3. 发布准入流程详解

3.1 什么是发布准入

发布准入（Release Admission / Deployment Gate）是指在软件发布流水线中，设置一系列自动化检查卡口，只有通过所有检查的构建版本才能被允许进入生产环境或下一级发布阶段。它是持续交付（CD）流程中的“安全阀门”，用于拦截存在性能退化、功能缺陷或安全风险的变更。

发布准入通常包含以下检查维度：

• 功能测试通过率：自动化回归测试、集成测试通过率必须达到 100%。
• 安全扫描结果：无高危/严重漏洞，或已通过安全审批。
• 性能基线对比：核心接口的 P99 延迟、吞吐量、错误率不劣于上一发布版本。
• 日志查询接口专项准入：日志查询接口的响应时间、并发能力、资源消耗满足 SLA 要求。

3.2 日志查询在发布卡口中的作用

日志查询接口是运维排障、监控告警、业务分析的“第一入口”。如果发布后日志查询接口出现性能退化，将直接影响故障定位效率、SRE 响应速度以及业务连续性。因此，日志查询接口必须作为发布准入的独立卡口，与业务接口性能基线并列。

3.3 准入规则与 SLA 定义

准入规则是发布卡口的“裁判标准”，SLA（Service Level Agreement）则是这些规则的量化目标。对于日志查询接口，我们定义以下三层 SLA 指标：

3.3.1 核心 SLA 指标

3.3.2 准入规则执行流程

发布准入卡口按照以下规则链执行，任一规则失败则阻断发布：

1. 规则 1：日志查询接口 P99 延迟 ≤ 500ms（连续 3 轮采样均通过）。
2. 规则 2：日志查询接口 QPS ≥ 2000（阶梯加压至目标 QPS 后稳定运行 30 秒）。
3. 规则 3：错误率 ≤ 0.5%（压测全程统计）。
4. 规则 4：CPU 使用率增量 ≤ 20%（与上一版本基线对比）。
5. 规则 5：日志查询结果完整性校验通过（随机抽取 100 条日志，比对返回结果与原始数据一致）。

3.4 发布准入流程架构图

下图展示了日志查询接口在发布流水线中的准入卡口位置及规则执行顺序：

3.5 准入规则与 SLA 的联动关系

准入规则是 SLA 的“执行态”体现。SLA 定义了长期服务承诺（如“全年 P99 ≤ 500ms 达到 99.9%”），而准入规则则在每次发布时验证当前版本是否满足该承诺。两者关系如下：

3.6 准入规则配置示例

以下是一个基于 YAML 的准入规则配置片段，可直接集成到 CI/CD 流水线中：

# admission-rules.yaml
apiVersion: deployment.admission/v1
kind: LogQueryAdmissionRule
spec:
  service: log-query-service
  rules:
    - name: p99-latency
      metric: p99_latency_ms
      threshold: 500
      operator: "<="
      sample_count: 3
      description: "P99 延迟不超过 500ms，连续 3 轮采样通过"
    - name: qps
      metric: queries_per_second
      threshold: 2000
      operator: ">="
      steady_duration: 30s
      description: "QPS 不低于 2000，稳定运行 30 秒"
    - name: error-rate
      metric: error_rate_percent
      threshold: 0.5
      operator: "<="
      description: "错误率不超过 0.5%"
    - name: cpu-delta
      metric: cpu_usage_delta_percent
      threshold: 20
      operator: "<="
      baseline_ref: "previous_release"
      description: "CPU 使用率增量不超过 20%"
  on_failure: block_release
  on_success: proceed_to_gray