L2 CI 与证明 | 希曼日记

职责：构建、测试、产出制品与供应链证明。文章推荐 Tekton + Tekton Chains（SLSA 溯源），原文括注同样认可 GitHub Actions / GitLab CI——这一括注直接豁免了本地最重的一层。

本地落位（实测 2026-08-17）

GitHub Actions「一份模板 + 矩阵分发」：service-ci.yml（workflow_call 复用模板）按 diff 路径只构建受影响服务，构建后由单个 update-manifests job 回写 helm/values.yaml 镜像 tag，[skip ci] 防自触发
门禁：structcheck（服务矩阵四处对齐）、buf breaking、commitlint
Tekton 判定永久跳过：2 节点 ARM 集群养不起一套 pipeline 控制器；构建本就发生在集群外，托管 runner 更干净

gitleaks、trivy、SBOM、签名（cosign 或 GitHub artifact attestations）始终停留在建议清单，从未被点名执行。

CI 改为仅发布 tag（裸 semver）触发，push main 不再构建。「合入即构建」的原设计已被推翻，L2 到 L4 的自动衔接随之改变。