容器化CI/CD流水线需统一环境、隔离依赖、保障可复现性，核心闭环为“代码提交→容器构建→镜像推送→环境部署”；构建要固定基础镜像标签、多阶段构建、显式传参、启用BuildKit；镜像仓库须用Git哈希或语义化版本打标、校验SHA256、支持签名与扫描、自动清理；K8s部署应采用滚动更新、健康探针、Helm/Kustomize模板化、冒烟测试；权限须最小化，敏感信息走secrets，生产部署设人工审批与双因子认证，全链路日志审计留痕。
容器化 CI/CD 流水线不是把 Docker 命令塞进脚本就完事，关键在于用容器统一环境、隔离依赖、保障构建可复现，并让每个环节都可验证、可回滚。真正跑起来的流水线，核心是“代码提交 → 容器构建 → 镜像推送 → 环境部署”这一闭环稳定可靠。
容器镜像构建要轻量且确定
构建阶段最容易踩坑：本地能跑，CI 里失败；今天成功，明天因基础镜像更新而崩。解决办法很实在：
- 固定基础镜像标签，比如用
node:18.19-alpine而非node:18或node:latest - Dockerfile 里用多阶段构建，只把必要产物复制到最终镜像，避免 npm 源码、devDependencies 进入生产镜像
- 构建时显式指定构建参数（如
--build-arg NODE_ENV=production），不依赖环境变量猜测 - 在 CI 中启用 BuildKit（
DOCKER_BUILDKIT=1），提升构建速度和缓存命中率
镜像仓库要可信且可追溯
镜像不是扔进仓库就完事，它得能被准确定位、审计和清理：
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 用 Git 提交哈希（
$CI_COMMIT_SHA）或语义化版本（配合 tag）作为镜像 tag，避免全用latest - 推送前校验镜像 SHA256，确保构建与推送内容一致（
docker image inspect --format='{{.Id}}' myapp:sha） - 选用支持镜像签名（Notary / Cosign）和漏洞扫描（Trivy 集成）的私有仓库，如 Harbor 或 ACR
- 设置自动清理策略，比如只保留最近 10 个成功构建的镜像，防止磁盘爆满
Kubernetes 部署要渐进且可观测
容器化部署不是简单执行 kubectl apply，而是让发布过程可控、可退、可感知：
- 使用滚动更新（RollingUpdate）策略，控制最大不可用副本数（
maxUnavailable: 1）和最大新增副本数（maxSurge: 1） - 部署前加 readiness probe 和 liveness probe，K8s 自动判断服务是否真正就绪再切流量
- 通过 Helm 或 Kustomize 管理部署模板，避免硬编码镜像 tag 到 YAML 中
- 部署后执行健康检查（如调用
/healthz接口）和基本冒烟测试，失败则自动中止 rollout
流水线权限与安全要最小化
CI/CD 是自动化枢纽，也是高危入口，权限设计不能图省事：
- CI runner 使用专用 service account，仅授予
imagePullSecrets、deployment、pod/exec等必要 RBAC 权限 - 敏感信息（如 registry 密码、K8s token）全部走 secrets 注入，绝不写进 .gitlab-ci.yml 或 GitHub Actions 的明文 env
- 生产环境部署必须设人工审批关卡（approval step），且审批人需双因子认证
- 所有构建日志、镜像元数据、部署事件同步至集中日志系统（如 Loki）和审计平台，留痕可查
