feat(launch): 热力图与 webhook 发布闭环（T2/T3）

- T2 (op-artalk 车道)：gitea heatmap 构建期拉取+fallback+空态三保险，
  53×7 灰阶格复用 tokens（亮暗自动），日界锚定 Asia/Shanghai，零 JS，
  zh/en 首页挂载；fallback 经死端点实测不破构建
- T3：webhook_receiver.py（HMAC 强制+main-only+构建锁）以 systemd
  --user 常驻 13021；gitea hook 注册（events=push, branch=main）
- 三个深坑：gitea 容器回宿主须走桥网关 IP 而非 127.0.0.1；gitea 28
  egress 拦私网须 ALLOWED_HOST_LIST（ALLOWLIST 是废弃名）；systemd
  用户服务缺用户 PATH 致 build 静默失败（stamp 不更新即症状）

验证: 测试投递 202→构建→staging 戳更新（09:48:37 实测）；
      dist 热力图 376 格真数据（9 次贡献）zh/en 双页

Spec: 2026-10-25_add-blog-launch
Co-authored-by: GLM-5.3

.spec/specs/2026-10-25_add-blog-launch/tasks.md

@@ -10,12 +10,12 @@
   - boundary: 升级 SearchDialog 为 CommandPalette：动作层（切主题/切语言/跳 gitea/RSS 复制）+ 导航层（五页型 zh/en）+ 搜索层（现 Pagefind 逻辑保留）；键盘 ↑↓/Enter/Esc/分组标题；i18n 字典串；不碰 Keyboard.astro 的 g-chords（帮助浮层另行加一行 Ctrl K 提示可改 Keyboard）
   - verify: `pnpm astro build && grep -q "command-palette\|cmd-item" dist/index.html`
 
-- [ ] T2 gitea 贡献热力图
+- [x] T2 gitea 贡献热力图
   - claim: op-artalk（mesh 车道，预约 src/lib/heatmap.ts 与 src/components/geek/Heatmap.astro）
   - boundary: lib 构建时 fetch heatmap API（git log 兜底可选）+ 失败读仓内 src/data/heatmap-fallback.json；组件 53×7 CSS grid 灰阶五档（亮暗两套）+ 每格 title 日期次数 + 少→多图例 + i18n 标题；挂载进首页（ProjectWall 下方）；不碰其它组件
   - verify: `pnpm astro build && grep -q "heatmap" dist/index.html`
 
-- [ ] T3 webhook HMAC 闭环
+- [x] T3 webhook HMAC 闭环
   - depends-on: 无
   - claim: orchestrator
   - boundary: infra/deploy/webhook-receive.sh 填实 HMAC（openssl sha256 比对 X-Gitea-Signature）；生成 webhook-secret；gitea API 注册 webhook（push/main/127.0.0.1 接收端点）；接收端常驻方式用 python http.server 微型包装（监听 127.0.0.1:13021，仅 HMAC 通过触发 build.sh）；实测一次 push→build→staging 戳更新