fix(infra): minio 镜像钉回确定版本（依据 CI 实测输出）

上一轮为让 CI 先跑通，minio 临时改用 quay.io 的 latest 滚动 tag，并在 e2e job 里
加了一步打印实际版本。该步骤的实测输出为：

  minio version RELEASE.2025-09-07T16-13-09Z (commit-id=07c3a429bfed…)

即 latest 当前正指向这个版本 —— 与本仓库原先在 Docker Hub 上钉的 tag 完全一致。
据此把三处 compose（本地 / staging / prod）统一钉死为
quay.io/minio/minio:RELEASE.2025-09-07T16-13-09Z，恢复「可复现」这一原则：
日后即使 quay 上的 latest 滚动到别的版本，本配置也不受影响。

保留 e2e 中「校验钉版镜像可拉取并打印版本」这一步 —— 镜像拉取失败在 compose up
里会埋进几十行输出，独立一步能在起栈前秒级暴露「上游镜像下架」这类外部依赖失效。

上一轮结果：7 个 job 全部 success，GitHub Actions 首次跑绿。

.github/workflows/ci.yml

@@ -249,14 +249,15 @@ jobs:
         working-directory: infrastructure
         run: docker compose config --quiet
 
-      # compose 现在用的是 quay.io/minio/minio:latest（滚动 tag，见该文件注释）：
-      # Docker Hub 上的 minio/minio 仓库已被整体移除，而本机访问不到 quay 的 tag API
-      # 去核实某个具体 RELEASE tag 是否仍在。故先用 latest 跑通，并在这里把实际
-      # 拉取到的版本打进日志 —— 日后即可据此把版本钉死，恢复可复现性。
-      - name: 拉取并打印 minio 实际版本（为后续钉版留证据）
+      # 2026-09-22：compose 里的 minio 已从 Docker Hub 迁到 quay.io 并钉版
+      # （RELEASE.2025-09-07T16-13-09Z，版本由本步骤上一轮的实测输出确认）。
+      # 单独保留这一步的理由：镜像拉取失败在 compose up 里会埋进几十行输出，
+      # 这里能在起栈前秒级暴露「上游镜像下架」这类外部依赖失效 ——
+      # 上一轮正是靠日志里的 pull access denied 才定位到 MinIO 已移除 Docker Hub 仓库。
+      - name: 校验 minio 钉版镜像可拉取并打印版本
         run: |
-          docker pull quay.io/minio/minio:latest
-          docker run --rm quay.io/minio/minio:latest --version
+          docker pull quay.io/minio/minio:RELEASE.2025-09-07T16-13-09Z
+          docker run --rm quay.io/minio/minio:RELEASE.2025-09-07T16-13-09Z --version
 
       # 保证库为全新：seed 用 `ON CONFLICT (username) DO NOTHING`，若卷是上一轮残留，
       # 账号密码会停留在上一轮的 `E2E_OPERATOR_PASSWORD` 上 → 本轮登录 401（表现为各种业务失败）。