build(docker): static ffprobe, --allow-run=ffprobe,sha256sum, three supervised processes

entrypoint runs api + worker (io) + worker:agent; compose/runbooks document
WORKER_CONCURRENCY, WORKER_AGENT_CONCURRENCY, ORGANIZE_WALK_MAX_FILES.

Co-Authored-By: Claude Opus 5.5 <[email protected]>

Dockerfile

@@ -1,6 +1,9 @@
 # 单容器镜像:一个 deno compile 出的 umt-server 二进制,同时承担 API(含 web 静态 SPA)与 worker。
 # PostgreSQL 不在本镜像内,见 docker-compose.yml。
 # 构建:docker build -t uhd-media-tool .    运行时版本锁定 Deno 2.9.7(ADR-004)
+# ffprobe 取自静态构建镜像(单个 static-pie 二进制,约 135 MB;Debian 的 ffmpeg 包要拉 200+ 个依赖、约 450 MB)
+ARG FFPROBE_IMAGE=mwader/static-ffmpeg:7.1.1
+FROM ${FFPROBE_IMAGE} AS ffprobe
 
 FROM denoland/deno:2.9.7 AS build
 WORKDIR /src
@@ -10,7 +13,8 @@ ARG APP_VERSION=""
 ENV APP_VERSION=${APP_VERSION}
 RUN deno task check:tokens && cd apps/web && deno task build
 # --node-modules-dir=none + --exclude-unused-npm:只嵌入 server 依赖图可达的 npm 包(约 110 MB,而不是整个 node_modules)
-# 权限在编译时固定:读写不限路径(库根/下载目录由用户挂载,位置不固定;写保护靠 /app root 只读 + 非 root 运行),不给 --allow-run
+# 权限在编译时固定:读写不限路径(库根/下载目录由用户挂载,位置不固定;写保护靠 /app root 只读 + 非 root 运行);
+# --allow-run 只放 ffprobe(入库探测)与 sha256sum(强制全量哈希走子进程,coreutils 自带)
 RUN cd apps/server && deno task compile
 
 FROM debian:trixie-slim
@@ -27,6 +31,7 @@ RUN if [ -n "$APT_MIRROR" ]; then sed -i "s|deb.debian.org|$APT_MIRROR|g" /etc/a
  && mkdir -p /data && chown 10001:10001 /data
 WORKDIR /app
 # /app 全部 root 属主、只读:运行用户(缺省 10001,可用 PUID/PGID 覆盖)改不了二进制与静态产物
+COPY --from=ffprobe --chown=root:root --chmod=0555 /ffprobe /usr/local/bin/ffprobe
 COPY --from=build --chown=root:root --chmod=0555 /src/dist/umt-server /app/umt-server
 COPY --from=build --chown=root:root /src/apps/web/build/client /app/public
 COPY --chown=root:root --chmod=0555 docker/entrypoint.sh /app/entrypoint.sh