feat(gitea): 部署 gitea 28.2.0 并入库接入草稿

- 容器 gitea/gitea:28.2.0 仅绑 127.0.0.1:13020，管理员 wait4x 经 CLI 创建，
  私有空仓 wait4x/blog 就位（Phase 1 博客源码仓）
- app.ini 种子入库（INSTALL_LOCK 预置，密钥首启生成，快照严禁回覆盖运行时）
- REQUIRE_SIGNIN_VIEW 会 403 匿名 version 端点，与验收冲突已撤，坑记 README
- 凭据不进 git：初始密码并入住主 init-credentials.txt（0600），README 留指引

验证: curl -sf http://127.0.0.1:13020/api/v1/version → {"version":"28.2.0"}；
      docker inspect gitea = running；wait4x/blog private+empty 经 API 查证

Co-authored-by: GLM-5.3

infra/gitea/nginx-git.wait4x.online.conf

@@ -0,0 +1,28 @@
+# gitea 接入草稿（git.wait4x.online → 127.0.0.1:13020）：仅入库，未安装；
+# proxy 头写法与主站 halo vhost（/etc/nginx/sites-available/default）保持一致，
+# 接入时由运维侧复制到 sites-available 并 reload，本文件不自行进 sites-enabled
+server {
+    include snippets/esa-origin-ssl.conf;
+    server_name git.wait4x.online;
+
+    # git push 大 pack 走 http body；与 app.ini 网页上传上限（单文件 50MB）是两条独立限制
+    client_max_body_size 100M;
+
+    location / {
+        proxy_pass http://127.0.0.1:13020;
+        proxy_set_header Host $host;
+        proxy_set_header X-Real-IP $remote_addr;
+        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+        proxy_set_header X-Forwarded-Proto $scheme;
+
+        proxy_hide_header X-Powered-By;
+        proxy_hide_header Server;
+
+        proxy_connect_timeout 60s;
+        proxy_send_timeout 120s;
+        proxy_read_timeout 120s;
+    }
+
+    access_log /var/log/nginx/git-access.log;
+    error_log /var/log/nginx/git-error.log;
+}