CI：基础镜像改走 ACR 私有镜像（runner 网络 docker.io DNS 污染，直连不可达）；APK/NPM 全部国内源；Dockerfile 基础镜像参数化

.gitea/workflows/release-image.yml

@@ -101,25 +101,27 @@ jobs:
           echo "ACR 用户: $ACR_USER (密码 ${#ACR_PASS} 位)"
           printf '%s' "$ACR_PASS" | docker login "$REGISTRY" -u "$ACR_USER" --password-stdin
 
+      - name: buildx 多架构构建并推送
+        env:
+          TAGS: ${{ steps.meta.outputs.tags }}
       - name: buildx 多架构构建并推送
         env:
           TAGS: ${{ steps.meta.outputs.tags }}
         run: |
-          # docker-container 驱动才支持多平台；mirror 注入 buildkitd 配置
-          # （docker-container 是独立 BuildKit，不读 daemon.json）
-          printf '[registry."docker.io"]\nmirrors = ["docker.m.daocloud.io", "docker.1ms.run"]\n' \
-            > /tmp/buildkitd.toml
-          docker buildx rm ci >/dev/null 2>&1 || true
-          # --config 是全版本兼容参数；不要吞错误，create 失败要立即暴露
-          docker buildx create --name ci --driver docker-container --config /tmp/buildkitd.toml
-          docker buildx use ci
+          # docker-container 驱动才支持多平台。基础镜像/APK/NPM 全部走国内源：
+          # runner 侧网络对 docker.io 存在 DNS 污染（证书误配 facebook 域），不可直连
           ARGS=""
           for t in $TAGS; do ARGS="$ARGS -t $t"; done
           # provenance/sbom 必须关：阿里云 ACR 不识别 OCI empty manifest（attestation）
           docker buildx build \
+            --builder multiarch \
             --platform linux/amd64,linux/arm64 \
             --provenance=false --sbom=false \
+            --build-arg NODE_IMAGE=registry.cn-hangzhou.aliyuncs.com/skymirror/node:20-alpine \
+            --build-arg GO_IMAGE=registry.cn-hangzhou.aliyuncs.com/skymirror/golang:1.27.1-alpine \
+            --build-arg RUNTIME_IMAGE=registry.cn-hangzhou.aliyuncs.com/skymirror/alpine:3.20 \
             --build-arg NPM_REGISTRY=https://registry.npmmirror.com \
+            --build-arg APK_MIRROR=https://mirrors.aliyun.com \
             --push \
             -f deploy/Dockerfile \
             $ARGS \