refactor(repo): deploy/ heißt jetzt build/ – der Name sagte das Gegenteil

"deploy" klang nach Ausrollen, drin steht das Gegenteil: das Bau-Rezept
und das Compose, das aus dem Quelltext baut. Ausgerollt wird mit
docker-compose.example.yml im Wurzelverzeichnis. Marc ist genau darüber
gestolpert.

Zwei Dinge mussten dafür vorher fest werden, sonst hätte das Umbenennen
die Entwicklungsdatenbank gekostet: Compose leitet den Projektnamen aus
dem Ordnernamen ab und hätte unter "build" ein neues, leeres Projekt mit
neuem, leerem Volume angelegt. Der Projektname steht deshalb jetzt im
Compose (name: aether), und das Volume trägt seinen alten Namen
ausdrücklich weiter (deploy_postgres_data) – unschön, aber die Daten
bleiben.

Ebenfalls angepasst: .gitignore. Dort stand deploy/.env; nach dem
Umbenennen wäre build/.env nur noch von der allgemeinen .env-Zeile
gedeckt gewesen.

Nachgeprüft nach dem Umzug: Abbild baut, Stapel startet, 113 Dateien in
der Datenbank wie vorher, Volume unverändert deploy_postgres_data,
GET / → 200.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

build/Dockerfile

@@ -0,0 +1,68 @@
+# ── Stage 1: Frontend build ───────────────────────────────────────────────────
+FROM node:20-alpine AS frontend-builder
+WORKDIR /app/frontend
+COPY frontend/package*.json ./
+RUN npm ci
+COPY frontend/ ./
+RUN npm run build
+
+# ── Stage 2: Backend build ────────────────────────────────────────────────────
+FROM golang:1.25-alpine AS backend-builder
+WORKDIR /app
+RUN apk add --no-cache git
+COPY backend/go.mod backend/go.sum ./
+RUN go mod download
+COPY backend/ ./
+RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o aether ./cmd/aether
+
+# ── Stage 3: Final image ──────────────────────────────────────────────────────
+FROM alpine:3.20
+# ocrmypdf, tesseract und poppler machen den Inhalt von PDFs und Scans
+# durchsuchbar (internal/documents). Sie wiegen zusammen rund 330 MB – der
+# Löwenanteil des Images. Wer das nicht braucht, kann die zweite apk-Zeile
+# streichen und OCR_ENABLED=false setzen; der Server prüft beim Start selbst,
+# ob die Programme da sind, und läuft sonst ohne Volltextsuche weiter.
+#
+# tesseract-ocr-data-deu/-eng sind die Sprachmodelle. Ohne sie startet
+# tesseract zwar, erkennt aber nichts – das Paket tesseract-ocr allein bringt
+# keine mit.
+RUN apk add --no-cache ca-certificates tzdata && \
+    apk add --no-cache ocrmypdf tesseract-ocr tesseract-ocr-data-deu \
+                       tesseract-ocr-data-eng poppler-utils && \
+    addgroup -S aether && adduser -S aether -G aether && \
+    mkdir -p /data/users /data/thumbs /data/tmp && \
+    chown -R aether:aether /data
+WORKDIR /app
+
+# Wo die Blobs liegen. Steht **hier**, nicht nur in der .env: Die Voreinstellung
+# im Code ist "./data" – richtig für ein Binary, das man von Hand startet,
+# falsch im Container, wo daraus /app/data würde. Genau das ist beim ersten
+# Aufbau aus der schlanken .env passiert: Migrationen liefen durch, dann
+# "mkdir /app/data: permission denied". Das Abbild kennt seine eigene
+# Verzeichnisstruktur besser als jede Beispieldatei; eine .env darf es
+# weiterhin überschreiben.
+ENV STORAGE_PATH=/data \
+    TMP_PATH=/data/tmp
+
+# Tesseract vermisst beim allerersten Aufruf die OpenCL-Geräte und schreibt
+# dabei einen langen Diagnoseblock nach stderr. ocrmypdf ruft davor
+# `tesseract --list-langs` auf und liest die Antwort – der Block bringt seinen
+# Parser aus dem Tritt, und der Aufruf endet mit „Tesseract failed to report
+# available languages" (Exit 3).
+#
+# Das Ergebnis der Vermessung landet als .dat im Arbeitsverzeichnis; ab dann ist
+# die Ausgabe kurz genug. Ohne diese Zeile scheitert deshalb genau das erste
+# Dokument nach jedem Neustart eines frischen Containers – gemessen, nicht
+# vermutet: Versuch 1 Exit 3, Versuch 2 erfolgreich. Der Wiederholungszähler
+# fängt es zwar auf, aber ein Fehlschlag, den man einbauen kann, gehört nicht
+# in den Log.
+RUN tesseract --list-langs >/dev/null 2>&1 || true
+
+COPY --from=backend-builder /app/aether ./aether
+COPY --from=frontend-builder /app/frontend/dist ./static
+
+RUN chown -R aether:aether /app
+USER aether
+
+EXPOSE 8080
+ENTRYPOINT ["./aether"]