feat: リポジトリ URL バリデーションを緩和しエラー文言を具体化 (v2.1.263-e)

claude@host:path のような SSH ユーザー違いの URL が「形式が不正」で弾かれ
原因が分かりにくかった。Gitea/GitHub の SSH ユーザーは常に git。

- REPO_RE を ssh://<user>@host/… / <user>@host:path / host:path も受理するよう緩和
  （// 始まりは拒否、ホスト allowlist は全形式に適用）
- URL 形式エラーで受理形式と「SSH ユーザーは常に git」を明記、
  ホスト不許可で許可済み一覧を併記
- UI のリポジトリ URL 入力欄にヒントを追加、README に URL 形式表を追加

README.md

@@ -409,6 +409,18 @@ Secret は **セッション NS** に作成されます。`credentials` モー
 GitHub でも Gitea でも GitLab でも、SSH か HTTPS トークンで認証できる Git ホストなら同じ仕組みで扱えます。
 セッション作成時に identity 名を選ぶと、その Secret だけがそのセッション Pod にマウントされます。
 
+**URL の形式**（`git.identities` で選んだ鍵で認証されます）:
+
+| 形式 | 例 | identity |
+|---|---|---|
+| SSH（SCP 記法） | `git@192.168.9.65:websites/e-stay-tours.git` | `ssh` 型 |
+| SSH（URL 記法） | `ssh://git@192.168.9.65/websites/e-stay-tours.git` | `ssh` 型 |
+| HTTPS | `https://git.cafepieters.com/websites/e-stay-tours.git` | `https-token` 型（プライベート時） |
+
+> SSH のユーザー名は **常に `git`** です（Gitea・GitHub 共通）。自分の Gitea アカウント名
+> （`claude@…` など）ではありません。認証は identity の鍵で行われるため、その鍵を持つ
+> アカウントが対象リポジトリの参照権限を持っている必要があります。
+
 ### session — 使い捨てセッション
 
 | キー | 既定 | 説明 |
@@ -528,6 +540,7 @@ docker buildx build --platform linux/amd64,linux/arm64 \
 
 | バージョン | Claude Code | 変更内容 |
 |---|---|---|
+| 2.1.263-e | 2.1.263 | リポジトリ URL バリデーションを緩和（`ssh://user@…` / `user@host:path` / `host:path` も受理。ホスト allowlist は従来どおり適用）。エラーメッセージに受理形式と「SSH ユーザーは常に `git`」の注意を明記。UI の入力欄にヒントを追加 |
 | 2.1.263-d | 2.1.263 | 失敗したセッションの調査性を改善。`session.reaper.terminatedRetentionSeconds`（既定 900）で終了 Pod を即削除せず保持。UI に **「ログ」ボタン**（`GET /api/sessions/<id>/log`）を追加し、`Failed` の理由（exitCode / reason）を一覧に表示。セッションブートスクリプトが URL スキームと identity 型の不一致を警告し、`git clone` の出力をそのままログに出すよう変更 |
 | 2.1.263-c | 2.1.263 | 修正: gateway の nginx が起動時 `pcre2_compile() failed: missing closing parenthesis` でクラッシュループ。`location ~` の正規表現に `{10}` が含まれ、nginx がブロック区切りの `{}` と解釈していた。正規表現全体をダブルクォートで囲んで解消 |
 | 2.1.263-b | 2.1.263 | `anthropic.authMode: credentials`（既定）を追加。`~/.claude/.credentials.json` 全体を注入し、セッション内 `claude` の自己更新に加え、クラスタ内 refresher CronJob（`refreshToken` で Secret を定期更新）でトークン失効に自動追従。→ トークンが変わっても再デプロイ不要。refresher の RBAC は認証情報 Secret 1 個の get/patch に限定 |