fix: 七牛云私有 bucket 下载 URL 签名支持

对私有读 bucket，通过 HMAC-SHA1 签名生成带 e（过期时间）和 token（下载凭证）
参数的临时下载 URL，前端获取的素材 URL 和下载接口均返回签名 URL。

新增配置项 GEN2D_QINIU_URL_EXPIRE，默认 3600 秒。

docs/api.md

@@ -516,14 +516,14 @@ POST /api/v1/prompt/optimize
 
 ### GET /api/v1/assets/download
 
-公开接口（无需认证）。返回 302 重定向到七牛云 CDN URL。前端可通过此接口加载素材图片，作为 CDN 直接访问的替代方案。
+公开接口（无需认证）。返回 302 重定向到七牛云带签名的临时下载 URL（私有 bucket 签名有效时长默认为 3600 秒）。前端可通过此接口加载素材图片。
 
 | 参数 | 类型 | 说明 |
 |------|------|------|
 | `key` | string | 对象存储 Key，查询参数 |
 
 响应：
-- HTTP 302，`Location` 头指向 CDN URL
+- HTTP 302，`Location` 头指向带签名的临时下载 URL
 - 400：缺少 key 参数
 - 500：生成下载链接失败
 

docs/database.md

@@ -150,16 +150,18 @@ users/user_a1B2c3/projects/proj_abc/tasks/task_xyz/output/spritesheet.png
 
 ### 访问方式
 
-素材上传后返回 CDN URL，前端直接通过该 URL 访问图片。
+素材上传后 asset 表存储对象 Key 和基础 CDN URL。由于 bucket 为私有读，前端通过 API 获取的 `url` 字段为带签名参数的临时下载链接（有效期可配置，默认 3600 秒）。
 
-下载接口 `GET /api/v1/assets/download?key=...` 返回 302 重定向到 CDN URL。
+格式：`https://cdn.example.com/<key>?e=<deadline>&token=<downloadToken>`
+
+下载接口 `GET /api/v1/assets/download?key=...` 返回 302 重定向到带签名的临时 URL。
 
 ### asset 表的 url 字段
 
-存储七牛云 CDN 完整 URL，如：
+存储七牛云基础 CDN URL（不含签名），如：
 `https://cdn.example.com/users/user_a1B2c3/projects/proj_abc/tasks/task_xyz/output/spritesheet.png`
 
-前端直接使用该 URL 加载图片，无需拼接路径。
+注意：该字段仅在数据库中使用，API 返回给前端的 URL 会根据对象 Key 实时生成带签名的临时下载链接。
 
 ---
 
@@ -190,6 +192,7 @@ users/user_a1B2c3/projects/proj_abc/tasks/task_xyz/output/spritesheet.png
 | `GEN2D_QINIU_BUCKET` | — | 七牛云 Bucket 名称 |
 | `GEN2D_QINIU_CDN_HOST` | — | CDN 域名（如 `https://cdn.example.com`） |
 | `GEN2D_QINIU_USE_HTTPS` | `true` | 是否使用 HTTPS |
+| `GEN2D_QINIU_URL_EXPIRE` | `3600` | 私有下载签名 URL 有效期（秒） |
 
 在 `config.go` 中扩展字段即可，无需额外依赖。