feat(install): консольный установщик bj и первичная настройка по одноразовому коду

- cmd/bj-installer (вместо веб-мастера): проверка Debian 13 / Astra, пакеты, пользователь и
  каталоги, активация лицензии ключом продукта, PostgreSQL и миграции m2m_core, компоненты
  по лицензии с проверкой подписи, root-скрипты и службы, одноразовый код и итоговый экран
  с адресом http://<сервер>:8080/first-run; проверка в песочнице (--steps, --root)
- bj: /first-run — пока нет пользователей и установщик оставил код, по коду создаётся
  первый администратор (прежние установки без файла работают как раньше)
- internal/release/install.go — общая установка компонентов (bj-component-install и
  установщик); bj-component-install стал компонентом ядра
- открытые ключи вынесены в internal/license и internal/release; миграции и файлы
  развёртывания встроены (migrations/embed.go, deploy/embed.go); unit bj-server исправлен
- scripts/build-release.sh: сборка с версиями, подпись, публикация на сервер обновлений

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

scripts/build-release.sh

@@ -0,0 +1,41 @@
+#!/bin/sh
+# Сборка и подпись релиза bj для сервера обновлений (lic.zetit.ru).
+#
+#   scripts/build-release.sh 2026.10.1 [канал] [опубликовать]
+#     2026.10.1      версия релиза
+#     канал          stable (по умолчанию) | beta | …
+#     опубликовать   publish — сразу загрузить на сервер (нужен репозиторий lic_Bridge-and-Join-s рядом)
+#
+# Версии компонентов: переменные BJ_SERVER_VERSION, INSTALLER_VERSION, COMPONENT_INSTALL_VERSION,
+# CRYPTO_VERSION (по умолчанию — версия релиза). Криптосервис берётся из CRYPTO_JAR
+# (по умолчанию /opt/bj/crypto-service.jar). Ключ подписи: RELEASE_KEY (~/keys/release-signing.priv).
+set -eu
+VERSION=${1:?версия релиза, например 2026.10.1}
+CHANNEL=${2:-stable}
+PUBLISH=${3:-}
+ROOT=$(cd "$(dirname "$0")/.." && pwd)
+DIST=${DIST:-$ROOT/dist/release-$VERSION}
+KEY=${RELEASE_KEY:-$HOME/keys/release-signing.priv}
+MOD=git.zetit.ru/zuevav/Bridge-and-Join-s
+rm -rf "$DIST" && mkdir -p "$DIST"
+cd "$ROOT"
+ver() { eval "v=\${$1:-}"; [ -n "$v" ] && echo "$v" || echo "$VERSION"; }
+echo "Сборка релиза $VERSION (канал $CHANNEL) в $DIST"
+go build -trimpath -ldflags "-s -w -X $MOD/internal/lkgateway.BuildVersion=$(ver BJ_SERVER_VERSION)" -o "$DIST/bj-server" ./cmd/bj-server
+CGO_ENABLED=0 go build -trimpath -ldflags "-s -w -X main.installerVersion=$(ver INSTALLER_VERSION)" -o "$DIST/bj-installer" ./cmd/bj-installer
+CGO_ENABLED=0 go build -trimpath -ldflags "-s -w" -o "$DIST/bj-component-install" ./cmd/bj-component-install
+ver BJ_SERVER_VERSION > "$DIST/bj-server.version"
+ver INSTALLER_VERSION > "$DIST/bj-installer.version"
+ver COMPONENT_INSTALL_VERSION > "$DIST/bj-component-install.version"
+JAR=${CRYPTO_JAR:-/opt/bj/crypto-service.jar}
+if [ -f "$JAR" ]; then
+  cp "$JAR" "$DIST/crypto-service.jar"
+  ver CRYPTO_VERSION > "$DIST/crypto-service.jar.version"
+fi
+go run ./cmd/bj-release build -dir "$DIST" -version "$VERSION" -channel "$CHANNEL" -key "$KEY" -keyid release -out "$DIST/manifest.json"
+if [ "$PUBLISH" = "publish" ]; then
+  LIC=${LIC_REPO:-$ROOT/../lic_Bridge-and-Join-s}
+  [ -x "$LIC/deploy/publish-release.sh" ] || LIC=$HOME/lic_Bridge-and-Join-s
+  rm -f "$DIST"/*.version
+  "$LIC/deploy/publish-release.sh" "$DIST" "$CHANNEL"
+fi