MinIO least privilege (WP-S3-LEASTPRIV-01)

Root MinIO (MINIO_ROOT_*) chỉ dùng bootstrap. App API nên dùng user riêng.

bash deploy/minio-leastpriv-user.sh
# ghi S3_ACCESS_KEY / S3_SECRET_KEY vào api/.env
docker compose --profile full up -d --force-recreate api

Smoke: upload media / avatar vẫn OK · mc admin user info không còn app = root.