fix(security): drop SYS_ADMIN from video editor

The published service disables the Chromium sandbox and does not perform system administration operations, so the broad capability is unnecessary. Drop all capabilities, prevent privilege escalation, and use the runtime default seccomp profile.

README.md

@@ -663,7 +663,7 @@ kubectl -n easyai rollout status deploy/easyai-server --timeout=10m
 | 连接数据库或中间件失败 | VPC、安全组、白名单、端口、用户名密码、TLS 要求 |
 | MongoDB 认证成功但业务库没有数据 | `CONFIG_DB_MONGO_DBNAME` 是否为 `aidraw`，`authSource` 是否指向用户实际所在的认证库 |
 | RabbitMQ 集群 Pod 一直 Pending | RWO StorageClass、PVC、3 个 Worker 节点以及主机级 Pod 反亲和规则 |
-| `video-edit` 无法创建 | 集群 PodSecurity/PSA 是否禁止 `SYS_ADMIN` capability |
+| `video-edit` 无法创建 | 查看 PodSecurity/PSA 拒绝事件；清单兼容 Baseline，强制 Restricted 时当前镜像仍需改为非 root 运行 |
 
 查看事件和日志：
 

k8s/base/video-edit.yaml

@@ -70,9 +70,12 @@ spec:
               cpu: "2"
               memory: 4Gi
           securityContext:
+            allowPrivilegeEscalation: false
             capabilities:
-              add:
-                - SYS_ADMIN
+              drop:
+                - ALL
+            seccompProfile:
+              type: RuntimeDefault
       volumes:
         - name: temp
           emptyDir: {}