feat(rich): 安卓能编辑富文本了，图片直链换成短期签名，表格不再撑破抽屉

三件欠账一次清：

1. 图片直链签名化
   - 新增 `backend/app/services/signing.py`：HMAC-SHA256，密钥由 `JWT_SECRET` 域分离派生
     （`attachment-raw-v1`），载荷 `workspace_id:attachment_id:exp`，默认 30 分钟
   - `/raw` 支持 `?exp=&sig=`，不需要登录态；签名里绑了工作区，跨租户链接直接拒
   - 附件对象多一个 `raw_url`，前端每次渲染现签，正文里只存不带凭据的 `/raw`
   - 保留旧 `?token=` 通道，给未升级的客户端过渡

2. 安卓富文本编辑器
   - `ui/RichTextEditorScreen.kt`：Markdown 工具栏（粗体/斜体/标题/列表/引用/代码/链接/图片），
     选区包裹与行首前缀都按光标位置来；贴图走附件接口，插入签名直链
   - 预览用 Markwon，图片用 Coil；正文落在一张白纸卡片里，不再贴屏幕边
   - 从任务详情与知识点都能进，保存按 `body_md` 回写（PATCH 带 version）

3. 表格
   - 只读渲染走 markdown-it 的 GFM 表，`display:block + overflow-x:auto`：
     宽表横向滚动、窄表铺满，都不撑破抽屉

验证：pytest 74 passed；richtext 15 / smoke 7 / tickets 8 / knowledge 7 全绿；
tsc -b 0 错；vite build 通过（主包 299.42 kB / gzip 74.96 kB）；
安卓 assembleDebug 成功并在 API 35 模拟器走通编辑与预览。

仍欠：保存后回列表而非回详情抽屉、图片压缩与缩略图、HTML 片段按文本显示。

web/src/lib/markdown.ts

@@ -12,7 +12,7 @@
 import DOMPurify from "dompurify";
 import MarkdownIt from "markdown-it";
 
-import { tokenizeAttachmentHtml } from "./attachmentUrls";
+import { applyAttachmentUrls, type UrlResources } from "./attachmentUrls";
 
 const md = new MarkdownIt({
   html: false, // 不解析原始 HTML
@@ -55,13 +55,13 @@ md.renderer.rules.image = (tokens, idx, options, env, self) => {
 };
 
 /** 渲染成可直接塞进 innerHTML 的安全 HTML。 */
-export function renderMarkdown(source: string): string {
+export function renderMarkdown(source: string, resources?: UrlResources): string {
   const safe = DOMPurify.sanitize(md.render(source ?? ""), {
     // 图片走我们自己的 /raw 直链；data: 只放行图片，别的都去掉
     ALLOWED_URI_REGEXP: /^(?:(?:https?|mailto):|\/|#|data:image\/)/i,
   });
-  // 库里存的是不带令牌的直链，渲染这一层再补上（见 lib/attachmentUrls.ts）
-  return tokenizeAttachmentHtml(safe);
+  // 库里存的是干净的直链，渲染这一层按附件列表换成带签名的地址（见 lib/attachmentUrls.ts）
+  return applyAttachmentUrls(safe, resources);
 }
 
 /** 纯文本摘要，用于列表里的一行预览（去掉标记符号，压缩空白）。 */