CI/CD
聚合包含「CI/CD」的文章，方便按工具、配置项或错误现象继续排查。
Docker 镜像里最容易泄露什么：.env、构建缓存、SSH key 和多阶段构建
Docker 镜像上线前，先检查 build context、.dockerignore、ARG / ENV、构建缓存、SSH key、npm token、镜像历史和多阶段构建，避免把本地密钥、生产配置和调试文件一起打进镜像。
Docker镜像安全CI/CD
npm 供应链攻击后，开发者要怎么检查依赖、lockfile 和 CI 密钥
npm 包被投毒后，不要只删 node_modules。先确认是否装过恶意版本，再查 lockfile、生命周期脚本、GitHub Actions、npm token、云凭据和 CI 日志，并按可能泄露处理。
npm供应链安全CI/CD
GitHub Actions 不是能跑就行：第三方 Action、secrets、权限和日志怎么查
GitHub Actions 上线前，先检查第三方 Action 是否固定到可信版本、GITHUB_TOKEN 权限是否最小、secrets 是否只给发布 job、PR 触发器是否处理不可信代码、日志和 artifacts 是否泄露凭据。
GitHub ActionsCI/CD供应链安全