ci(retag/deploy): 增加镜像内容校验，防止静默部署旧/损坏镜像 #1569

Merged

xiaoxia merged 1 commits from ci/image-content-verification into develop 2026-08-31 13:07:43 +08:00

Conversation 3 Commits 1 Files Changed 2

+135

xiaoxia commented 2026-08-31 12:01:36 +08:00

Owner

Copy Link

Copy Source

目标

防止 retag 步骤静默复用旧镜像后部署了损坏/过期代码。

变更

retag_skipped_image.sh 加固

• 源镜像 layers 有效性检查（layers=0 拒绝 retag）
• 镜像创建时间审计（>72h 输出警告）
• digest 审计记录

ci_staging_deploy.sh 加固

• pull 后逐服务校验镜像 layers 有效性
• 记录每个镜像的 digest/size/created
• 对比上次部署 manifest，标注变化状态
• 写入 deploy-manifest.json 供下次对比
• 校验失败直接阻断部署

不改动

• concurrency 保持 cancel-in-progress: true
• 生产发版链路不动

## 目标 防止 retag 步骤静默复用旧镜像后部署了损坏/过期代码。 ## 变更 ### retag_skipped_image.sh 加固 - 源镜像 layers 有效性检查（layers=0 拒绝 retag） - 镜像创建时间审计（>72h 输出警告） - digest 审计记录 ### ci_staging_deploy.sh 加固 - pull 后逐服务校验镜像 layers 有效性 - 记录每个镜像的 digest/size/created - 对比上次部署 manifest，标注变化状态 - 写入 deploy-manifest.json 供下次对比 - 校验失败直接阻断部署 ## 不改动 - concurrency 保持 cancel-in-progress: true - 生产发版链路不动

xiaoxia added 1 commit 2026-08-31 12:01:36 +08:00

ci(retag/deploy): 增加镜像内容校验，防止静默部署旧/损坏镜像 ... f7693baeae

retag_skipped_image.sh 加固:
- 源镜像 layers 有效性检查（layers=0 拒绝 retag）
- 镜像创建时间审计（>72h 输出警告）
- digest 审计记录，方便溯源

ci_staging_deploy.sh 加固:
- pull 后逐服务校验镜像 layers 有效性
- 记录每个镜像的 digest/size/created
- 对比上次部署 manifest，标注变化状态
- 写入 deploy-manifest.json 供下次对比
- 校验失败直接阻断部署

concurrency 保持 cancel-in-progress: true（不变）
生产发版链路不动

auto-approve-bot commented 2026-08-31 12:06:59 +08:00

Collaborator

Copy Link

Copy Source

代码审查结果 - PR #1569

⚠️ 问题（2个需要修改）

1. scripts/ci_staging_deploy.sh 第311-315行：生成的 JSON 格式错误，存在尾随逗号。代码在循环内无条件追加逗号，导致生成的 deploy-manifest.json 中最后一个元素 "web_layers" 后带有逗号，这在 JSON 标准中是非法的。如果后续步骤使用 jq 或其他 JSON 解析器读取该文件，将会解析失败。
2. scripts/ci_staging_deploy.sh 第297行：解析 Manifest 的正则表达式逻辑错误。使用 sed 's/.*: *"\(.*\)".*/\1/' 提取 ID 时，如果上一次的 manifest 是压缩的单行 JSON（例如 {"api_id": "sha256:abc", "web_id": "sha256:def"}），该正则会贪婪匹配，提取出 abc", "web_id": "sha256:def"，导致 ID 对比逻辑失效，每次都会误判为 "changed"。

💡 建议（1个可选）

1. scripts/ci/retag_skipped_image.sh 第59行：date -d 是 GNU date 特有语法，在 macOS 等环境会报错。虽然 CI 环境通常是 Linux，但为了脚本健壮性，建议检查 date 版本或使用兼容性更好的处理方式（如 Python 脚本处理时间）。

---

✅ 格式检查通过 | ❌ 逻辑审查需修改 | ✅ 性能无明显问题

---

_{🤖 由 AI 代码审查机器人自动生成 | 2026-08-31 04:06:59 | 模型:}

## 代码审查结果 - PR #1569 ### ⚠️ 问题（2个需要修改） 1. **scripts/ci_staging_deploy.sh 第311-315行**：生成的 JSON 格式错误，存在尾随逗号。代码在循环内无条件追加逗号，导致生成的 `deploy-manifest.json` 中最后一个元素 `"web_layers"` 后带有逗号，这在 JSON 标准中是非法的。如果后续步骤使用 `jq` 或其他 JSON 解析器读取该文件，将会解析失败。 2. **scripts/ci_staging_deploy.sh 第297行**：解析 Manifest 的正则表达式逻辑错误。使用 `sed 's/.*: *"\(.*\)".*/\1/'` 提取 ID 时，如果上一次的 manifest 是压缩的单行 JSON（例如 `{"api_id": "sha256:abc", "web_id": "sha256:def"}`），该正则会贪婪匹配，提取出 `abc", "web_id": "sha256:def"`，导致 ID 对比逻辑失效，每次都会误判为 "changed"。 ### 💡 建议（1个可选） 1. **scripts/ci/retag_skipped_image.sh 第59行**：`date -d` 是 GNU date 特有语法，在 macOS 等环境会报错。虽然 CI 环境通常是 Linux，但为了脚本健壮性，建议检查 `date` 版本或使用兼容性更好的处理方式（如 Python 脚本处理时间）。 --- ✅ 格式检查通过 | ❌ 逻辑审查需修改 | ✅ 性能无明显问题 --- _{🤖 由 AI 代码审查机器人自动生成 | 2026-08-31 04:06:59 | 模型:} <!-- AI_CODE_REVIEW_AUTO_COMMENT -->

gitea-actions bot commented 2026-08-31 12:07:17 +08:00

Copy Link

Copy Source

🚀 预览环境已部署

项目	详情
PR号	#1569
预览链接	https://pr-1569.preview.xiaoxiajianji.com
API环境	staging

💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。

🔄 每次提交新代码后预览环境会自动更新。

🗑️ PR 关闭或合并后，预览环境会自动清理。

🚀 **预览环境已部署** | 项目 | 详情 | |------|------| | PR号 | #1569 | | 预览链接 | [https://pr-1569.preview.xiaoxiajianji.com](https://pr-1569.preview.xiaoxiajianji.com) | | API环境 | staging | > 💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。 > > 🔄 每次提交新代码后预览环境会自动更新。 > > 🗑️ PR 关闭或合并后，预览环境会自动清理。

xiaoxia merged commit f7693baeae into develop 2026-08-31 13:07:43 +08:00

gitea-actions bot commented 2026-08-31 13:11:42 +08:00

Copy Link

Copy Source

🗑️ 预览环境已清理

PR #1569 已关闭或合并，对应的预览环境已被清理。

如有需要，可以重新打开 PR 来重新生成预览环境。

🗑️ **预览环境已清理** PR #1569 已关闭或合并，对应的预览环境已被清理。 > 如有需要，可以重新打开 PR 来重新生成预览环境。

Sign in to join this conversation.

Reviewers

No Reviewers

Labels

Clear labels

P0

阻塞性，必须立即处理

P1

高优先级

P2

中优先级

P3

低优先级/后考虑

architecture

架构设计

backend

后端相关

blocked

阻塞中

bug

Bug修复

ci-bug

CI本身的bug

ci-optimization

CI优化类任务

ci-pipeline

CI流水线/workflow相关

cleanup

代码清理

devops

运维/部署/CI

documentation

文档相关

feature

新功能

frontend

前端相关

question

需要讨论确认

ready

PR CI通过，可合并

refactor

代码重构

No Label

Milestone

No items

No Milestone

Projects

Clear projects

No project

Assignees

Clear assignees

auto-approve-bot xiaoxia

No Assignees

3 Participants

Notifications

Subscribe

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: xiaoxia/xiaoxia-saas#1569