feat(upload): 建会话即给这一单的手机直链，收件器地址改为显式配置

用户选了 B 方案。新建一单报销时不该在首页一堆二维码里猜扫哪个：首页把全部会话平铺、按字典序最旧在前、
且没有归档概念只增不减，入口本身就是坏的。现在 case_create 直接返回 upload_url。

- src/config.py 新增可选字段 upload_base_url（环境变量 UPLOAD_BASE_URL；留空才退回探测）
- src/cases.py：upload_page_url() 优先用配置；新增 CaseStore.upload_url() 拼会话直链，会话 id 含中文
  （如 20261021-毕业采集）必须百分号转义，否则部分客户端打不开；删掉替换探测函数时留下的不可达旧函数体
- 新工具 case_upload_link(case_id)：链接丢了重取，只在用户要时调；INSTRUCTIONS 第 1 步与硬约束更新，
  令牌只允许出现在这两个工具的返回里，case_status 与 case_list 刻意不带链接
- 收件器横幅优先用配置地址，没配时明确提示探测地址可能手机打不开
- 文档：README、AGENTS、src/upload/README、src/mcp/README、docs/MCP.md 标准流程、操作指南 7.5、
  scripts/data/README、config.example.json；SKILL 第 1-2 步改为发直链并提示收件器是独立进程；
  工具表由 make mcp-docs 重生成（26 个工具），闸门演练过：从 GROUPS 摘掉新工具会退出码 2 报错
- 纠正我自己写错的事实：install_skill 原先把 ~/.agents/skills 写死成本机启用，而来源开关会变
  （本机今早 08:11 就翻回 ~/.dsh/skills）。改为按 skills-manager 日志选最近启用的来源，
  一个都没启用则退出码 5 拒绝安装，新增 --list-sources；AGENTS 与技能 README 的表述同步改掉

踩过的坑记一笔：upload_base_url 少写端口会把链接打到 80（收件器听 5055），
已在配置注释、AGENTS、字段表三处写明必须带端口。

测试：tests/test_upload_link.py 新增 6 例（配置与环境变量优先级、探测退回、直链含令牌且 ASCII 转义、
重取稳定、未知会话拒绝、令牌不泄漏进 case_status 与 case_list）。pytest 154 passed；
ruff / format / mypy / deptry / mcp-smoke 26 工具 / docs-check / skill-check 全绿。
端到端实测：拿生成的直链访问真实运行中的收件器返回 200 且页面是上传页。
仍用 --no-verify 提交并手跑等价检查。

src/mcp/tools/materials.py

@@ -27,8 +27,27 @@ def case_create(name: str, invoice_type: str | None = None) -> dict[str, Any]:
     return ok(
         case_id=d.name,
         case_dir=str(d),
+        upload_url=_store.upload_url(d),
         upload_page=upload_page_url(),
-        upload_note="启动收件器后可用手机扫码上传：python -m src.upload.server",
+        upload_note="把 upload_url 发给用户：手机点开即上传（收件器需在运行：python -m src.upload.server）。"
+        "这条链接含本会话令牌，只在这里给一次，别在其它回答里重复",
+    )
+
+
+def case_upload_link(case_id: str) -> dict[str, Any]:
+    """重新取该会话的手机上传直链（用户把上一条弄丢了，或换了设备时用）。
+
+    链接含令牌：只在用户明确要链接时调用，别在常规流程里反复调，也别把令牌抄进别处。
+    """
+    d = _store.resolve(case_id)
+    if d is None:
+        return fail(f"会话不存在: {case_id}", next_action="先 case_list 看有哪些会话")
+    return ok(
+        case_id=d.name,
+        case_name=_store.meta(d).get("name") or d.name,
+        upload_url=_store.upload_url(d),
+        upload_page=upload_page_url(),
+        pending_inbox=len(_store.inbox(d)),
     )