[FIX] S3 이미지 업로드 권한 범위 제한

[poketopa]

작업 설명

현재 GET /upload/**는 요청 경로를 그대로 S3 object key로 사용해 10분짜리 presigned PUT URL을 발급한다.

크루위키의 누구나 문서 작성·편집 가능한 정책은 유지하되, 호출자가 기존 key를 지정하거나 제한 없는 크기·타입의 객체를 업로드하지 못하도록 서버 생성 key와 서명 정책을 도입한다.

작업 목록

• POST /upload/presigned 요청·응답 계약 추가
• 호출자 입력이 아닌 서버 생성 object key 적용
• image/jpeg, 최대 파일 크기, 서명 유효시간 검증 및 설정 분리
• Content-Type과 Content-Length를 포함한 presigned PUT 생성
• 정상·경계·실패 요청 테스트 추가