perf(container): статический musl-образ 30.2 MB, владение каталогами данных

- Dockerfile: musl-tools + полная статическая линковка, рантайм на alpine 3.20
  (debian-slim сам весит 113 MB, бюджет §9.1 <50 MB с ним недостижим)
- измерено на HomeServer: образ 30.2 MB, RSS 3.6 MB, холодный старт 0.21 с
- install.sh: set_data_ownership приводит data/{db,files,backups} к 10001:10001;
  без этого контейнер не может создать БД (проверено e2e)
- docs/DECISIONS.md: D-006 (временный stdlib-роутер до Фазы 1), D-007 (musl+alpine),
  D-008 (владение каталогами данных)

Dockerfile

@@ -18,28 +18,31 @@ ARG BUILD_DATE=unknown
 ARG GOPROXY=https://proxy.golang.org,direct
 ARG GOSUMDB=sum.golang.org
 ENV GOPROXY=${GOPROXY} GOSUMDB=${GOSUMDB} GOTOOLCHAIN=local
+# Статическая сборка: SQLite (CGO) линкуется с musl, чтобы рантайм обходился
+# без glibc и базового образа на 100+ MB.
+RUN apt-get update \
+    && apt-get install -y --no-install-recommends musl-tools \
+    && rm -rf /var/lib/apt/lists/*
 COPY go.mod go.sum ./
 RUN go mod download
 COPY cmd/ ./cmd/
 COPY internal/ ./internal/
-RUN CGO_ENABLED=1 go build \
+RUN CC=musl-gcc CGO_ENABLED=1 go build \
         -tags "sqlite_omit_load_extension" \
         -trimpath \
-        -ldflags "-s -w -X main.version=${VERSION} -X main.commit=${COMMIT} -X main.buildDate=${BUILD_DATE}" \
+        -ldflags "-s -w -linkmode external -extldflags -static -X main.version=${VERSION} -X main.commit=${COMMIT} -X main.buildDate=${BUILD_DATE}" \
         -o /out/glchat ./cmd/glchat
 
 # ---------- runtime ----------
-FROM debian:bookworm-slim AS runtime
+# База alpine + статический бинарник: образ укладывается в бюджет §9.1
+# (<50 MB). Проверка: docs/DECISIONS.md, решение D-007.
+FROM alpine:3.20 AS runtime
 
-# Корневой набор сертификатов берём из официального образа: полный пакет
-# ca-certificates с хэш-ссылками занимает десятки мегабайт, а нужен только
-# сам bundle. Рантайм не тянет apt-пакеты — образ укладывается в бюджет §9.1.
-COPY --from=alpine:3.22 /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/ca-certificates.crt
-
-RUN groupadd --system --gid 10001 glchat \
-    && useradd --system --uid 10001 --gid glchat --home-dir /app --shell /usr/sbin/nologin glchat \
+RUN addgroup -S -g 10001 glchat \
+    && adduser -S -u 10001 -G glchat -h /app -s /sbin/nologin glchat \
     && mkdir -p /app/data/db /app/data/files /app/data/backups /app/web \
-    && chown -R glchat:glchat /app
+    && chown -R glchat:glchat /app \
+    && apk add --no-cache ca-certificates tzdata
 
 COPY --from=gobuild /out/glchat /usr/local/bin/glchat
 COPY --from=web /src/web/dist /app/web