feat: 新增视频床与文件床，视频支持 HLS 转码

文件床
- 新增 files/ 存储前缀与 media_type 索引列，图片、视频、文件三类资源独立
- 新增文件上传、列表、删除、批量删除接口，禁止 html/htm/svg
- 支持公开直链与 Token 访问两种模式，后台可切换，直链强制附件下载

视频床
- 新增 videos/ 存储前缀与视频上传接口，单文件上限 500MB
- 接入 ffmpeg 转码队列，并发数与单任务核心数可配，默认串行
- 五档转码质量：直接封装 / 速度 / 平衡 / 质量 / 压缩（压缩档可调码率比例）
- 码率控制避免转码后体积反超源文件，音频跟随源音轨不放大不压缩
- 转码进度实时上报，成功后删除源文件，失败时保留源文件与可用链接
- 上传时自动抽帧生成封面，视频与封面各有独立链接
- 删除视频时中断转码并清理切片、封面与源文件

媒体库
- 图库、视频库、文件库三套独立统计，含趋势、占用与来源分布
- 统一筛选、多选、批量删除、批量标签、网格/列表切换，显示方式按类型分别记忆
- 视频详情对齐图片详情，视频库支持在线播放（hls.js，兼容回退原文件）

修复
- 清理无主的切片、封面与开发期遗留的 ffmpeg 进程
- 源文件按设计删除后，索引不再被启动孤儿清理误删
- 视频统计口径与列表一致，转码中的视频不计入统计
- 转码失败时回收已写入的部分切片，避免残留
- 设置页停用检查更新（与上游版本号已不对应）

其他
- Docker 镜像安装 ffmpeg
- git remote 指向内网仓库

server/utils/serve-image.ts

@@ -1,14 +1,26 @@
 import type { H3Event } from 'h3'
-import { IMAGE_CACHE_CONTROL } from './constants'
+import {
+  FILE_CACHE_CONTROL,
+  FILE_PRIVATE_CACHE_CONTROL,
+  IMAGE_CACHE_CONTROL
+} from './constants'
 import {
   getAllowedRefererHostsRaw,
+  getFileBedAccessMode,
   getImageBaseUrlConfigured,
   getSiteBaseUrlConfigured,
   hostnameFromBaseUrl,
   isRefererConfigured
 } from './env'
+import { isFileAccessAuthorized } from './access'
+import { buildAttachmentDisposition } from './file-bed'
 import { findImageKeyByDatePath, findImageKeyByFilename } from './image-index'
-import { validateImageKey } from './image-key'
+import {
+  validateFileKey,
+  validateImageKey,
+  validateStorageKey,
+  validateVideoKey
+} from './image-key'
 import { isBareImageFilename, toStorageKeyFromPublicPath } from './image-public-path'
 import { buildPublicImageUrl } from './image-response'
 import { createImageStream, headImage } from './storage'
@@ -90,7 +102,7 @@ export function requestPathToImageKey(
   const raw = decodeURIComponent(pathname).replace(/^\/+/, '')
   if (!raw) return null
 
-  if (validateImageKey(raw)) return raw
+  if (validateStorageKey(raw)) return raw
 
   // 简短链接：纯文件名须先走索引反查，不能猜成 images/文件名（与按年/月存储冲突）
   if (options?.hideFolder && isBareImageFilename(raw)) {
@@ -114,6 +126,12 @@ export function requestPathToImageKey(
 }
 
 export async function serveImageByKey(event: H3Event, key: string) {
+  const isFile = validateFileKey(key)
+  const isVideo = validateVideoKey(key)
+  // 文件与视频共用「文件床访问方式」开关
+  const isMedia = isFile || isVideo
+  const fileAccessMode = isMedia ? getFileBedAccessMode() : 'public'
+
   const referer = getHeader(event, 'referer') ?? null
   if (isHotlinkBlocked(event, referer)) {
     setHeader(event, 'Cache-Control', ERROR_CACHE_CONTROL)
@@ -123,6 +141,12 @@ export async function serveImageByKey(event: H3Event, key: string) {
     })
   }
 
+  // Token 模式：文件直链需要 Auth-Token / ?token= / 已登录会话
+  if (isMedia && fileAccessMode === 'token' && !(await isFileAccessAuthorized(event))) {
+    setHeader(event, 'Cache-Control', ERROR_CACHE_CONTROL)
+    throw createError({ statusCode: 401, statusMessage: 'Unauthorized' })
+  }
+
   const stored = await headImage(key)
   if (!stored) {
     setHeader(event, 'Cache-Control', ERROR_CACHE_CONTROL)
@@ -130,7 +154,12 @@ export async function serveImageByKey(event: H3Event, key: string) {
   }
 
   const backendRow = await getBackendRowForKey(key)
-  if (backendRow.serving_mode === 'public' && backendRow.public_url) {
+  // Token 模式不做对象存储直链跳转，避免绕过鉴权
+  if (
+    fileAccessMode === 'public'
+    && backendRow.serving_mode === 'public'
+    && backendRow.public_url
+  ) {
     const publicUrl = buildPublicImageUrl(backendRow, key)
     return sendRedirect(event, publicUrl, 302)
   }
@@ -138,11 +167,27 @@ export async function serveImageByKey(event: H3Event, key: string) {
   const etag = `"${stored.size}-${Math.round(stored.mtimeMs)}"`
 
   setHeader(event, 'ETag', etag)
-  setHeader(event, 'Cache-Control', IMAGE_CACHE_CONTROL)
+  setHeader(
+    event,
+    'Cache-Control',
+    isMedia
+      ? (fileAccessMode === 'token' ? FILE_PRIVATE_CACHE_CONTROL : FILE_CACHE_CONTROL)
+      : IMAGE_CACHE_CONTROL
+  )
   setHeader(event, 'Accept-Ranges', 'bytes')
   setHeader(event, 'X-Content-Type-Options', 'nosniff')
   setHeader(event, 'Content-Type', stored.contentType)
 
+  // 文件床统一以附件形式下发，避免上传的文档在站点域名下被渲染执行
+  if (isFile) {
+    setHeader(event, 'Content-Disposition', buildAttachmentDisposition(stored.originalName))
+  }
+
+  // 视频走 inline 播放，跨域（图片域名）访问需要放行 CORS
+  if (isVideo) {
+    setHeader(event, 'Access-Control-Allow-Origin', '*')
+  }
+
   if (stored.contentType === 'image/svg+xml') {
     setHeader(
       event,