的预览用），逻辑同 applyAttachmentUrls。 */
+export const tokenizeAttachmentHtml = applyAttachmentUrls;