build: bind candidate identity to images

2026-08-26 06:57:12 +08:00
parent 29bdf4900f
commit e8a6122bd6
8 changed files with 71 additions and 22 deletions
@@ -25,6 +25,8 @@

 仓库CI会上传三份SBOM和`build-metadata.json`，其中记录完整提交、运行编号和两个本次构建镜像ID。正式发布若将镜像推入制品库，应以制品库返回的不可变清单摘要为准，并保证采集中的`build_digest`与证据包候选一致。

+CI从OpenAPI版本生成候选版本，并把候选版本、`GITHUB_SHA`和UTC构建时间同时写入后端二进制及后端/Web镜像的OCI `version/revision/created`标签。生成`build-metadata.json`前会重新读取并逐项比对两个镜像标签；标签为空、提交不一致或构建时间漂移时，流水线直接失败，不能产出候选供应链证据。
+
 下载运行日志、构建元数据、SBOM和制品库摘要后，按`remote-ci-supply-chain-capture-v1`整理采集，再执行：

 ```powershell