deploy(connection-web): publish AI-readable Codex installation guide to HCI

## Problem

#452 已为 Connection Web 增加公开 `/connection` Codex MCP 安装说明和 `/llms.txt`。用户要求将该功能部署到现有 `https://agent-connector.la3.agoralab.co` HCI supervised pilot。当前线上 chart 使用 `connection-api:v0.0.7` 与 `connection-web:v0.0.7`；本次只涉及 Web 静态内容和 Nginx 路由，不应滚动无关 API。

## Scope

- 消费 #452 已验证的 exact commit，创建不可变 `v0.0.8` tag，并通过仓库既有 `publish-ghcr.yml` 发布镜像。
- 回读 GitHub Actions publish run，确认 `connection-web:v0.0.8` 成功发布；不以 tag push 或 workflow 启动代替镜像发布成功。
- 使用 `/Users/guoxianzhe/agora/helm/agent-infra` 的现有 chart，将 HCI context `guoxianzhe-agora-hci-losangeles3s`、namespace `la3-agent-connector-prod`、release `connection-local` 的 Web image 升级为 `ghcr.io/agoraio-extensions/agent-infra/connection-web:v0.0.8`。
- 保持 API image、existing Secret 引用、数据库、LDAP、Provider 配置和 ingress host 不变。
- 部署前后回读 Helm release、Deployment image、Pod readiness 和公网 HTTPS 响应；验证 `/connection`、`/connection/`、`/llms.txt`、`/connection/login`、`/healthz` 与 MCP OAuth metadata。
- 回滚点为 Web `v0.0.7`。若 rollout、静态路由、登录入口、健康检查或 metadata 失败，立即将 Web image 恢复为 `v0.0.7` 并回读状态。
- 不变更数据库、Secret、PAT、Grant、Provider Credential、API image、其他 namespace 或广泛生产门禁。

## Acceptance criteria

- [ ] **AC-1:** #452 implementation commit 已提交并推送，关联 PR 目标为常态 `connection` 分支；发布 tag 精确指向该 commit。
- [ ] **AC-2:** `publish-ghcr.yml` 对 `v0.0.8` 终态成功，`connection-web:v0.0.8` 可由目标集群拉取；发布失败不得继续 Helm upgrade。
- [ ] **AC-3:** Helm upgrade 只改变 Connection Web image，API 继续使用 `v0.0.7`，existing Secret、数据库和 ingress 配置不变。
- [ ] **AC-4:** rollout 后 `connection-web` Ready；公网 `/connection` 跳转至公开安装说明，`/connection/` 返回含正确 Codex 命令的 HTML，`/llms.txt` 返回 `200 text/plain` 且内容与 #452 一致。
- [ ] **AC-5:** `/connection/login`、`/healthz` 和 MCP OAuth metadata 保持可用；未修改身份、Grant、Credential 或 Provider 数据。
- [ ] **AC-6:** 部署记录包含 source SHA、tag、workflow run、Helm revision、Web image 和回滚验证；不能把 HCI supervised pilot 描述为广泛生产发布。

## Blocked by

None

## Validation

- 回读 tag commit 与 GitHub Actions publish run 终态。
- `helm lint`、`helm template` 和目标 context server-side dry-run。
- `helm upgrade --install --wait`，随后回读 Helm status、Deployment/Pod image 与 rollout。
- 从公网检查状态码、Content-Type、安装命令、OAuth metadata 和健康检查。