feat(docker): scan/inspect passifs des stacks Compose (tâche 2 SJ-4)

- 4 tables Docker (settings/compose_roots/compose_stacks/stack_services)
  + migration 0004 (timestamps journal monotones)
- templates docker/scan-compose + inspect-compose ; renderTemplate bascule
  sur délimiteurs <% %> pour les templates docker/ afin de préserver les
  Go-templates {{.ID}} intacts
- dockerScan: parseDockerScan (TDD) + scanDockerStacks (persiste stacks
  candidats, complète la détection par labels)
- action docker_scan branchée dans execute (route dédiée, archivage report/log)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

templates/docker/inspect-compose.sh.tpl

@@ -0,0 +1,16 @@
+#!/bin/sh
+export LC_ALL=C
+cd "<%stackDir%>" || { echo "===SU:DOCKER_ERR==="; echo "compose_not_found"; echo "===SU:EXIT=2==="; exit 2; }
+echo "===SU:DOCKER_CONFIG_IMAGES==="
+docker compose config --images 2>&1
+echo "===SU:DOCKER_PS==="
+docker compose ps --format json 2>&1
+echo "===SU:DOCKER_IMAGES==="
+docker compose images --format json 2>&1
+echo "===SU:DOCKER_INSPECT==="
+docker compose config --images 2>/dev/null | while IFS= read -r img; do
+  docker image inspect "$img" \
+    --format 'IMG\t{{.Id}}\t{{join .RepoDigests ","}}\t{{index .Config.Labels "org.opencontainers.image.version"}}\t{{index .Config.Labels "org.opencontainers.image.source"}}' 2>/dev/null \
+    || echo "IMG_MISSING\t$img"
+done
+echo "===SU:EXIT=0==="