ci(cd): turbo-кэш, гейты typecheck/lint, таймауты, non-root образ

- .turbo в actions/cache (пересборки shared/db переиспользуются между прогонами)
- typecheck в web/api джобах, lint бэкенда в api-джобе
- убран пустой turbo test --filter=web (в web нет тестов)
- timeout-minutes на все джобы
- Dockerfile: USER node + --chown; прекомпрессия статики gzip+brotli на этапе
  сборки (Traefik не сжимает); compose: chown 1000:1000 data в инструкции

deploy/docker/authportal/Dockerfile

@@ -16,6 +16,7 @@ RUN --mount=type=cache,target=/root/.local/share/pnpm/store,sharing=locked \
     pnpm install --frozen-lockfile
 
 FROM deps AS build
+RUN apk add --no-cache brotli
 COPY apps/web apps/web
 COPY apps/api apps/api
 COPY packages/ui packages/ui
@@ -25,6 +26,8 @@ RUN --mount=type=cache,target=/root/.local/share/pnpm/store,sharing=locked \
     pnpm turbo build --filter=web --filter=@authportal/api \
     && pnpm --filter @authportal/api deploy --prod /out \
     && cp -r apps/web/dist /out/static \
+    && find /out/static -type f \( -name '*.js' -o -name '*.css' \) -exec sh -c \
+        'gzip -k9 "$1" && brotli -f -q 11 -o "$1.br" "$1"' _ {} \; \
     && rm -rf /out/src /out/test /out/.turbo \
     && rm -rf /out/node_modules/@authportal/db/src /out/node_modules/@authportal/db/scripts /out/node_modules/@authportal/db/.turbo \
     && rm -rf /out/node_modules/@authportal/shared/src /out/node_modules/@authportal/shared/.turbo \
@@ -32,7 +35,10 @@ RUN --mount=type=cache,target=/root/.local/share/pnpm/store,sharing=locked \
 
 FROM ${BASE_NODE} AS runtime
 WORKDIR /app
-RUN apk add --no-cache ca-certificates
+# Не-root runtime; /data — bind mount с хоста, на сервере нужен
+# `chown -R 1000:1000 ./data` (см. deploy/docker-compose.traefik.yml).
+RUN apk add --no-cache ca-certificates \
+    && mkdir -p /data && chown node:node /data
 ARG VERSION=dev
 ARG GIT_SHA=unknown
 ARG BUILD_TIME=
@@ -43,7 +49,8 @@ ENV NODE_ENV=production \
     APP_VERSION=${VERSION} \
     GIT_SHA=${GIT_SHA} \
     BUILD_TIME=${BUILD_TIME}
-COPY --from=build /out ./
+COPY --from=build --chown=node:node /out ./
+USER node
 EXPOSE 8080
 VOLUME ["/data"]
 HEALTHCHECK --interval=30s --timeout=5s --start-period=10s --retries=3 \