feat(R4b): reproducible builds — pin requirements.lock checksum

- Dockerfile: build-arg REQUIREMENTS_CHECKSUM verifica lo sha256 del
  lockfile (fallisce la build se non coincide; vuoto = skip locale)
- docker-compose.yml: default = hash corrente del lock
- CI: nuovo job checksum.yml che fallisce se il pin non coincide
- Fix YAML preesistente in ci.yml (name: con ':' non quotati)
- Docs: README, .env.example, review aggiornati

docker-compose.yml

@@ -1,6 +1,11 @@
 services:
   bookish:
-    build: .
+    build:
+      context: .
+      args:
+        # Riproducibilita (R4b): sha256 di requirements.lock. Default = hash
+        # corrente; in dev puoi sovrascriverlo con REQUIREMENTS_CHECKSUM=""
+        REQUIREMENTS_CHECKSUM: ${REQUIREMENTS_CHECKSUM:-d13e4fb14a909e0bd06d20894860152d5334aa341dd9dec2e5e4ca368a0d2a62}
     image: bookish:local
     ports:
       - "${PORT:-5000}:5000"