ci: Qualitaets-Gate vor dem Image-Build

Der Workflow baute bisher bei jedem Push auf main ungeprueft beide Images.
Jetzt laufen lint (inkl. pnpm audit ab high), typecheck und test auf dem
isolierten Runner (ci-isolated, ohne Docker-Socket und Clusternetz); die
Tests bekommen Postgres 18.6 als Service ueber TEST_DATABASE_URL.
build-and-push startet nur, wenn alle drei gruen sind. Muster und
Runner-Pruefskript aus dem VyCept-Repo (docs/BETRIEB.md 11b).

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

.gitea/workflows/docker-build.yml

@@ -7,14 +7,101 @@ name: Docker-Images bauen und veroeffentlichen
 #
 # Ausloeser: Push auf main (":latest" + ":sha-<kurz>"), Versions-Tags "v1.2.3"
 # (zusaetzlich ":1.2.3"), manuell ueber "Run workflow".
+#
+# Qualitaets-Gate: Images entstehen nur, wenn lint (inkl. audit), typecheck
+# und test gruen sind. Die Pruefungen laufen auf "ci-isolated" (Jobs ohne
+# Docker-Socket und ohne Clusternetz, Runner-Doku im VyCept-Repo,
+# docs/BETRIEB.md 11b); nur der Image-Build braucht "docker-builder".
 on:
   push:
     branches: [main]
     tags: ["v*"]
   workflow_dispatch:
 
+# Ein neuer Push bricht den ueberholten Lauf ab, statt ihn zu Ende zu rechnen.
+concurrency:
+  group: docker-build-${{ gitea.ref }}
+  cancel-in-progress: true
+
+env:
+  NEXT_TELEMETRY_DISABLED: "1"
+
 jobs:
+  lint:
+    runs-on: ci-isolated
+    timeout-minutes: 10
+    steps:
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4.4.0
+      - name: Runner-Isolation pruefen
+        run: bash scripts/ci-runner-isolation.sh
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4.4.0
+        with: { node-version: "22" }
+      - uses: actions/cache@0057852bfaa89a56745cba8c7296529d2fc39830 # v4.3.0
+        with:
+          path: |
+            ~/.cache/pnpm
+            ~/.cache/pnpm-store
+          key: pnpm-${{ hashFiles('pnpm-lock.yaml') }}
+          restore-keys: pnpm-
+      - run: export pnpm_config_store_dir="$HOME/.cache/pnpm-store" pnpm_config_cache_dir="$HOME/.cache/pnpm" && corepack enable && pnpm install --frozen-lockfile
+      - run: pnpm lint
+      # Bekannte Luecken in Laufzeit-Abhaengigkeiten (ab "high") brechen den Lauf ab.
+      - run: pnpm audit --prod --audit-level high
+
+  typecheck:
+    runs-on: ci-isolated
+    timeout-minutes: 10
+    steps:
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4.4.0
+      - name: Runner-Isolation pruefen
+        run: bash scripts/ci-runner-isolation.sh
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4.4.0
+        with: { node-version: "22" }
+      - uses: actions/cache@0057852bfaa89a56745cba8c7296529d2fc39830 # v4.3.0
+        with:
+          path: |
+            ~/.cache/pnpm
+            ~/.cache/pnpm-store
+          key: pnpm-${{ hashFiles('pnpm-lock.yaml') }}
+          restore-keys: pnpm-
+      - run: export pnpm_config_store_dir="$HOME/.cache/pnpm-store" pnpm_config_cache_dir="$HOME/.cache/pnpm" && corepack enable && pnpm install --frozen-lockfile
+      - run: pnpm typecheck
+
+  test:
+    runs-on: ci-isolated
+    timeout-minutes: 15
+    # embedded-postgres startet nicht als root; deshalb ein Datenbank-Service
+    # (gleiche Version wie im Cluster), genutzt ueber TEST_DATABASE_URL
+    # (tests/support/global-setup.ts).
+    services:
+      postgres:
+        image: postgres:18.6-alpine
+        env:
+          POSTGRES_USER: test
+          POSTGRES_PASSWORD: test
+          POSTGRES_DB: artista_test
+        options: >-
+          --health-cmd "pg_isready -U test" --health-interval 5s --health-retries 10
+    env:
+      TEST_DATABASE_URL: postgresql://test:test@postgres:5432/artista_test
+    steps:
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4.4.0
+      - name: Runner-Isolation pruefen
+        run: bash scripts/ci-runner-isolation.sh
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4.4.0
+        with: { node-version: "22" }
+      - uses: actions/cache@0057852bfaa89a56745cba8c7296529d2fc39830 # v4.3.0
+        with:
+          path: |
+            ~/.cache/pnpm
+            ~/.cache/pnpm-store
+          key: pnpm-${{ hashFiles('pnpm-lock.yaml') }}
+          restore-keys: pnpm-
+      - run: export pnpm_config_store_dir="$HOME/.cache/pnpm-store" pnpm_config_cache_dir="$HOME/.cache/pnpm" && corepack enable && pnpm install --frozen-lockfile
+      - run: pnpm test
+
   build-and-push:
+    needs: [lint, typecheck, test]
     runs-on: docker-builder
     env:
       # Oeffentlicher Registry-Host (Pull durch Kubernetes, OCI-Labels).