feat: 发布成功/失败飞书&Lark 群卡片通知

- internal/lark：飞书自定义机器人交互卡片（wide_screen_mode + 彩色头部
  green/red/yellow + lark_md 字段区 + 查看构建详情按钮），支持签名加签
  （timestamp+sign HMAC-SHA256，密钥 enc:v1: 加密存储）
- 双引擎收口：原生模拟引擎与 Jenkins 真实引擎运行结束均推送卡片；
  应用/分支/构建(#N 或 runId)/状态/时间；Jenkins 构建附
  externalURL 按钮直达构建详情页
- Webhook 优先级：流水线「通知 Webhook」> 全局设置（需启用）
- 系统设置新增飞书通知配置区（启用开关/Webhook/签名密钥只写/
  发送测试卡片）；POST /api/settings/test-lark
- E2E 已验证：本地模拟机器人收到完整卡片 JSON，测试卡片正常

backend/internal/handler/runs.go

@@ -127,13 +127,14 @@ func simulateRun(hub *Hub, run model.PipelineRun, stages []model.RunStage) {
 		updates := map[string]any{"status": status, "duration_ms": time.Since(start).Milliseconds(), "completed_at": now}
 		database.DB.Model(&model.PipelineRun{}).Where("id = ?", run.ID).Updates(updates)
 		hub.Publish(run.RunID, "run", gin.H{"runId": run.RunID, "status": status, "durationMs": time.Since(start).Milliseconds()})
-		// 通知订阅了 pipeline.success / pipeline.failed 的出站 Webhook
+		// 通知订阅了 pipeline.success / pipeline.failed 的出站 Webhook + 飞书发布卡片
 		if status == "success" || status == "failed" {
 			NotifyWebhookEvent("pipeline."+status, map[string]any{
 				"runId": run.RunID, "pipeline": run.PipelineName,
 				"branch": run.Branch, "durationMs": time.Since(start).Milliseconds(),
 			})
 		}
+		go notifyLarkRelease(run, status)
 	}
 
 	emit("info", "Pipeline 触发成功，开始调度执行引擎…", 0)