chore(docker): pin secure runtime and resolve MCP dependencies

Dockerfile

@@ -1,13 +1,16 @@
-FROM condaforge/miniforge3:latest AS base
+FROM condaforge/miniforge3:26.7.2-0@sha256:569afc65b5338d35e276adf9a860025cd37a677659d19dcb71fc1d4c2063a94e AS base
 
 WORKDIR /app
 
+ENV CONDA_ENV_PATH=/opt/server \
+    PATH="/opt/server/bin:${PATH}"
+
 ENV PIP_INDEX_URL=https://pypi.tuna.tsinghua.edu.cn/simple \
     PIP_TRUSTED_HOST=pypi.tuna.tsinghua.edu.cn \
     UV_INDEX_URL=https://pypi.tuna.tsinghua.edu.cn/simple
 
-# 安装 Python 3.12 和 pymetis (通过 conda-forge 避免编译问题)
-RUN mamba install -y python=3.12 pymetis && \
+# 在独立环境中安装 Python 3.12 和 pymetis，避免修改 Miniforge 基础环境。
+RUN mamba create -y -p "$CONDA_ENV_PATH" python=3.12 pymetis pip && \
     mamba clean -afy
 
 COPY requirements.txt .