feat: add file upload workflow

docs/api.md

@@ -44,6 +44,8 @@ API 规划以 [项目计划](project-plan.md) 第 10 章为准。
 - `GET /api/disputes/{id}`
 - `GET /api/wallet/balance`
 - `GET /api/wallet/ledger`
+- `POST /api/files/upload`
+- `GET /api/files/object`
 - `GET /api/notifications`
 - `POST /api/notifications/{id}/read`
 - `GET /api/admin/auth/captcha`
@@ -72,7 +74,10 @@ API 规划以 [项目计划](project-plan.md) 第 10 章为准。
 - `GET /api/admin/system-configs`
 - `PUT /api/admin/system-configs/{key}`
 - `GET /api/admin/audit-logs`
+- `GET /api/admin/files/object`
 
-说明：`GET /api/admin/listings` 支持按 `owner_id`、`status`、`review_status` 和 `limit` 查询商品。`GET /api/admin/wallet/ledger` 支持按 `user_id`、`order_id`、`biz_type` 和 `limit` 查询最近资金流水。`GET /api/admin/audit-logs` 支持按 `actor_id`、`action`、`biz_type` 和 `limit` 查询最近审计日志。`/api/admin/*` 当前已使用独立后台登录，后续接入 RBAC 和 Casbin 权限后再按角色收紧访问控制。
+说明：`POST /api/listings` 和 `PUT /api/listings/{id}` 支持 `screenshot_urls` 数组，用于保存号主上传的账号资产截图地址。`GET /api/admin/listings` 支持按 `owner_id`、`status`、`review_status` 和 `limit` 查询商品。`GET /api/admin/wallet/ledger` 支持按 `user_id`、`order_id`、`biz_type` 和 `limit` 查询最近资金流水。`GET /api/admin/audit-logs` 支持按 `actor_id`、`action`、`biz_type` 和 `limit` 查询最近审计日志。`/api/admin/*` 当前已使用独立后台登录，后续接入 RBAC 和 Casbin 权限后再按角色收紧访问控制。
+
+文件上传说明：`POST /api/files/upload` 使用 `multipart/form-data`，文件字段名为 `file`，可选 `scene` 为 `listing`、`handoff`、`dispute`、`realname`、`avatar`；当前允许 10MB 内的 JPG、PNG、WebP 和 PDF。返回的 `url` 为后端代理访问地址。后台查看私有文件使用 `GET /api/admin/files/object?key=...`。
 
 订单超时扫描任务为后端内部任务，不暴露公开 API；超时阈值通过 `/api/admin/system-configs` 调整。