build(deploy): build images on the server instead of publishing to a registry

- deploy/compose.yaml: every app service has `build:` (repo root context),
  local tags pipu-music-<service>:<version>
- deploy/update.sh: git fetch → checkout tag (latest release by default,
  or vX.Y.Z / main) → docker compose build --pull → up -d → prune → /readyz;
  re-executes from a temp copy because checkout may replace the script
- install.sh / .env.example: no REGISTRY, PIPU_VERSION set by update.sh,
  .env owned by the invoking user
- release.yml: drop image publishing; release ships APK + sha256 only
- ci.yml: new `docker` job builds all images without push
- docs: install guide uses git clone, deployment/ci-cd updated, ADR-013

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/ci-cd.md

@@ -27,6 +27,7 @@ jobs:
   recommender:     # uv sync; ruff; mypy --strict; pytest (вкл. оффлайн-оценку качества)
   ts:              # pnpm install --frozen-lockfile; turbo lint typecheck test; i18n:check
   web-build:       # vite build, проверка размера бандла
+  docker:          # сборка всех Docker-образов без push (сервер собирает их сам — ADR-013)
   mobile-check:    # tsc, jest, expo prebuild + ./gradlew assembleDebug (только если менялся mobile/)
   e2e:             # needs: api, web-build; docker compose -f deploy/compose.test.yaml up; playwright test
 ```
@@ -45,35 +46,30 @@ on:
 jobs:
   verify:          # все проверки ci.yml (reusable workflow)
 
-  images:          # needs: verify
-    strategy: { matrix: { service: [api, storage-agent, recommender, web] } }
-    # docker buildx build --push
-    #   ${REGISTRY}/${OWNER}/pipu-music-${service}:${VERSION} и :latest (кроме pre-release)
-    # web-образ = nginx + собранная SPA + конфиг
-
-  android:         # needs: verify
+  android-release: # needs: verify
     # setup-java 17, Android SDK, pnpm install
     # VERSION / VERSION_CODE из тега → app.config.ts
     # expo prebuild --platform android --clean
     # ./gradlew assembleRelease (signingConfig из секретов)
     # apksigner verify; sha256sum > pipu-music-${VERSION}.apk.sha256
 
-  release:         # needs: [images, android]
-    # git-cliff --latest > CHANGELOG_RELEASE.md
+    # changelog из Conventional Commits между тегами
     # создать Gitea Release через API (POST /repos/{owner}/{repo}/releases), prerelease по суффиксу
-    # загрузить ассеты: APK, .sha256, deploy/compose.yaml, deploy/.env.example
+    # загрузить ассеты: APK и .sha256
 ```
 
+Docker-образы **не публикуются**: сервер собирает их сам из клонированного репозитория (ADR-013).
+Чтобы сборка на сервере не ломалась, job `docker` в `ci.yml` собирает все образы без push на каждый PR.
+
 ## Секреты
 
 | Секрет | Назначение |
 |---|---|
-| `REGISTRY_USER`, `REGISTRY_TOKEN` | Push в Gitea Container Registry |
 | `RELEASE_TOKEN` | Создание релиза и загрузка ассетов |
 | `ANDROID_KEYSTORE_BASE64`, `ANDROID_KEYSTORE_PASSWORD`, `ANDROID_KEY_ALIAS`, `ANDROID_KEY_PASSWORD` | Подпись APK. **Ключ один на всю жизнь приложения** — хранить резервную копию вне Gitea. |
 
 ## Деплой
 
-Автодеплой не обязателен. Рекомендуемый вариант: на сервере `deploy/update.sh <version>` —
-`docker compose pull && docker compose up -d` с `PIPU_VERSION=<version>`; миграции применяются при старте `api`.
+Автодеплой не обязателен. На сервере в клоне репозитория: `deploy/update.sh [vX.Y.Z]` — checkout тега,
+`docker compose build` и `up -d`; миграции применяются при старте `api` ([install-guide.md](install-guide.md)).
 Опционально — job `deploy` в `release.yml` по SSH на сервер для не-pre-release тегов (с ручным approval через environment).