feat(image-storage): 异步生图对象存储改为后台配置，保存即生效

此前开启异步生图必须改服务器上的 config.yaml 并重启容器（#4542），且若想
复用已配置的备份 S3，还得把同一套凭证再填一遍（#4458）。

- 新增 ImageStorageSettingService：配置存 settings 表，SecretAccessKey 经
  SecretEncryptor 加密落库、读回脱敏、留空表示沿用旧值，与备份 S3 配置同一套做法。
- reuse_backup_s3（默认开）直接借用 backup_s3_config 的端点与密钥，只用自己的
  bucket/prefix 区分对象，因此备份走 backups/、图片走 images/，且密钥不会在库里存两份。
- ImageTaskService 的启用状态改由 ImageStorageResolver 在运行时解析并缓存，
  保存设置后 Invalidate 使下次请求重建客户端——不再需要重启。
- repository 侧由提供实例改为提供工厂，客户端才可能在运行期重建。
- 轮询接口的门控从 enabled() 放宽为 Pollable()：关掉开关只拒绝新提交，
  已受理的任务仍可取回结果，不再被中途吞掉。
- config.yaml 的 image_storage 保留为回落，后台从未保存过时沿用，
  升级前已用配置文件开启的部署不受影响。
- 管理端 GET/PUT/POST /admin/backups/image-storage，PUT 与备份 S3 配置一样要求
  step-up 2FA：改写存储目标同样能把生成内容导向外部账号。

注：go generate ./cmd/server 在当前 upstream 基线上即失败（securityaudit.
PromptAdminService 缺 provider），故 wire_gen.go 为手工同步。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VHreE5pzCkSYz7J45fmd2Y

backend/internal/server/routes/admin.go

@@ -574,6 +574,12 @@ func registerBackupRoutes(admin *gin.RouterGroup, h *handler.Handlers, stepUpAut
 		backup.PUT("/s3-config", gin.HandlerFunc(stepUpAuth), h.Admin.Backup.UpdateS3Config)
 		backup.POST("/s3-config/test", h.Admin.Backup.TestS3Connection)
 
+		// 异步生图对象存储配置（与备份共用 S3 客户端，可直接复用备份凭证）
+		backup.GET("/image-storage", h.Admin.Backup.GetImageStorageConfig)
+		// 同 S3 配置：改写对象存储目标可将生成内容导向外部账号——要求 step-up 2FA
+		backup.PUT("/image-storage", gin.HandlerFunc(stepUpAuth), h.Admin.Backup.UpdateImageStorageConfig)
+		backup.POST("/image-storage/test", h.Admin.Backup.TestImageStorageConnection)
+
 		// 定时备份配置
 		backup.GET("/schedule", h.Admin.Backup.GetSchedule)
 		backup.PUT("/schedule", h.Admin.Backup.UpdateSchedule)