feat(rich): 备注/工单说明/知识正文支持 Markdown 与图片附件

写一件事的时候，光有纯文本不够：要贴截图、要分段、要标重点。
这次把「正文」这条路补全，思路是**存 Markdown 而不是 HTML**——
能导出、能全文检索、能直接喂给 LLM，也不必每次渲染都重新清洗一遍 HTML。

后端
- attachment 表 + RLS + 迁移 0005；本地磁盘存储，key 由内容 sha256 决定，
  换对象存储只改 services/storage.py 一个文件
- 上传在**读流时**卡 20MB，不先落盘再判断；磁盘名由服务端生成，用户文件名只进库和响应头
- 列表带 attachment_count、详情带 attachments，避免一屏 N 次请求
- raw 直链给 <img src> 用（图片带不了 Authorization 头），只允许本工作区成员，
  非成员一律 8001 不区分「不存在」与「没权限」
- 5 个用例：上传下载、超限、跨租户、删除确认与权限、raw 鉴权

前端
- 自研零依赖 Markdown 渲染器：先转义再上标签，链接协议白名单
- RichTextEditor：工具栏 + Ctrl+B/I + 预览，粘贴或拖入图片自动上传并插入引用
- AttachmentPanel：上传/下载/删除，下载走带 Authorization 的 fetch 转 blob
- 任务备注、工单说明与验收结论、知识正文、评论全部接入

顺手修的
- TaskDetail.hydrate 漏了 setAttachments，导致附件面板永远是空的（e2e 抓到的）

71 passed；web tsc 0 错、构建 255.07 kB │ gzip 80.85 kB；
e2e：richtext 9 项 + smoke 7 + tickets 8 + knowledge 7，全绿。

backend/app/services/storage.py

@@ -0,0 +1,72 @@
+"""本地文件存储。
+
+M0/M1 用本地磁盘就够：单机、量小、备份简单。要做 SaaS 多副本时换成对象存储，
+只需要换掉本模块的三个函数（写入 / 读取路径 / 删除），API 层不用动。
+
+安全约定：
+- 磁盘路径完全由服务端生成（租户 + 条目 + 随机文件名），**不使用用户提供的文件名**，
+  否则 `../../` 之类可以直接逃出上传目录。
+- 原始文件名只存库、只出现在下载响应头里。
+"""
+
+from __future__ import annotations
+
+import contextlib
+import hashlib
+import uuid
+from dataclasses import dataclass
+from pathlib import Path
+
+from app.config import get_settings
+
+
+@dataclass(frozen=True)
+class Stored:
+    key: str
+    size: int
+    sha256: str
+
+
+def root() -> Path:
+    path = Path(get_settings().upload_dir)
+    path.mkdir(parents=True, exist_ok=True)
+    return path
+
+
+def path_of(key: str) -> Path:
+    """key 由服务端生成，这里仍做一次越界校验——防御的是库被写脏。"""
+    base = root().resolve()
+    target = (base / key).resolve()
+    if base not in target.parents:
+        raise ValueError("storage key escapes upload root")
+    return target
+
+
+def save(stream, *, workspace_id: uuid.UUID, item_id: uuid.UUID) -> Stored:
+    """把文件流写进磁盘，返回 key / 大小 / 摘要。
+
+    `stream` 是同步的二进制可读对象；调用方用 `run_in_threadpool` 包一层，
+    避免大文件读写卡住事件循环。
+    """
+    key = f"{workspace_id}/{item_id}/{uuid.uuid4().hex}"
+    target = path_of(key)
+    target.parent.mkdir(parents=True, exist_ok=True)
+
+    digest = hashlib.sha256()
+    size = 0
+    with target.open("wb") as out:
+        while True:
+            chunk = stream.read(1024 * 256)
+            if not chunk:
+                break
+            digest.update(chunk)
+            size += len(chunk)
+            out.write(chunk)
+    return Stored(key=key, size=size, sha256=digest.hexdigest())
+
+
+def remove(key: str) -> None:
+    # 删文件时"文件已经不在了"和"key 格式不对"都不算错误：
+    # 前者是重复删除，后者是库里有脏数据，都只能靠日志发现问题，不该让请求失败。
+    with contextlib.suppress(FileNotFoundError, ValueError):
+        path_of(key).unlink()