perf(db): миграция 0079 — pg_trgm GIN-индексы поиска и горячие индексы

Шаг 0.11 плана production-готовности:
- триграммные GIN на tasks.title/description (ilike '%…%' без смены семантики)
- tasks(organization_id, updated_at DESC), tasks(form_id, updated_at)
- field_history(task_id), users(email)

Проверено на 100k задач: Seq Scan 77.5ms → Bitmap Index Scan 4.8ms (~16x)

Dockerfile

@@ -18,8 +18,12 @@ RUN if [ -n "$ALPINE_MIRROR" ]; then sed -i "s|dl-cdn.alpinelinux.org|$ALPINE_MI
 
 WORKDIR /app
 
+# Только production-зависимости: typescript/vite/vitest в образ не попадают.
+# Сервер запускается из esbuild-бандла (dist/index.js, --packages=external),
+# поэтому все runtime-зависимости должны быть в node_modules.
 COPY --from=builder /app/package*.json ./
-COPY --from=builder /app/node_modules ./node_modules
+RUN --mount=type=cache,target=/root/.npm npm ci --omit=dev
+
 COPY --from=builder /app/dist ./dist
 COPY --from=builder /app/shared ./shared
 COPY --from=builder /app/drizzle.config.ts ./drizzle.config.ts
@@ -38,6 +42,15 @@ RUN apk add --no-cache python3 py3-pip py3-lxml \
     && pip3 install --break-system-packages python-docx \
     && rm -rf /root/.cache/pip
 
+# Контейнер не работает от root: отдельный пользователь app.
+# /app/data — загрузки (local-режим) и JSON-данные финансов, должна быть доступна на запись.
+# npm при старте (db:migrate/start) пишет кэш — перенаправляем в /tmp.
+RUN adduser -D app && chown -R app:app /app
+ENV npm_config_cache=/tmp/.npm \
+    PYTHONDONTWRITEBYTECODE=1 \
+    HOME=/tmp
+USER app
+
 EXPOSE 5000
 
 HEALTHCHECK --interval=30s --timeout=10s --start-period=30s --retries=3 \