feat(ci+ux): path-filtered CI build + Edit semantics в bitemporal model

CI: path-filtering (наконец-то)
- Backend jobs (maven-test, maven-package, docker-app/read-api/projection-writer/migrations,
  resolve-backend-tag) запускаются только при backend-changes (Java модули, pom.xml, CI yml).
- Frontend (docker-admin-ui, resolve-frontend-tag) — только при ordinis-admin-ui/**.
- Trigger downstream передаёт BACKEND_IMAGE_TAG и/или FRONTEND_IMAGE_TAG. Backwards
  compat для старого UPSTREAM_IMAGE_TAG сохранён в infra pipeline.
- Frontend-only PR теперь не катит backend rolling update (raньше каждый push
  тегал ВСЕ сервисы новым sha и роллил).

Edit dialog UX (bitemporal):
- При Edit validFrom default = now() (а не historical validFrom существующей записи).
  Раньше юзер сдвигал validFrom назад → backend не находил активной версии в этот
  момент → 'record_not_active'. Теперь по умолчанию 'новая версия с этого момента'.
- nowIsoLocal() в timezone браузера (с offset).
- validTo default пустой = бессрочно.

Backend: понятное сообщение для record_not_active с инструкцией.

.gitlab-ci.yml

@@ -1,9 +1,9 @@
 # =============================================================
 # Ordinis — build & push images.
-# Runner mirror'ит Docker Hub (DOCKER_AUTH_CONFIG в runner config),
-# поэтому image: repo.nstart.cloud/library/maven:... работает напрямую.
-# Все образы пушатся в repo.nstart.cloud/terravault/ — единый registry
-# для всех кластеров (staging 161, prod 142, локальный dev).
+# Path-aware CI: backend и frontend jobs запускаются только когда меняются
+# соответствующие пути. Trigger downstream передаёт BACKEND_IMAGE_TAG и/или
+# FRONTEND_IMAGE_TAG; infra-pipeline применяет helm upgrade с per-service
+# overrides — сервисы которые не пересобирались не катятся.
 # =============================================================
 
 stages:
@@ -26,7 +26,6 @@ cache:
   paths:
     - .m2/repository
 
-# Default retry для всех jobs — runner image pull mirror flaky
 default:
   retry:
     max: 2
@@ -35,6 +34,26 @@ default:
       - stuck_or_timeout_failure
       - script_failure
 
+# Backend changes триггерят maven + docker для всех Java-сервисов + миграции.
+.backend-changes: &backend-changes
+  - "ordinis-app/**/*"
+  - "ordinis-read-api/**/*"
+  - "ordinis-projection-writer/**/*"
+  - "ordinis-rest-api/**/*"
+  - "ordinis-domain/**/*"
+  - "ordinis-validation/**/*"
+  - "ordinis-events-api/**/*"
+  - "ordinis-outbox/**/*"
+  - "ordinis-auth/**/*"
+  - "ordinis-cuod-bundle/**/*"
+  - "ordinis-migrations/**/*"
+  - "pom.xml"
+  - ".gitlab-ci.yml"
+
+# Frontend changes — только admin-ui.
+.frontend-changes: &frontend-changes
+  - "ordinis-admin-ui/**/*"
+
 # ─── TEST ──────────────────────────────────────
 maven-test:
   stage: test
@@ -46,6 +65,8 @@ maven-test:
     reports:
       junit: '**/target/surefire-reports/TEST-*.xml'
     expire_in: 1 week
+  rules:
+    - changes: *backend-changes
 
 # ─── BUILD (Maven jars) ────────────────────────
 maven-package:
@@ -58,6 +79,8 @@ maven-package:
       - "**/target/*.jar"
       - ordinis-migrations/src/main/resources/db/changelog/**
     expire_in: 1 day
+  rules:
+    - changes: *backend-changes
 
 # ─── PUBLISH (Docker images) ───────────────────
 .docker_base:
@@ -72,8 +95,6 @@ maven-package:
     DOCKER_TLS_CERTDIR: ""
     DOCKER_BUILDKIT: "1"
 
-# Build & push в repo.nstart.cloud (corp Harbor) — единый registry для всех окружений.
-# DinD должен быть готов когда запускается script. Wait-loop защищает от race.
 .publish_script: &publish_script |
   for i in $(seq 1 30); do docker info >/dev/null 2>&1 && break; sleep 1; done
   echo "$REGISTRY_PASSWORD" | docker login "$REGISTRY" -u "$REGISTRY_USER" --password-stdin
@@ -95,6 +116,8 @@ docker-app:
     BUILD_CONTEXT: .
   script:
     - *publish_script
+  rules:
+    - changes: *backend-changes
 
 docker-read-api:
   extends: .docker_base
@@ -105,6 +128,8 @@ docker-read-api:
     BUILD_CONTEXT: .
   script:
     - *publish_script
+  rules:
+    - changes: *backend-changes
 
 docker-projection-writer:
   extends: .docker_base
@@ -115,6 +140,8 @@ docker-projection-writer:
     BUILD_CONTEXT: .
   script:
     - *publish_script
+  rules:
+    - changes: *backend-changes
 
 docker-migrations:
   extends: .docker_base
@@ -125,8 +152,9 @@ docker-migrations:
     BUILD_CONTEXT: ordinis-migrations/
   script:
     - *publish_script
+  rules:
+    - changes: *backend-changes
 
-# Admin UI — независимый от Maven (Node build), но публикуется в тот же registry.
 docker-admin-ui:
   extends: .docker_base
   needs: []
@@ -137,48 +165,86 @@ docker-admin-ui:
   script:
     - *publish_script
   rules:
-    - changes: ["ordinis-admin-ui/**/*"]
-    - if: '$CI_COMMIT_BRANCH == "main"'
+    - changes: *frontend-changes
 
-# ─── TRIGGER DEPLOY (downstream pipeline) ──────
-# GitLab quirk: variables: в trigger job НЕ интерполируются от upstream global
-# variables напрямую — `$IMAGE_TAG` передавался как литерал. Workaround:
-# resolve-tag job записывает значение в dotenv artifact, тогда оно становится
-# job-level variable trigger job'а и interpolation работает.
+# ─── TRIGGER DEPLOY ───────────────────────────
+# Два resolve job'а: один на backend, другой на frontend. Каждый бьётся в dotenv,
+# trigger downstream получает обе переменные (или одну, если изменения в одной зоне).
+# infra применяет --set <svc>.tag=$X только для тех сервисов где tag непустой.
 
-resolve-tag:
+resolve-backend-tag:
   stage: trigger-deploy
   image: repo.nstart.cloud/library/alpine:3.20
   needs: [maven-package]
   script:
-    - echo "RESOLVED_IMAGE_TAG=$IMAGE_TAG" > resolved.env
-    - cat resolved.env
+    - echo "BACKEND_IMAGE_TAG=$IMAGE_TAG" > backend.env
+    - cat backend.env
   artifacts:
     reports:
-      dotenv: resolved.env
+      dotenv: backend.env
+  rules:
+    - changes: *backend-changes
+
+resolve-frontend-tag:
+  stage: trigger-deploy
+  image: repo.nstart.cloud/library/alpine:3.20
+  needs: [docker-admin-ui]
+  script:
+    - echo "FRONTEND_IMAGE_TAG=$IMAGE_TAG" > frontend.env
+    - cat frontend.env
+  artifacts:
+    reports:
+      dotenv: frontend.env
+  rules:
+    - changes: *frontend-changes
 
 trigger-deploy-staging:
   stage: trigger-deploy
-  needs: [resolve-tag]
+  needs:
+    - job: resolve-backend-tag
+      optional: true
+    - job: resolve-frontend-tag
+      optional: true
   trigger:
     project: 2-6/2-6-4/terravault/ordinis-infra
     branch: main
     strategy: depend
   variables:
-    UPSTREAM_IMAGE_TAG: $RESOLVED_IMAGE_TAG
+    BACKEND_IMAGE_TAG: $BACKEND_IMAGE_TAG
+    FRONTEND_IMAGE_TAG: $FRONTEND_IMAGE_TAG
     DEPLOY_ENV: staging
   rules:
     - if: '$CI_COMMIT_BRANCH == "main"'
+      changes:
+        - "ordinis-app/**/*"
+        - "ordinis-read-api/**/*"
+        - "ordinis-projection-writer/**/*"
+        - "ordinis-rest-api/**/*"
+        - "ordinis-domain/**/*"
+        - "ordinis-validation/**/*"
+        - "ordinis-events-api/**/*"
+        - "ordinis-outbox/**/*"
+        - "ordinis-auth/**/*"
+        - "ordinis-cuod-bundle/**/*"
+        - "ordinis-migrations/**/*"
+        - "ordinis-admin-ui/**/*"
+        - "pom.xml"
+        - ".gitlab-ci.yml"
 
 trigger-deploy-prod:
   stage: trigger-deploy
-  needs: [resolve-tag]
+  needs:
+    - job: resolve-backend-tag
+      optional: true
+    - job: resolve-frontend-tag
+      optional: true
   trigger:
     project: 2-6/2-6-4/terravault/ordinis-infra
     branch: main
     strategy: depend
   variables:
-    UPSTREAM_IMAGE_TAG: $RESOLVED_IMAGE_TAG
+    BACKEND_IMAGE_TAG: $BACKEND_IMAGE_TAG
+    FRONTEND_IMAGE_TAG: $FRONTEND_IMAGE_TAG
     DEPLOY_ENV: prod
   rules:
     - if: '$CI_COMMIT_TAG =~ /^v[0-9]+\.[0-9]+\.[0-9]+$/'