流水线卡点示例
流水线卡点示例
1. 构建：拉取上游最新补丁版本（锁文件+镜像 digest 双固定）
2. 扫描：依赖审计 + 镜像扫描，命中高危则失败
3. 审批：生产发布走变更审批，紧急通道单独配置
4. 发布：分批滚动，观察指标后继续
5. 复扫：发布后对运行实例做一次确认扫描| 定期重建 | 镜像仓库中存量镜像按月重建，即使代码未变 |
|---|---|
| 产物签名 | 构建产物签名与校验（如 cosign 等方案）按团队能力引入 |
| 追溯 | 制品 ↔ 提交 ↔ 依赖清单 ↔ 扫描报告 全链路可查 |
只对代码变更触发构建的团队，永远收不到基础镜像侧的安全修复。