fix: CI 锁定 python:3.13-slim 容器、走 archive 接口拉源码，每步结果上报 status

五轮实跑证据链：工作流多次 7~26s 即死而 probe（纯 curl）每次成功；
换成 gitea 本地 clone 依旧 8s 即死——默认镜像工具链不明是主因，git/
github 只是其中一环。收缩依赖面：container 固定 python:3.13-slim
（保证 python3.13+pip，免去 uv 下载 CPython）；源码经 Gitea archive
接口拉 tarball（curl 已被 probe 证明可用）；pyright 的 node 缺失时
apt 兜底。日志匿名不可读，改为每个关键步骤把成败写进 commit status
（远程可读），失败点从此可直接定位。

部署工作流同步换 archive 拉源码；deploy/secrets 探测两轮均报
MISSING，待仓库侧补配 secrets。

.gitea/workflows/deploy-docs.yml

@@ -19,10 +19,14 @@ jobs:
     name: Cloudflare Pages
     runs-on: ubuntu-latest
     steps:
-      # 不用 actions/checkout（runner 对 github 连通性不稳，见 probe.yml），
-      # 改从 Gitea 本体克隆
-      - name: 检出代码
-        run: git clone --depth=1 "${GITHUB_SERVER_URL:-https://gitea.4i.hk}/${GITHUB_REPOSITORY}.git" .
+      # 不用 actions/checkout、不用 git（runner 对 github 连通性不稳，见
+      # probe.yml）：改走 Gitea archive 接口拉源码 tarball
+      - name: 拉源码
+        run: |
+          SERVER="${GITHUB_SERVER_URL:-https://gitea.4i.hk}"
+          curl -sL "$SERVER/api/v1/repos/$GITHUB_REPOSITORY/archive/$GITHUB_SHA.tar.gz" -o src.tgz \
+            && mkdir src && tar -xzf src.tgz -C src --strip-components=1 \
+            && mv src/* . && rm -rf src src.tgz
 
       # 日志匿名不可读：把 secrets 在场情况写进 commit status 便于远程
       # 排查（只报 set/MISSING，不泄露值）