feat(gitea): 部署 gitea 28.2.0 并入库接入草稿

- 容器 gitea/gitea:28.2.0 仅绑 127.0.0.1:13020，管理员 wait4x 经 CLI 创建，
  私有空仓 wait4x/blog 就位（Phase 1 博客源码仓）
- app.ini 种子入库（INSTALL_LOCK 预置，密钥首启生成，快照严禁回覆盖运行时）
- REQUIRE_SIGNIN_VIEW 会 403 匿名 version 端点，与验收冲突已撤，坑记 README
- 凭据不进 git：初始密码并入住主 init-credentials.txt（0600），README 留指引

验证: curl -sf http://127.0.0.1:13020/api/v1/version → {"version":"28.2.0"}；
      docker inspect gitea = running；wait4x/blog private+empty 经 API 查证

Co-authored-by: GLM-5.3

infra/gitea/app.ini

@@ -0,0 +1,49 @@
+; 首启种子配置（入库快照）。运行时文件在宿主部署目录 data/gitea/conf/app.ini，
+; 首启由 gitea 追加 SECRET_KEY / INTERNAL_TOKEN / LFS_JWT_SECRET 等密钥，
+; 严禁用本快照回覆盖运行时文件（密钥丢失 = 已加密数据不可再解密）。
+APP_NAME = wait4x git
+RUN_MODE = prod
+RUN_USER = git
+WORK_PATH = /data/gitea
+
+[database]
+; 个人规模 sqlite 足够，免掉独立 DB 容器；将来迁 PG 需停机导换
+DB_TYPE = sqlite3
+PATH = /data/gitea/gitea.db
+
+[repository]
+ROOT = /data/git/repositories
+; 防误公开：新仓一律私有
+DEFAULT_PRIVATE = private
+
+[repository.upload]
+; 网页端上传上限：单次 20 个文件、单文件 50MB。
+; git push 大 pack 不走这项，走 nginx client_max_body_size（见 nginx-git.wait4x.online.conf）
+MAX_FILES = 20
+FILE_MAX_SIZE = 50
+
+[server]
+DOMAIN = git.wait4x.online
+ROOT_URL = https://git.wait4x.online/
+HTTP_ADDR = 0.0.0.0
+HTTP_PORT = 3000
+; 容器不映射 22 端口、公网只过 nginx，SSH 通道整体关闭，克隆统一 https
+DISABLE_SSH = true
+
+[security]
+; 跳过网页安装向导；密钥留空由首启生成并写回
+INSTALL_LOCK = true
+
+[service]
+; 公网可达的私有实例：无自助注册，账号只能由管理员 CLI 建
+DISABLE_REGISTRATION = true
+SHOW_REGISTRATION_BUTTON = false
+; 注意不要开 REQUIRE_SIGNIN_VIEW：它会把匿名 /api/v1/version 一并 403，
+; 而验收与健康检查都依赖裸 curl 该端点；私有性靠 private 仓 + 关注册保证
+
+[i18n]
+LANG = zh-CN
+
+[log]
+MODE = console
+LEVEL = Info