feat(runner): tgit-runner — сервисы в песочнице на хосте, деплой после push (#13)

- infra/runner/tgit-runner: deploy/restart/remove/list по SSH forced command;
  аргументы не исполняются и не глобятся; архив — только файлы и папки,
  без «..», ≤ 20 МБ, есть main.py; health_url — только localhost
- песочница: uid 10001, read-only, tmpfs noexec, cap-drop ALL,
  no-new-privileges, 128 МБ без swap, 0.25 CPU, 64 PID, --network none
  (сеть — только по egress-allow админа), лимит 10 сервисов, 2 образа
- новая версия стартует рядом (-next) и заменяет старую, только став
  healthy; иначе удаляется, старая работает, exit 3
- бот: после push git archive изменённых services/<name>/ → runner;
  автору — «🚀 работает» или «⛔ не развёрнут» с логом, команде — алерт ⛔;
  удалённая папка → remove; «♻️ Перезапустить» в «Статусе» для админа (S-5)
- examples/escape_attempts: все попытки выбраться — BLOCKED на живом Docker
- install.sh, authorized_keys.example; CD бота обновляет runner на хосте

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/bot/routers/commit.py

@@ -4,6 +4,7 @@ import base64
 import html
 import io
 import logging
+from collections.abc import Awaitable, Callable
 from dataclasses import dataclass
 from enum import StrEnum
 from typing import Any
@@ -33,6 +34,8 @@ from app.repo.validate import (
     python_syntax,
     strip_fence,
 )
+from app.runner.deployer import Deployer
+from app.runner.deployer import Outcome as DeployOutcome
 from app.texts import CommitTexts, Texts
 
 log = logging.getLogger(__name__)
@@ -212,7 +215,12 @@ def to_dir_keyboard(texts: Texts) -> InlineKeyboardMarkup:
 
 
 def build_router(
-    texts: Texts, repo: UploadsRepo, drafts: DraftService, publisher: Publisher, commit_url_template: str = ""
+    texts: Texts,
+    repo: UploadsRepo,
+    drafts: DraftService,
+    publisher: Publisher,
+    commit_url_template: str = "",
+    deployer: Deployer | None = None,
 ) -> Router:
     router = Router(name="commit")
     t = texts.commit
@@ -275,6 +283,21 @@ def build_router(
         ops = {ChangeOp.ADD: t.op_add, ChangeOp.MODIFY: t.op_modify, ChangeOp.DELETE: t.op_delete}
         return "\n".join(f"{ops[c.op]}  /{c.path}" for c in draft.changes)
 
+    def deploy_report(msg: Message, sha: str) -> Callable[[DeployOutcome], Awaitable[None]]:
+        async def report(o: DeployOutcome) -> None:
+            name = html.escape(o.service)
+            if o.result.ok and o.removed:
+                text = t.removed.format(service=name)
+            elif o.result.ok:
+                text = t.deployed.format(service=name, sha=sha[:7])
+            else:
+                text = t.deploy_failed.format(service=name, reason=html.escape(o.result.summary))
+                if o.result.tail:
+                    text += f"\n<pre>{html.escape(o.result.tail[-3000:])}</pre>"
+            await msg.answer(text, parse_mode=ParseMode.HTML)
+
+        return report
+
     async def do_push(msg: Message, state: FSMContext, member: User, *, overwrite: bool) -> None:
         draft = await drafts.get(member.tg_id)
         if draft is None or not draft.changes or not draft.message:
@@ -291,6 +314,12 @@ def build_router(
                 if commit_url_template:
                     lines.append(commit_url_template.format(sha=result.sha))
                 lines.append(t.ci_pending)
+                if deployer is not None:
+                    services = deployer.schedule(
+                        result.sha, [c.path for c in draft.changes], deploy_report(msg, result.sha)
+                    )
+                    if services:
+                        lines.append(t.deploying.format(services=", ".join(services)))
                 await msg.edit_text("\n".join(lines))
                 await publisher.record(member, result, draft.message, draft, msg.chat.id, msg.message_id)
                 await drafts.clear(member.tg_id)