3. 共享库加载机制：@Library注解、隐式加载、动态加载、全局配置加载

共享库的加载机制是版本准入控制的基石。Jenkins 提供了四种加载方式，理解它们的执行顺序、作用域和版本绑定规则，是设计准入策略的前提。

3.1 四种加载方式总览

3.2 @Library 注解：显式版本绑定

@Library 注解是 Jenkins 共享库最常用的加载方式，它允许在 Jenkinsfile 顶部直接声明库名称和版本。版本可以是分支名、标签名或 commit SHA。

// 加载默认版本（全局配置中指定的版本）
@Library('my-shared-lib') _

// 加载指定分支版本
@Library('my-shared-lib@release/2.1') _

// 加载多个库，分别指定版本
@Library(['my-shared-lib@v1.0', 'another-lib@feature/abc']) _

// 加载并同时导入类
@Library('my-shared-lib@v2.0') import com.company.Utils

3.3 隐式加载：全局自动注入

隐式加载允许将共享库自动注入到所有 Pipeline 中，无需在 Jenkinsfile 中显式声明。这些库通常包含全局工具函数或基础步骤。

配置路径： Manage Jenkins → Configure System → Global Pipeline Libraries → 勾选「Allow default version to be overridden」→ 在「Implicitly」列勾选。

3.4 动态加载：运行时版本切换

动态加载使用 library 步骤在 Pipeline 运行时按需加载共享库，支持条件化加载和版本动态切换。这是版本准入控制最具挑战的场景。

// 基本动态加载
library 'my-shared-lib@v2.1'

// 条件化加载不同版本
if (env.BRANCH_NAME == 'main') {
    library 'my-shared-lib@stable'
} else {
    library 'my-shared-lib@develop'
}

// 从字符串变量加载版本
def libVersion = 'v3.0'
library "my-shared-lib@${libVersion}"

// 加载后立即调用库中的方法
library 'my-shared-lib@v1.5'
def result = com.company.SecurityChecker.check()

3.5 全局配置加载：统一仓库管理

全局配置加载是 Jenkins 系统管理员在「Manage Jenkins → Configure System → Global Pipeline Libraries」中定义的共享库配置。它定义了库的源码仓库地址、默认版本、加载方式等。

3.6 加载机制流程与版本解析顺序

以下 SVG 图展示了 Jenkins 共享库的完整加载流程，以及版本解析的优先级顺序。

3.7 版本准入在各加载阶段的拦截点

基于上述加载流程，版本准入控制需要在以下关键节点设置拦截：

1. 静态扫描阶段（Pipeline 加载前）： 使用正则或 AST 解析提取 @Library 注解和 library 步骤中的版本字符串，与准入规则库比对。
2. 全局配置变更阶段： 通过 Jenkins 审计日志或配置变更钩子，监控全局共享库默认版本的修改操作。
3. 运行时加载阶段： 利用 library 步骤的 beforeLoad 回调或自定义共享库加载器，在版本实际加载前执行准入检查。
4. 隐式加载阶段： 在 Pipeline 初始化时，检查隐式加载库的默认版本是否在准入白名单中。