3. CI/CD 流水线基础：Jenkins/GitLab CI 核心概念、Pipeline 即代码、Stage 与 Job 定义

在多租户 SaaS 鉴权拦截链路中，每一次代码提交都可能影响租户隔离、Token 校验或拦截规则。为了在每次变更后自动验证这些关键路径，必须建立标准化的 CI/CD 流水线。本章聚焦 Jenkins 与 GitLab CI 的核心概念，重点讲解 Pipeline 即代码的实现方式，以及 Stage 与 Job 的定义规则。

3.1 CI/CD 流水线核心概念

CI/CD 流水线将代码从提交到部署的过程拆解为多个自动化阶段。在多租户 SaaS 项目中，流水线需要额外处理租户上下文、多环境配置以及鉴权拦截的专项测试。

3.2 Pipeline 即代码 (Pipeline as Code)

Pipeline 即代码将流水线配置以文本文件形式存储在代码仓库中，与源代码一同进行版本控制、代码审查和分支管理。这种方式保证了流水线的可追溯性和可重复性。

3.2.1 Jenkins Pipeline 即代码

Jenkins 支持两种 Pipeline 语法：声明式 (Declarative) 和 脚本式 (Scripted)。声明式语法结构清晰，适合大多数 SaaS 项目；脚本式更灵活，适合复杂定制场景。

// Jenkinsfile - 声明式 Pipeline 示例
pipeline {
    agent any

    stages {
        stage('Checkout') {
            steps {
                checkout scm
            }
        }
        stage('Build & Unit Test') {
            steps {
                sh 'mvn clean compile'
                sh 'mvn test'
            }
        }
        stage('Multi-Tenant Auth Intercept Test') {
            parallel {
                stage('Tenant-A') {
                    steps {
                        sh 'mvn test -Dtest=AuthInterceptTest -Dtenant.id=tenant-a'
                    }
                }
                stage('Tenant-B') {
                    steps {
                        sh 'mvn test -Dtest=AuthInterceptTest -Dtenant.id=tenant-b'
                    }
                }
                stage('Tenant-C') {
                    steps {
                        sh 'mvn test -Dtest=AuthInterceptTest -Dtenant.id=tenant-c'
                    }
                }
            }
        }
        stage('Deploy to Staging') {
            steps {
                sh 'kubectl apply -f k8s/staging/'
            }
        }
    }

    post {
        failure {
            emailext (
                subject: "Pipeline Failed: ${env.JOB_NAME} - ${env.BUILD_NUMBER}",
                body: "鉴权拦截测试失败，请检查日志。",
                to: "team@saas.com"
            )
        }
    }
}

3.2.2 GitLab CI 即代码

GitLab CI 使用 .gitlab-ci.yml 文件定义流水线。其核心概念包括 stages、jobs、runner 和 artifacts。GitLab CI 天然支持并行 Job 和依赖传递。

# .gitlab-ci.yml - 多租户鉴权测试流水线
stages:
  - build
  - unit_test
  - auth_intercept_test
  - deploy_staging

variables:
  MAVEN_OPTS: "-Dmaven.repo.local=$CI_PROJECT_DIR/.m2/repository"

build_job:
  stage: build
  script:
    - mvn clean compile
  artifacts:
    paths:
      - target/

unit_test_job:
  stage: unit_test
  script:
    - mvn test
  dependencies:
    - build_job

auth_intercept_test:
  stage: auth_intercept_test
  parallel:
    matrix:
      - TENANT_ID: ["tenant-a", "tenant-b", "tenant-c"]
  script:
    - mvn test -Dtest=AuthInterceptTest -Dtenant.id=$TENANT_ID
  artifacts:
    when: always
    reports:
      junit: target/surefire-reports/TEST-*.xml

deploy_staging_job:
  stage: deploy_staging
  script:
    - kubectl apply -f k8s/staging/
  only:
    - main
  dependencies:
    - auth_intercept_test

3.3 Stage 与 Job 定义规则

Stage 和 Job 是流水线的核心构建块。合理的 Stage 划分和 Job 定义直接影响流水线的执行效率与可维护性。

3.3.1 Stage 定义原则

• 逻辑独立：每个 Stage 完成一个独立的功能阶段，如构建、单元测试、鉴权测试、部署。
• 串行依赖：Stage 之间默认串行执行，后一个 Stage 依赖前一个 Stage 的成功状态。
• 门禁设置：将关键验证（如鉴权拦截测试）设为门禁 Stage，失败即阻断后续流程。
• 最小化粒度：避免 Stage 过多导致流水线过长，通常 4~6 个 Stage 即可覆盖 SaaS 项目的核心流程。

3.3.2 Job 定义原则

• 单一职责：每个 Job 只做一件事，如“运行租户 A 的鉴权测试”或“构建 Docker 镜像”。
• 并行执行：同一 Stage 内的 Job 可以并行执行，适合多租户并发测试场景。
• 资源标签：为 Job 指定运行环境标签（如 agent { label 'docker' }），确保测试环境一致性。
• 超时与重试：为 Job 设置超时时间（如 timeout 10）和重试策略（如 retry 2），避免流水线卡死。

3.4 多租户鉴权测试流水线架构图

下图展示了针对多租户 SaaS 鉴权拦截链路的 CI/CD 流水线架构。流水线从代码提交触发，经过构建、单元测试、多租户并行鉴权测试，最终部署到预发布环境。

3.5 多租户并行测试 Job 执行流程

下图展示了鉴权拦截测试 Stage 内部，多个租户 Job 的并行执行流程。每个 Job 独立运行，互不干扰，最终汇总测试报告。

3.6 最佳实践总结