背景 这类问题在真实项目里很常见：高并发、复杂依赖、发布频繁、团队协作面广。只有把边界条件提前定义清楚，系统才会在压力下保持稳定。 实践要点 先定义目标：可用性、延迟、成本哪个优先。 把关键路径显式化：超时、重试、降级、回滚。 把策略写进代码和流程，而不是只停留在文档。 代码片段 FROM alpine:3.20 WORKDIR /app COPY . . 总结 工程实践最怕“看起来正确”。把策略做成可观测、可验证、可回滚的闭环，才能在生产环境里真正稳定运行。 稳定性不是某个技巧，而是持续的系统化约束。
背景 这类问题在真实项目里很常见：高并发、复杂依赖、发布频繁、团队协作面广。只有把边界条件提前定义清楚，系统才会在压力下保持稳定。 实践要点 先定义目标：可用性、延迟、成本哪个优先。 把关键路径显式化：超时、重试、降级、回滚。 把策略写进代码和流程，而不是只停留在文档。 代码片段 FROM alpine:3.20 WORKDIR /app COPY . . 总结 工程实践最怕“看起来正确”。把策略做成可观测、可验证、可回滚的闭环，才能在生产环境里真正稳定运行。 稳定性不是某个技巧，而是持续的系统化约束。
背景 这类问题在真实项目里很常见：高并发、复杂依赖、发布频繁、团队协作面广。只有把边界条件提前定义清楚，系统才会在压力下保持稳定。 实践要点 先定义目标：可用性、延迟、成本哪个优先。 把关键路径显式化：超时、重试、降级、回滚。 把策略写进代码和流程，而不是只停留在文档。 代码片段 FROM alpine:3.20 WORKDIR /app COPY . . 总结 工程实践最怕“看起来正确”。把策略做成可观测、可验证、可回滚的闭环，才能在生产环境里真正稳定运行。 稳定性不是某个技巧，而是持续的系统化约束。
先定威胁模型 是防误操作，还是防恶意租户？ 是否允许共享内核？ 对启动时延和系统调用开销的容忍度是多少？ 运行时差异 runc：性能好，隔离依赖内核机制。 gVisor：用户态内核增强隔离，系统调用开销更高。 Kata：轻量虚机隔离最强，资源成本更高。 选型策略 多租户高风险工作负载优先强隔离。 延迟敏感服务优先低开销运行时。 按命名空间/节点池分层部署，不搞一刀切。 小结 运行时选型不是“最安全”或“最快”二选一，而是基于威胁模型、合规要求和性能预算做分层治理。
背景 这类问题在真实项目里很常见：高并发、复杂依赖、发布频繁、团队协作面广。只有把边界条件提前定义清楚，系统才会在压力下保持稳定。 实践要点 先定义目标：可用性、延迟、成本哪个优先。 把关键路径显式化：超时、重试、降级、回滚。 把策略写进代码和流程，而不是只停留在文档。 代码片段 FROM alpine:3.20 WORKDIR /app COPY . . 总结 工程实践最怕“看起来正确”。把策略做成可观测、可验证、可回滚的闭环，才能在生产环境里真正稳定运行。 稳定性不是某个技巧，而是持续的系统化约束。
背景 这类问题在真实项目里很常见：高并发、复杂依赖、发布频繁、团队协作面广。只有把边界条件提前定义清楚，系统才会在压力下保持稳定。 实践要点 先定义目标：可用性、延迟、成本哪个优先。 把关键路径显式化：超时、重试、降级、回滚。 把策略写进代码和流程，而不是只停留在文档。 代码片段 FROM alpine:3.20 WORKDIR /app COPY . . 总结 工程实践最怕“看起来正确”。把策略做成可观测、可验证、可回滚的闭环，才能在生产环境里真正稳定运行。 稳定性不是某个技巧，而是持续的系统化约束。
背景 Monorepo 常见痛点是：改了一个子目录，多个镜像都触发重建。 改进方向 精细化 .dockerignore 子项目独立 context 共享基础层分离 COPY services/api/go.mod services/api/go.sum ./ RUN go mod download COPY services/api/ ./ RUN go build -o app ./cmd/api 总结 缓存命中率是 CI 成本的核心变量，Monorepo 必须做分层构建设计。 构建系统的复杂度，迟早会和代码规模一起增长。
目标先定清楚 供应链安全的核心不是“发现漏洞”，而是回答三个问题： 产物是谁构建的？ 构建过程是否可复现、可验证？ 已知风险是否能阻断上线？ 最小可行链路 构建时生成 SBOM（CycloneDX/SPDX）。 对镜像和 SBOM 进行签名（cosign）。 在部署前做签名与策略校验（admission policy）。 流水线分层 Build：固定基础镜像 digest，避免 tag 漂移。 Attest：记录构建来源、commit、runner 信息。 Verify：发布阶段验证签名、来源、漏洞阈值。 策略示例 rules: - require_signature: true - require_sbom: true - max_critical_vulns: 0 - trusted_builders: - ci-prod-runner 常见失败点 只签镜像不签 SBOM，证据链断裂。 允许“人工例外”但不留审计记录。 漏洞阈值过严导致全线绕过，最终失去治理。 小结 把“生成证据、验证证据、阻断风险”串成默认流水线，供应链安全才会从一次性项目变成长期能力。
背景 镜像漏洞扫描只是起点。上线前还需要回答：这个镜像是谁构建的，包含了什么依赖，是否被篡改。 落地步骤 构建后生成 SBOM 对镜像做签名 部署侧验证签名 syft packages ghcr.io/org/app:latest -o spdx-json > sbom.json cosign sign ghcr.io/org/app:latest cosign verify ghcr.io/org/app:latest 总结 供应链安全要形成闭环：生成、签名、验证，缺一不可。 可观测运行时，也要可追溯构建时。
背景 很多部署问题，其实在本地就埋下了： 本地依赖版本和线上不同 环境变量缺省值不一致 本地绕过了鉴权或网络策略 一个简单做法 用 Compose profile 区分场景，但保持核心依赖一致。 services: app: build: . env_file: .env depends_on: [db, redis] db: image: postgres:16 redis: image: redis:7 总结 环境一致性不是“完全一样”，而是“关键契约一致”。 只要契约一致，很多线上问题能在开发期提前暴露。 部署质量往往从本地开发流程就开始决定了。