media: PM-Medien privat ausliefern + Vorschau-Signatur (M4, M5, Fix#4/#5)

- Neue PM-Bilder/Anhänge liegen auf der privaten local-Disk; Auslieferung
  über kontrollierte Media-Routen mit gemeinsamer Zugriffslogik
  (AuthorizesPressReleaseMediaAccess). Öffentliche Medien werden aus den
  geladenen Modellen ermittelt (weniger Queries) und länger gecacht.
- Anonyme Token-Vorschau lädt Bilder über temporär signierte URLs (Fix#5).
- API-Resource baut Variant-URLs über die Media-Route statt /storage
  (Fix#4). Storage-Schicht prüft zusätzlich den serverseitigen MIME-Type (M5).
- press-releases:privatize-media migriert Bestandsmedien.

Deployment: einmalig `php artisan press-releases:privatize-media` ausführen.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

app/Http/Controllers/Api/Legacy/LegacyPressReleaseImageController.php

@@ -24,6 +24,8 @@ class LegacyPressReleaseImageController extends Controller
 
     public function store(Request $request, int $pressRelease): JsonResponse
     {
+        abort_unless($request->user()->tokenCan('press-release-images:write'), 403);
+
         $pressRelease = PressRelease::withoutGlobalScopes()->find($pressRelease);
 
         if (! $pressRelease) {
@@ -56,7 +58,7 @@ class LegacyPressReleaseImageController extends Controller
         }
 
         $image = $pressRelease->images()->create([
-            'disk' => 'public',
+            'disk' => $stored['disk'],
             'path' => $stored['path'],
             'variants' => $stored['variants'],
             'ai_declaration' => AiImageDeclaration::Original->value,

app/Http/Controllers/Api/V1/PressReleaseImageController.php

@@ -61,7 +61,7 @@ class PressReleaseImageController extends Controller
         }
 
         $image = $pressRelease->images()->create([
-            'disk' => 'public',
+            'disk' => $stored['disk'],
             'path' => $stored['path'],
             'variants' => $stored['variants'],
             // v1 verlangt die KI-Kennzeichnung je Bild (FormRequest);