18 | 持续交付流水线软件构建难吗？有哪些关键问题？

# .ci/Dockerfile.build -- 统一构建环境镜像
FROM golang:1.22-bookworm AS base

# 安装必要工具
RUN apt-get update && apt-get install -y \
    make \
    git \
    curl \
    jq \
    trivy \
    cosign \
    syft \
    && rm -rf /var/lib/apt/lists/*

# 预安装常用Go工具
RUN go install golang.org/x/tools/cmd/gofumpt@latest \
    && go install github.com/golangci/golangci-lint/cmd/golangci-lint@latest \
    && go install github.com/go-delve/delve/delve@latest

WORKDIR /workspace

# .github/workflows/build.yml 中引用
jobs:
  build:
    container:
      image: ghcr.io/org/build-env:latest  # 使用统一构建镜像
    steps:
      - uses: actions/checkout@v4
      - name: Build
        run: |
          go build -ldflags="-s -w -X main.version=${GITHUB_SHA}" -o app ./...

# Makefile -- 统一的构建入口
.PHONY: build test lint scan image sbom sign all

# 变量定义
VERSION ?= $(shell git describe --tags --always --dirty)
IMAGE ?= my-app
REGISTRY ?= ghcr.io/org
IMAGE_TAG ?= $(REGISTRY)/$(IMAGE):$(VERSION)

## build: 编译二进制
build:
	@echo "Building binary..."
	CGO_ENABLED=0 go build -ldflags="-s -w -X main.version=$(VERSION)" -o bin/app ./...

## test: 运行测试
test:
	@echo "Running tests..."
	go test -race -coverprofile=coverage.out -v ./...

## lint: 代码规范检查
lint:
	@echo "Running linter..."
	golangci-lint run ./...

## scan: 安全漏洞扫描
scan: build
	@echo "Scanning for vulnerabilities..."
	trivy fs --severity HIGH,CRITICAL --exit-code 1 .

## image: 构建容器镜像
image: build
	@echo "Building container image..."
	docker build -t $(IMAGE_TAG) .
	# 或使用 BuildKit 远程缓存
	# docker buildx build --cache-from type=registry,ref=$(REGISTRY)/$(IMAGE):cache --cache-to type=registry,ref=$(REGISTRY)/$(IMAGE):cache,mode=max -t $(IMAGE_TAG) .

## sbom: 生成软件物料清单
sbom: image
	@echo "Generating SBOM..."
	syft packages $(IMAGE_TAG) -o spdx-json > sbom-$(VERSION).spdx.json

## sign: 镜像签名
sign: sbom
	@echo "Signing image..."
	cosign sign --key cosign.key $(IMAGE_TAG)

## all: 完整构建流程
all: lint test scan image sbom sign
	@echo "✅ Build complete!"

# 使用 GitHub Actions Cache 加速 Go 构建
- uses: actions/setup-go@v5
  with:
    go-version: '1.22'
    cache: true  # 自动缓存 $GOPATH/pkg/mod 和 ~/.cache/go-build

# 使用 actions/cache 缓存其他依赖
- name: Cache dependencies
  uses: actions/cache@v4
  with:
    path: |
      ~/.cache/trivy
      ~/.cosign
    key: tools-${{ runner.os }}-${{ hashFiles('Makefile') }}

❌ 陷阱1："本地能跑,CI挂了"
   症状：开发者本地构建成功，CI却失败
   根因：本地环境和CI环境不一致
   后果：浪费时间排查环境差异
   解法：统一容器化构建环境 + 本地可用同样的Dockerfile

❌ 陷阱2："镜像标签用latest"
   症状：docker pull myapp:latest 每次得到不同版本
   根因：latest是浮动标签,不指向固定版本
   后果：无法确定当前运行的到底是哪个版本
   解法：始终使用语义化版本 + digest双重引用

❌ 陷阱3："node_modules打进镜像"
   症状：镜像大小 > 1GB
   根因：Dockerfile直接COPY . . 再npm install
   后果：构建慢、镜像大、攻击面大
   解法：多阶段构建: stage1装依赖 → stage2只复制编译产物

❌ 陷阱4："构建产物无签名"
   症状：任何人都可以推送同名镜像替换你的
   根因：没有镜像签名和验证机制
   后果：供应链攻击风险极高
   解法：cosign签名 + 部署时验证 + 信任映射(cosign policy)

❌ 陷阱5:"忽视SBOM"
   症状：出了log4j漏洞不知道自己有没有受影响
   根因：没有生成和维护软件物料清单
   后果：漏洞响应极其被动
   解法：每次构建自动生成SBOM + 定期SCA扫描

❌ 陷阱6："构建时间越来越长"
   症状：半年前3分钟,现在15分钟
   根因：随着项目增长,没有优化构建策略
   后果：开发者体验下降,反馈循环变慢
   解法：分析构建图,找出瓶颈,增量构建,并行化