feat: 新增视频床与文件床，视频支持 HLS 转码

文件床
- 新增 files/ 存储前缀与 media_type 索引列，图片、视频、文件三类资源独立
- 新增文件上传、列表、删除、批量删除接口，禁止 html/htm/svg
- 支持公开直链与 Token 访问两种模式，后台可切换，直链强制附件下载

视频床
- 新增 videos/ 存储前缀与视频上传接口，单文件上限 500MB
- 接入 ffmpeg 转码队列，并发数与单任务核心数可配，默认串行
- 五档转码质量：直接封装 / 速度 / 平衡 / 质量 / 压缩（压缩档可调码率比例）
- 码率控制避免转码后体积反超源文件，音频跟随源音轨不放大不压缩
- 转码进度实时上报，成功后删除源文件，失败时保留源文件与可用链接
- 上传时自动抽帧生成封面，视频与封面各有独立链接
- 删除视频时中断转码并清理切片、封面与源文件

媒体库
- 图库、视频库、文件库三套独立统计，含趋势、占用与来源分布
- 统一筛选、多选、批量删除、批量标签、网格/列表切换，显示方式按类型分别记忆
- 视频详情对齐图片详情，视频库支持在线播放（hls.js，兼容回退原文件）

修复
- 清理无主的切片、封面与开发期遗留的 ffmpeg 进程
- 源文件按设计删除后，索引不再被启动孤儿清理误删
- 视频统计口径与列表一致，转码中的视频不计入统计
- 转码失败时回收已写入的部分切片，避免残留
- 设置页停用检查更新（与上游版本号已不对应）

其他
- Docker 镜像安装 ffmpeg
- git remote 指向内网仓库

app/pages/settings/index.vue

@@ -61,6 +61,7 @@ interface SettingsResponse {
   loginRateWindowMinutesSource: PolicySource
   preserveOriginalUpload: boolean
   preserveOriginalUploadSource: PolicySource
+  fileBedAccess: 'public' | 'token'
   mimeTypeOptions: ReadonlyArray<{ mime: MimeType, label: string }>
 }
 
@@ -171,6 +172,20 @@ const uploadRateWindowMinutesDraft = ref(15)
 const loginRateMaxDraft = ref(10)
 const loginRateWindowMinutesDraft = ref(15)
 const preserveOriginalUploadDraft = ref(false)
+const fileBedAccessDraft = ref<'public' | 'token'>('public')
+
+const fileBedAccessOptions = computed(() => [
+  {
+    value: 'public',
+    label: t('settings.fileBedPublic'),
+    description: t('settings.fileBedPublicHint')
+  },
+  {
+    value: 'token',
+    label: t('settings.fileBedToken'),
+    description: t('settings.fileBedTokenHint')
+  }
+])
 
 interface ReleaseCheckResponse {
   currentVersion: string
@@ -207,6 +222,7 @@ const hasServerChanges = computed(() => {
     || loginRateMaxDraft.value !== settings.value.loginRateMax
     || loginRateWindowMinutesDraft.value !== settings.value.loginRateWindowMinutes
     || preserveOriginalUploadDraft.value !== settings.value.preserveOriginalUpload
+    || fileBedAccessDraft.value !== settings.value.fileBedAccess
 })
 
 const domainSeparationWouldActivate = computed(() =>
@@ -270,6 +286,7 @@ function applySettings(data: SettingsResponse) {
   loginRateMaxDraft.value = data.loginRateMax
   loginRateWindowMinutesDraft.value = data.loginRateWindowMinutes
   preserveOriginalUploadDraft.value = data.preserveOriginalUpload
+  fileBedAccessDraft.value = data.fileBedAccess
 }
 
 async function patchSettings(body: Record<string, unknown>) {
@@ -370,7 +387,8 @@ async function performSaveServerSettings() {
       uploadRateWindowMinutes: uploadRateWindowMinutesDraft.value,
       loginRateMax: loginRateMaxDraft.value,
       loginRateWindowMinutes: loginRateWindowMinutesDraft.value,
-      preserveOriginalUpload: preserveOriginalUploadDraft.value
+      preserveOriginalUpload: preserveOriginalUploadDraft.value,
+      fileBedAccess: fileBedAccessDraft.value
     })
     toast.add({ title: t('settings.saved'), color: 'success' })
   } catch (error: unknown) {
@@ -923,6 +941,18 @@ watch(isAdmin, () => {
                     </div>
                   </SettingsPlainSection>
 
+                  <SettingsSection
+                    :title="t('settings.fileBed')"
+                    :hint="t('settings.fileBedHint')"
+                  >
+                    <SettingsGroup>
+                      <SettingsRadioGroup
+                        v-model="fileBedAccessDraft"
+                        :items="fileBedAccessOptions"
+                      />
+                    </SettingsGroup>
+                  </SettingsSection>
+
                   <SettingsSection
                     :title="t('settings.loginVerification')"
                     :hint="t('settings.loginVerificationHint')"