media: PM-Medien privat ausliefern + Vorschau-Signatur (M4, M5, Fix#4/#5)

- Neue PM-Bilder/Anhänge liegen auf der privaten local-Disk; Auslieferung
  über kontrollierte Media-Routen mit gemeinsamer Zugriffslogik
  (AuthorizesPressReleaseMediaAccess). Öffentliche Medien werden aus den
  geladenen Modellen ermittelt (weniger Queries) und länger gecacht.
- Anonyme Token-Vorschau lädt Bilder über temporär signierte URLs (Fix#5).
- API-Resource baut Variant-URLs über die Media-Route statt /storage
  (Fix#4). Storage-Schicht prüft zusätzlich den serverseitigen MIME-Type (M5).
- press-releases:privatize-media migriert Bestandsmedien.

Deployment: einmalig `php artisan press-releases:privatize-media` ausführen.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

app/Http/Resources/PressReleaseImageResource.php

@@ -17,9 +17,12 @@ class PressReleaseImageResource extends JsonResource
         $variants = is_array($this->variants) ? $this->variants : [];
         $variantUrls = [];
 
+        // Variant-URLs über das Model auflösen, damit sie – wie die Original-URL –
+        // je nach Disk entweder direkt (public) oder über die geschützte
+        // Media-Route (local) zeigen. Sonst 404 für private Medien.
         foreach ($variants as $key => $relativePath) {
-            if (is_string($relativePath) && filled($relativePath)) {
-                $variantUrls[$key] = asset('storage/'.ltrim($relativePath, '/'));
+            if (is_string($relativePath) && filled($relativePath) && filled($url = $this->variantUrl($key))) {
+                $variantUrls[$key] = $url;
             }
         }