feat(storage): COS presigned PUT URL endpoint for direct upload

POST /uploads/presign：场景/类型/大小三重校验 + 可审计 object_key 布局 +
SDK 隔离在 CosSigner Protocol 后（FR-SYS-03，T-P1-27）。

实现：packages/storage/schemas.py（PresignRequest/PresignResponse）、
packages/storage/service.py（CosSigner Protocol / QcloudCosSigner /
StorageService.build_presign，bucket 四别名映射到 cos_bucket_*，
object_key 写死 {scene}/{user_id}/{yyyyMMdd}/{uuid4hex}.{ext}）、
apps/api/routers/uploads.py（POST /presign，CurrentUserId 认证 + ok 信封）。

测试：tests/unit/test_upload_presign.py 16 例全部经 FakeSigner 注入，
零网络、零 SDK client 构造；覆盖 key 布局逐段断言、三重校验统一 40010、
bucket 别名映射、白名单字符串解析（空串/空格容错）、配置错误分支、
schema 层 size>=1。门禁全绿：ruff check/format、mypy（宽松 48 文件 +
domain strict 7 文件）、lint-imports 4 契约、pytest 185 passed
（基线 169 + 新增 16）。

偏差说明：
1) SDK 实际无 qcloud_cos.method 模块，Method 按官方文档传字符串 "PUT"；
   get_presigned_url 参数名为 Expired（非任务文档写的 Expire）；配置类
   导出名为 CosConfig（非 CosS3Config）。按文档 §3 "以实际 SDK 签名为准"
   处理，已用假密钥端到端冒烟验证（纯本地签名计算，零网络）。
2) build_presign 增加可选 keyword-only 参数 now（默认 None=当前 UTC），
   供单测注入固定时钟（对齐 DailyBudgetGuard 的 clock 注入惯例），
   不改变文档签名的调用兼容性。
3) 两处防御分支文档未规定，均配了单测：场景 bucket 别名非法报
   CONFIG_ERROR 而非 40010（配置错误不应让客户端背 4xx）；COS 密钥为空
   在 SDK 构造前报 CONFIG_ERROR，避免未处理的裸 500。

apps/api/routers/uploads.py

@@ -1,10 +1,27 @@
-"""``POST /uploads/presign`` — COS 直传预签名（骨架，T5 填充实现）。
+"""``POST /uploads/presign`` — COS 直传预签名（FR-SYS-03 / T-P1-27）。
 
-FR-SYS-03：图片不经应用服务器；实现契约见 docs/开发任务包/T5-上传预签名.md。
+图片不经应用服务器：本接口只做场景/类型/大小校验并签发 PUT 预签名 URL，
+字节流由客户端直传 COS。真实联调需在 `.env` 配 COS 四件套
+（COS_REGION / COS_SECRET_ID / COS_SECRET_KEY + 场景桶配置
+UPLOAD_SCENES_JSON）；本地单测注入 FakeSigner，不依赖任何真实 COS。
 """
 
 from __future__ import annotations
 
 from fastapi import APIRouter
 
+from apps.api.deps import CurrentUserId, StorageServiceDep
+from packages.shared.response import ok
+from packages.storage.schemas import PresignRequest
+
 router = APIRouter(prefix="/uploads", tags=["uploads"])
+
+
+@router.post("/presign", summary="签发图片直传 COS 的 PUT 预签名 URL")
+async def presign_upload(
+    user_id: CurrentUserId,
+    storage: StorageServiceDep,
+    request: PresignRequest,
+) -> dict[str, object]:
+    presigned = storage.build_presign(user_id=user_id, request=request)
+    return ok(presigned.model_dump())