chore(deps): pin dependencies

[renovate]

This PR contains the following updates:

Package	Type	Update	Change
openlistteam/openlist		pinDigest	→ c555c6e
openlistteam/openlist-base-image	final	pinDigest	→ 0f87083

---

Configuration

📅 Schedule: (UTC)

• Branch creation
  • At any time (no schedule defined)
• Automerge
  • At any time (no schedule defined)

🚦 Automerge: Disabled by config. Please merge this manually once you are satisfied.

♻ Rebasing: Whenever PR becomes conflicted, or you tick the rebase/retry checkbox.

👻 Immortal: This PR will be recreated if closed unmerged. Get config help if that's undesired.

---

• If you want to rebase/retry this PR, check this box

---

This PR was generated by Mend Renovate. View the repository job log.

[pikachuren]

🙏 感谢 @renovate 提交！
🤖 AI 自动审核声明：本评审报告由 AI 自动生成，当前使用 Claude Opus 5 模型进行分析。
⚠️ AI 分析结果仅供参考，可能存在误判或遗漏。如您发现任何问题或有不同意见，欢迎随时提出讨论和纠正。
⚠️ 重要提醒：即使 AI 评审认为代码质量良好且建议合并,最终是否合并仍需由项目维护者进行人工判定。项目维护者会综合考虑代码质量、项目规划、技术方向、团队资源等多方面因素做出是否合并的决策。

🎯 结论

✅ Approve — Docker 镜像固定到 digest，增强构建可重现性和安全性

📖 概要

chore(deps): pin dependencies · 将 Docker 镜像固定到 SHA256 digest
核心改动：在 Dockerfile 和 docker-compose.yml 中，将基础镜像和应用镜像的标签固定到具体的 SHA256 digest

🧭 整体方案

采用依赖固定（dependency pinning）最佳实践：通过 @sha256:... 语法将 Docker 镜像固定到不可变的 digest，确保构建可重现性，防止镜像标签被恶意替换。这是 Renovate 自动化的标准安全增强措施。

📊 变更统计

2 个文件（+2 / -2 行） | 功能 ⭐⭐⭐⭐⭐ | 最小改动 ⭐⭐⭐⭐⭐ | 前向兼容 ⭐⭐⭐⭐⭐ | 方案设计 ⭐⭐⭐⭐⭐

🚨 关键问题

无关键问题

📂 逐文件分析

Dockerfile

改动意图：将基础镜像 BASE_IMAGE_TAG 从 base 固定到 base@sha256:0f87083...
代码逻辑：在 ARG 默认值中添加 digest，构建时会使用固定的镜像版本
问题分析：✅ 符合容器安全最佳实践，防止 base 标签被覆盖后拉取到意外的镜像

docker-compose.yml

改动意图：将应用镜像从 openlistteam/openlist:latest 固定到 latest@sha256:c555c6e...
代码逻辑：在 image 字段中添加 digest，确保每次启动容器时使用相同的镜像
问题分析：✅ 增强了生产环境的稳定性和安全性

💡 优势

• ✅ 安全性提升：防止供应链攻击（如镜像标签被恶意替换）
• ✅ 可重现性：确保不同环境、不同时间的构建结果一致
• ✅ 零破坏性：digest 是附加信息，不影响现有工作流
• ✅ 自动化管理：Renovate 会定期检查并更新 digest，保持与上游同步

📝 注意事项

• 💡 固定到 digest 后，即使上游更新了 latest 或 base 标签，本地也不会自动拉取新版本
• 💡 需要依赖 Renovate 或手动更新 PR 来跟进上游更新
• 💡 如果需要快速跟进上游（如紧急安全补丁），可以暂时移除 digest 或手动更新

✅ 待处理清单

无待处理项

🎯 结论：✅ Approve — 这是标准的依赖固定最佳实践，增强了构建的安全性和可重现性，建议合并