编者按：本文源自阿里云云效团队出品的《阿里巴巴 DevOps 实际指南》，扫描上方二维码或返回：https://developer.aliyun.com/…，下载完整版电子书，理解阿里十年 DevOps 实践经验。
为保障软件交付的品质，咱们对交付物有性能和性能上的要求。这些要求体现在交付过程中产生的数据上，包含：代码评审数据、平安扫描数据、回归测试后果等。这些数据以交付物（制品）为载体。咱们把这些数据称作制品的元数据。
什么是元数据?
元数据指一经产生就不会变动的数据。元数据是由零碎产生，具备不可篡改和可回溯的特点，因此成为公布过程中的必要根底数据。
元数据为何重要?
为阐明元数据的重要性，先举个例子。阿里中台利用在架构上依赖很多业务团队的二方包，这些二方包品质往往难以把控。那怎么来解决呢?
一种改良办法就是从单个利用维度，到利用依赖树维度更”全景”更”平面”展现数据。以代码评审为例，在中台利用的制品中，蕴含很多业务团队开发的二方包。而在评审中台利用时，只会看到 pom 文件中的二方包的版本号变了，看不到具体的代码变动。对于评审者，须要看到这些版本号背地的代码变动，以及与这些代码变动相干的信息，如相干的需要、有没有通过代码检测、单元测试后果等。
一个利用运行时的依赖大部分在构建时就决定了。运行时问题很多是由依赖引起的。让构建依赖 (树) 产生新价值，从而实现危险左移。
元数据次要有哪些?
除了在构建阶段取到的依赖树，咱们还有其它数据，如测试产生的品质数据，平安扫描产生的平安数据。这些数据咱们都会寄存到 ” 元数据中心 ”，再通过 ” 管控策略核心 ”，利用这些数据对交付过程做自动化的卡点。这一流程通常包含可见、可控、可信三个阶段。
“ 可见 ” 是给用户展示元数据中心的数据，给用户透出交付过程的危险与瓶颈。
“ 可控 ” 是给用户依据看到的问题后，再设置规定来实现自动化检测与门禁。
“ 可信 ” 则是联合 ” 合规平安扫描服务 ” 与 ” 制品仓库 ” 能力，实现数据与规定的交融，实现交付平安。
从可见到可控，再到可信，最初达到晋升交付效率的指标。与此同时，元数据与规定一直演进，缓缓积淀成知识库，成为公司最重要的资产之一。
上图展现了可信公布的架构，能够看到可信公布以元数据为核心，基于制品，继续生产和生产元数据，配合各类自动化的门禁规定，做到继续、牢靠、平安地公布。
元数据分为两类：包自身的元数据、包的血缘关系数据。
包自身的元数据
包自身的元数据包含包的根本信息，如：构建信息、品质数据、平安扫描数据等。除了这些根本信息外，还包含通过元数据协定写入的三方数据。
评分体系
一个制品，如一本书或一部电影一样，能够评分。以二方库 jar 包为例，评分能够领导 jar 包的 ” 应用方 ” 援用最佳品质版本的 jar 包。
评分包含：1. 零碎评分，2. 用户评分。评分是针对制品的某个版本的。
其中，零碎评分满分 10 分，次要依据以下几点来判断：
是否合乎代码规约，每有一条不满足就扣一分;
是否合乎外围指标，每有一条不满足就扣一分;
是否通过官网平台公布，如不是，间接扣分；
是否有安全漏洞，如有，则扣分；
运行时的动静指标，如启动耗时，启动时内存耗费等；
业务测试用例指标，如单元测试覆盖率 / 成功率；
被援用数，肯定时间段被越多的利用应用，会加分。
用户评分是开发者对这个制品的评估，某些制品零碎评分很高，然而接口设计不合理，依赖多，应用方能够给较低的用户评分，推动制品的继续改良。
血缘关系的元数据
一个大制品，是由多个小制品组成的。制品与制品存在依赖与组合等多种关系。制品的血缘关系，也就是制品的依赖数，评分高的依赖版本会被举荐应用。
元数据如何无效应用?
元数据除了在交付流程中用于各节点的准入与准出外，还能够帮忙进行制品治理。制品治理基于元数据的“洞察”和“态势”两大能力。
洞察：通知团队主管如何治理，帮忙团队主管找到哪些制品，或哪些本人的子团队须要优先治理。
态势：通过治理后，制品品质的趋势是什么样的，帮忙团队主管看治理力度与治理成果。
以 jar 包 (二方包) 治理为例。
洞察
二方包外围指标包含：依赖深度，依赖总数，版本总数。团队主管能够在 ” 洞察报表 ” 中抉择本人的团队，找到最须要优化的二方包，进行针对性重点优化。
如何抉择 ” 三高 ” 对象
重点治理对象个别是 ” 三高 ” 对象，即依赖深度等级过高，依赖总数等级过高，版本总数等级过高的二方包。如下图中，”com.taod:feent” 是典型的三高对象，须要优先，重点治理。
如何找到 ” 首恶 ”
因依赖深度，依赖总数是对 GA 最初一个 release 版本且有被利用依赖的二方包，所以要抉择合乎这条件的二方包版本，如下图:
接下来，咱们查看 ” 依赖树详情 ”，再剖析，因为有可能本人的二方包也是因为援用了一个 ” 三高 ” 二方包，而导致本人 ” 三高 ” 的，在 ” 依赖树详情 ” 中，就能够找到它，而它可能就是 ” 首恶 ”。
在找到 ” 首恶 ” 后，个别这样解决:
分割 ” 首恶 ” 二方包的负责同学，进行优化。
先去掉它的一些没应用到的间接依赖。
态势
态势报表次要体现以下两个方面:
如对制品没治理，那包含危险等品质问题会如何好转?
如对制品进行了治理，那治理的成果如何。如成果不好，则再引申出是治理的办法有问题，还是治理的力度不够?
元数据在继续交付流程中的利用
咱们会依据历史呈现过的故障，及平安、测试品质等要求，对一次公布中的制品及它的依赖进行扫描。并基于制品的元数据分析，将公布的危险进行分类，并提醒用户如何修复。
危险等级
危险依照重大等级分为高危、中危和低危，其中高危和中危须要重点关注。等级定义如下：
高危
- 本地公布的 snapshot 更新
- release 版本号升高
- 新增的 release 包有依赖 snapshot 蕴含有 x86 的 so 的 jar 包用于非 x86 的服务器上
中危
- 新增雷同 ga，不同 version 的依赖
- 新增了 snapshot
- 前后二个版本代码删除过多
危险检测流程
首先会在 ” 正式公布 ” 时卡最初一道关，而后基于危险修复老本，将危险检测尽可能提前。
小结
从基于代码的交付到基于制品的交付，其外围区别在于制品是残缺和不可变的。这样基于制品及其元数据构建的继续交付体系，能够做到可信公布，极大地晋升公布效率、升高公布危险。
【对于云效】
云效，云原生时代一站式 BizDevOps 平台，反对公共云、专有云和混合云多种部署状态，通过云原生新技术和研发新模式，助力翻新守业和数字化转型企业疾速实现研发麻利和组织麻利，打造“双敏”组织，实现 10 倍效力晋升。
立刻体验