feat(ops): бэкапить конфигурацию Forgejo, а не только его содержимое (#3073)

ops/backup-forgejo.sh

@@ -166,8 +166,56 @@ fi
 
 log "Repo bundle OK: ${repos_out} ($(du -h "$repos_out" | cut -f1), ${repos_bytes} bytes)"
 
-# --- 3. upload to S3 (mandatory — see guard 0 above) ---
+# --- 3. config bundle (#2203 follow-up) ---
-for f in "$db_out" "$repos_out"; do
+# ПОЧЕМУ ЭТО ОТДЕЛЬНЫЙ АРТЕФАКТ. Бэкап забирал БД и голые репозитории — то есть
+# СОДЕРЖИМОЕ Forgejo, но не то, ЧЕМ оно поднимается. Компоуз-файлы Forgejo и
+# раннеров живут в /home/gendesign/forgejo/, вне репозитория (проверено:
+# `git rev-parse` там отвечает "not a git repository"), их не трогает ни один
+# деплой и не покрывал ни один бэкап.
+#
+# Практический смысл: при потере хоста БД и репозитории восстанавливаются, а
+# КОНФИГУРАЦИЯ — нет. Пришлось бы вручную воссоздавать docker-compose.yml и
+# заново регистрировать три раннера. Файлы крошечные (~5 КБ на оба), так что
+# цена включения нулевая, а цена отсутствия — ручная реконструкция в худший
+# момент.
+#
+# Косвенное подтверждение, что каталог правится руками и без истории: рядом
+# лежат runner-compose.yml.bak, .bak.1779049805, .bak.before-runner3 — три
+# самодельных снимка вместо version control.
+#
+# ЧТО НАМЕРЕННО НЕ ВКЛЮЧЕНО:
+#   .env (режим 600) и runner*/data/ с регистрационными токенами — секреты.
+#   Они остаются ручным off-box пунктом владельца, тем же, что .env.runtime
+#   в приёмке #2203. Раннеры при восстановлении перерегистрируются из UI за
+#   пару минут; компоуз-файл руками не восстановишь.
+config_out="${LOCAL_BACKUP_DIR}/forgejo-config_${ts}.tar.gz"
+log "Bundling Forgejo compose config from ${FORGEJO_DIR} -> ${config_out}"
+
+# -C + явные имена, а не путь целиком: в архиве оказываются только те файлы,
+# что перечислены, без каталога data/ (он огромен и уже покрыт repo-бандлом).
+if ! tar -czf "$config_out" -C "$FORGEJO_DIR" \
+        --exclude='.env' \
+        $(cd "$FORGEJO_DIR" && ls *.yml 2>/dev/null) 2>/dev/null; then
+    log "WARN: не удалось собрать config-бандл — продолжаю без него" >&2
+    rm -f "$config_out"
+    config_out=""
+fi
+
+if [[ -n "$config_out" ]]; then
+    # Порог намеренно низкий: файлы и правда маленькие. Проверяем не «объём», а
+    # «архив собрался и читается» — те же две проверки, что у repo-бандла.
+    config_bytes=$(wc -c < "$config_out" | tr -d ' ')
+    if (( config_bytes < 200 )) || ! tar -tzf "$config_out" >/dev/null 2>&1; then
+        log "WARN: config-бандл подозрителен (${config_bytes} байт / не читается) — не выгружаю" >&2
+        rm -f "$config_out"
+        config_out=""
+    else
+        log "Config bundle OK: ${config_out} (${config_bytes} байт, файлов: $(tar -tzf "$config_out" | wc -l))"
+    fi
+fi
+
+# --- 4. upload to S3 (mandatory — see guard 0 above) ---
+for f in "$db_out" "$repos_out" ${config_out:+"$config_out"}; do
     key="${FORGEJO_S3_PREFIX%/}/$(basename "$f")"
     log "Uploading to s3://${FORGEJO_S3_BUCKET}/${key}"
     # Same AWS_CA_BUNDLE fix as ops/backup.sh / backup-tradein-db.sh — aws-cli