feat(uploads): 本地磁盘直传（COS 降级路线）+ 报告照片存在性校验

- POST /uploads/direct：原始字节 body + Content-Type 申报 + scene query（默认 report_photo），场景/类型/大小三重校验复用 storage 既有规则，落盘 var/uploads/<scene>/<user_id>/<uuid>.<ext>（config 新增 upload_dir），key 布局与 COS 同构；不加 python-multipart 依赖
- storage/local.py：save_direct_upload + require_local_upload（resolve 归并 + is_relative_to 归属收敛 + 存在性校验，越界/模拟/不存在一律 404）
- report/service.create_report：资格校验后、配额预扣前插入照片存在性校验（模拟 key 被拦且不消耗额度；regenerate 复用已验 photo_meta 不复核）
- 测试：test_upload_direct 14 单测 + test_upload_direct_flow 4 集成（真 key 全链路/假 key 404 零流水/401/40010）

偏差说明：test_report_flow._create_report 改走 /uploads/direct 拿真 key（存在性校验必然封死假 key），40920 与幂等重放两条断言语义未动。

packages/report/service.py

@@ -22,6 +22,7 @@ from packages.shared.config import Settings
 from packages.shared.errors import AppError, ErrorCode, ForbiddenError
 from packages.shared.logging import get_logger
 from packages.shared.models import RpInput, RpReport, Task
+from packages.storage.local import require_local_upload
 from packages.task import repo as task_repo
 from packages.task.service import TaskService
 
@@ -101,6 +102,14 @@ class ReportService:
         if await repo.find_succeeded_basic(self._session, user_id=user_id) is not None:
             raise AppError(ErrorCode.REPORT_ALREADY_EXISTS)
 
+        # 照片存在性校验（本地磁盘降级路线）：key 必须落在
+        # upload_dir/report_photo/<本人>/ 下且文件真实存在——模拟 key 与越界
+        # key 一律 404。校验在配额预扣之前，不合格的照片不消耗额度。
+        # regenerate 不复核：它复用的是上一版已验过的 photo_meta（T-P3-09）。
+        require_local_upload(
+            self._settings, user_id=user_id, scene="report_photo", object_key=photo_object_key
+        )
+
         report = RpReport(
             report_id=next_id(),
             user_id=user_id,