fix(review): 审批动作校验归属、驳回必须写意见、文件下载需登录

- PUT /api/gxmu/review-list 与 /batch：操作者必须是待办行 user_id，否则 code 403
- status=2 且意见为空时拒绝并提示「驳回必须填写审核意见」
- GET /api/file/** 由匿名改为需登录，公开目录走 file.public-dirs 白名单
- 新增 FileAccessRules 纯规则组件，SecurityConfig 按其产出注册 antMatchers
- 新增 ReviewListControllerAuthTest（8 例）与 FileAccessRulesTest（7 例）

src/main/resources/application.yml

@@ -89,6 +89,17 @@ config:
   upload-path: /Users/liangxin/Project/JAVA/tower-java/
   local-upload-path: /Users/gxwebsoft/Documents/uploads/
 
+# 文件访问白名单（spec #58）：确需公开的资源目录，逗号分隔，相对 /api/file。
+#   file.public-dirs: cms-article,public
+# 列进这里的目录，其原图 /api/file/<dir>/** 与缩略图 /api/file/thumbnail/<dir>/** 允许匿名读取；
+# 下载接口 /api/file/download/** 永远需要登录。留空 = 所有文件都需要登录。
+#
+# 注意：当前上传一律落在 /yyyyMMdd/ 日期目录（见 FileStorageService.store），
+# 目录本身不区分公开/私有，所以生产要放开公开站点图片，只能按日期目录逐条登记，
+# 或后续给上传链路加语义前缀。不要图省事写成 /api/file/**。
+file:
+  public-dirs: ${FILE_PUBLIC_DIRS:}
+
 wx:
   miniapp:
     configs: