Jenkins企业级CI/CD流水线核心是Controller-Agent架构分层解耦与Pipeline as Code实践：Controller仅调度与UI展示，Agent按需执行跨平台构建，Jenkinsfile定义含代码检出、编译测试、质量门禁、镜像构建、分阶段部署及人工审批的标准化流程，凭证通过Credentials Binding安全注入，插件精简聚焦闭环能力。
设计并实施基于 Jenkins 的企业级 CI/CD 流水线，关键不在堆砌功能，而在于分层解耦、权责清晰、安全可控。核心是用好 Controller-Agent 架构，把调度和执行分开，再用 Pipeline as Code 统一描述流程、版本化管理。
明确主从职责，避免单点瓶颈
主节点（Controller）只负责任务分发、UI 展示和权限控制，不跑构建任务。生产环境建议配置 4 核 8GB 起，JENKINS_HOME 挂载到 NFS 或云存储，确保配置可持久、可迁移。Agent 节点按需部署：Java 项目用 Linux 容器 Agent，.NET 项目配 Windows Agent，高并发场景直接对接 Kubernetes 动态申请 Pod。所有 Agent 通过 JNLP 或 SSH 连入，禁止在主节点上安装 Maven、Docker 等构建工具。
用 Jenkinsfile 定义流水线，拒绝界面配置
每个项目根目录放一个 Jenkinsfile，用 Declarative Pipeline 语法编写。阶段划分要贴合质量门禁逻辑，例如：
- Checkout：拉代码 + 验证分支策略（如只允许 merge to main）
- Build & Unit Test：mvn clean package -DskipTests，再单独跑 test stage
- Code Quality：集成 SonarQube 扫描，失败则阻断后续阶段
- Image Build & Push：用 docker.build() 构建镜像，打 tag 后推送到私有 Registry
- Deploy to Staging：kubectl apply -f 或 Ansible Playbook 部署到测试集群
- Manual Approval：加 input 指令，触发人工确认才进生产
凭证与敏感信息必须隔离管理
所有密码、Token、私钥都不能写进 Jenkinsfile。统一用 Credentials Binding 插件注入环境变量：
- Git SSH Key 用 SSH Username with private key 类型，绑定特定仓库 URL
- Docker Registry 登录凭据用 Username with password，配合 docker login 命令使用
- 生产 K8s kubeconfig 用 Secret file 类型，挂载为文件供 kubectl 读取
- 高敏感配置（如数据库连接串）建议对接 HashiCorp Vault，用 Vault AppRole 插件动态获取
插件选型重质量不重数量，聚焦闭环能力
基础插件组合够用即可：
- Pipeline（必装，支撑 Jenkinsfile 解析）
- Git（支持 Webhook 触发和分支发现）
- Docker Pipeline（原生支持 docker.build / push / image.scan）
- Kubernetes CLI（替代本地 kubectl，适配多集群）
- Credentials Binding（安全注入凭证）
- Blue Ocean（可视化流水线视图，方便协作排查）
全局工具路径（JDK/Maven/Git）必须在 “Manage Jenkins → Global Tool Configuration” 中显式声明，避免因 PATH 不一致导致 mvn: command not found 等问题。
