多环境 DevOps 管理核心是同一套流水线+参数化配置+环境隔离，而非复制流水线；需通过环境感知触发、变量注入、网络/凭证双重隔离、语义化发布（Tag/SHA）及动态资源策略来防止漂移。
多环境 DevOps 管理的核心不是“建更多流水线”，而是用同一套逻辑、差异化配置、隔离执行上下文来避免环境漂移。
怎么让一套 CI/CD 流水线适配 dev/test/prod
关键在「参数化」和「环境感知触发」，而不是为每个环境复制一份 pipeline。Jenkins 用 params 或 GitLab CI 用 variables + rules 控制分支/标签触发，配合 environment 字段标记部署目标。Kubernetes 场景下，kubectl apply -f 的 YAML 应通过 envsubst 或 helm --set 注入 NAMESPACE、IMAGE_TAG、DB_HOST 等变量，而非硬编码。
常见错误：把测试环境的 application-test.yml 直接复制改名成 application-prod.yml，结果漏掉 TLS 配置或健康检查路径差异；更糟的是在代码里写 if env == 'prod' 分支逻辑——这违反了十二要素应用原则。
- 开发环境允许快速迭代：跳过镜像扫描、不校验证书、用
localhost依赖服务 - 测试环境必须保真：启用同生产一致的 Sidecar（如 Istio）、走真实中间件（非 mock）、跑全量集成测试
- 生产环境强制门禁：需人工审批节点、镜像必须通过
trivy扫描、配置变更需git diff审计留痕
如何防止测试环境误连生产数据库
根本解法是网络与凭证双重隔离。Kubernetes 中，dev 和 prod 命名空间之间默认不互通，但若共用一个 Service 名（如 mysql），且 ClusterIP 没做 namespace 限定，就可能跨环境解析。务必在 Deployment 的 env 中用完整 DNS：mysql.prod.svc.cluster.local，而非 mysql。
在 OpenClaw 中管理 GitHub 仓库、Pull Request、Issue 与工作流。适用于审查 PR、管理 Issue、自动化 GitHub Actions、同步仓库等场景。
凭证绝不存代码或 ConfigMap 明文。用 Vault 动态注入：Dev 环境用 kv/dev/mysql 路径，Prod 用 kv/prod/mysql，通过 VAULT_ROLE 绑定 Kubernetes ServiceAccount，让 Pod 启动时按 namespace 自动拉取对应凭据。
- 禁止在
.gitignore里放过*.env却又把prod.env提交进仓库 - Dockerfile 中避免
COPY .env ./—— 这会让镜像自带环境敏感信息 - CI 脚本里写
mysql -h $DB_HOST前，先加断言：[[ "$DB_HOST" =~ ^[a-z0-9.-]+\.prod\.svc\.cluster\.local$ ]] || exit 1
为什么不能用 git branch 对应环境（如 dev/test/master）
因为分支代表代码演进阶段，环境代表运行时上下文，二者语义错位。master 分支合入后可能要先部署 test，等验收通过再推 prod，但若用 git checkout master && deploy，就失去了灰度控制能力。更危险的是：某次 hotfix 直接 push 到 master，跳过 test 环境验证，直奔生产。
正确做法是用 Git Tag 或 commit SHA 触发部署，环境由 pipeline 参数决定。例如：git tag -a v1.2.3-test -m "for test env" 触发测试部署；git tag -a v1.2.3-prod -m "approved by QA" 才允许 prod 部署。这样每次上线都有可追溯的、带语义的发布单元。
- GitLab CI 中用
only: [/^v\d+\.\d+\.\d+-(test|prod)$/]匹配 tag - Jenkins Pipeline 中用
params.ENVIRONMENT == 'prod' && currentBuild.rawBuild.getCause(Cause.UserIdCause)校验是否人工触发 - 避免在脚本里写
if [[ $GIT_BRANCH == "master" ]]; then ENV=prod—— 这等于把分支策略和部署策略耦合死
环境差异最易被忽略的不是配置项，而是时间维度：测试环境可能容忍 5 秒超时，生产要求 800ms 内响应；日志级别 dev 是 DEBUG，prod 必须是 WARN；甚至 JVM 的 -Xmx 在不同环境内存规格下必须动态计算。这些都不能靠人肉判断，得固化在部署模板或 Operator 的 admission webhook 里。
