implement phase 5 และ fix bugs

backend/WordVersioning.Api/Services/MinioOptions.cs

@@ -18,4 +18,7 @@ public class MinioOptions
     public string VersionsBucket { get; set; } = "docx-versions";
 
     public string TemplatesBucket { get; set; } = "docx-templates";
+
+    /// <summary>อายุของ presigned download URL ที่ออกให้เบราว์เซอร์ (วินาที) — สั้นๆ ตาม spec</summary>
+    public int PresignedExpirySeconds { get; set; } = 120;
 }

backend/WordVersioning.Api/Services/ObjectStorageService.cs

@@ -12,17 +12,23 @@ public interface IObjectStorageService
 
     /// <summary>ดึง object กลับมาเป็น stream (proxy ต่อให้ client) — stream นี้ dispose แล้วจะปิด S3 response ให้ด้วย</summary>
     Task<Stream> GetStreamAsync(string bucket, string key, CancellationToken ct = default);
+
+    /// <summary>สร้าง presigned GET URL อายุสั้น — ให้เปิดในเบราว์เซอร์ของผู้ใช้โดยตรง
+    /// (webview ของ Word ทิ้ง blob download แบบเงียบๆ — spec อนุญาต presigned URL อายุสั้นสำหรับดาวน์โหลด)</summary>
+    string GetPresignedGetUrl(string bucket, string key, TimeSpan expiry);
 }
 
 /// <summary>Wrapper เรียก MinIO ผ่าน AWSSDK.S3 (S3-compatible API)</summary>
 public class ObjectStorageService : IObjectStorageService
 {
     private readonly IAmazonS3 _s3;
+    private readonly bool _useHttps;
     private readonly ILogger<ObjectStorageService> _logger;
 
     public ObjectStorageService(IOptions<MinioOptions> options, ILogger<ObjectStorageService> logger)
     {
         var opt = options.Value;
+        _useHttps = opt.UseSSL;
         var config = new AmazonS3Config
         {
             ServiceURL = (opt.UseSSL ? "https://" : "http://") + opt.Endpoint,
@@ -70,6 +76,27 @@ public class ObjectStorageService : IObjectStorageService
         return new S3ResponseStream(response);
     }
 
+    public string GetPresignedGetUrl(string bucket, string key, TimeSpan expiry)
+    {
+        var request = new GetPreSignedUrlRequest
+        {
+            BucketName = bucket,
+            Key = key,
+            Verb = HttpVerb.GET,
+            Expires = DateTime.UtcNow + expiry,
+        };
+        // GetPreSignedURL เป็น sync (เซ็น SigV4 ฝั่ง client ไม่ยิง network)
+        var url = _s3.GetPreSignedURL(request);
+        // AWSSDK v4 บังคับ https ใน presigned URL เสมอ (ไม่สน UseHttp) — สลับ scheme เองตาม config ได้
+        // เพราะ SigV4 เซ็นค่า host header (host:port) ไม่รวม scheme → signature ยังถูกต้อง
+        if (!_useHttps && url.StartsWith("https://", StringComparison.Ordinal))
+        {
+            url = "http://" + url["https://".Length..];
+        }
+        _logger.LogInformation("Issued presigned GET {Bucket}/{Key} expiry={Expiry}s", bucket, key, expiry.TotalSeconds);
+        return url;
+    }
+
     /// <summary>Stream ที่ครอบ GetObjectResponse — dispose stream = dispose response ทั้งอัน
     /// (ไม่งั้น controller ต้องรับ response มาด้วยแล้วจัดการ lifetime เอง ยุ่ง)</summary>
     private sealed class S3ResponseStream(GetObjectResponse response) : Stream