Add Gitea Docker package workflow

Dockerfile

@@ -3,11 +3,16 @@ ARG NPM_REGISTRY=https://registry.npmmirror.com
 
 FROM ${NODE_IMAGE} AS deps
 WORKDIR /app
+# FROM 之前声明的 ARG 不会自动进入每个构建阶段；
+# 只要 RUN 命令里要使用 registry，就需要在当前阶段重新声明。
+ARG NPM_REGISTRY=https://registry.npmmirror.com
 
 COPY package.json pnpm-lock.yaml pnpm-workspace.yaml ./
+# 仓库中提交的 lockfile 是本次构建的可信输入；
+# 这里避免 pnpm 11 在 Docker 构建期间重新用 registry 元数据校验供应链策略。
 RUN corepack enable \
   && pnpm config set registry ${NPM_REGISTRY} \
-  && pnpm install --frozen-lockfile
+  && pnpm install --frozen-lockfile --config.trust-lockfile=true
 
 FROM ${NODE_IMAGE} AS builder
 WORKDIR /app
@@ -15,8 +20,10 @@ ENV NEXT_TELEMETRY_DISABLED=1
 
 COPY --from=deps /app/node_modules ./node_modules
 COPY . .
+# 每个 Docker 阶段都有独立 PATH，因此使用 pnpm 前需要重新启用 corepack。
+RUN corepack enable
 RUN mkdir -p public/audio
-RUN npm run build
+RUN pnpm build
 
 FROM ${NODE_IMAGE} AS runner
 WORKDIR /app
@@ -29,9 +36,10 @@ ENV PORT=3000
 ENV AUDIO_DIRECTORY=/app/public/audio
 
 COPY package.json pnpm-lock.yaml pnpm-workspace.yaml ./
+# 运行时镜像只安装生产依赖。
 RUN corepack enable \
   && pnpm config set registry ${NPM_REGISTRY} \
-  && pnpm install --prod --frozen-lockfile \
+  && pnpm install --prod --frozen-lockfile --config.trust-lockfile=true \
   && pnpm store prune
 
 COPY --from=builder /app/.next ./.next