Docker 与 CI/CD 流水线集成：从构建到交付

提交代码 → 触发 CI → 单元测试 → 构建镜像 → 扫描/签名 → 推送到仓库
    → 部署到 staging → 验收 → promote 到生产 → 渐进发布 → 监控/回滚

原则一：镜像不可变
  用 git SHA 作标签（myapp:1a2b3c4），同一 SHA 只构建一次
  不用 latest / 版本号覆盖（会破坏可追溯性）

原则二：构建前置、门禁后置
  任何环境部署前，镜像必须已通过扫描与签名
  生产 promotion 必须显式触发，而非自动流转

name: build-image
on:
  push:
    branches: [main]
    tags: ['v*']

jobs:
  build:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      packages: write
    steps:
      - uses: actions/checkout@v4

      - name: 登录 GitHub Container Registry
        uses: docker/login-action@v3
        with:
          registry: ghcr.io
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}

      - name: 构建并推送
        uses: docker/build-push-action@v6
        with:
          context: .
          file: ./Dockerfile
          push: true
          tags: ghcr.io/${{ github.repository }}:${{ github.sha }}
          cache-from: type=gha
          cache-to: type=gha,mode=max

      - name: 带 gha 缓存的构建
        uses: docker/build-push-action@v6
        with:
          push: false
          tags: app:${{ github.sha }}
          cache-from: type=gha
          cache-to: type=gha,mode=max,mode=min

# 本地等价的缓存导出命令
docker buildx build --push \
  --cache-from type=gha --cache-to type=gha,mode=max \
  -t ghcr.io/team/app:$SHA .

      - name: 漏洞扫描（Trivy）
        uses: aquasecurity/trivy-action@0.24.0
        with:
          image-ref: app:${{ github.sha }}
          format: sarif
          output: trivy-results.sarif
          severity: CRITICAL,HIGH
          exit-code: '1'          # 存在高危即失败（门禁）

      - name: 镜像签名（Cosign，keyless）
        uses: sigstore/cosign-installer@v3
      - run: |
          cosign sign --yes \
            ghcr.io/${{ github.repository }}:${{ github.sha }}

stages: [build, test, scan, deploy]

variables:
  IMAGE: registry.example.com/myapp:$CI_COMMIT_SHA
  DOCKER_TLS_CERTDIR: "/certs"

build:
  stage: build
  image: docker:27.3
  services:
    - docker:27.3-dind        # Docker-in-Docker 服务
  before_script:
    - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY
  script:
    - docker build --pull \
        --cache-from $CI_REGISTRY_IMAGE:cache-$CI_COMMIT_BRANCH \
        -t $IMAGE .
    - docker push $IMAGE

# GitLab CI 中推荐的 registry cache 方式
docker buildx create --use
docker buildx build --push \
  --cache-from type=registry,ref=$CI_REGISTRY_IMAGE:buildcache \
  --cache-to type=registry,ref=$CI_REGISTRY_IMAGE:buildcache,mode=max \
  -t $IMAGE .

scan:
  stage: scan
  image: docker:27.3
  services: [docker:27.3-dind]
  script:
    - docker pull $IMAGE
    # Trivy 扫描，忽略 IaC（Dockerfile 用 --severity 单独处理）
    - trivy image --exit-code 1 --severity CRITICAL,HIGH $IMAGE
    # 生成 SBOM 并附加
    - syft $IMAGE -o cyclonedx-json > sbom.json
    - cosign attach sbom --sbom sbom.json $IMAGE
    - cosign sign --yes $IMAGE
  rules:
    - if: $CI_COMMIT_BRANCH == $CI_DEFAULT_BRANCH

# 缓存友好的顺序：先依赖、后代码
FROM golang:1.23 AS build
WORKDIR /src
COPY go.mod go.sum ./      # 很少变 → 命中缓存
RUN go mod download        # 只依赖前两行
COPY . .                   # 代码常变 → 其后指令重建
RUN go build -o /app .

□ Dockerfile 步骤顺序不当（拷贝大目录在前）
□ 依赖锁定文件（go.sum/package-lock）每次变化
□ apt/yum 源更新导致 RUN 哈希变化
□ 使用 latest 基础镜像（无锁定 digest）
□ 平台不一致（amd64 与 arm64 缓存互不通用）

# 锁定基础镜像 digest，稳定缓存
FROM golang:1.23@sha256:abcdef... AS build

# 签名（利用 GitHub OIDC，无长期密钥）
cosign sign --yes ghcr.io/team/app:$SHA

# 部署侧校验签名后才拉取
cosign verify --certificate-identity "https://github.com/team/app/.github/workflows/*" \
  --certificate-oidc-issuer "https://token.actions.githubusercontent.com" \
  ghcr.io/team/app:$SHA

# Trivy 扫描并输出 JSON 供门禁判断
trivy image --format json --output trivy.json ghcr.io/team/app:$SHA

# 用 jq 自定义门禁逻辑（例如允许 P1 但禁 P0）
if [ "$(jq '.Results[].Vulnerabilities | map(select(.Severity=="CRITICAL")) | length' trivy.json | paste -sd+ | bc)" -gt 0 ]; then
  echo "存在 CRITICAL 漏洞，阻断"; exit 1
fi

构建一次 → 部署 dev/staging 验证 → 同一 SHA 镜像 promote 到 prod
关键：dev 与 prod 跑的是同一个镜像（immutable tag），
     环境差异只来自 config/secret，不来自代码。

# staging 环境（application 指向 staging 分支/目录）
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: myapp-staging
spec:
  destination: { namespace: staging, server: https://staging.example.com }
  source:
    repoURL: https://github.com/team/manifests.git
    path: overlays/staging
    targetRevision: staging

# 生产 promotion = 合并 PR 到 production 目录 → GitOps 自动同步
git checkout -b promote-$SHA
sed -i "s#image: myapp:.*#image: registry.example.com/myapp:$SHA#g" overlays/production/deploy.yaml
git add -A && git commit -m "promote $SHA to production"
git push origin promote-$SHA   # 走 PR + 审批

services:
  # 两个同名 service 指向不同镜像，通过 Router 切换
  router:
    image: nginx:1.27
    ports: ["8080:80"]
    volumes: [./nginx-blue-green.conf:/etc/nginx/nginx.conf]
  blue:
    image: registry.example.com/myapp:$SHA_OLD
  green:
    image: registry.example.com/myapp:$SHA_NEW

# 切换：改 nginx.conf 的 upstream 指向 green，reload 即可
# upstream backend { server blue:8080; }  →  server green:8080;
docker compose exec router nginx -s reload

apiVersion: argoproj.io/v1alpha1
kind: Rollout
metadata:
  name: myapp
spec:
  replicas: 10
  strategy:
    canary:
      steps:
        - setWeight: 10        # 先放 10%
        - pause: {duration: 5m}  # 观察 5 分钟
        - setWeight: 50
        - pause: {duration: 5m}
        - setWeight: 100
      analysis:
        templates:
          - templateName: error-rate   # 错误率超标自动回滚

Harbor = 私有 Registry + 安全策略 + 复制分发
  - 镜像不可变（immutable tag 防覆盖）
  - 漏洞扫描（内嵌 Trivy）与 拦截策略
  - RBAC / 项目隔离 / 审计日志
  - 仓库间镜像复制（主备、跨地域）
  - OIDC / 机器人账号（CI 专用）

# 创建不可变规则的 API（Harbor v2.8+）
curl -k -u admin:harbor12345 https://harbor.example.com/api/v2.0/projects/myapp/immutabletagrules \
  -H "Content-Type: application/json" \
  -d '{"scope":{"type":"repository","repositories":["myapp"]},"enabled":true,"rule":{"selector":{"kind":"regex","decoration":"matches","pattern":"v.*"},"disabled":false}}'

# ECR 登录 + 构建推送
aws ecr get-login-password --region ap-southeast-1 \
  | docker login --username AWS --password-stdin 123456789012.dkr.ecr.ap-southeast-1.amazonaws.com

docker buildx build --push \
  -t 123456789012.dkr.ecr.ap-southeast-1.amazonaws.com/myapp:$SHA \
  --platform linux/amd64,linux/arm64 .

# ECR 生命周期策略（保留最近 N 个镜像）
# aws ecr put-lifecycle-policy --repository-name myapp \
#   --lifecycle-policy-text '{"rules":[{"rulePriority":1,"selection":{"tagStatus":"any","countType":"imageCountMoreThan","countNumber":50},"action":{"type":"expire"}}]}'

□ 生产项目开启镜像不可变，禁止覆盖标签
□ CI 用机器人账号，最小权限、可审计
□ 定期清理过期/悬空镜像（生命周期策略）
□ 开启漏洞扫描并阻止高危镜像被拉取
□ 异地复制确保容灾，但副本策略要一致