ci(retag/deploy): 增加镜像内容校验，防止静默部署旧/损坏镜像

retag_skipped_image.sh 加固:
- 源镜像 layers 有效性检查（layers=0 拒绝 retag）
- 镜像创建时间审计（>72h 输出警告）
- digest 审计记录，方便溯源

ci_staging_deploy.sh 加固:
- pull 后逐服务校验镜像 layers 有效性
- 记录每个镜像的 digest/size/created
- 对比上次部署 manifest，标注变化状态
- 写入 deploy-manifest.json 供下次对比
- 校验失败直接阻断部署

concurrency 保持 cancel-in-progress: true（不变）
生产发版链路不动

scripts/ci/retag_skipped_image.sh

@@ -50,8 +50,59 @@ if [ -z "$SRC_TAG" ]; then
 fi
 
 echo "✅ 源镜像: ${IMAGE}:${SRC_TAG}"
+
+# ====== 镜像内容校验（CI 加固 - 防止静默部署旧/损坏镜像） ======
+echo ""
+echo "--- 镜像内容校验 ---"
+
+# 1. 检查镜像 layers 有效性
+LAYERS=$(docker inspect --format='{{len .RootFS.Layers}}' "${IMAGE}:${SRC_TAG}" 2>/dev/null || echo "0")
+echo "源镜像 layers 数量: $LAYERS"
+if [ "$LAYERS" -eq 0 ]; then
+  echo "❌ 源镜像无有效 layers，可能为损坏镜像，拒绝 retag"
+  exit 1
+fi
+
+# 2. 镜像创建时间检查
+CREATED=$(docker inspect --format='{{.Created}}' "${IMAGE}:${SRC_TAG}")
+echo "源镜像创建时间: $CREATED"
+
+# 解析创建时间距现在多少小时
+CREATED_EPOCH=$(date -d "$CREATED" +%s 2>/dev/null || echo "0")
+NOW_EPOCH=$(date +%s)
+AGE_HOURS=$(( (NOW_EPOCH - CREATED_EPOCH) / 3600 ))
+echo "源镜像年龄: ${AGE_HOURS}小时"
+if [ "$AGE_HOURS" -gt 72 ]; then
+  echo "⚠️  警告: 源镜像已超过 72 小时，可能存在分支 tag 未更新的风险"
+  echo "   请检查最近几次 CI 是否对该服务成功构建过"
+fi
+
+# 3. Digest 审计记录
+SRC_DIGEST=$(docker inspect --format='{{.Id}}' "${IMAGE}:${SRC_TAG}")
+echo "源镜像 ID: $SRC_DIGEST"
+
+echo "--- 镜像内容校验通过 ---"
+echo ""
+
 docker tag "${IMAGE}:${SRC_TAG}" "${NEW_REF}"
 
 # 推新 SHA tag；分支 tag 若指向的就是源 digest 则无需重复，失败可忽略
 docker push "${NEW_REF}"
+
+NEW_DIGEST=$(docker inspect --format='{{.Id}}' "${NEW_REF}")
 echo "✅ retag 推送完成: ${NEW_REF} (from ${SRC_TAG})"
+echo "   源 digest: ${SRC_DIGEST}"
+echo "   新 tag digest: ${NEW_DIGEST}"
+
+# 写入 retag 审计记录（供 deploy 步骤参考）
+RETAG_LOG="/tmp/retag-audit-$(date +%s).txt"
+cat > "$RETAG_LOG" <<EOF
+timestamp=$(date -u +%Y-%m-%dT%H:%M:%SZ)
+image=${IMAGE}
+src_tag=${SRC_TAG}
+new_tag=${NEW_TAG}
+src_digest=${SRC_DIGEST}
+new_digest=${NEW_DIGEST}
+age_hours=${AGE_HOURS}
+EOF
+echo "审计记录: $RETAG_LOG"