feat(wb): pass the project's declared env vars into Docker containers

[exKAZUu]

背景

fnox 移行後、Docker イメージにはアプリの環境変数が焼き込まれません（fnox の秘密情報を復号する age 鍵をコンテナへ持ち込むことは禁止されているため）。その結果、wb が起動する docker run（wb start --mode docker など）は環境変数を一切持たないコンテナを立ち上げ、最初に必要になった値で失敗します。WillBooster/survey-system の fnox 移行（WillBooster/survey-system#538）で判明しました。

変更

• docker run に、プロジェクトが宣言している環境変数それぞれの --env <KEY> を渡します。名前のみを渡すため、値は wb 自身の環境から docker が引き継ぎ、コマンドライン（ps 出力や CI ログ）には現れません。
• NODE_ENV と PORT はイメージ側が所有するため除外します（公開ポートのマッピングはイメージのポートを指しており、fnox 以前も焼き込まれた .env より Dockerfile の ENV が優先されていました）。
• Project#declaredEnvKeys を追加。env はプロセス環境をマージしてしまうため、プロジェクト自身が宣言した変数を区別できません。
• selectFnoxSourcedKeys を railwayEnv.ts から utils/envSources.ts へ移動（project.ts からコマンドモジュールを import しないため）。

docker build には何も渡していません: ビルド引数はイメージ履歴に残るため、秘密情報を焼き込まないためです。

テスト

• selectContainerEnvKeys のユニットテストを追加。
• survey-system（fnox 移行済み、.env を焼き込まない Dockerfile）で、ローカルビルドした wb が生成する docker run --env <NAME> ... を実行し、コンテナが prisma のマイグレーション・シードを完了して HTTP 200 を返すことを確認しました。wb start --mode docker が生成するコマンド文字列も期待どおり（PORT と NODE_ENV は除外）です。

[gemini-code-assist]

Code Review

This pull request extracts selectFnoxSourcedKeys into a shared utility file packages/wb/src/utils/envSources.ts and introduces a declaredEnvKeys getter on the Project class to retrieve environment variables declared by the project. Additionally, it updates the Docker run script generation to forward these declared environment variables into the container, excluding image-owned variables (NODE_ENV, PORT) and undefined values, and adds corresponding unit tests. There are no review comments, so I have no feedback to provide.