build: Docker-Images, Compose-Setup und Gitea-Workflows

- Mehrstufige Dockerfiles je Dienst mit Stufen für Entwicklung und Betrieb,
  beide Images laufen als unprivilegierter Benutzer
- Backend-Entrypoint wartet auf die Datenbank, migriert und seedt nur bei
  leerem Kategoriebaum (neues Flag --if-empty)
- docker-compose.yml mit Netz-Trennung, Healthchecks und benannten Volumes;
  die Datenbank ist ausschließlich im internen Netz erreichbar
- nginx liefert das Bundle aus und reicht /api weiter; index.html ungecacht,
  gehashte Assets ein Jahr
- Gitea-Workflows: ci.yml für Lint, Tests und Bundle-Bau, build.yml für die
  Images nach linux/amd64 ohne Deploy-Schritt
- docs/runner.md und docs/deployment.md, .dockerignore je Dienst

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_014e7t8UpmoVNMtWivY5LiSH

.gitea/workflows/README.md

@@ -0,0 +1,36 @@
+# Gitea Actions
+
+Zwei Workflows:
+
+| Datei | Auslöser | Was passiert |
+|---|---|---|
+| `ci.yml` | jeder Push, jeder Pull Request | Backend: `ruff check`, `ruff format --check`, `pytest` gegen einen PostgreSQL-Dienst. Frontend: `npm ci`, `tsc --noEmit`, `eslint`, `vitest`, Bundle-Bau. |
+| `build.yml` | Push auf `main`, Tags `v*` | Baut beide Images für `linux/amd64` und lädt sie in die Gitea-Registry. **Kein Deploy** – das Ausrollen erfolgt von Hand. |
+
+## Benötigte Repo-Secrets
+
+| Name | Zweck | Woher |
+|---|---|---|
+| `REGISTRY_TOKEN` | Anmeldung an `git.menzel.center` zum Hochladen der Images | Gitea → Benutzereinstellungen → Applications → **Generate New Token** mit dem Recht `write:package` |
+
+Anlegen unter *Repository → Settings → Actions → Secrets → Add Secret*.
+
+Als Benutzername verwendet der Workflow `${{ github.actor }}`, also den Auslöser
+des Laufs. Dieser Benutzer braucht Schreibrecht auf die Pakete des Namensraums
+`menzeljonas`.
+
+## Erzeugte Tags
+
+| Auslöser | Tags |
+|---|---|
+| Push auf `main` | `:main`, `:sha-<kurz>` |
+| Tag `v1.2.3` | `:1.2.3`, `:1.2`, `:latest` |
+
+Zusätzlich legt jeder Lauf ein `:buildcache`-Manifest ab. Es dient
+ausschließlich dem Schichten-Cache und ist nicht zum Ausrollen gedacht.
+
+## Voraussetzungen an den Runner
+
+Der Runner muss Docker erreichen können (gemounteter Socket) und das Label
+`ubuntu-latest` anbieten. Die vollständige Einrichtung steht in
+[`../../docs/runner.md`](../../docs/runner.md).

.gitea/workflows/build.yml

@@ -0,0 +1,82 @@
+name: Images bauen
+
+# Bei Push auf main und bei Versions-Tags. Ausgerollt wird nicht automatisch –
+# das Aktualisieren auf docker-srv001 passiert von Hand, siehe docs/deployment.md.
+on:
+  push:
+    branches:
+      - main
+    tags:
+      - "v*"
+
+concurrency:
+  group: build-${{ github.ref }}
+  cancel-in-progress: false
+
+env:
+  REGISTRY: git.menzel.center
+  NAMESPACE: menzeljonas
+
+jobs:
+  build:
+    runs-on: ubuntu-latest
+
+    strategy:
+      fail-fast: false
+      matrix:
+        component:
+          - backend
+          - frontend
+
+    steps:
+      - uses: actions/checkout@v4
+
+      - uses: docker/setup-buildx-action@v3
+
+      - name: An der Registry anmelden
+        uses: docker/login-action@v3
+        with:
+          registry: ${{ env.REGISTRY }}
+          username: ${{ github.actor }}
+          password: ${{ secrets.REGISTRY_TOKEN }}
+
+      - name: Tags und Beschriftungen ermitteln
+        id: meta
+        uses: docker/metadata-action@v5
+        with:
+          images: ${{ env.REGISTRY }}/${{ env.NAMESPACE }}/moneyfy-${{ matrix.component }}
+          # `latest` wird nur für Versions-Tags gesetzt, nicht für jeden main-Push.
+          flavor: |
+            latest=false
+          tags: |
+            type=raw,value=main,enable=${{ github.ref == 'refs/heads/main' }}
+            type=sha,prefix=sha-,format=short,enable=${{ github.ref == 'refs/heads/main' }}
+            type=semver,pattern={{version}}
+            type=semver,pattern={{major}}.{{minor}}
+            type=raw,value=latest,enable=${{ startsWith(github.ref, 'refs/tags/v') }}
+          labels: |
+            org.opencontainers.image.title=moneyfy-${{ matrix.component }}
+            org.opencontainers.image.description=moneyfy – Planung monatlicher Kosten und Einkünfte
+            org.opencontainers.image.licenses=MIT
+
+      - name: Bauen und hochladen
+        uses: docker/build-push-action@v6
+        with:
+          context: ./${{ matrix.component }}
+          target: production
+          platforms: linux/amd64
+          push: true
+          tags: ${{ steps.meta.outputs.tags }}
+          labels: ${{ steps.meta.outputs.labels }}
+          # Registry-Cache statt type=gha: der Gitea-Runner bringt keinen
+          # Actions-Cache-Dienst mit.
+          cache-from: type=registry,ref=${{ env.REGISTRY }}/${{ env.NAMESPACE }}/moneyfy-${{ matrix.component }}:buildcache
+          cache-to: type=registry,ref=${{ env.REGISTRY }}/${{ env.NAMESPACE }}/moneyfy-${{ matrix.component }}:buildcache,mode=max
+          provenance: false
+
+      - name: Ergebnis zusammenfassen
+        run: |
+          echo "### moneyfy-${{ matrix.component }}" >> "$GITHUB_STEP_SUMMARY"
+          echo '```' >> "$GITHUB_STEP_SUMMARY"
+          echo "${{ steps.meta.outputs.tags }}" >> "$GITHUB_STEP_SUMMARY"
+          echo '```' >> "$GITHUB_STEP_SUMMARY"

.gitea/workflows/ci.yml

@@ -0,0 +1,89 @@
+name: CI
+
+# Läuft bei jedem Push und jedem Pull Request, unabhängig vom Branch.
+on:
+  push:
+  pull_request:
+
+concurrency:
+  group: ci-${{ github.ref }}
+  cancel-in-progress: true
+
+jobs:
+  backend:
+    runs-on: ubuntu-latest
+    defaults:
+      run:
+        working-directory: backend
+
+    services:
+      postgres:
+        image: postgres:17-alpine
+        env:
+          POSTGRES_DB: moneyfy_test
+          POSTGRES_USER: moneyfy
+          POSTGRES_PASSWORD: moneyfy
+        options: >-
+          --health-cmd "pg_isready -U moneyfy -d moneyfy_test"
+          --health-interval 10s
+          --health-timeout 5s
+          --health-retries 10
+
+    env:
+      # Die Tests lesen DATABASE_URL; der Dienst ist unter seinem Namen erreichbar.
+      DATABASE_URL: postgresql+asyncpg://moneyfy:moneyfy@postgres:5432/moneyfy_test
+      SECRET_KEY: ci-secret-key-mindestens-32-zeichen-lang
+      ENVIRONMENT: test
+
+    steps:
+      - uses: actions/checkout@v4
+
+      - name: uv installieren
+        run: |
+          curl -LsSf https://astral.sh/uv/install.sh | sh
+          echo "$HOME/.local/bin" >> "$GITHUB_PATH"
+
+      - name: Abhängigkeiten installieren
+        # uv lädt bei Bedarf auch den passenden Python-Interpreter.
+        run: |
+          uv venv --python 3.12 .venv
+          uv pip install -e ".[dev]"
+
+      - name: ruff check
+        run: .venv/bin/ruff check .
+
+      - name: ruff format
+        run: .venv/bin/ruff format --check .
+
+      - name: pytest
+        run: .venv/bin/python -m pytest -q
+
+  frontend:
+    runs-on: ubuntu-latest
+    defaults:
+      run:
+        working-directory: frontend
+
+    steps:
+      - uses: actions/checkout@v4
+
+      - uses: actions/setup-node@v4
+        with:
+          node-version: "22"
+          cache: npm
+          cache-dependency-path: frontend/package-lock.json
+
+      - name: Abhängigkeiten installieren
+        run: npm ci --no-audit --no-fund
+
+      - name: Typen prüfen
+        run: npm run typecheck
+
+      - name: eslint
+        run: npm run lint
+
+      - name: vitest
+        run: npm run test
+
+      - name: Bundle bauen
+        run: npx vite build