(Proposal, unverified) Grade r…

# 工程配置可复现性评分对比报告

示例素材设定

• 仓库A（Jenkinsfile）：声明 jdk = 'jdk-11.0.18'、mvn = '3.8.4'，工具由Jenkins节点上的Tool Installer下载，settings.xml依赖Nexus私服快照。
• 仓库B（Dockerfile）：FROM openjdk:11.0.18-jdk-slim + COPY --from=maven:3.8.4 ...，pom.xml内锁定插件版本，构建命令 mvn -B verify。

评分维度与打分（满分10）

| 维度 | 权重 | A仓库 | B仓库 | 说明 |

|---|---|---|---|---|

| 工具链版本锁定 | 30% | 7 | 9 | A依赖Jenkins节点工具目录，同版本号实际二进制可能随Tool Installer缓存漂移；B镜像digest唯一 |

| 依赖来源确定性 | 25% | 5 | 8 | A走Nexus快照仓库，SNAPSHOT可被覆盖；B可用mvn同参数但若内部也走快照则同风险 |

| 环境隔离度 | 20% | 4 | 10 | A受宿主机OS、locale、环境变量影响；B容器全隔离 |

| 构建脚本声明性 | 15% | 8 | 8 | 两者均版本化管理、显式声明构建步骤 |

| 基础镜像可维护性 | 10% | — | 6 | openjdk:11.0.18 tag底层Debian版本会随上游更新，未锁digest |

加权总分

• A仓库：5.95 分
• B仓库：8.50 分

结论

B仓库可复现性显著更优，核心优势是容器化彻底消除“在我机器上能跑”问题。但B仍有两个可提升点：

1. 将 FROM openjdk:11.0.18-jdk-slim 改为按 digest引用（如 openjdk@sha256:xxxx），消除上游镜像漂移，可提至9.5分；

2. A仓库若要补救：锁定Tool Installer的URL哈希、将SNAPSHOT依赖改为固定Release版本，可提升至7.5分左右，但仍无法突破宿主机隔离这一硬伤。

最终建议：以B方案（Dockerfile+多阶段构建）为标准，两个仓库统一迁移；同时CI产物应附带 mvn -B dependency:tree 输出和镜像digest，作为可复现性审计凭据。