feat: Docker Compose 最小编排——postgres:18 + 双无状态服务容器（ADR-007）

- 新增 docker-compose.yml、两服务 Dockerfile（eclipse-temurin:17-jre、非 root、仅装 exec jar）与 deploy/init-secrets.sh（幂等生成 RS256 密钥对与 .env 随机机密，产物入 .gitignore）
- 容器配置复用 application.yml.sample（SPRING_CONFIG_LOCATION 挂载）+ PATBOND_* 环境变量，与本机运行同一套约定；DB 端口不对宿主机发布
- spring-boot-maven-plugin 显式绑定 repackage（本工程无 starter-parent，此前 package 产物不可执行），exec classifier 保留普通 jar 供 auth 模块 E2E 依赖
- 验收：docker compose up -d --build 后完整冒烟通过（register→me→refresh→旧 token 重用 40102→/internal 无凭证 401→logout），down -v 无残留；./mvnw clean test 全绿 74 测试
- README 新增 Docker Compose 一节

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

Readme.md

@@ -103,6 +103,34 @@ curl -X POST http://127.0.0.1:8081/api/v1/auth/register \
 Machine-specific values live in the git-ignored `application.yml` (copied from the
 committed `.sample`); never commit secrets to the samples.
 
+## Docker Compose
+
+MVP 编排（ADR-007）：`postgres:18`（数据落 volume）+ 两个无状态应用容器。
+配置与本机运行同一套约定 —— 容器内挂载 `application.yml.sample` 作为配置，
+`PATBOND_*` 环境变量注入实际值。
+
+```bash
+# 1. 生成 RS256 密钥对与 .env（DB 口令、内部令牌；产物被 .gitignore 忽略）
+./deploy/init-secrets.sh
+
+# 2. 构建可执行 jar
+JAVA_HOME=/usr/lib/jvm/java-17-openjdk ./mvnw -DskipTests package
+
+# 3. 启动（首次会构建镜像）
+docker compose up -d --build
+
+# 冒烟
+curl -s -X POST http://127.0.0.1:8081/api/v1/auth/register \
+  -H 'Content-Type: application/json' \
+  -d '{"username":"demo_user","password":"secret123"}'
+
+# 停止（-v 同时删除数据库数据）
+docker compose down
+```
+
+注意：数据库端口不对宿主机发布；`8082`（user）在 MVP 阶段直连暴露以提供
+`/api/v1/me`，`/internal/**` 由服务间令牌保护，规模化阶段应改由网关统一入口。
+
 ## Services
 
 ### Auth Service