chore(deploy): 基础镜像源改为可配置 BASE_REGISTRY，并提前补齐 FROM 基础镜像

## 修的是什么

线上部署卡死过一次：daocloud 加速源返回 502 Bad Gateway，整轮构建在 load metadata
阶段就失败，而服务器 daemon.json 里另外两个 registry-mirrors 完全帮不上忙。

原因是**显式写死的 registry 会绕过 daemon.json 的 registry-mirrors**：
Dockerfile 里 `FROM docker.m.daocloud.io/library/node:...` 属于显式指定 registry，
镜像列表对它就失效了，于是这个源成了构建的单点故障。

## 修法

1. 四个 Dockerfile（backend / frontend / backend-dev / dev-caddy）的 `FROM` 改用
   `${BASE_REGISTRY}`（registry 前缀语义），默认值 docker.m.daocloud.io 保持不变；
2. docker-compose.yml / docker-compose.dev.yml 的 `build.args` 接上
   `${BASE_REGISTRY:-docker.m.daocloud.io}`，并把 postgres / minio / node / caddy
   这几处 `image:` 也改成同一变量，整套编排只有一个换源开关；
3. 部署脚本：新增 resolve_base_registry()（读 .env 的 BASE_REGISTRY，缺省同 compose），
   --dry-run 的基础镜像 digest 预检沿用同一变量；
   新增 ensure_dockerfile_base_images()，在 pull_base_images 阶段把 Dockerfile 里
   `FROM` 用到的基础镜像提前补齐 —— 这类镜像不归 `docker compose pull` 管，
   本地缺失要拖到构建阶段才报错，且报错信息晦涩，看不出来是"源挂了"还是"代码写错了"；
   现在缺失时明确提示并给出换源/离线搬运两条排障路径；
4. .env.server.example 增加 BASE_REGISTRY 说明（推荐多源容灾时设 docker.io，
   走 daemon 的 registry-mirrors 列表自动故障转移）。

## 验证

- docker compose config：默认值下所有镜像引用与改动前逐字一致（不会触发重新下载）；
  BASE_REGISTRY=docker.1panel.live / docker.io 时全部引用正确替换；
- docker buildx build --call=check -f deploy/docker/backend.Dockerfile：Check complete, no warnings；
- deploy/ubuntu-deploy.sh bash -n 通过；
- 生产实测：预拉三个基础镜像后，buildkit 解析基础镜像 1s 命中本地镜像、不再访问远端。

docker-compose.yml

@@ -6,7 +6,7 @@ x-json-log-rotation: &json-log-rotation
 
 services:
   postgres:
-    image: docker.m.daocloud.io/library/postgres:16-bookworm
+    image: ${BASE_REGISTRY:-docker.m.daocloud.io}/library/postgres:16-bookworm
     # 开启 pg_stat_statements，便于定位生产环境累计最耗时的 SQL。
     # 内存类参数默认按 4 核 8G 且与其他服务共用的服务器设置（见 .env.server.example）。
     command:
@@ -75,6 +75,11 @@ services:
       context: .
       dockerfile: deploy/docker/backend.Dockerfile
       args:
+        # 基础镜像源（registry 前缀，默认 docker.m.daocloud.io）。
+        # 显式指定的 registry 会绕过 daemon.json 的 registry-mirrors —— 加速源一抽风
+        # 整轮构建就在 load metadata 阶段失败，其它可用镜像源帮不上忙。
+        # 想要多源容灾就改成 docker.io：走 daemon 的 registry-mirrors 列表自动故障转移。
+        BASE_REGISTRY: ${BASE_REGISTRY:-docker.m.daocloud.io}
         # 默认阿里云公共源；阿里云 ECS 内网可设 DEBIAN_MIRROR=mirrors.cloud.aliyuncs.com
         DEBIAN_MIRROR: ${DEBIAN_MIRROR:-mirrors.aliyun.com}
         NPM_REGISTRY: ${NPM_REGISTRY:-https://registry.npmmirror.com}
@@ -142,6 +147,7 @@ services:
       dockerfile: deploy/docker/frontend.Dockerfile
       args:
         APP_DOMAIN: ${APP_DOMAIN:-localhost}
+        BASE_REGISTRY: ${BASE_REGISTRY:-docker.m.daocloud.io}
         VITE_WORKER_SITE_URL: ${WORKER_SITE_ADDR:-https://worker.khhao.com}
         ALPINE_MIRROR: ${ALPINE_MIRROR:-mirrors.aliyun.com}
         NPM_REGISTRY: ${NPM_REGISTRY:-https://registry.npmmirror.com}