feat(storage): serve media through backend and add local FS backend

- introduce storage.Backend with S3 and local file-system implementations
- deliver all blobs via signed GET/HEAD /api/objects/<key> (Range, Content-Type)
- stream S3 objects through the backend; remove presigned URL path
- share shared HMAC Signer between backends
- remove S3_PUBLIC_URL; rename S3_PRESIGN_TTL to OBJECT_URL_TTL
- make storage label in health dynamic; nginx proxy_buffering off for objects

openspec/changes/local-fs-storage-backend/specs/share-links/spec.md

@@ -0,0 +1,14 @@
+# Spec Delta
+
+## MODIFIED Requirements
+
+### Requirement: Просмотр альбома по ссылке
+Пользователь без авторизации SHALL иметь возможность просматривать альбом по действующему токену (сетка, лайтбокс, скачивание одиночного фото).
+
+#### Scenario: Просмотр по действующей ссылке
+- **WHEN** аноним открывает ссылку с действующим токеном
+- **THEN** система возвращает фото альбома со свежими подписанными URL, обслуживаемыми бэкендом
+
+#### Scenario: Истёкшая или отозванная ссылка
+- **WHEN** аноним открывает ссылку с истёкшим или отозванным токеном
+- **THEN** система отклоняет доступ