发布审计是什么
发布审计把「标签 + 签名 + 发布说明 + 流水线记录」串成一条可回溯的链路：任何时刻都能回答「当时发布的是哪个提交、经过了哪些检查、制品对应哪个构建」。它不是单点工具，而是平时维护出来的记录习惯——需要时才补往往已经来不及。事故回溯与合规检查时，这条链是唯一可靠依据。
基本信息
| 要素 | 标签、签名、发布说明、流水线日志 |
|---|---|
| 用途 | 问题回溯与合规检查 |
| 核对重点 | 制品与提交的对应关系 |
| 载体 | 平台 Release 页、发布记录文档或工单 |
| 时点 | 发布时同步生成，事后补录可信度低 |
| 关联对象 | 里程碑、变更单与审批记录 |
典型使用场景
- 事故回溯：线上问题定位到某版本，快速找到对应提交与变更
- 合规检查：回答「谁批准、何时发布、做过哪些测试」
- 版本对照：比较两版本之间的提交范围，评估影响
- 发布复现：按记录重建当时的构建输入
- 交接审计：新成员按链路理解版本演进
- 制品核验：确认线上制品与提交对应，防供应链风险
追溯动作
追溯动作
git tag -v v2.4.0 # 验签标签，确认发布点可信
git show v2.4.0 --stat | head # 查看标签指向的提交与变更统计
git log --oneline v2.3.0..v2.4.0 | head # 列出两版本之间的提交范围
git branch --contains v2.4.0 # 确认哪些分支包含该发布提交链路要素
| 要素 | 记录内容 | 用途 |
|---|---|---|
| 标签 | 版本号与指向提交 | 定位发布点 |
| 签名 | 签署人与验证结果 | 确认可信来源 |
| 发布说明 | 变更范围与已知问题 | 沟通与回溯 |
| 流水线记录 | 构建编号、测试结果、制品哈希 | 复现与核验 |
审计链路靠平时维护（推标签、留记录、写说明），需要时才有据可查。
把制品哈希与提交哈希都写进发布记录：供应链问题里只留版本号往往不够用。
标签验签依赖日常签名习惯（tag-signing）；暂时没有签名链路的团队，先把标签推送与发布说明补齐。