feat: add local fallback for S3 writes

docs/s3-storage-plan.md

@@ -39,6 +39,7 @@ flowchart LR
 4. 批处理原图只在 118 的共享 `uploads/orig` 临时保存，Worker 完成或失败后删除，不上传 S3。
 5. 批量 ZIP 在 118 临时生成，64 MiB 以上自动使用 S3 分片上传，上传后删除临时目录。
 6. 每个成品记录写入时的端点 ID。以后切换端点不会使旧文件失联；旧端点凭据会保留到关联对象清空。
+7. 活动 S3 仍是首选后端；连接、凭据或上传失败时，本次成品自动写入 118 本地卷并记录 `storage_backend=local`。S3 恢复后，后续新对象会再次优先写入 S3。
 
 `/api/v1/compress/direct` 保留原有“响应体直接返回图片”的 API 语义，避免破坏现有调用方；网站下载、历史记录下载、普通压缩结果和批量 ZIP 均走 S3。
 
@@ -126,6 +127,7 @@ aws --endpoint-url http://127.0.0.1:3900 \
 - 未授权用户无法取得签名 URL；任务过期后应用下载接口返回 404。
 - 单文件与批任务数据库均记录正确的 `storage_endpoint_id` 和对象键。
 - 切换到第二端点后，新对象进入第二端点，第一端点历史对象仍可下载。
-- S3 停止时同步请求返回 503，批任务保留临时原图并重试，不静默写回本地。
+- S3 停止时同步请求和批任务均完成本地兜底，数据库记录 `storage_backend=local`，下载接口直接从应用服务器返回文件。
+- S3 恢复后下一次新对象重新记录为 `storage_backend=s3`，下载接口恢复 `307` 到签名 URL。
 - 删除 S3 对象失败时，过期任务数据库记录保留并在下一轮重试。
 - 119 磁盘 70%/85% 告警、容器重启、NTP 时间同步和证书续期均验证通过。