ci: build, test and publish the image once, then let the release reuse it

Drop the pull_request trigger (the branch push already validates the commit),
drop the second npm run build from the lint job (the image build compiles it),
and build the image on arm64 after the cheap checks pass. The CI publishes it
as inputs-<hash>, so the merge to main only re-tags it.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

.gitea/workflows/release.yml

@@ -18,10 +18,10 @@ env:
 
 jobs:
   # A imagem só depende dos arquivos que entram no build, não da documentação nem
-  # da configuração de ferramentas. Quando já existe no registro uma imagem para
-  # o mesmo conteúdo (um merge só de docs, uma mudança de workflow, uma tag num
-  # commit que acabou de ser publicado), não há o que construir: as tags novas
-  # apontam para o manifesto existente.
+  # da configuração de ferramentas. O push da branch já a construiu, testou e
+  # publicou como inputs-<hash>; quando essa tag existe (o caso normal de um
+  # merge, uma tag num commit validado, um merge só de docs), não há o que
+  # construir: as tags novas apontam para o manifesto existente.
   plano:
     name: Plano (reaproveitar a imagem?)
     runs-on: ubuntu-latest
@@ -32,23 +32,7 @@ jobs:
     steps:
       - uses: actions/checkout@v4
       - id: plano
-        env:
-          REPO: ${{ gitea.repository }}
-        run: |
-          inputs=$(git ls-tree -r HEAD \
-            | awk -F'\t' '$2 !~ /^(\.gitea|\.github|\.claude|\.superset|docs)\// && $2 !~ /^(README.*|CLAUDE\.md|DESIGN\.md|LICENSE|\.gitignore|CHANGELOG\.md|scripts\/release-notes\.sh)$/' \
-            | sha256sum | cut -c1-16)
-          ns="${REPO,,}"
-          token=$(curl -fsS "https://$REGISTRY/v2/token?service=container_registry&scope=repository:$ns:pull" | jq -r .token)
-          code=$(curl -s -o /dev/null -w '%{http_code}' -I \
-            -H "Authorization: Bearer $token" \
-            -H 'Accept: application/vnd.oci.image.index.v1+json,application/vnd.docker.distribution.manifest.list.v2+json,application/vnd.oci.image.manifest.v1+json' \
-            "https://$REGISTRY/v2/$ns/manifests/inputs-$inputs")
-          echo "inputs-$inputs -> HTTP $code"
-          reuse=false; [ "$code" = 200 ] && reuse=true
-          echo "inputs=$inputs" >> "$GITHUB_OUTPUT"
-          echo "reuse=$reuse" >> "$GITHUB_OUTPUT"
-          echo "image=$REGISTRY/$ns" >> "$GITHUB_OUTPUT"
+        run: scripts/plano-imagem.sh "$REGISTRY" "${{ gitea.repository }}" >> "$GITHUB_OUTPUT"
 
   # Nada é publicado sem a suíte completa passar antes. Pulada quando a imagem é
   # reaproveitada: o mesmo conteúdo já passou por ela.
@@ -68,6 +52,11 @@ jobs:
     steps:
       - uses: actions/checkout@v4
 
+      # Se o ci chamado acima acabou de publicar a imagem (push direto na main),
+      # o plano lá de cima está desatualizado: confere de novo antes de construir.
+      - id: replano
+        run: scripts/plano-imagem.sh "$REGISTRY" "${{ gitea.repository }}" >> "$GITHUB_OUTPUT"
+
       - uses: docker/setup-buildx-action@v4
 
       - name: Autentica no registro
@@ -89,7 +78,7 @@ jobs:
             type=sha,format=long
 
       - name: Build e push
-        if: ${{ needs.plano.outputs.reuse != 'true' }}
+        if: ${{ steps.replano.outputs.reuse != 'true' }}
         uses: docker/build-push-action@v7
         with:
           context: .
@@ -104,7 +93,7 @@ jobs:
 
       # Mesmo manifesto, nomes novos: nenhuma camada é lida nem escrita.
       - name: Aplica as tags à imagem existente
-        if: ${{ needs.plano.outputs.reuse == 'true' }}
+        if: ${{ steps.replano.outputs.reuse == 'true' }}
         run: |
           tags=$(jq -cr '.tags | map("-t " + .) | join(" ")' <<< '${{ steps.meta.outputs.json }}')
           docker buildx imagetools create $tags "${{ needs.plano.outputs.image }}:inputs-${{ needs.plano.outputs.inputs }}"