4、制品管理：什么是制品、制品仓库（Nexus/Artifactory）、Go二进制制品存储、制品签名与校验

4.1 什么是制品

在软件交付流程中，制品（Artifact） 是指构建过程产生的、可部署或可发布的不可变产物。对于 Go 项目而言，制品不仅仅是编译后的二进制文件，还包括依赖包、容器镜像、配置文件等。

4.2 制品仓库：Nexus 与 Artifactory

制品仓库是集中存储、版本管理和分发制品的平台。在 Go 发布流水线中，它承担着二进制产物托管、依赖代理缓存、访问控制等关键职责。

主流制品仓库对比

4.3 Go 二进制制品存储

Go 编译产物通常是单一静态二进制文件，存储方式与 Java 的 JAR/WAR 不同。推荐使用 Raw/Generic 仓库 或 自定义布局 来组织二进制制品。

推荐的存储路径规范

# 通用路径模板
/{repository}/{project}/{version}/{os}-{arch}/{binary-name}

# 实际示例
/go-binaries/myapp/v1.2.3/linux-amd64/myapp
/go-binaries/myapp/v1.2.3/darwin-arm64/myapp
/go-binaries/myapp/v1.2.3/windows-amd64/myapp.exe

上传与下载示例（使用 curl）

# 上传到 Nexus Raw 仓库
curl -u admin:password \
  --upload-file ./myapp-linux-amd64 \
  "https://nexus.example.com/repository/go-binaries/myapp/v1.2.3/linux-amd64/myapp"

# 从 Artifactory 下载
curl -u admin:password \
  -O "https://artifactory.example.com/artifactory/go-binaries/myapp/v1.2.3/linux-amd64/myapp"

4.4 制品签名与校验

制品签名用于验证制品的完整性和发布者身份，防止二进制被篡改或伪造。在 Go 发布回滚场景中，签名校验是安全回滚的前提条件。

签名流程

1. 生成密钥对：使用 GPG 或 cosign 生成私钥/公钥对。
2. 签名制品：用私钥对二进制文件计算签名，生成 .sig 文件。
3. 上传签名：将签名文件与制品一同存入制品仓库。
4. 分发公钥：将公钥上传到公钥服务器或制品仓库的元数据中。

使用 GPG 签名 Go 二进制

# 生成 GPG 密钥（首次使用）
gpg --full-generate-key

# 签名二进制文件
gpg --detach-sign --armor -o myapp.sig myapp-linux-amd64

# 验证签名
gpg --verify myapp.sig myapp-linux-amd64

使用 cosign（更适合容器化场景）

# 生成密钥对
cosign generate-key-pair

# 签名二进制文件
cosign sign-blob --key cosign.key myapp-linux-amd64 > myapp.sig

# 验证签名
cosign verify-blob --key cosign.pub --signature myapp.sig myapp-linux-amd64

4.5 制品生命周期与签名校验流程

下图展示了从构建到部署的完整制品管理流程，重点突出签名与校验环节。

4.6 制品清理与版本保留策略

制品仓库会随时间积累大量历史版本，需要制定清理策略以控制存储成本并保持仓库可维护性。