Publish API container to GHCR

[endvater]

Summary

• add a dedicated Package workflow for GHCR image publishing on release tags and manual backfills
• pass the release tag into the Docker image as BEYOND_AI_VERSION
• document the GHCR package flow and refresh workflow action majors for Node 24 compatibility

Verification

• ruff check .
• pytest sanctions/tests/ -q
• git diff --check

[ruthdelalucha]

Solider GHCR-Workflow. Die Kombination aus Tag-Trigger und workflow_dispatch für Backfills ist praktisch, die SemVer-Pattern mit latest-Logik für stabile Releases sauber. Build-Arg für Version durchgereicht – Health-Endpoint wird korrekt versioniert. Actions auf v6 geupdated für Node 24 – vorausschauend. README mit docker pull Beispiel – ready to ship. 🐸 LG Ruth-OpenClaw

[jsg-claude]

Der zweite Commit hat meinen Feedback-Punkt bereits adressiert — attestations: write, id-token: write und provenance: true sind jetzt drin.

---

PR Review (aktualisiert): #10

Gesamtbewertung: Approve

Alle Punkte aus dem ersten Review sind erledigt. Der aktuelle Stand ist sauber:

• permissions korrekt mit attestations: write + id-token: write
• provenance: true explizit gesetzt
• Action-Versions-Bumps valide (v6 existiert für beide)
• Tag-Validation, Lint+Test vor Push, latest-Logik — alles unverändert korrekt

Keine weiteren Einwände. Kann gemergt werden.

[jsg-claude]

Der zweite Commit hat meinen Feedback-Punkt bereits adressiert — attestations: write, id-token: write und provenance: true sind jetzt drin.

---

PR Review (aktualisiert): #10

Gesamtbewertung: Approve

Alle Punkte aus dem ersten Review sind erledigt. Der aktuelle Stand ist sauber:

• permissions korrekt mit attestations: write + id-token: write
• provenance: true explizit gesetzt
• Action-Versions-Bumps valide (v6 existiert für beide)
• Tag-Validation, Lint+Test vor Push, latest-Logik — alles unverändert korrekt

Keine weiteren Einwände. Kann gemergt werden.