内部开发者平台（IDP）工程化：Backstage、Golden Path 与自服务能力
深入讲解内部开发者平台（IDP）的 DevOps 工程化：平台工程与 DevOps 的关系、开发者门户（Backstage/Port/自研）、Golden Path 黄金路径与 Scaffolder 模板、自服务能力（环境/权限/发布）、平台度量（DORA/SPACE）、IDP 与 CI/CD 集成、演进路线与常见坑。
category
devops
共 67 篇文章。
SLO 与错误预算工程：从 SLI 设计到发布冻结的可靠性闭环
深入讲解 SLO 与错误预算工程的 DevOps 实践：SLI 设计（可用性/延迟/错误率）、SLO 目标设定与错误预算计算、告警策略（Multi-window / Multi-burn-rate）、错误预算耗尽处理（冻结发布）、SRE 值班与 On-Call、与混沌工程/发布门禁联动、工具（Prometheus/Pyrra）以及真实案例。
分布式追踪与全链路可观测：OpenTelemetry、Tempo/Jaeger 与采样策略
深入讲解分布式追踪与全链路可观测的 DevOps 工程化：Trace/Span/Context 传播（W3C traceparent）、OpenTelemetry 采集架构（OTLP/Collector/采样）、Tempo/Jaeger/OTel 后端对比、RED/USE 指标、日志-追踪-指标关联、采样策略（头部/尾部/一致性）以及 CI 链路追踪与常见坑。
云原生安全左移：从镜像扫描到准入控制的全链路防线
深入讲解云原生安全左移（Shift-Left Security）的 DevOps 工程化：镜像扫描（Trivy/Grype）、IaC 扫描（tfsec/Checkov/OPA）、容器运行时安全（gVisor/Falco）、准入控制（Kyverno/Gatekeeper）、流水线安全门禁（质量阈值拦截）、SBOM 与依赖治理以及 CIS 安全基线。
Docker 容器排障与调试实战：退出码、OOM、exec 与调试工具链
Docker 容器排障与调试完整实战：定位容器为什么不起来（退出码/启动失败/依赖）、进入容器调试（exec/nsenter/调试镜像）、OOM 与资源问题、镜像拉取与构建失败、日志与事件排查、网络与端口问题，以及一套可复用的排障路径与工具链。
密钥管理与供应链安全：从 Vault 到 SBOM 的零信任实践
深入讲解 DevOps 中的密钥管理与供应链安全：密钥注入方式对比（环境变量/Vault/Secrets Store CSI/云 KMS）、HashiCorp Vault 架构（KVv2/动态密钥/Policy）、密钥生命周期轮换与审计、GitOps 中密钥同步（SOPS+age/KMS）、供应链安全（SBOM/cosign 签名/镜像扫描）以及零信任密钥访问。
Docker 镜像供应链安全：SBOM、签名、扫描与 SLSA 合规
Docker 镜像供应链安全完整实践：镜像威胁模型与攻击面、漏洞扫描（Trivy/Snyk）与门禁、SBOM 生成与维护、镜像签名（Cosign/Notation）与验证、SLSA 供应链合规、多阶段与最小镜像、可信 Registry 与镜像准入。
Docker 容器监控与日志实践：cgroups 资源限制、Prometheus 与日志驱动
Docker 容器监控与日志完整实践：cgroups 资源限制（CPU/内存/IO）与 docker stats、Prometheus + cAdvisor 指标采集、日志驱动（json-file/loki/fluentd）、logrotate 与日志轮转、健康检查与重启策略、告警与容量规划。
Docker Swarm 集群编排实战：服务、滚动更新、Secrets 与负载均衡
Docker Swarm 集群编排完整实战：Swarm 模式与节点角色（Manager/Worker）、初始化与加入集群、Service 与副本、滚动更新与回滚、Secret/Config 管理、ingress 负载均衡与路由、集群高可用与故障转移，以及 Swarm vs K8s 的选型与迁移。
Docker 存储驱动与 OverlayFS 深度解析：Copy-on-Write 与镜像分层原理
深度解析 Docker 存储驱动（Storage Driver）与 OverlayFS：镜像分层如何实现、Copy-on-Write 原理、overlay2 vs vfs、容器的可写层、删除与写入的 CoW 行为、磁盘占用与镜像瘦身、常见存储驱动选型与避坑。
多平台镜像构建与 Docker Buildx：从 Amd64 到 Arm64 的跨架构交付
深度解析 Docker 多平台（Multi-arch）镜像构建：为什么需要多架构镜像、Buildx 与 QEMU 模拟、buildx 构建器与驱动、多平台构建实操、Manifest List（OCI Index）与自动拉取、交叉编译 vs 模拟、镜像瘦身与平台字段、CI 中的多平台构建与缓存，以及常见避坑。
移动端持续交付（Mobile CD）工程化：签名、分发、灰度与质量门禁
深入讲解移动端持续交付（Mobile CD）工程化：移动端发布的特殊性、CI 构建矩阵（iOS/Android）、签名与证书管理、测试分发与内测、应用商店发布、灰度与全量、回滚与紧急修复（热修）、移动端质量门禁，以及移动端发布的避坑。
FinOps 成本优化与云账单治理：让云支出从黑盒变成可治理
深入讲解 FinOps（云成本优化）的 DevOps 工程化：为什么云支出需要治理、FinOps 的三个阶段（Inform/Optimize/Operate）、成本归属与标签体系、云账单的可观测性与预算告警、云资源治理与缩容策略（Right-sizing/Spot/闲置清理）、以及 CI/CD 里的成本门禁与避坑。
Feature Flags（特性开关）的 DevOps 工程化：从暗发布到渐进式交付
深入讲解特性开关（Feature Flags）的 DevOps 工程化：为什么把发布从部署中解耦、特性的全生命周期、暗发布/金丝雀/灰度发布、开关的配置与运行时、开关项与代码仓库的管理、可观测性、以及特性开关的团队协作与排障。
数据库变更的 DevOps 流水线：Flyway/Liquibase 与生产 Schema 安全演进
深入讲解数据库 Schema 变更的 DevOps 工程化：为什么数据库变更要像代码一样进 CI/CD、Flyway/Liquibase 迁移机制与验证、Expand-Contract 兼容变更策略、可回滚与影子库、迁移流水线的门禁与审批、数据库与代码发布解耦，以及生产迁移的演练与避坑。
预览环境与临时环境治理：Environment as Code 与 PR 级验证
深入讲解预览环境（Preview/Ephemeral Environment）工程化：每个 PR 自动拉起的环境、Environment as Code、Kubernetes 上 per-PR 隔离、数据库与种子数据管理、环境生命周期与回收、成本控制、ArgoCD/Kargo 环境编排，以及预览环境与 CI/CD 门禁的结合。
CI/CD 性能优化与构建缓存：让流水线从 40 分钟缩到 5 分钟
深入讲解 CI/CD 流水线性能优化：串行依赖与等待瓶颈分析、构建缓存的类型与缓存键设计（Docker BuildKit/依赖缓存/编译缓存）、并行矩阵与 Job 编排、Merge Queue、增量构建与测试选择、远端缓存与缓存失效策略，以及一套可复制的优化路径。
交叉编译与 overlay：异构构建全攻略
为树莓派、ARM 服务器交叉编译是 Nix 的王牌场景。本文深入 nixpkgs overlay 机制、cross 工具链（aarch64 目标）、lib.genAttrs 多架构矩阵、异构编译流程与常见坑，带你写出可同时产出 x86_64 与 aarch64 产物的 flake。
可复现开发环境：devenv.sh、devShells 与 direnv
开发环境的可复现比构建更棘手——语言版本、环境变量、pre-commit 钩子、IDE 集成都要一致。本文对比 devShells、devenv.sh 两种主流方案，详解多语言工具链、direnv 自动加载、pre-commit 集成与团队协作的最佳实践。
NixOS 模块系统：options 声明与模块合并语义
NixOS 模块系统是声明式系统配置的心脏。本文深入 options 声明、模块合并语义、mkOption/mkIf/mkMerge/mkDefault 的优先级规则、以及如何开发可复用的自定义模块，从源码语义讲透为什么 NixOS 配置能「合并而不冲突」。