镜像管理策略总览：镜像生命周期管理、版本控制策略、标签规范与不可变标签

在 Serverless 集群环境中，镜像管理策略是保障交付效率与运行安全的基石。本章从镜像的完整生命周期出发，系统梳理版本控制、标签规范与不可变标签三大核心策略，帮助团队建立可追溯、可审计、不可篡改的镜像管理体系。

1. 镜像生命周期管理

镜像从构建到废弃，需经历明确的阶段划分。每个阶段对应不同的存储策略、访问权限与清理规则。

2. 版本控制策略

版本控制的核心目标是实现“可重复构建”与“快速回滚”。推荐采用语义化版本（SemVer）与 Git 提交哈希相结合的双重标识策略。

• 语义化版本（SemVer）： 格式为 MAJOR.MINOR.PATCH，例如 2.1.0。MAJOR 表示不兼容的 API 变更，MINOR 表示向下兼容的功能新增，PATCH 表示向下兼容的问题修正。
• Git 提交哈希： 使用完整或短哈希（如 a1b2c3d）作为镜像标签后缀，确保每个镜像与源代码提交一一对应。
• 组合示例： v2.1.0-a1b2c3d，既提供人类可读的版本语义，又提供机器可验证的精确溯源。

3. 标签规范与不可变标签

标签是镜像仓库中最重要的元数据之一。混乱的标签命名会导致部署错误、回滚困难和安全审计失效。不可变标签（Immutable Tag）是解决这些问题的关键机制。

3.1 标签命名规范

3.2 不可变标签策略

不可变标签是指：一旦某个标签被推送到仓库，该标签就永久绑定到当前镜像摘要（Digest），不允许再次被推送到其他镜像。该策略从源头杜绝了“标签漂移”问题。

• 启用方式： 在镜像仓库（如 Harbor、AWS ECR、Docker Registry）中开启“不可变标签”策略，通常按项目或仓库级别配置。
• 优势：
  • 部署确定性：每次拉取 v1.2.3 都得到完全相同的镜像内容。
  • 审计可追溯：安全扫描结果与标签永久绑定，不会因覆盖而丢失历史记录。
  • 回滚安全：回滚到旧版本时，标签指向的镜像内容不会被篡改。
• 例外处理： 环境指针标签（如 prod）可以保持可变，但应仅由自动化部署工具更新，并记录变更日志。

4. 镜像管理策略总览图

下图展示了从代码提交到镜像废弃的完整策略流程，涵盖版本控制、标签规范与不可变标签的协同关系。

5. 策略落地检查清单

在实施镜像管理策略时，建议按以下清单逐项确认，确保策略完整覆盖。

1. 仓库配置： 生产仓库是否已启用不可变标签？
2. 标签规范： 是否已制定团队级标签命名规范并写入 CI 配置？
3. 版本控制： 是否所有镜像都包含语义化版本和提交哈希？
4. 生命周期： 是否已定义各阶段的保留时长和清理策略？
5. 安全扫描： 是否在推送时自动触发漏洞扫描？
6. 审计日志： 是否记录镜像推送、标签变更和扫描结果？