CI/CD 持续交付

选择一个依赖清楚且可恢复的试点应用，明确构建入口、测试命令、运行端口、健康探测和外部服务；将数据库迁移与应用发布的依赖单独记录。以下命令仅检查本地检出的源码，<SOURCE_DIR> 为绝对路径，不会拉取或提交代码。登记当前提交与工作区状态，定义哪些分支只运行测试、哪些分支能申请部署，以及每阶段失败时的停止条件。

git -C '<SOURCE_DIR>' status --short
git -C '<SOURCE_DIR>' rev-parse HEAD

为构建任务分配受控执行节点，约定并发、工作目录、磁盘与超时，避免不可信任务共享可访问生产资源的节点。SCM 只读、仓库推送和测试环境部署使用独立凭据，绑定到需要的项目和阶段；生产凭据不进入本试点。审阅 Jenkinsfile 修改权限，防止能改脚本的人间接窃取凭据。日志掩码只是降低意外泄漏，不能替代隔离与权限控制。

把检出、依赖安装、静态检查、单元测试和镜像构建拆成有清晰退出状态的阶段，保存测试报告并使失败阻断下游。基础镜像和依赖按项目策略固定版本或摘要，Docker 构建上下文通过忽略文件排除密钥和无关目录。镜像标签关联提交和构建号，构建结果记录目标架构；缓存用于提速，但不得用缓存成功代替当前提交的测试与来源验证。

对候选镜像记录仓库摘要、扫描器版本、漏洞库更新时间和报告，再依据业务确认的严重度、可利用性及例外期限决定是否阻断。明确区分发现风险的策略失败与漏洞库下载、认证或扫描器运行失败；两类结果都不得被静默视为通过。将同一摘要推进到测试阶段，禁止用可移动的 latest 标签替代验收制品；扫描通过仍需来源核验和业务测试。

部署前核对集群上下文、命名空间、配额、镜像拉取权限、探针和资源请求，确认本次变更不扩大 RBAC。下例 <CONTEXT>、<TEST_NAMESPACE> 和 <DEPLOYMENT> 均需替换，只读取目标状态。将候选摘要写入经审阅的测试清单，先确认旧副本和上一版本摘要可恢复，再通过既定流水线部署；不得因当前示例省略业务必要的审批门禁。

kubectl --context='<CONTEXT>' -n '<TEST_NAMESPACE>' get resourcequota
kubectl --context='<CONTEXT>' -n '<TEST_NAMESPACE>' get deployment '<DEPLOYMENT>' -o wide

发布后执行覆盖关键读写路径的测试环境冒烟，使用专用测试数据并说明清理策略；检查错误率、延迟、重启次数和关键依赖连接，确认测试流量不会进入生产下游。将观察窗口、阈值和停止条件固化为阶段输入，并由明确角色确认结果。对失败保留部署事件、请求关联 ID 和脱敏日志，让后续排查能够区分镜像问题、配置差异与环境故障。

在测试环境从已验收版本升级到候选版本，再恢复上一摘要，核对配置、Secret 引用和状态兼容性；记录恢复动作、开始时间与业务重新可用时间。整理源码提交、审批、镜像摘要、测试报告、部署清单和责任人之间的对应关系。生产适配作为独立评审事项，列出受保护凭据、变更窗口、监控观察和审批条件，保持本方案的测试环境边界清晰。