Phase 10a: Production-Deploy-Stack (Mac Mini)

infrastructure/docker-compose.production.yml mit 4 Services:
  - cards-postgres :5436    (Plattform-Postgres :5432, Dev :5435 belegt)
  - cards-minio :9110/9111  (Plattform-MinIO :9000/9001 belegt)
  - cards-api :3091         (alt war :3072 — Cutover via Tunnel-Reroute)
  - cards-web :5181         (alt war :5180)

Persistente Volumes auf /Volumes/ManaData/cards/{postgres,minio} —
außerhalb des Repo-Verzeichnisses (überlebt repo-wipes, gleicher
Pfad wie mana-platform-Daten).

Dockerfiles:
  - apps/api: oven/bun:1.1-alpine, single-stage. pnpm via npm install.
    Verdaccio-Auth via NPM_AUTH_TOKEN-Build-Arg + .npmrc.
  - apps/web: 2-stage node:20-alpine. SvelteKit-build mit
    PUBLIC_CARDS_API_URL als Build-Arg (kommt direkt in den
    Client-Bundle via vite). Runtime startet adapter-node-Bundle
    direkt mit `node build/index.js`.

infrastructure/.env.production.example als committable Skeleton —
echte .env.production bleibt git-ignored. Vier Secrets nötig:
CARDS_DB_PASSWORD, CARDS_S3_SECRET_KEY, CARDS_DSGVO_SERVICE_KEY,
NPM_AUTH_TOKEN.

Hard-Cutover-Plan: alte mana-app-cards-{server,web} bleiben kurz
parallel laufend, Tunnel zeigt nach dem Build/Verify-Cycle auf die
neuen Container, dann werden die alten gestoppt + entfernt.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

apps/api/Dockerfile

@@ -0,0 +1,34 @@
+# Cards-API: Hono + Bun, single-stage Image (Bun bundled keine
+# Native-Modules, kein separates Build-Stage nötig).
+#
+# Wird vom infrastructure/docker-compose.production.yml gebaut, daher
+# der Build-Context = Repo-Root (../ aus apps/api).
+
+FROM oven/bun:1.1-alpine
+
+WORKDIR /app
+
+# Lockfile + workspace-Skelett zuerst, damit bun den Layer cached.
+COPY package.json pnpm-lock.yaml pnpm-workspace.yaml turbo.json ./
+COPY apps/api/package.json apps/api/
+COPY packages/cards-domain/package.json packages/cards-domain/
+
+# Verdaccio-Auth via Build-Arg → .npmrc.
+ARG NPM_AUTH_TOKEN
+ENV NPM_AUTH_TOKEN=${NPM_AUTH_TOKEN}
+COPY .npmrc ./
+
+# pnpm via corepack — Bun-Image hat es nicht out-of-the-box.
+RUN apk add --no-cache nodejs npm bash \
+    && npm install -g pnpm@9.15.9 \
+    && pnpm install --frozen-lockfile --prod=false
+
+# Domain-Paket + API-Source einkopieren.
+COPY packages/cards-domain packages/cards-domain
+COPY apps/api apps/api
+
+WORKDIR /app/apps/api
+
+EXPOSE 3081
+
+CMD ["bun", "run", "src/index.ts"]