feat(rich): 备注/工单说明/知识正文支持 Markdown 与图片附件

写一件事的时候，光有纯文本不够：要贴截图、要分段、要标重点。
这次把「正文」这条路补全，思路是**存 Markdown 而不是 HTML**——
能导出、能全文检索、能直接喂给 LLM，也不必每次渲染都重新清洗一遍 HTML。

后端
- attachment 表 + RLS + 迁移 0005；本地磁盘存储，key 由内容 sha256 决定，
  换对象存储只改 services/storage.py 一个文件
- 上传在**读流时**卡 20MB，不先落盘再判断；磁盘名由服务端生成，用户文件名只进库和响应头
- 列表带 attachment_count、详情带 attachments，避免一屏 N 次请求
- raw 直链给 <img src> 用（图片带不了 Authorization 头），只允许本工作区成员，
  非成员一律 8001 不区分「不存在」与「没权限」
- 5 个用例：上传下载、超限、跨租户、删除确认与权限、raw 鉴权

前端
- 自研零依赖 Markdown 渲染器：先转义再上标签，链接协议白名单
- RichTextEditor：工具栏 + Ctrl+B/I + 预览，粘贴或拖入图片自动上传并插入引用
- AttachmentPanel：上传/下载/删除，下载走带 Authorization 的 fetch 转 blob
- 任务备注、工单说明与验收结论、知识正文、评论全部接入

顺手修的
- TaskDetail.hydrate 漏了 setAttachments，导致附件面板永远是空的（e2e 抓到的）

71 passed；web tsc 0 错、构建 255.07 kB │ gzip 80.85 kB；
e2e：richtext 9 项 + smoke 7 + tickets 8 + knowledge 7，全绿。

backend/app/api/items.py

@@ -31,6 +31,7 @@ from ..models_task import Activity, Comment, Item, ItemTag, Tag
 from ..models_ticket import TicketExt
 from ..schemas import Pagination, encode_cursor, ok
 from ..serializers import item_out, tag_out, tags_of
+from .attachments import count_for_items, list_for_item
 
 router = APIRouter(prefix="/workspaces/{ws_id}/items", tags=["任务"])
 tag_router = APIRouter(prefix="/workspaces/{ws_id}/tags", tags=["标签"])
@@ -294,9 +295,13 @@ async def list_items(
             .all()
         )
         tags = await _tags_of(session, ctx.ws_id, [r.id for r in rows])
+        counts = await count_for_items(session, ctx.ws_id, [r.id for r in rows])
         return ok(
             {
-                "items": [_item_out(r, tags.get(r.id)) for r in rows],
+                "items": [
+                    dict(_item_out(r, tags.get(r.id)), attachment_count=counts.get(str(r.id), 0))
+                    for r in rows
+                ],
                 "next_cursor": None,
                 "has_more": False,
             }
@@ -325,9 +330,13 @@ async def list_items(
         encode_cursor(getattr(rows[-1], sort_attr), rows[-1].id) if has_more and rows else None
     )
     tags = await _tags_of(session, ctx.ws_id, [r.id for r in rows])
+    counts = await count_for_items(session, ctx.ws_id, [r.id for r in rows])
     return ok(
         {
-            "items": [_item_out(r, tags.get(r.id)) for r in rows],
+            "items": [
+                dict(_item_out(r, tags.get(r.id)), attachment_count=counts.get(str(r.id), 0))
+                for r in rows
+            ],
             "next_cursor": next_cursor,
             "has_more": has_more,
         }
@@ -405,6 +414,8 @@ async def get_item(item_id: uuid.UUID, ctx: MemberDep, session: SessionDep) -> d
         .all()
     )
     data = _item_out(item, tags.get(item.id))
+    data["attachments"] = await list_for_item(session, ctx.ws_id, item.id)
+    data["attachment_count"] = len(data["attachments"])
     data["activities"] = [
         {
             "id": str(a.id),