fix(deploy): надёжный рендер шаблонов и устойчивый цикл подстановки

- render_template: значения передаются через окружение (envsubst), а не
  подставляются в variadic-аргументы — многострочные значения больше не
  ломают разбор, неполный список не уводит bash в бесконечный цикл
- export "$pair": bash сам разбирает KEY=value (было export "${pair}")
- шаблоны переведены на ${VAR}-синтаксис, добавлен compose.test.yaml.tpl
  для тестового режима установщика (--skip-tls без публикации портов)
- dry-run не требует root и работает вне Linux (проверка ОС пропускается)
- install.sh: учитываются --livekit-*-порты и --turn-*-порты в livekit.yaml,
  исправлено экранирование апострофа в итоговой сводке
- scripts/debug-install.sh: трассировка установщика в контейнере

scripts/debug-install.sh

@@ -0,0 +1,35 @@
+#!/usr/bin/env bash
+# Диагностика зависания install.sh: трассировка пишется в файл, затем показывается хвост.
+set -uo pipefail
+
+CONTAINER="glchat-dbg-$$"
+IMAGE="jrei/systemd-ubuntu:24.04"
+
+cleanup() { docker rm -f "$CONTAINER" >/dev/null 2>&1 || true; }
+trap cleanup EXIT
+
+docker run -d --name "$CONTAINER" --privileged --cgroupns=host \
+    --tmpfs /tmp:exec,size=2g --tmpfs /run --tmpfs /run/lock \
+    -v /sys/fs/cgroup:/sys/fs/cgroup:rw "$IMAGE" /sbin/init >/dev/null
+
+for _ in $(seq 1 30); do
+    docker exec "$CONTAINER" systemctl is-system-running 2>/dev/null | grep -qE 'running|degraded' && break
+    sleep 1
+done
+
+docker exec "$CONTAINER" mkdir -p /opt/glchat-src
+docker cp /opt/glchat-src/. "$CONTAINER:/opt/glchat-src/"
+
+echo "=== dry-run с трассировкой, лог в /tmp/trace.log ==="
+timeout 60 docker exec -i "$CONTAINER" bash -lc '
+  cd /opt/glchat-src && PS4="+ \${BASH_SOURCE##*/}:\${LINENO}: " bash -x deploy/install.sh \
+    --dry-run --domain gl.test.local --email admin@gl.test.local \
+    --admin admin@gl.test.local --password "test-password-123" --yes > /tmp/trace.log 2>&1
+' </dev/null
+echo "exit=$?"
+
+echo "=== последние 30 строк трассировки ==="
+docker exec "$CONTAINER" bash -lc 'tail -30 /tmp/trace.log'
+echo "=== функция, где остановилось ==="
+docker exec "$CONTAINER" bash -lc 'grep -oE "install\.sh:[0-9]+" /tmp/trace.log | tail -1'
+docker exec "$CONTAINER" bash -lc 'last=$(grep -oE "install\.sh:[0-9]+" /tmp/trace.log | tail -1 | cut -d: -f2); sed -n "$((last-5)),$((last+15))p" /opt/glchat-src/deploy/install.sh'

scripts/test-install.sh

@@ -37,28 +37,32 @@ log "копируем репозиторий внутрь контейнера"
 docker exec "$CONTAINER" mkdir -p /opt/glchat-src
 docker cp "${REPO_DIR}/." "${CONTAINER}:/opt/glchat-src/"
 
+# stdin закрыт: иначе установщик может ждать интерактивного подтверждения.
+run_install() {
+    local label="$1"
+    shift
+    log "$label"
+    if ! timeout 1500 docker exec -i "$CONTAINER" bash -lc "
+        cd /opt/glchat-src && GLCHAT_ETC_DIR=/opt/glchat \
+          bash deploy/install.sh --domain gl.test.local --email admin@gl.test.local \
+            --admin admin@gl.test.local --password 'test-password-123' \
+            --skip-tls --app-port 8080 --no-turn --yes $*
+    " </dev/null; then
+        echo "install.sh завершился с ошибкой (${label})" >&2
+        docker exec "$CONTAINER" bash -lc 'tail -40 /opt/glchat/install.log 2>/dev/null || true' || true
+        exit 1
+    fi
+}
+
 log "1/4 install.sh --dry-run"
-docker exec "$CONTAINER" bash -lc '
+timeout 600 docker exec -i "$CONTAINER" bash -lc '
   cd /opt/glchat-src && GLCHAT_ETC_DIR=/tmp/dryrun \
     bash deploy/install.sh --dry-run --domain gl.test.local --email admin@gl.test.local \
       --admin admin@gl.test.local --password "test-password-123" --yes
-'
+' </dev/null
 
-log "2/4 install.sh (боевой прогон: TLS и публичные порты не трогаем)"
-docker exec "$CONTAINER" bash -lc "
-  cd /opt/glchat-src && GLCHAT_ETC_DIR=/opt/glchat \
-    bash deploy/install.sh --domain gl.test.local --email admin@gl.test.local \
-      --admin admin@gl.test.local --password 'test-password-123' \
-      --skip-tls --app-port 8080 --no-turn --yes
-"
-
-log "3/4 идемпотентность: повторный запуск с --reconfigure"
-docker exec "$CONTAINER" bash -lc "
-  cd /opt/glchat-src && GLCHAT_ETC_DIR=/opt/glchat \
-    bash deploy/install.sh --domain gl.test.local --email admin@gl.test.local \
-      --admin admin@gl.test.local --password 'test-password-123' \
-      --skip-tls --app-port 8080 --no-turn --reconfigure --yes
-"
+run_install "2/4 install.sh (боевой прогон: TLS и публичные порты не трогаем)"
+run_install "3/4 идемпотентность: повторный запуск с --reconfigure" --reconfigure
 
 log "4/4 проверки состояния"
 docker exec "$CONTAINER" bash -lc '