OSS 附件改为私有桶+内网Endpoint+服务器代理架构

背景：桶为私有、且只用内网 Endpoint（外网不可达），浏览器既无法直传、
也无法直连。原「浏览器直传 + 签名URL直连」两条路都失效，改为全站代理。

lib/oss.php:
- endpoint 自动转内网(*-internal)，use_internal_endpoint 开关控制，内网走 http
- 移除浏览器直传凭证(PostObject)，改为服务器端 PUT(流式 fb_oss_put_file)
- 新增 fb_oss_stream_get 流式读取(回调式，支持 Range，不整文件进内存)
- 签名支持 x-oss-process 子资源 + Authorization 头签名(Content-Type 入签)
- 新增 fb_oss_probe 连通性自检、fb_oss_error_text 错误归因(含跨地域提示)

media.php(新增): 附件代理输出，鉴权边界=对象键须在本站附件表(或本人待入库
  登记)且帖子对访客可见，防止本站沦为能读整个共用桶的开放代理；透传 Range。

upload.php: local/oss 统一走两步(领键→action=put)，OSS 模式由服务器代理 PUT。
lib/db.php: 新增 pending_attachments 表 + idx_att_key 索引(迁移幂等自动建)。
lib/attach.php: 待入库登记(mark/clear/mine/gc)，解决上传后入库前的预览鉴权。
cron.php: 清理过期待入库登记 + 桶连通性自检输出。
admin.php: 设置页加「使用内网 Endpoint」开关、存储体检显示实际连接地址与探测按钮。
README/config: 全面更新为代理架构(无需CORS、无需自定义域名、同地域要求)。

验证：本地 e2e 25/25 + 附件专项 13/13(含防开放代理/Range/内网改写)；
线上真机上传→内网PUT→media.php代理读回→Range 全通过。

admin.php

@@ -272,6 +272,7 @@ function fb_admin_save_settings() {
     fb_set_setting('oss.url_scheme', ((string)$post('oss.url_scheme', 'https')) === 'http' ? 'http' : 'https');
     fb_set_setting('oss.verify',         $post('oss.verify') ? 1 : 0);
     fb_set_setting('oss.image_process',  $post('oss.image_process') ? 1 : 0);
+    fb_set_setting('oss.use_internal_endpoint', $post('oss.use_internal_endpoint') ? 1 : 0);
     fb_set_setting('moderation.enabled', $post('moderation.enabled') ? 1 : 0);
 
     fb_mod_log('settings', null, '保存站点设置：存储=' . $storage);
@@ -549,9 +550,9 @@ fb_layout_head('管理后台', ['robots' => 'noindex,nofollow']);
       <select name="attachment_storage">
         <option value="off"<?php echo $mode === 'off' ? ' selected' : ''; ?>>关闭（不开放上传）</option>
         <option value="local"<?php echo $mode === 'local' ? ' selected' : ''; ?>>本机硬盘（站点 uploads/ 目录）</option>
-        <option value="oss"<?php echo $mode === 'oss' ? ' selected' : ''; ?>>阿里云 OSS（浏览器直传）</option>
+        <option value="oss"<?php echo $mode === 'oss' ? ' selected' : ''; ?>>阿里云 OSS（私有桶 · 服务器代理）</option>
       </select>
-      <i class="hint">本机：文件落在站点目录，占用服务器磁盘与带宽，但零配置、立刻可用；OSS：文件不经过服务器，需先建桶并授权。</i>
+      <i class="hint">本机：文件落在站点 uploads/ 目录；OSS：文件经服务器代理写入私有桶（走内网 Endpoint），公网无法直连桶。两种方式都需要服务器磁盘能放下单个上传文件。</i>
     </label>
 
     <div class="grid2">
@@ -574,9 +575,10 @@ fb_layout_head('管理后台', ['robots' => 'noindex,nofollow']);
     </div>
 
     <h2 style="margin:24px 0 10px">阿里云 OSS（选「OSS」时才需要填）</h2>
+    <p class="muted small" style="margin:-4px 0 12px">私有桶 + 服务器代理：浏览器不直连桶，附件读写都经本站 upload.php / media.php 中转。Endpoint 填公网或内网形式都可以，程序按下方开关自动转换。</p>
     <div class="grid2">
       <label class="field"><span>Endpoint</span>
-        <input type="text" name="oss_endpoint" placeholder="oss-cn-beijing.aliyuncs.com" value="<?php echo e((string)fb_cfg('oss.endpoint', '')); ?>"></label>
+        <input type="text" name="oss_endpoint" placeholder="oss-cn-qingdao.aliyuncs.com" value="<?php echo e((string)fb_cfg('oss.endpoint', '')); ?>"></label>
       <label class="field"><span>Bucket 名</span>
         <input type="text" name="oss_bucket" value="<?php echo e((string)fb_cfg('oss.bucket', '')); ?>"></label>
       <label class="field"><span>鉴权方式</span>
@@ -591,23 +593,19 @@ fb_layout_head('管理后台', ['robots' => 'noindex,nofollow']);
       <label class="field"><span>AccessKeySecret（留空＝不修改）</span>
         <input type="password" name="oss_secret_key" autocomplete="new-password"
                placeholder="<?php echo (string)fb_cfg('oss.secret_key', '') !== '' ? '已设置，留空保持不变' : '未设置'; ?>"></label>
-      <label class="field"><span>自定义访问域名（可选）</span>
-        <input type="text" name="oss_domain" placeholder="https://fb-img.example.com" value="<?php echo e((string)fb_cfg('oss.domain', '')); ?>"></label>
       <label class="field"><span>对象键前缀</span>
         <input type="text" name="oss_prefix" value="<?php echo e((string)fb_cfg('oss.prefix', 'fb')); ?>"></label>
-      <label class="field"><span>桶读写权限</span>
-        <select name="oss_visibility">
-          <option value="public"<?php echo ((string)fb_cfg('oss.visibility', 'public')) === 'public' ? ' selected' : ''; ?>>公共读</option>
-          <option value="private"<?php echo ((string)fb_cfg('oss.visibility', 'public')) === 'private' ? ' selected' : ''; ?>>私有（展示时签名）</option>
-        </select></label>
-      <label class="field"><span>访问协议</span>
+      <label class="field"><span>公网访问协议（走公网 Endpoint 时）</span>
         <select name="oss_url_scheme">
           <option value="https"<?php echo ((string)fb_cfg('oss.url_scheme', 'https')) === 'https' ? ' selected' : ''; ?>>https</option>
           <option value="http"<?php echo ((string)fb_cfg('oss.url_scheme', 'https')) === 'http' ? ' selected' : ''; ?>>http</option>
         </select></label>
     </div>
+    <label class="check"><input type="checkbox" name="oss_use_internal_endpoint" value="1"<?php echo fb_oss_use_internal() ? ' checked' : ''; ?>> 使用内网 Endpoint（<code>*-internal.aliyuncs.com</code>，免公网流量费、延迟低）
+      <span class="hint" style="display:block;margin:2px 0 0 24px">⚠️ 仅当【桶与本机 ECS 同地域】时可用；跨地域内网不可达，请取消勾选回落公网，或改用同地域的桶。保存后可在下方「存储体检」查看连通性。</span></label>
     <label class="check"><input type="checkbox" name="oss_verify" value="1"<?php echo fb_cfg('oss.verify', true) ? ' checked' : ''; ?>> 提交时回源复核附件（防伪造）</label>
-    <label class="check"><input type="checkbox" name="oss_image_process" value="1"<?php echo fb_cfg('oss.image_process', true) ? ' checked' : ''; ?>> 缩略图使用 OSS 图片处理（省流量）</label>
+    <label class="check"><input type="checkbox" name="oss_image_process" value="1"<?php echo fb_cfg('oss.image_process', true) ? ' checked' : ''; ?>> 缩略图使用 OSS 图片处理（服务端缩放后再转发，省下行流量）</label>
+    <input type="hidden" name="oss_visibility" value="<?php echo e((string)fb_cfg('oss.visibility', 'private')); ?>">
 
     <h2 style="margin:24px 0 10px">审核</h2>
     <label class="check"><input type="checkbox" name="moderation_enabled" value="1"<?php echo fb_moderation_on() ? ' checked' : ''; ?>> 先审后显（新提交的问题默认不公开，需你通过后才显示）</label>
@@ -633,7 +631,19 @@ fb_layout_head('管理后台', ['robots' => 'noindex,nofollow']);
       <?php elseif ($mode === 'oss'): ?>
         <span>鉴权方式：<b><?php echo e($ossStat['label']); ?></b></span>
         <span>凭证状态：<?php echo !empty($ossStat['ok']) ? ('已取得 AccessKey（尾号 ' . e($ossStat['ak_tail']) . '）✅') : ('未取得 ❌ ' . e((string)$ossStat['error'])); ?></span>
-        <span>Bucket：<?php echo e((string)fb_cfg('oss.bucket', '')); ?> ／ Endpoint：<?php echo e((string)fb_cfg('oss.endpoint', '')); ?></span>
+        <span>Bucket：<?php echo e((string)fb_cfg('oss.bucket', '')); ?></span>
+        <span>Endpoint（配置）：<?php echo e((string)fb_cfg('oss.endpoint', '')); ?></span>
+        <span>Endpoint（实际连接）：<code><?php echo e(fb_oss_host()); ?></code> — <?php echo fb_oss_use_internal() ? '内网' : '公网'; ?></span>
+        <?php if (isset($_GET['probe']) && $_GET['probe'] === '1'): ?>
+          <?php $pb = fb_oss_probe(); ?>
+          <span>连通性：<?php echo $pb['ok'] ? '✅' : '❌'; ?> <?php echo e($pb['detail']); ?><?php echo $pb['status'] ? ('（HTTP ' . (int)$pb['status'] . '）') : ''; ?></span>
+          <?php if (!$pb['ok'] && $pb['internal'] && $pb['status'] === 0): ?>
+            <span class="muted small">↳ 内网 Endpoint 跨地域不可达：请取消勾选上方「使用内网 Endpoint」后保存，或把桶换到与本机同地域。</span>
+          <?php endif; ?>
+        <?php else: ?>
+          <span><a class="btn" style="padding:4px 10px" href="admin.php?tab=settings&amp;probe=1">测一下桶连通性</a>
+            <span class="muted small">（会真实访问一次 OSS，跨地域不通时可能等待数秒）</span></span>
+        <?php endif; ?>
       <?php endif; ?>
       <span>已用附件：<?php echo e(fb_size_h(fb_attach_total_bytes($pdo))); ?> ／ 上限 <?php echo e(fb_size_h(fb_upload_cfg('total_cap_bytes', 0))); ?></span>
     </div>