* chore: PLAN33-port-publish Draft PR 作成

* feat(compose): ENABLE_SSH 時に SSH ポートを決定的に publish (PLAN33 PR2)

Orca からコンテナへ SSH 接続できるよう、ENABLE_SSH=true のとき
generate_scaled_compose が各 dev-<index> サービスへ <bind>:<port>:22 を
publish する。

- env/keys.py: ENABLE_SSH / DEVBASE_SSH_BIND / DEVBASE_SSH_PORT_BASE を追加
- volume/ports.py (新規): sha1 ベースの安定ハッシュで (project, index) →
  host port を決定的に算出 (down→up を跨いで一定)
- volume/compose.py: project_name を _build_scaled_services /
  _build_dev_instance へ通し、ENABLE_SSH 有効時のみ ports を注入
- tests/volume/test_compose_ssh_ports.py (新規): 有効/無効・bind・base・
  決定性・衝突回避の単体テスト

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

---------

Co-authored-by: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

- 隔離: dev コンテナへ dev.devbase.ssh ラベルを付与し、_parse_inspect の
  必須条件に追加。22/tcp を publish する他 Compose プロジェクトの混入を防ぐ。
- ポート衝突: allocate_ssh_host_port を追加し、決定的ポートを優先しつつ
  同一生成内 + 他プロジェクト稼働 publish (best-effort docker 照会) と衝突する
  場合は線形探索で回避。決定性は衝突が無い限り保つ。
- docs: env init が収集するのは Mac の公開鍵である点を明記し、Windows の Orca
  では Windows の公開鍵を SSH_AUTHORIZED_KEYS に登録する手順・複数鍵対応・
  IdentityFile の対応関係を追記。
- エラーハンドリング: _running_ssh_targets が列挙失敗時に None を返し、
  regenerate_config は OrcaEnumerationError を送出して既存 config を保持。
  sync/prune CLI は非ゼロ終了、up/down フックは warning のみ。

tests: 889 passed (+10)

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

cross-review round 2 の指摘 3 件に対応。

A [major/正確性] SSH ポート衝突回避が自プロジェクトの稼働ポートまで数え、
  devbase scale で既存 dev-1..N の決定的ポートが +1 ずれて --no-recreate と
  不整合になる問題を修正。_running_published_host_ports に exclude_project 引数を
  追加し com.docker.compose.project ラベルで自プロジェクトを除外。up/scale の
  呼び出し側から現在の project_name を渡す。

B [major/状態同期] cmd_scale がスケールアウト後に Orca config を再生成せず、
  追加インスタンスが手動 sync まで現れない問題を修正。up 経路同様に成功時
  best-effort で _maybe_orca_sync() を呼ぶ。

C [minor/UX] 生成 config の IdentityFile を ~/.ssh/id_ed25519 固定にしていたため
  id_rsa のみのユーザーで不一致警告が出る問題を修正。IdentityFile 行を出力せず
  SSH クライアント/Orca の既定鍵解決に委ねる。docs/user/orca.md も追随。

テスト: A の自プロジェクト除外/他プロジェクト衝突と C の IdentityFile 非出力を追加。
uv run pytest tests/ -q は 895 passed。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

クロスレビュー round 3 の指摘 3 件に対応。

- [major/security] entrypoint.sh: openssh-server がビルド時に生成する
  /etc/ssh/ssh_host_*_key を初回起動時に破棄してから ssh-keygen -A で再生成し、
  イメージ由来の予測可能な共通 host key が全 install で共有される問題を修正。
  生成/復元+永続化を flock で直列化し、同一ボリューム共有時の競合 (TOCTOU) を回避。
- [minor] compose._running_published_host_ports を public 名
  get_running_published_host_ports へ改名 (定義/import/呼出/テスト全箇所)。
- [minor] cmd_orca の targets_provider 型注釈を
  Optional[Callable[[], Optional[List[SSHTarget]]]] へ修正 (None 返却に整合)。
- docs: host key が install ごとに一意生成される旨を追記 (orca.md / container-operations.md)。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

クロスレビュー round4 の major 指摘 3 件に対応。

1. [correctness] scale>=2 で Orca Host が衝突する問題を修正。
   generate_scaled_compose は dev-1..N を別サービスとして展開するため
   compose の container-number が全て 1 になり、index が全 target で 1 に
   潰れて Host devbase-<project>-1 が衝突していた。SSH publish 時に
   dev.devbase.index ラベルを付与し、_parse_inspect はこのラベルから
   index を読む (未設定時は container-number へフォールバック)。

2. [security] SSH_AUTHORIZED_KEYS を空にしても失効鍵で login できる問題を修正。
   ~/.ssh は永続ストレージへの symlink のため、env を空にしても前回の
   authorized_keys が残っていた。空のときは rm -f で永続鍵を削除して失効を反映する。

3. [correctness] User にホストの USERNAME を使うと SSH 失敗する問題を修正。
   Windows 上の Orca ホストでは USERNAME が Windows アカウント名になるが
   コンテナのログインユーザーは常に ubuntu。ambient な USERNAME は読まず
   ubuntu を既定とし、上書きは devbase 専用の DEVBASE_ORCA_USER のみに限定する。
   keys.py に DEVBASE_ORCA_USER を追加し docs/user/orca.md にも記載。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

- cross-project sync が全エントリへ実行プロジェクトの User を一律適用し、
  container user の異なる別プロジェクトのエントリがログイン不能になる問題を修正。
  compose 生成時に dev.devbase.user ラベルへ各プロジェクト自身の解決済みユーザーを
  焼き込み、_parse_inspect が per-target で読み取って SSHTarget.user に持たせる。
  _render_config はエントリ毎に User を出力する。

- ENABLE_SSH を true→false に切り替えて再 up した際、停止したコンテナのエントリが
  Orca config に残る問題を修正。_maybe_orca_sync を「SSH 有効 または config 既存」で
  再生成するよう変更。config 未作成の純粋な非 Orca ユーザーでは従来どおり何もしない
  (無用なファイル生成を避ける)。orca.config_exists() を追加。

- DEVBASE_SSH_PORT_BASE が非整数だと up が stacktrace で落ちる問題を修正。
  int 変換を try/except で握り DockerError に変換 (変数名と値を明示)。確保後の
  ホストポートが 1..65535 を超える場合も DockerError にする。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

down 後の Orca SSH config 剪定が regenerate_config() を無条件に呼んでいたため、
Orca/SSH を一切使わないユーザーの devbase down でも毎回 ~/.config/devbase/orca/
ssh_config (親ディレクトリ + ヘッダ) が新規生成されていた。round5 で
_maybe_orca_sync に追加した config_exists() ゲートと同じ扱いにし、config が
既に存在するときのみ剪定するよう修正する。剪定ゲートの test を 3 件追加。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

公開鍵は数百文字・複数行になり得るため、そのまま safe_input の
プロンプトへ埋め込むとターミナル表示が崩れる。鍵種別と末尾数文字
+ (設定済み) の短縮表示に変更。Enter で維持される既定値 (default
引数) はフル鍵のままで、保存値のセマンティクスは不変。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>