fix(infra): minio 镜像钉回确定版本（依据 CI 实测输出）

上一轮为让 CI 先跑通，minio 临时改用 quay.io 的 latest 滚动 tag，并在 e2e job 里
加了一步打印实际版本。该步骤的实测输出为：

  minio version RELEASE.2025-09-07T16-13-09Z (commit-id=07c3a429bfed…)

即 latest 当前正指向这个版本 —— 与本仓库原先在 Docker Hub 上钉的 tag 完全一致。
据此把三处 compose（本地 / staging / prod）统一钉死为
quay.io/minio/minio:RELEASE.2025-09-07T16-13-09Z，恢复「可复现」这一原则：
日后即使 quay 上的 latest 滚动到别的版本，本配置也不受影响。

保留 e2e 中「校验钉版镜像可拉取并打印版本」这一步 —— 镜像拉取失败在 compose up
里会埋进几十行输出，独立一步能在起栈前秒级暴露「上游镜像下架」这类外部依赖失效。

上一轮结果：7 个 job 全部 success，GitHub Actions 首次跑绿。

.github/workflows/ci.yml

@@ -249,14 +249,15 @@ jobs:
         working-directory: infrastructure
         run: docker compose config --quiet
 
-      # compose 现在用的是 quay.io/minio/minio:latest（滚动 tag，见该文件注释）：
+      # 2026-09-22：compose 里的 minio 已从 Docker Hub 迁到 quay.io 并钉版
-      # Docker Hub 上的 minio/minio 仓库已被整体移除，而本机访问不到 quay 的 tag API
+      # （RELEASE.2025-09-07T16-13-09Z，版本由本步骤上一轮的实测输出确认）。
-      # 去核实某个具体 RELEASE tag 是否仍在。故先用 latest 跑通，并在这里把实际
+      # 单独保留这一步的理由：镜像拉取失败在 compose up 里会埋进几十行输出，
-      # 拉取到的版本打进日志 —— 日后即可据此把版本钉死，恢复可复现性。
+      # 这里能在起栈前秒级暴露「上游镜像下架」这类外部依赖失效 ——
-      - name: 拉取并打印 minio 实际版本（为后续钉版留证据）
+      # 上一轮正是靠日志里的 pull access denied 才定位到 MinIO 已移除 Docker Hub 仓库。
+      - name: 校验 minio 钉版镜像可拉取并打印版本
         run: |
-          docker pull quay.io/minio/minio:latest
+          docker pull quay.io/minio/minio:RELEASE.2025-09-07T16-13-09Z
-          docker run --rm quay.io/minio/minio:latest --version
+          docker run --rm quay.io/minio/minio:RELEASE.2025-09-07T16-13-09Z --version
 
       # 保证库为全新：seed 用 `ON CONFLICT (username) DO NOTHING`，若卷是上一轮残留，
       # 账号密码会停留在上一轮的 `E2E_OPERATOR_PASSWORD` 上 → 本轮登录 401（表现为各种业务失败）。

infrastructure/docker-compose.prod.yml

@@ -43,7 +43,8 @@ services:
     # 同 docker-compose.yml 的 minio 条目：Docker Hub 上 minio/minio 仓库已被整体移除
     # （MinIO 自 2025-10 起停止发布容器镜像，仅源码分发），生产环境同样拉不到。
     # 改为仍在提供镜像的 quay.io —— 这是真实的部署阻塞，不只是 CI 问题。
-    image: quay.io/minio/minio:latest
+    # 版本与本地/CI 保持一致，钉死为 CI 实测确认可用的 RELEASE.2025-09-07T16-13-09Z。
+    image: quay.io/minio/minio:RELEASE.2025-09-07T16-13-09Z
     container_name: danyang-match-minio
     command: server /data --console-address ":9001"
     environment:

infrastructure/docker-compose.staging.yml

@@ -34,8 +34,8 @@ services:
   minio:
     # 同 docker-compose.yml 的 minio 条目：Docker Hub 上 minio/minio 仓库已被整体移除
     # （MinIO 自 2025-10 起停止发布容器镜像，仅源码分发），staging 环境同样拉不到。
-    # 改为仍在提供镜像的 quay.io。
+    # 改为仍在提供镜像的 quay.io，并钉死为与本地/CI 一致的 RELEASE.2025-09-07T16-13-09Z。
-    image: quay.io/minio/minio:latest
+    image: quay.io/minio/minio:RELEASE.2025-09-07T16-13-09Z
     command: server /data --console-address ":9001"
     environment:
       MINIO_ROOT_USER: staging

infrastructure/docker-compose.yml

@@ -45,13 +45,16 @@ services:
     # 但那只是**本地绕过**、没有同步回仓库，于是「本地能起栈、CI 拉不到」。
     # 现在统一改为 quay.io，让本地与 CI 拉同一个镜像，消除这处不一致。
     #
-    # 已知偏离：此处用 latest 而非钉版。原因是本机访问不到 quay.io 的 tag API，
+    # 版本来源（2026-09-22 于 CI 实测）：迁移初期先用了 quay.io 的 latest，
-    # 无法核实某个具体 RELEASE tag 是否仍然存在（quay 上的镜像已冻结，
+    # 并在 e2e job 里打印实际版本，得到
-    # 最后发布为 2025-09）。latest 已被多个下游项目实测可用；e2e job 会打印
+    #   minio version RELEASE.2025-09-07T16-13-09Z (commit-id=07c3a429bfed…)
-    # 实际拉取到的版本，供日后补钉版。
+    # 即 latest 当前正指向这个版本 —— 与本仓库原先在 Docker Hub 上钉的 tag 完全一致。
-    # 长期风险：quay 上的 MinIO 镜像同样可能下架，届时需自建镜像或迁移到其他
+    # 现在据此钉死，恢复「可复现」这一原则（若日后 quay 上的 latest 滚动到别的版本，
-    # S3 兼容存储 —— 这也意味着「依赖第三方镜像」本身就是一条外部依赖风险。
+    # 本配置不受影响）。
-    image: quay.io/minio/minio:latest
+    # 长期风险：quay 上的 MinIO 镜像已冻结（最后发布 2025-09），同样可能下架，
+    # 届时需自建镜像或迁移到其他 S3 兼容存储 ——
+    # 「依赖第三方镜像」本身就是一条外部依赖风险。
+    image: quay.io/minio/minio:RELEASE.2025-09-07T16-13-09Z
     container_name: danyang-match-minio
     command: server /data --console-address ":9001"
     environment: