3. eBPF 模板制品库设计：模板版本化、元数据管理、依赖关系建模

eBPF 模板制品库是整个自动化回滚流水线的核心数据底座。它不仅要存储模板文件本身，更需要对模板的版本演进、元数据属性以及模板间的依赖关系进行精确建模。一个设计不良的制品库会导致回滚时版本错乱、依赖断裂或元数据丢失，使自动化流程失去可信基础。

3.1 模板版本化策略

eBPF 模板的版本化采用语义化版本（SemVer）规范，格式为 MAJOR.MINOR.PATCH，并附加构建元数据以标识流水线构建号。版本号在模板发布时由 CI/CD 系统自动生成并写入制品库索引。

3.2 元数据管理模型

每个模板版本在制品库中对应一个元数据记录，采用 JSON Schema 定义，存储在制品库的索引数据库（如 PostgreSQL 或 etcd）中。元数据是回滚决策的关键输入。

{
  "template_id": "net_monitor_v2",
  "version": "2.1.0+build.20250315",
  "checksum_sha256": "a3f8b2c1d4e5...",
  "created_at": "2025-03-15T10:30:00Z",
  "author": "ci-bot",
  "pipeline_run_id": "pl-20250315-001",
  "kernel_compat": ["5.10+", "6.1+"],
  "dependencies": [
    {"name": "common_helpers", "version": ">=1.2.0 <2.0.0"},
    {"name": "map_definitions", "version": "3.0.0"}
  ],
  "labels": {
    "environment": "production",
    "team": "networking",
    "criticality": "high"
  },
  "rollback_metadata": {
    "previous_version": "2.0.3",
    "rollback_count": 2,
    "last_rollback_reason": "kernel panic on 5.15"
  }
}

3.3 依赖关系建模

eBPF 模板之间普遍存在依赖关系：一个网络监控模板可能依赖通用的 map 定义模板和辅助函数模板。依赖关系建模采用有向无环图（DAG）结构，确保回滚时能按拓扑序处理所有依赖。

依赖解析器在回滚时执行以下步骤：

1. 拓扑排序：对目标模板及其所有依赖进行拓扑排序，确定回滚顺序。
2. 版本约束检查：验证每个依赖的版本是否满足 dependencies 字段中的版本范围表达式。
3. 冲突检测：若两个模板依赖同一库的不同不兼容版本，则标记为冲突并中止回滚。
4. 传递依赖锁定：将解析后的完整依赖树快照写入制品库，供后续审计。

3.4 制品库存储结构

制品库采用分层存储架构，兼顾查询效率与存储成本。模板文件本身存储在对象存储（如 MinIO 或 S3）中，元数据和依赖关系存储在关系数据库中。

3.5 依赖关系建模的工程实践

在实际流水线中，依赖关系建模需要处理以下工程挑战：

• 循环依赖检测：在模板注册时使用 Tarjan 算法或 DFS 检测循环依赖，拒绝注册形成环的模板。
• 依赖版本锁定文件：每次发布时生成 template.lock.json，记录所有传递依赖的精确版本，类似 npm 的 lockfile。
• 依赖升级策略：支持 ~（仅 PATCH 升级）和 ^（MINOR 升级）两种范围运算符，由模板作者在元数据中声明。
• 回滚时的依赖快照：回滚操作必须使用回滚目标版本发布时的 lockfile，而非当前最新依赖。

// template.lock.json 示例
{
  "lockfile_version": 1,
  "template": "net_monitor@2.1.0",
  "resolved_dependencies": {
    "common_helpers": "1.3.0",
    "map_definitions": "3.0.0",
    "base_types": "1.0.0",
    "perf_output": "2.2.0"
  },
  "integrity": {
    "common_helpers": "sha256-abc123...",
    "map_definitions": "sha256-def456..."
  }
}