Function mcp_upload_image 

pub async fn mcp_upload_image(
    headers: HeaderMap,
    multipart: Multipart,
) -> Response

处理图片上传的 Axum handler（MCP 端，bearer token 鉴权）。

与 web upload_image 的区别：

• 鉴权用 Authorization: Bearer ygg_...（不是 cookie），经 crate::mcp::auth::resolve_bearer_principal 解析；
• 不挂 CSRF 中间件——bearer 在请求头里，浏览器不会自动附带，无 CSRF 风险；
• 限流按 token_id 计数（复用 MCP 的 token-keyed governor）。

供 AI 客户端的 host/shell 直接 POST 二进制（Claude Code 的 Bash+curl 等）， 二进制不经 JSON-RPC，绕开 rmcp 4MiB 请求体上限。返回可直接嵌入 Markdown 的 /uploads/... URL。