feat(docker): 支持 CI 构建 docker 镜像

[jlovec]

变更说明

• 同步 bun.lock，修复 bun install --frozen-lockfile 在 Docker 构建中的失败问题。
• 在 Dockerfile.cli 中改为使用 bun add -g @anthropic-ai/claude-code 安装 Claude Code，避免 Bun 基础镜像中缺少 npm 导致构建失败。

背景

此前 PR 的 Docker workflow 在构建阶段失败，主要原因有两点：

1. lockfile 与依赖解析结果不一致，--frozen-lockfile 直接失败。
2. CLI 镜像内执行 npm install -g，但镜像环境无可用 npm 命令。

验证

• 在 fork 仓库 PR 上，Docker Images workflow 已通过（hub/cli 均成功）。
• 当前分支已整理为单个 commit，便于审阅和回滚。

风险与兼容性

• 仅调整 Docker 构建链路与 lockfile，不改动运行时业务逻辑。
• 变更范围聚焦在镜像构建稳定性。

[github-actions]

[MAJOR] 依赖 tarball URL 使用 HTTP 镜像

Why this is a problem: bun.lock 中大量依赖指向 http:// 镜像，构建链路走明文传输，存在 MITM/降级与可用性风险，且不符合依赖下载的安全传输预期。

Suggested fix:

-    "@adobe/css-tools": ["@adobe/css-tools@4.4.4", "http://mirrors.cloud.tencent.com/npm/@adobe/css-tools/-/css-tools-4.4.4.tgz", {}, "sha512-Elp+iwUx5rN5+Y8xLt5/GRoG20WGoDCQ/1Fb+1LiGtvwbDavuSk0jhD/eZdckHAuzcDzccnkv+rEjyWfRx18gg=="],
+    "@adobe/css-tools": ["@adobe/css-tools@4.4.4", "https://mirrors.cloud.tencent.com/npm/@adobe/css-tools/-/css-tools-4.4.4.tgz", {}, "sha512-Elp+iwUx5rN5+Y8xLt5/GRoG20WGoDCQ/1Fb+1LiGtvwbDavuSk0jhD/eZdckHAuzcDzccnkv+rEjyWfRx18gg=="],

[github-actions]

[MINOR] ~ 在 Compose 中不展开，默认挂载路径失效

Why this is a problem: ~/.claude 不会被 Docker Compose 展开为用户 Home，默认会变成字面路径，导致 Claude 配置目录未正确挂载。

Suggested fix:

-      - ${CLAUDE_CONFIG_DIR:-~/.claude}:/root/.claude
+      - ${CLAUDE_CONFIG_DIR:?set CLAUDE_CONFIG_DIR in .env}:/root/.claude

[github-actions]

Findings

• [Major] bun.lock 中依赖 tarball URL 变为 http:// 镜像，明文传输风险。示例：bun.lock:227
• [Minor] Compose 中 ~/.claude 不会展开为 Home，默认挂载可能失效。示例：docker-compose.yml:37

Testing

• Not run (automation)

[jlovec]

已按审查意见修复并整理为 1 个提交：\n- bun.lock 中 mirror tarball URL 已从 http 切换为 https\n- docker-compose 不再依赖 '~' 展开，改为要求显式 CLAUDE_CONFIG_DIR\n- README 已更新为必须提供绝对路径\n\n请重新触发检查，谢谢。

[jlovec]

按功能拆分后已由新 PR 承接：#256（Docker/Compose 安全与构建链路）以及 #254（spawn 稳定性修复）。为避免跨主题耦合，此 PR 关闭。