3. CI/CD 流水线基础：Jenkins/GitLab CI/CD 流水线概念、阶段划分与触发方式

在 Kubernetes 发布流水线中，CI/CD 流水线是自动化安全扫描与回滚触发的执行载体。理解流水线的核心概念、阶段划分与触发机制，是构建可靠发布流程的前提。本章聚焦 Jenkins 与 GitLab CI/CD 两种主流工具，对比其流水线模型与阶段设计。

3.1 流水线核心概念

CI/CD 流水线将软件交付过程分解为一系列自动化阶段，每个阶段包含一个或多个任务。流水线的核心价值在于：

• 可重复性：每次执行使用相同的流程与配置，消除人为差异。
• 可观测性：每个阶段的状态、日志与产物清晰可见。
• 可控制性：支持手动审批、条件分支与失败回滚。

3.2 阶段划分模型

一个典型的 K8s 发布流水线通常包含以下阶段。下表对比了 Jenkins 与 GitLab CI/CD 的阶段定义方式：

3.3 触发方式对比

流水线的触发方式决定了何时开始执行。Jenkins 与 GitLab CI/CD 均支持多种触发策略：

3.4 流水线结构示意图

下图展示了一个包含安全扫描与回滚触发的 K8s 发布流水线阶段流程：

3.5 触发条件配置示例

以下展示 GitLab CI/CD 中基于分支与标签的触发配置，以及 Jenkins 中基于 Webhook 的参数化触发：

GitLab CI/CD 触发配置（.gitlab-ci.yml 片段）

stages:
  - fetch
  - build
  - security
  - package
  - deploy
  - verify

variables:
  DOCKER_IMAGE: "${CI_REGISTRY_IMAGE}:${CI_COMMIT_SHORT_SHA}"

workflow:
  rules:
    - if: '$CI_PIPELINE_SOURCE == "merge_request_event"'
      when: always
    - if: '$CI_COMMIT_BRANCH == "main"'
      when: always
    - if: '$CI_COMMIT_TAG =~ /^v\d+\.\d+\.\d+$/'
      when: always
    - when: never

security-scan:
  stage: security
  script:
    - trivy image --severity HIGH,CRITICAL --exit-code 1 ${DOCKER_IMAGE}
  rules:
    - if: '$CI_COMMIT_BRANCH == "main"'
      when: on_success
    - if: '$CI_COMMIT_TAG =~ /^v\d+\.\d+\.\d+$/'
      when: on_success

deploy-k8s:
  stage: deploy
  script:
    - kubectl apply -f k8s/deployment.yaml
  environment:
    name: production
  rules:
    - if: '$CI_COMMIT_TAG =~ /^v\d+\.\d+\.\d+$/'
      when: manual
      allow_failure: false

Jenkins 声明式 Pipeline 触发配置

pipeline {
    agent any
    triggers {
        // 代码推送触发（需安装 Generic Webhook Trigger 插件）
        GenericTrigger(
            genericVariables: [
                [key: 'REF', value: '$.ref']
            ],
            : 'my-secret-',
            causeString: 'Triggered by push to $REF',
            printContributedVariables: true,
            printPostContent: true
        )
        // 定时触发：每天凌晨 2 点执行安全扫描
        cron('0 2 * * *')
    }
    stages {
        stage('Security Scan') {
            when {
                expression { return env.BRANCH_NAME == 'main' || env.TAG_NAME =~ /^v\d+\.\d+\.\d+$/ }
            }
            steps {
                sh 'trivy image --severity HIGH,CRITICAL --exit-code 1 ${DOCKER_IMAGE}'
            }
        }
        stage('Deploy to K8s') {
            when {
                expression { return env.TAG_NAME =~ /^v\d+\.\d+\.\d+$/ }
            }
            input {
                message "确认部署至生产环境？"
                ok "确认部署"
            }
            steps {
                sh 'kubectl apply -f k8s/deployment.yaml'
            }
        }
    }
}

3.6 阶段划分最佳实践

根据团队规模与发布频率，阶段划分可灵活调整。以下推荐两种常见模式：