Return a presigned URL for document download — OU 302 redirect vers

Return a presigned URL for document download — OU 302 redirect vers /file si l'URL n'est pas public-resolvable.

GED audit (FU R332) : sans `S3_PUBLIC_ENDPOINT` configuré, la presigned
URL retournait `http://minio:9000/...` (hostname Docker interne)
inutilisable côté client. Maintenant on redirect vers le stream backend
qui marche partout (auth + tenant_filter + audit log per request).

API integrations avec un endpoint S3 public peuvent set `S3_PUBLIC_ENDPOINT`
pour récupérer une vraie URL presigned sans passer par le proxy backend.

Permissions requises : ged:read