build(deploy): build images on the server instead of publishing to a registry

- deploy/compose.yaml: every app service has `build:` (repo root context),
  local tags pipu-music-<service>:<version>
- deploy/update.sh: git fetch → checkout tag (latest release by default,
  or vX.Y.Z / main) → docker compose build --pull → up -d → prune → /readyz;
  re-executes from a temp copy because checkout may replace the script
- install.sh / .env.example: no REGISTRY, PIPU_VERSION set by update.sh,
  .env owned by the invoking user
- release.yml: drop image publishing; release ships APK + sha256 only
- ci.yml: new `docker` job builds all images without push
- docs: install guide uses git clone, deployment/ci-cd updated, ADR-013

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

deploy/.env.example

@@ -1,9 +1,8 @@
 # Скопируйте в .env (install.sh делает это сам и генерирует секреты). Описание — docs/deployment.md.
 
-# --- Образы ---
-# Реестр Gitea: <хост>/<владелец>, например gitea.hsrv.site/mrleo1nid
-REGISTRY=git.example.lan/owner
-PIPU_VERSION=0.1.0
+# --- Версия и данные ---
+# PIPU_VERSION проставляет update.sh по git-тегу — вручную не менять
+PIPU_VERSION=dev
 PIPU_DATA=/srv/pipu
 
 # --- Домен и HTTPS (docs/install-guide.md) ---

deploy/compose.yaml

@@ -1,7 +1,15 @@
-# Продакшен-развёртывание (docs/deployment.md). Перед первым запуском: sudo ./install.sh
-# Обновление: ./update.sh <version>
+# Продакшен-развёртывание (docs/install-guide.md). Образы собираются на сервере из клонированного репозитория.
+# Перед первым запуском: sudo ./install.sh. Установка / обновление: ./update.sh [vX.Y.Z]
 name: pipu
 
+x-version: &version
+  VERSION: ${PIPU_VERSION:-0.0.0-dev}
+
+x-build-rec: &build-rec
+  context: ..
+  dockerfile: services/recommender/Dockerfile
+  args: *version
+
 x-library-ro: &library-ro
   type: bind
   source: ${PIPU_DATA:-/srv/pipu}/library
@@ -15,7 +23,11 @@ x-restart: &restart
 services:
   nginx:
     <<: *restart
-    image: ${REGISTRY}/pipu-music-web:${PIPU_VERSION}
+    image: pipu-music-web:${PIPU_VERSION:-dev}
+    build:
+      context: ..
+      dockerfile: apps/web/Dockerfile
+      args: *version
     ports: ["${HTTP_PORT:-80}:80"]
     volumes:
       - *library-ro
@@ -25,7 +37,12 @@ services:
 
   api:
     <<: *restart
-    image: ${REGISTRY}/pipu-music-api:${PIPU_VERSION}
+    image: pipu-music-api:${PIPU_VERSION:-dev}
+    build:
+      context: ..
+      dockerfile: services/api/Dockerfile
+      target: api
+      args: *version
     env_file: .env
     environment: &db-env
       DATABASE_URL: postgres://pipu:${POSTGRES_PASSWORD}@postgres:5432/pipu?sslmode=disable
@@ -41,7 +58,12 @@ services:
 
   storage-agent:
     <<: *restart
-    image: ${REGISTRY}/pipu-music-storage-agent:${PIPU_VERSION}
+    image: pipu-music-storage-agent:${PIPU_VERSION:-dev}
+    build:
+      context: ..
+      dockerfile: services/api/Dockerfile
+      target: storage-agent
+      args: *version
     cap_add: [SYS_ADMIN]
     security_opt: ["apparmor:unconfined"]
     environment:
@@ -56,7 +78,8 @@ services:
 
   recommender:
     <<: *restart
-    image: ${REGISTRY}/pipu-music-recommender:${PIPU_VERSION}
+    image: pipu-music-recommender:${PIPU_VERSION:-dev}
+    build: *build-rec
     command: ["serve"]
     env_file: .env
     environment: *db-env
@@ -65,7 +88,8 @@ services:
 
   analyzer:
     <<: *restart
-    image: ${REGISTRY}/pipu-music-recommender:${PIPU_VERSION}
+    image: pipu-music-recommender:${PIPU_VERSION:-dev}
+    build: *build-rec
     command: ["analyze", "--workers", "4"]
     env_file: .env
     environment: *db-env

deploy/install.sh

@@ -4,6 +4,9 @@
 set -euo pipefail
 cd "$(dirname "$0")"
 
+# .env и каталоги создаются от root, но сам репозиторий должен остаться у пользователя, который делает git pull.
+OWNER="${SUDO_USER:-root}"
+
 DATA="${PIPU_DATA:-/srv/pipu}"
 
 echo "→ каталоги в $DATA"
@@ -44,7 +47,8 @@ if [ ! -f .env ]; then
   cp .env.example .env
   sed -i "s|^POSTGRES_PASSWORD=.*|POSTGRES_PASSWORD=$(secret)|; s|^MEILI_MASTER_KEY=.*|MEILI_MASTER_KEY=$(secret)|; s|^INTERNAL_TOKEN=.*|INTERNAL_TOKEN=$(secret)|; s|^PIPU_DATA=.*|PIPU_DATA=$DATA|" .env
   chmod 600 .env
-  echo "  Заполните в .env: REGISTRY, PIPU_VERSION, DOMAIN, ACME_EMAIL"
+  chown "$OWNER" .env
+  echo "  Заполните в .env: DOMAIN и ACME_EMAIL (или настройте свой прокси — docs/install-guide.md)"
 fi
 
-echo "Готово. Запуск: ./update.sh \$(grep ^PIPU_VERSION= .env | cut -d= -f2)"
+echo "Готово. Сборка и запуск последнего релиза: ./update.sh"

deploy/update.sh

@@ -1,13 +1,47 @@
 #!/usr/bin/env bash
-# Обновление / откат на указанную версию: ./update.sh 1.3.0
+# Установка / обновление / откат из клонированного репозитория: образы собираются локально.
+#   ./update.sh            — последний релизный тег (без -rc)
+#   ./update.sh v0.2.0     — конкретная версия (можно без «v»)
+#   ./update.sh main       — текущая ветка main (для тестов, не для продакшена)
 set -euo pipefail
-cd "$(dirname "$0")"
 
-VERSION="${1:?usage: $0 <version>}"
+# git checkout может заменить этот файл прямо во время работы — выполняемся из временной копии.
+if [ -z "${PIPU_UPDATE_REEXEC:-}" ]; then
+  tmp="$(mktemp)"
+  cp "$0" "$tmp"
+  PIPU_UPDATE_REEXEC=1 PIPU_DEPLOY_DIR="$(cd "$(dirname "$0")" && pwd)" exec bash "$tmp" "$@"
+fi
+trap 'rm -f "$0"' EXIT
+cd "$PIPU_DEPLOY_DIR"
+
+[ -f .env ] || { echo "нет .env — сначала sudo ./install.sh" >&2; exit 1; }
+
+REF="${1:-}"
+git fetch --tags --prune --quiet origin
+
+if [ -z "$REF" ]; then
+  REF="$(git tag -l 'v*' --sort=-v:refname | grep -v -- '-rc' | head -1)"
+  [ -n "$REF" ] || { echo "в репозитории нет релизных тегов; укажите версию или main" >&2; exit 1; }
+elif [[ "$REF" =~ ^[0-9]+\.[0-9]+\.[0-9]+ ]]; then
+  REF="v$REF"
+fi
+
+echo "→ переключаемся на $REF"
+if git show-ref --verify --quiet "refs/remotes/origin/$REF"; then
+  git checkout --quiet "$REF"
+  git merge --ff-only --quiet "origin/$REF"
+else
+  git checkout --quiet --detach "$REF"
+fi
+
+VERSION="$(git describe --tags --always --dirty)"
+VERSION="${VERSION#v}"
 sed -i "s|^PIPU_VERSION=.*|PIPU_VERSION=$VERSION|" .env
+echo "→ версия $VERSION, сборка образов (первая сборка — 5–15 минут)"
 
-docker compose pull
+docker compose build --pull
 docker compose up -d --remove-orphans
+docker image prune -f >/dev/null
 
 echo "→ ждём готовности api"
 for _ in $(seq 1 60); do