feat: album covers with palettes and signed links (M2)

- covers are taken from the embedded picture of the first track or a
  cover/folder/front image in the album folder, converted by ffmpeg to
  WebP 64/300/1200 and named by content hash, so albums sharing a cover
  share the files; a full scan looks again for albums without one
- a 3-colour palette (dominant, second, most saturated accent) from a
  deterministic k-means feeds placeholders, page tints and the wave
- /covers/{id} is public but HMAC-signed and immutable; nginx serves
  the file via X-Accel-Redirect, X_ACCEL=false serves it from api
- the web client picks the size by display size and pixel density
- install.sh and update.sh generate STREAM_SIGNING_KEY

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

deploy/.env.example

@@ -24,6 +24,8 @@ INTERNAL_TOKEN=
 # создают его, если строки нет. Смена ключа разлогинит всех на ≤15 мин — старый можно оставить
 # в JWT_PREVIOUS_KEYS (через запятую), пока не истекут выданные им токены.
 JWT_PRIVATE_KEY=
+# Подпись ссылок на обложки и аудио (base64 от 32 байт); создают install.sh / update.sh.
+STREAM_SIGNING_KEY=
 #JWT_PREVIOUS_KEYS=
 
 # --- Первый администратор (необязательно; иначе пароль генерируется и выводится в лог api один раз) ---

deploy/compose.dev.yaml

@@ -49,6 +49,8 @@ services:
       MEILI_MASTER_KEY: dev-master-key-change-me
       INTERNAL_TOKEN: dev-internal-token
       COOKIE_SECURE: "false"
+      X_ACCEL: "false"
+      CACHE_DIR: /tmp/pipu-cache
       LOG_LEVEL: debug
     ports: ["127.0.0.1:8080:8080"]
     depends_on:

deploy/install.sh

@@ -66,12 +66,15 @@ if [ ! -f .env ]; then
   echo "  Заполните в .env: DOMAIN и ACME_EMAIL (или настройте свой прокси — docs/install-guide.md)"
 fi
 
-# Ключ подписи токенов (M1): создаётся один раз, в том числе в .env, сделанном до его появления.
-if ! grep -q '^JWT_PRIVATE_KEY=.' .env; then
-  sed -i '/^JWT_PRIVATE_KEY=$/d' .env
-  echo "JWT_PRIVATE_KEY=$(head -c 32 /dev/urandom | base64)" >> .env
-  echo "→ в .env добавлен JWT_PRIVATE_KEY"
-fi
+# Ключи подписи (токены — M1, ссылки на обложки и аудио — M2): создаются один раз,
+# в том числе в .env, сделанном до их появления.
+for key in JWT_PRIVATE_KEY STREAM_SIGNING_KEY; do
+  if ! grep -q "^$key=." .env; then
+    sed -i "/^$key=\$/d" .env
+    echo "$key=$(head -c 32 /dev/urandom | base64)" >> .env
+    echo "→ в .env добавлен $key"
+  fi
+done
 
 # LIBRARY_HOST, переданный при повторном запуске, попадает и в уже существующий .env
 if [ -n "$LIBRARY_HOST" ]; then

deploy/update.sh

@@ -16,12 +16,15 @@ cd "$PIPU_DEPLOY_DIR"
 
 [ -f .env ] || { echo "нет .env — сначала sudo ./install.sh" >&2; exit 1; }
 
-# Ключ подписи токенов (M1): создаётся один раз, в том числе в .env, сделанном до его появления.
-if ! grep -q '^JWT_PRIVATE_KEY=.' .env; then
-  sed -i '/^JWT_PRIVATE_KEY=$/d' .env
-  echo "JWT_PRIVATE_KEY=$(head -c 32 /dev/urandom | base64)" >> .env
-  echo "→ в .env добавлен JWT_PRIVATE_KEY"
-fi
+# Ключи подписи (токены — M1, ссылки на обложки и аудио — M2): создаются один раз,
+# в том числе в .env, сделанном до их появления.
+for key in JWT_PRIVATE_KEY STREAM_SIGNING_KEY; do
+  if ! grep -q "^$key=." .env; then
+    sed -i "/^$key=\$/d" .env
+    echo "$key=$(head -c 32 /dev/urandom | base64)" >> .env
+    echo "→ в .env добавлен $key"
+  fi
+done
 
 REF="${1:-}"
 git fetch --tags --prune --quiet origin