GitLab

- 将媒体写入和删除切换为 os.Root 沙箱 API
- 移除旧的路径拼接校验辅助函数并收敛删除逻辑
- 调整并新增相关单元测试覆盖删除行为
Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

- 新增安全路径拼接校验，确保目标文件仍在下载目录内
- 清理失败下载文件时复用安全校验，避免不安全删除路径
- 增加扩展名白名单归一化与相关单元测试
Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

补充图片输入 SSRF 防护与重定向限制\n增加媒体下载超时/大小上限配置并更新示例\n完善 recent_tasks 轮询回退策略与相关测试\n\n测试: go test ./... -tags=unit

实现直连 Sora 客户端、媒体落地与清理策略\n更新网关与前端配置以支持 Sora 平台\n补齐单元测试与契约测试，新增 curl 测试脚本\n\n测试: go test ./... -tags=unit