chore(部署): push 后先过检查再部署；判题机重启那几秒交的题不再变成系统错误；worker 挂了看得出来

按外部分析报告（reports/analysis）挑出来做的几条：
- CI 在编完前端之后跑 `bunx vp run verify`，有一项不过就不部署（必须排在编前端之后：
  前端类型检查要的 auto-imports.d.ts / components.d.ts 是 vite build 时才生成的）
- 连不上判题机（连接被拒、解析不到、被重置）时，正式判题等 2/5/10 秒重试，不再当场记成
  系统错误；超时、判题机回错、页面上的运行和自测不重试
- worker 每 10 秒刷一次「还活着」，compose 加 `oj2-api healthcheck --worker`，deploy.sh 起栈后
  也等 worker 健康（docker 不会因 unhealthy 自动重启，只是看得见、部署时拦得住）
- 三套 compose 的容器日志限 10MB × 3
- `/public/%` 这类畸形编码回 404 而不是 500；找不到的接口回统一的 JSON 错误
- 删掉没人用的「停用判题机」接口，契约不再给 task_number / is_disabled（列留在库里）
- 删掉腐化的 apps/web/tests/submitButtonState.test.ts；契约包 zod 范围对齐到 ^4.6.6
- 修几处和实际对不上的注释与文档（表数、编译并发、AST 语言数、deploy.sh 流程、校验处数）

⚠️ 改了 compose 的日志配置，这次部署会把 postgres / redis / 判题机也重建一遍，各停几秒

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

apps/api/src/index.ts

@@ -44,6 +44,10 @@ app.route('/api', submissionRoutes)
 app.route('/api', trialRunRoutes)
 app.route('/api/admin', adminRoutes)
 
+// 没有这条的话，打错的接口地址回的是 Hono 默认的纯文本「404 Not Found」，前端 utils/api.ts 读不出
+// error.code / message，提示就成了笼统的「请求失败」。和其它错误同一个形状
+app.notFound((c) => c.json({ error: { code: 'not-found', message: 'Not found' } }, 404))
+
 app.onError((error, c) => {
   console.error(error)
   return c.json({ error: { code: 'internal-error', message: 'Internal server error' } }, 500)
@@ -63,7 +67,13 @@ const DEFAULT_AVATAR_SVG =
  * 这样开发（Vite 代理）和生产是同一条代码路径，少一处只在服务器上才出错的差异。
  */
 async function serveUpload(pathname: string, prefix: string, directory: string) {
-  const decoded = decodeURIComponent(pathname)
+  // 畸形的百分号编码（`/public/upload/%`）decodeURIComponent 会抛 URIError，不接住就是 500
+  let decoded: string
+  try {
+    decoded = decodeURIComponent(pathname)
+  } catch {
+    return new Response('Not found', { status: 404 })
+  }
   const filename = basename(decoded)
   if (!filename || filename !== decoded.slice(prefix.length + 1)) {
     return new Response('Not found', { status: 404 })