Wasserdicht-Runde: universelle CI-Ampel fuer ALLE Lucy/MC2-Repos

- deploy/ampel-ci.yml: sprachneutrale Actions-Ampel (erkennt Python/Node
  selbst; Doku-Repo=gruen, Code ohne Tests=ROT)
- gitea-repo-create.sh: pflanzt die Ampel bei JEDER Repo-Anlage ein
  (Contents-API, Push-Token, defensiv)
- projektstart-SOUL: drei harte AGENTS-Regeln (Ampel-Pflicht,
  Spec-Abweichung=STOPP, Deploy nur via deploy.sh) — rippy-Lehren

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

deploy/gitea-repo-create.sh

@@ -74,6 +74,31 @@ case "$CODE" in
       -H 'Content-Type: application/json' \
       --data "$(python3 -c 'import json,sys; print(json.dumps({"text":"Neues PRIVATES Projekt-Repo angelegt: "+sys.argv[1],"subject":"Gitea","source":"gitea-repo-create","priority":"silent"}))' "$FULL")" \
       >/dev/null 2>&1 || true
+    # CI-Ampel einpflanzen (Wasserdicht-Runde 22.07.): JEDES neue Repo wird mit der
+    # universellen Actions-Ampel geboren (deploy/ampel-ci.yml). Defensiv: fehlt die
+    # Vorlage oder scheitert der Seed, wird die Anlage NICHT abgebrochen, nur gewarnt.
+    # WICHTIG: Contents-API braucht write:repository → PUSH-Token nutzen (das
+    # dedizierte Anlage-Token hat u.U. nur write:user).
+    AMPEL="$REALHOME/mission-control-v2/deploy/ampel-ci.yml"
+    PUSHTOKEN="$(printf '%s' "$LINE" | sed -nE 's#https://[^:]+:([^@]+)@.*#\1#p')"; PUSHTOKEN="${PUSHTOKEN:-$TOKEN}"
+    if [ -r "$AMPEL" ]; then
+      SEED_CODE="$(curl -s -o /dev/null -w '%{http_code}' -X POST "$BASE/api/v1/repos/$FULL/contents/.gitea/workflows/ci.yml" \
+        -H "Authorization: token $PUSHTOKEN" -H "Content-Type: application/json" \
+        --data "$(python3 - "$AMPEL" <<'PY'
+import base64, json, sys
+inhalt = open(sys.argv[1], "rb").read()
+print(json.dumps({"content": base64.b64encode(inhalt).decode(),
+                  "message": "CI-Ampel (automatisch bei Repo-Anlage eingepflanzt)"}))
+PY
+)")"
+      if [ "$SEED_CODE" = "201" ]; then
+        echo "CI-Ampel eingepflanzt (.gitea/workflows/ci.yml)."
+      else
+        echo "WARNUNG: CI-Ampel-Seed antwortete HTTP $SEED_CODE (Repo ist trotzdem da)." >&2
+      fi
+    else
+      echo "WARNUNG: Ampel-Vorlage fehlt ($AMPEL) — Repo ohne CI-Ampel angelegt." >&2
+    fi
     echo "Repo '$FULL' angelegt (privat, main initialisiert)."
     echo "CLONE ${CLONE}"
     exit 0 ;;