fix(covers): 封面地址是签名过期而非防盗链，改为本地缓存

实测推翻了之前的诊断。同一批图：

  当天签发的地址 /202610080841/...  -> 200，带不带 Referer 都一样
  隔天的地址     /202610070837/...  -> 403，带不带 Referer 都一样

路径里那段时间戳就是签发时刻。所以这是**过期**，Referer 根本不是那个维度 ——
上一轮加 referrerPolicy 是照着错误结论改的，白改。

修法：
- 采集入库时每轮刷新 cover 地址。原先只在首次入库写一次，旧作品的地址烂在库里，
  而且再怎么重跑也修不回来
- 新增 api/monitor/covers.py：把图下载落盘。图一旦落盘就与签名无关，永远可读
- 下载放在 runner 的 Phase 5（事务已提交之后），不放 ingest —— ingest 的文档写明
  No network，往里塞网络请求会毁掉它可离线测试这一点
- 新增 GET /api/monitor/covers/{note_id} 取图。这条路由带鉴权，封面不会被匿名读走
- service 返回本地地址优先，没有缓存时才退回远程
- 每轮只补一批（60 张）：一次跑几百张既慢又会给图床压力，而旧地址本来就在陆续过期，
  分摊到几轮反而更稳

顺带修正 NoteCover 的注释 —— 它写着防盗链，而那个结论已被推翻，留个错的注释比没有更糟。

api/monitor/service.py

@@ -28,7 +28,7 @@ from sqlalchemy.ext.asyncio import AsyncSession
 
 from tools.time_util import get_current_timestamp
 
-from . import app_settings, platforms, schedule
+from . import app_settings, covers, platforms, schedule
 from .db import get_session
 from .platforms import PLATFORM_XHS
 from .models import (
@@ -397,7 +397,9 @@ async def list_notes(
                 "note_id": note.note_id,
                 "title": note.title,
                 "note_url": note.note_url,
-                "cover": note.cover,
+                # 优先给本地缓存地址：远程地址带签名、会过期（实测隔天即 403），
+                # 本地那份不会。没有缓存时才退回远程，至少让图先显示出来。
+                "cover": covers.cover_url(note.note_id, note.cover),
                 "first_seen_at": note.first_seen_at,
                 "last_seen_at": note.last_seen_at,
                 "is_new": note.first_seen_run_id == latest_run_ids.get(note.task_id),
@@ -473,7 +475,7 @@ async def _note_meta_map(
     return {
         row.note_id: {
             "note_title": row.title,
-            "note_cover": row.cover,
+            "note_cover": covers.cover_url(row.note_id, row.cover),
             "note_url": row.note_url,
             "task_id": row.task_id,
         }