ci: гонять гейт на pull request, а не только после мержа

[fUS1ONd]

Проблема

Тесты в CI были, но запускались только после мержа. Триггер у docker-publish.yml — push в dev и теги, поэтому на самих pull request'ах проверок не было вообще:

$ gh pr checks 5
no checks reported on the 'dev' branch

PR #2, #3, #4 были смержены без единой проверки — make gate прогонялся уже по факту, на смердженном dev. Сломанный PR выглядел бы зелёным до последнего момента, а падение обнаружилось бы когда образ уже собирается и едет в GHCR.

Решение

Гейт вынесен в переиспользуемый workflow и вызывается из двух мест:

Файл	Событие	Что делает
gate.yml	workflow_call	Определение гейта: make gate + проверка детерминизма артефактов
ci.yml (новый)	pull_request	вызывает gate.yml
docker-publish.yml	push в dev / теги	вызывает gate.yml, затем публикует образ

Почему переиспользуемый workflow, а не копия в двух файлах. Копии со временем расходятся, и расхождение здесь даёт худший из возможных исходов: PR зелёный, а dev красный. Одно определение гарантирует, что проверки PR — ровно то, что гейтит публикацию образа.

Дублирования прогонов нет: ci.yml висит только на pull_request, push в dev по-прежнему обслуживается docker-publish.yml.

Заодно

• Отмена устаревших прогонов (concurrency + cancel-in-progress): новый пуш в ветку PR отменяет предыдущий, иначе очередь копит проверки неактуальных коммитов.
• Кэш Tailwind CLI: make gate качает 120 МБ standalone-бинарник на каждом прогоне, а цель tailwind-bin пропускает скачивание при наличии файла. Ключ кэша берёт версию из TAILWIND_VERSION в Makefile, чтобы инвалидировался ровно при обновлении версии, а не при любой правке Makefile.

Вне объёма

Интеграционные тесты (-tags=integration, требуют Postgres и MinIO) — они не запускались нигде и раньше, ни в CI, ни в make gate. Схема БД, миграции, internal/db и internal/s3 под тестами есть, но эти тесты мёртвые. Это осознанно отдельная задача.

Проверено

• actionlint на всех трёх workflow — без замечаний
• make gate на этой ветке — зелёный
• Проверка, что job с uses: не содержит несовместимых ключей (runs-on/steps)
• Живая проверка — этот самый PR: он должен стать первым в истории репозитория, на котором появились проверки