CI：基础镜像改走 ACR 私有镜像（runner 网络 docker.io DNS 污染，直连不可达）；APK/NPM 全部国内源；Dockerfile 基础镜像参数化

deploy/Dockerfile

@@ -2,9 +2,14 @@
 # 1) node:20-alpine 构建 Vue 前端产物（web/dist）
 # 2) golang:1.27.1-alpine 编译 server（go:embed 前端产物，缓存指向 /tmp 避免写权限问题）
 # 3) 最小运行时镜像：server 二进制 + web/dist 静态产物
+# 基础镜像可通过 build-arg 覆盖：CI/受限网络下指向 ACR 命名空间镜像
+# （--build-arg NODE_IMAGE=… GO_IMAGE=… RUNTIME_IMAGE=… APK_MIRROR=mirrors.aliyun.com）
+ARG NODE_IMAGE=node:20-alpine
+ARG GO_IMAGE=golang:1.27.1-alpine
+ARG RUNTIME_IMAGE=alpine:3.20
 # NPM_REGISTRY：CI/受限网络下注入 npm 镜像源（默认官方源）
 ARG NPM_REGISTRY=https://registry.npmjs.org
-FROM node:20-alpine AS frontend
+FROM ${NODE_IMAGE} AS frontend
 ARG NPM_REGISTRY
 WORKDIR /build
 RUN npm config set registry "$NPM_REGISTRY"
@@ -13,7 +18,7 @@ RUN npm ci || npm install
 COPY web/ ./
 RUN npm run build
 
-FROM golang:1.27.1-alpine AS backend
+FROM ${GO_IMAGE} AS backend
 WORKDIR /build
 # GOPROXY：默认走 goproxy.cn（proxy.golang.org 的 GCS 后端在本环境网络下 EOF/超时），direct 兜底
 ENV CGO_ENABLED=0 GOSUMDB=off GOPROXY=https://goproxy.cn,direct GOCACHE=/tmp/.gocache GOMODCACHE=/tmp/.gomodcache
@@ -34,9 +39,11 @@ RUN if [ -f web-embed/index.html ]; then \
  && rm -rf web-embed frontend-dist
 RUN go build -trimpath -ldflags "-s -w" -o /out/server ./cmd/server
 
-FROM alpine:3.20
-# curl 供容器健康检查使用
-RUN apk add --no-cache ca-certificates tzdata curl && adduser -D -u 10001 fcb
+FROM ${RUNTIME_IMAGE}
+# APK_MIRROR：受限网络下注入 alpine 镜像源（空=默认源）
+ARG APK_MIRROR=""
+RUN if [ -n "$APK_MIRROR" ]; then sed -i "s|https://dl-cdn.alpinelinux.org|$APK_MIRROR|g" /etc/apk/repositories; fi \
+ && apk add --no-cache ca-certificates tzdata curl && adduser -D -u 10001 fcb
 WORKDIR /app
 COPY --from=backend /out/server /app/server
 # dist 随镜像分发（服务端已 go:embed，磁盘副本供运维检查/替换）