feat(deploy): add verified stable model rollout - #14

对应 Issue

OWBastion/ocrkit#10 — automate promoted-model production rollout and verification

本 PR 改动

• 从 stable channel 读取 manifest 与 immutable manifest hash。
• 仅执行 docker compose up -d --no-build --force-recreate ocrkit，不 rebuild image、不改 per-model env、不做 hot reload。
• 验证 exact model_version、health、manifest identity，并执行 authenticated local smoke request。
• 回滚复用 feat(model): add candidate-to-stable model promotion workflow #8 的 previously verified manifest selector，再运行同一 rollout。

依赖与状态

这是 #10 的实现 PR，#13 已合并到 main，当前 branch 已 rebase 到最新 main；PR diff 只包含 rollout 实现。本 PR 未执行生产 rollout，因当前没有授权的生产主机与凭据。

验证

• uv sync --locked --extra dev
• uv run pytest -q: 242 passed
• rollout/production compose tests: 7 passed
• Rust workspace tests passed
• GitHub Actions feat(deploy): add verified stable model rollout #14: Python 41s passed；Docker GHCR 51s passed
• Python/shell syntax checks 与 git diff --check passed

Refs #10