流水线设计54 条

缓存策略与失效控制（policy）

通过 pull / push / pull-push 控制缓存读写角色：由受信任的作业负责写缓存，其余只读，降低污染面。

GitLab	cache:policy 可选 pull、push、pull-push（默认）
GitHub	缓存按分支隔离，但默认分支的缓存可被其他分支（含 PR）恢复
失效手段	改键前缀、调整键输入文件、清理缓存

GitLab 只读缓存

default:
  cache:
    key: deps-$CI_COMMIT_REF_SLUG
    policy: pull
    paths: [.cache/]

缓存由不可信代码写入可能被投毒：限制可写缓存的作业范围（例如仅默认分支）。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌