fix(ci): ACR cleanup改到Deploy之后运行，保护当前构建tag不被误删 #614

Merged

auto-approve-bot merged 1 commits from fix/acr-cleanup-timing into develop 2026-07-19 21:24:44 +08:00

Conversation 5 Commits 1 Files Changed 2

+11 -1

xiaoxia commented 2026-07-19 21:18:20 +08:00

Owner

Copy Link

Copy Source

问题根因

ACR cleanup和Deploy Staging并行运行，缓存构建的web镜像（40秒完成）manifest的created时间是缓存的旧时间，ACR cleanup按created时间排序时把它当成老镜像删了。Deploy去拉的时候镜像已经不存在，报not found。

修复

1. 调整执行顺序：ACR cleanup的needs从build-staging改为deploy-staging，确保部署成功后再清理旧镜像
2. PROTECTED_TAG保护：当前commit对应的tag不被删除（双保险，防止缓存构建时间不准导致误删）

影响

• Deploy Staging不再因为ACR cleanup抢跑而拉不到刚构建的镜像
• ACR cleanup延迟到部署成功后运行，不影响部署时效

## 问题根因 ACR cleanup和Deploy Staging并行运行，缓存构建的web镜像（40秒完成）manifest的created时间是缓存的旧时间，ACR cleanup按created时间排序时把它当成老镜像删了。Deploy去拉的时候镜像已经不存在，报not found。 ## 修复 1. **调整执行顺序**：ACR cleanup的needs从build-staging改为deploy-staging，确保部署成功后再清理旧镜像 2. **PROTECTED_TAG保护**：当前commit对应的tag不被删除（双保险，防止缓存构建时间不准导致误删） ## 影响 - Deploy Staging不再因为ACR cleanup抢跑而拉不到刚构建的镜像 - ACR cleanup延迟到部署成功后运行，不影响部署时效

xiaoxia added 1 commit 2026-07-19 21:18:20 +08:00

fix(ci): ACR cleanup改到Deploy之后运行，保护当前构建tag不被误删 ... b3f3f39173

问题：ACR cleanup和Deploy Staging并行运行，缓存构建的镜像manifest
created时间是旧的，被ACR cleanup当成老镜像删掉了，导致Deploy拉取
时报not found。

修复：
1. ACR cleanup的needs从build-staging改为deploy-staging，确保部署
   成功后再清理旧镜像
2. 添加PROTECTED_TAG保护机制，当前commit对应的tag不被删除（双保险）

gitea-actions bot commented 2026-07-19 21:19:32 +08:00

Copy Link

Copy Source

🚀 预览环境已部署

项目	详情
PR号	#614
预览链接	https://pr-614.preview.xiaoxiajianji.com
API环境	staging

💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。

🔄 每次提交新代码后预览环境会自动更新。

🗑️ PR 关闭或合并后，预览环境会自动清理。

🚀 **预览环境已部署** | 项目 | 详情 | |------|------| | PR号 | #614 | | 预览链接 | [https://pr-614.preview.xiaoxiajianji.com](https://pr-614.preview.xiaoxiajianji.com) | | API环境 | staging | > 💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。 > > 🔄 每次提交新代码后预览环境会自动更新。 > > 🗑️ PR 关闭或合并后，预览环境会自动清理。

auto-approve-bot commented 2026-07-19 21:22:47 +08:00

Collaborator

Copy Link

Copy Source

代码审查结果 - PR #614

⚠️ 问题（2个需要修改）

1. scripts/ci/acr_cleanup.py 第285行：Tag匹配逻辑存在风险，startswith 可能导致保护失效。

   • 原因：ACR中的镜像Tag通常包含仓库前缀（如 repo/image:sha）或仅仅是Tag名（如 sha）。如果 t["tag"] 返回的是完整镜像名，使用 startswith(sha) 将无法匹配，导致当前构建的镜像被误删。即使Tag仅为 sha，使用 startswith 也会错误匹配以该SHA开头的其他Tag（如 sha-timestamp）。
   • 后果：当前正在构建/部署的镜像可能被清理脚本误删，导致部署失败或运行时拉取不到镜像。
   • 建议：确认 t["tag"] 的格式。如果是完整镜像名，建议使用 endswith(":" + protected_tag) 或 in 操作符；如果确定Tag名即为SHA，建议使用 == 进行精确匹配。

2. .gitea/workflows/ci-pipeline.yml 第911行：作业依赖变更可能导致清理任务被跳过。

   • 原因：将依赖从 build-staging 改为 deploy-staging 意味着只有当部署成功时才会执行清理。虽然代码中增加了 PROTECTED_TAG 保护机制，理论上可以在构建后立即运行清理，但此变更引入了新的风险。
   • 后果：如果 deploy-staging 阶段失败，清理任务将不会执行。长期来看，这可能导致旧镜像堆积，存储空间无法释放，除非有其他定时清理任务。
   • 建议：评估清理任务的定位。如果是维护性任务，建议保持依赖 build-staging 或独立运行；必须确认 deploy-staging 失败时是否需要跳过清理。

💡 建议（1个可选）

1. scripts/ci/acr_cleanup.py 第283行：环境变量获取建议增加日志。
   • 内容：在获取 PROTECTED_TAG 后，建议打印日志确认该变量是否被正确传入，便于排查CI环境变量传递问题。

---

✅ 格式检查通过 | ❌ 逻辑审查需修改 | ⚠️ 建议关注性能

---

_{🤖 由 AI 代码审查机器人自动生成 | 2026-07-19 21:22:47 | 模型:}

## 代码审查结果 - PR #614 ### ⚠️ 问题（2个需要修改） 1. **scripts/ci/acr_cleanup.py 第285行**：Tag匹配逻辑存在风险，`startswith` 可能导致保护失效。 - **原因**：ACR中的镜像Tag通常包含仓库前缀（如 `repo/image:sha`）或仅仅是Tag名（如 `sha`）。如果 `t["tag"]` 返回的是完整镜像名，使用 `startswith(sha)` 将无法匹配，导致当前构建的镜像被误删。即使Tag仅为 `sha`，使用 `startswith` 也会错误匹配以该SHA开头的其他Tag（如 `sha-timestamp`）。 - **后果**：当前正在构建/部署的镜像可能被清理脚本误删，导致部署失败或运行时拉取不到镜像。 - **建议**：确认 `t["tag"]` 的格式。如果是完整镜像名，建议使用 `endswith(":" + protected_tag)` 或 `in` 操作符；如果确定Tag名即为SHA，建议使用 `==` 进行精确匹配。 2. **.gitea/workflows/ci-pipeline.yml 第911行**：作业依赖变更可能导致清理任务被跳过。 - **原因**：将依赖从 `build-staging` 改为 `deploy-staging` 意味着只有当部署成功时才会执行清理。虽然代码中增加了 `PROTECTED_TAG` 保护机制，理论上可以在构建后立即运行清理，但此变更引入了新的风险。 - **后果**：如果 `deploy-staging` 阶段失败，清理任务将不会执行。长期来看，这可能导致旧镜像堆积，存储空间无法释放，除非有其他定时清理任务。 - **建议**：评估清理任务的定位。如果是维护性任务，建议保持依赖 `build-staging` 或独立运行；必须确认 `deploy-staging` 失败时是否需要跳过清理。 ### 💡 建议（1个可选） 1. **scripts/ci/acr_cleanup.py 第283行**：环境变量获取建议增加日志。 - **内容**：在获取 `PROTECTED_TAG` 后，建议打印日志确认该变量是否被正确传入，便于排查CI环境变量传递问题。 --- ✅ 格式检查通过 | ❌ 逻辑审查需修改 | ⚠️ 建议关注性能 --- _{🤖 由 AI 代码审查机器人自动生成 | 2026-07-19 21:22:47 | 模型:} <!-- AI_CODE_REVIEW_AUTO_COMMENT -->

auto-approve-bot approved these changes 2026-07-19 21:23:05 +08:00

auto-approve-bot left a comment

Collaborator

Copy Link

Copy Source

CI全绿，自动审批通过。

CI全绿，自动审批通过。

auto-approve-bot approved these changes 2026-07-19 21:23:05 +08:00

auto-approve-bot left a comment

Collaborator

Copy Link

Copy Source

CI全绿，自动审批通过。

CI全绿，自动审批通过。

auto-approve-bot merged commit 91e3080371 into develop 2026-07-19 21:24:44 +08:00

auto-approve-bot deleted branch fix/acr-cleanup-timing 2026-07-19 21:24:44 +08:00

gitea-actions bot commented 2026-07-19 21:25:04 +08:00

Copy Link

Copy Source

🗑️ 预览环境已清理

PR #614 已关闭或合并，对应的预览环境已被清理。

如有需要，可以重新打开 PR 来重新生成预览环境。

🗑️ **预览环境已清理** PR #614 已关闭或合并，对应的预览环境已被清理。 > 如有需要，可以重新打开 PR 来重新生成预览环境。

Sign in to join this conversation.

Reviewers

No Reviewers

auto-approve-bot

Labels

Clear labels

P0

阻塞性，必须立即处理

P1

高优先级

P2

中优先级

P3

低优先级/后考虑

architecture

架构设计

backend

后端相关

blocked

阻塞中

bug

Bug修复

ci-bug

CI本身的bug

ci-optimization

CI优化类任务

ci-pipeline

CI流水线/workflow相关

cleanup

代码清理

devops

运维/部署/CI

documentation

文档相关

feature

新功能

frontend

前端相关

question

需要讨论确认

ready

PR CI通过，可合并

refactor

代码重构

No Label

Milestone

No items

No Milestone

Projects

Clear projects

No project

Assignees

Clear assignees

auto-approve-bot xiaoxia

No Assignees

3 Participants

Notifications

Subscribe

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: xiaoxia/xiaoxia-saas#614