chore(deploy): 三机部署 compose 拆分 + NATS 3 节点集群

126=MinIO(已部署)、128=基础设施、132=应用。

- deploy/128-infra:NATS 3 节点集群(独立卷+cluster routes,暴露4222/4223/4224)+PG/Redis/
  Milvus(自带etcd+自带内部minio,不复用126)/Neo4j/Jaeger;端口对局域网暴露、卷持久化。
- deploy/nats-cluster/nats{1,2,3}.conf:max_payload 一致 + jetstream + cluster。
- deploy/132-app:仅 gateway(3000:8080)+dispatcher+mcp-go+mcp-py,无 admin nginx;env 指向
  126/128;mcp-go 补齐 MINIO env(本会话 blob 遗漏);NATS_STREAM_REPLICAS=3;.env.example 模板。
- docker-compose.prod.yml(单机):删 admin 服务(已内嵌)、mcp-go 补 MINIO env。
- 三个 compose 均 docker compose config 校验通过;.env 已 gitignore、.env.example 可提交。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docker-compose.prod.yml

@@ -5,7 +5,7 @@
 #
 # 设计：
 # - 应用经服务名互连（postgres:5432 等），不依赖 127.0.0.1；基建端口不对宿主暴露（仅内网）。
-# - 仅暴露 admin 控制台(:${HTTP_PORT}) 与 gateway(:${GATEWAY_PORT}，供桌面端直连) + Jaeger UI（可选）。
+# - 仅暴露 gateway(:${GATEWAY_PORT}，内嵌 admin 控制台 + API + 供桌面端直连) + Jaeger UI（可选）。
 # - 引导密钥从 .env 注入（SUNDYNIX_SECRET_KEY/JWT_SECRET/各库密码）；模型 API key 仍在控制台配、加密存 PG。
 # - APP_ENV=production → 强制校验密钥、锁 CORS、启用管理员白名单。
 
@@ -64,6 +64,11 @@ services:
       NEO4J_URI: neo4j://neo4j:7687
       NEO4J_USER: neo4j
       NEO4J_PASS: ${NEO4J_PASSWORD:?}
+      # 报告源/产物 + KB 正文对象存储（blob）——与 gateway 同一 MinIO，勿漏否则 fallback localhost。
+      MINIO_ENDPOINT: minio:9000
+      MINIO_ACCESS_KEY: minioadmin
+      MINIO_SECRET_KEY: minioadmin
+      MINIO_BUCKET: sundynix-docs
       SUNDYNIX_SECRET_KEY: *secret-key
       OTEL_EXPORTER_OTLP_ENDPOINT: http://jaeger:4318
     depends_on:
@@ -83,13 +88,8 @@ services:
     depends_on:
       nats: { condition: service_started }
 
-  admin:
-    build: { context: sundynix-admin, dockerfile: Dockerfile }
-    image: sundynix/admin:${TAG:-latest}
-    restart: unless-stopped
-    ports: ["${HTTP_PORT:-80}:80"]   # 运维控制台 + 反代网关 API（一个 URL 访问整套）
-    depends_on:
-      gateway: { condition: service_started }
+  # admin 运维控制台已内嵌进 gateway（go:embed，见 sundynix-gateway/internal/webui），
+  # 不再需要单独的 nginx 容器：访问 gateway:${GATEWAY_PORT} 即同时得到控制台 UI + API。
 
   # ---------- 基础设施（端口不对宿主暴露，仅 compose 内网） ----------
   nats: