修复 CI 缓存镜像组装的基础镜像引用

使用临时本地标签和宿主默认 builder 组装缓存镜像组装成功或失败后清理临时标签，保持基础镜像清理归属补充基础镜像复用、重建及失败清理测试同步部署文档和项目共享记忆
2026-09-22 15:03:05 +00:00
parent 4380d453d7
commit 5c2f85c089
4 changed files with 53 additions and 7 deletions
@@ -120,6 +120,8 @@ runner 配置保留原 `ubuntu-latest` 映射，`genarrative-ci` 继续映射到

 维护 journal 分阶段记录来源 run、基础镜像重建或复用、artifact 下载、对象合并、镜像组装校验、导出、载入及空闲等待；长操作记录开始和结束耗时，失败输出对应私有 `artifacts/<source-sha>/build.log` 路径。构建的详细下载与 Docker 输出仍只写该日志，不回显 Token、命令环境或认证配置。

+快照组装使用宿主 `default` Docker builder，读取已载入宿主的无对象缓存基础镜像；不能使用无法直接读取宿主镜像的独立 docker-container builder。BuildKit 的 `FROM` 不接受裸 `sha256:<Image ID>`，因此维护器在持锁期间将确定的基础 Image ID 绑定到专用临时 `assembly-base` tag，并在组装成功或失败后去除该 tag；来源元数据及 runner 配置仍使用完整 Image ID。临时别名不登记为受管基础镜像，不改变历史镜像的清理归属；进程被强杀时最多残留这一个别名，下次组装会重新绑定并清除。
+
 切换先通过专属入口阻断新的 FetchTask，确认已转发的领取请求全部收到完整上游响应，并检查入口持久化跟踪的已领取任务全部结束、内层 Docker 没有活动容器。任务终态必须依据 Runner 的执行结束及最终上报协议，不能由容器暂时为空、API 已取消或请求超时推断。有任务即恢复领取并延后，不停止任务；状态未知拒绝切换。维护器只需普通账号的 `write:repository` Token（包括查询、下载及定向删除 artifact），不访问全局 Runner 管理 API。切换后等待使用该 Image ID 的完整真实 master push CI 通过，才允许下一次升级及旧镜像清理；不会自动重跑失败用例或为了验收额外触发整轮 CI。首次接管的历史镜像默认不归自动清理管理。

 维护状态、凭据、归档和配置备份保存在仓库外。当前版、回滚版、待验证候选、它们的基础镜像及容器引用的镜像均受保护。清理只针对维护器登记的专属 tag、完整 Image ID 和专用目录中的归档；禁止全局 prune。API、构建、验证或空闲检查失败时保留现役镜像与回滚资料，不以失败重跑制造全绿结果。