核心是镜像仓库、构建代理、流水线模板三者联动固化环境与流程：统一私有Harbor为可信源，标准化语言代理镜像，共享库封装CI逻辑，并通过权限与标签实现自动治理。
核心在于用镜像仓库 + 构建代理 + 流水线模板三者联动，把环境、工具、流程全部固化为可复用的制品。
统一镜像仓库作为可信源
不直接使用公共镜像或本地随意构建的镜像。所有业务团队必须从同一个私有仓库（如Harbor）拉取基础镜像和中间件镜像。例如：
- 前端团队用 cjhfff/node:18-alpine 而非 node:18，确保 Alpine 基础和预装工具一致；
- Java 微服务统一基于 cjhfff/openjdk:17-jre-slim，内含标准 JVM 参数和健康检查脚本；
- 每个镜像标签对应明确的构建时间、Git Commit 和扫描报告（Trivy），支持回溯与审计。
标准化构建代理运行时
放弃在 Jenkins Agent 主机上手动安装 JDK/Node/Maven。改用 jenkinsci/docker-agents 衍生镜像，按语言分组定义：
- agent-java17-mvn39：预装 Maven 3.9、OpenJDK 17、Docker CLI，支持 DinD；
- agent-node18-npm9：含 Node.js 18、npm 9、yarn 1.22，禁用全局安装权限；
- 所有代理镜像都继承自同一安全基线（如启用非 root 用户、关闭 SSH、只保留必要 CA 证书）。
流水线逻辑下沉为共享库
把重复操作（镜像构建、推送、K8s 部署、Helm 升级）封装成 Jenkins Shared Library 或 GitLab CI Template，由平台团队维护发布：
- 每个业务仓库只需声明 pipeline { agent { label 'java' } stages { stage('Build') { steps { buildAndPushImage() } } }}；
- buildAndPushImage() 内部自动识别 pom.xml / package.json，执行对应命令，并推送到 ${REGISTRY}/${TEAM}/${PROJECT}；
- 分支策略也内置：main → 生产镜像打 latest + commit-hash 标签；feature/* → 只构建不推送，供 PR 环境快速验证。
权限与生命周期自动管控
通过仓库策略和 CI 工具插件实现自动化治理：
- Harbor 设置项目配额、漏洞扫描阈值（如 CVSS ≥ 7 的镜像禁止部署）；
- Jenkins 使用 Role-based Authorization Strategy，按团队划分 Job 文件夹，仅允许 push 到对应命名空间；
- 所有镜像添加 LABEL maintainer="team-xxx@company.com" 和 LABEL ci-pipeline="gitlab-ci.yml@ref"，便于追踪归属与来源。
