ci(deploy): 镜像发布 - 原生多架构构建并复用提交镜像与缓存

docs/content/docs/backend/system-update.mdx

@@ -48,6 +48,23 @@ sudo docker compose --env-file .env -f docker-compose.deploy.yml up -d --force-r
 
 脚本会下载与当前 Release 匹配的 Linux amd64/arm64 二进制和 `SHA256SUMS`，生成随机 `CANVAS_UPDATER_TOKEN`，创建 systemd 服务、Socket 目录、状态目录和 `backups/`。Token 只保存在服务器 `.env` 与 root-only 更新器环境文件中。
 
+## 镜像发布与质量门禁
+
+`main` 推送、`v*` 标签和手动发布统一由 `.github/workflows/publish-images.yml` 编排。发布先调用可复用的 `quality.yml`；PR 仍直接运行质量检查。Go 测试、前端格式、类型、Lint、单测和 Chrome E2E 任一失败，都不能进入镜像构建和发布阶段。若仓库规则配置了必需检查，切换后应核对实际 check 名称，避免仍等待旧的独立 push 工作流。
+
+构建和发布分为以下阶段：
+
+1. 校验 `VERSION`；版本标签必须与文件一致，且存在对应 `CHANGELOG.md` 标题。构建时间取提交时间，同一 SHA 不因重跑而改变。
+2. 后端分别在 `ubuntu-24.04`（AMD64）和 `ubuntu-24.04-arm`（ARM64）原生编译，保留 CGO 与三个服务/迁移二进制。支付插件在每个平台的镜像阶段重新打包并执行 smoke；PR 则独立执行双架构 smoke，不依赖发布。
+3. 前端 Bun 构建阶段固定到 `BUILDPLATFORM`，静态资源只生成一次，再放入 AMD64/ARM64 nginx 镜像。Bun 与 `web/package.json`、质量检查保持 `1.3.9` 一致。
+4. 先推送 `sha-<完整提交>-amd64/arm64` 后端镜像及 `sha-<完整提交>-multi` 前端镜像，以摘要 artifact 传递结果。两种后端架构和前端全部成功后，才从摘要合并发布 manifest，不用可变标签作为合并源。
+5. 同一 SHA 的 main/tag 发布串行运行；后到的一轮仍经过质量门禁，然后复用已有 SHA 镜像，不重复编译。只有明确的镜像不存在可以转入构建，鉴权、限流、网络和异常摘要必须报错。
+6. 发布保留完整 SHA 和短 SHA 标签；只有版本 tag 推送写入具体版本标签。`main` 只有在仍是远端最新提交时才更新 `latest`，旧提交的慢任务不能覆盖新版本。正式部署仍应固定版本标签，不依赖 `latest`。
+
+Go 检查显式使用 `backend/go.sum` 作为缓存依赖键，并上传 `go-test-timings`（JSONL），可按 `Test` / `Elapsed` 定位慢测试。Docker 的后端模块下载保留在普通镜像层，编译步骤可以直接读取；支付插件只按实际 import 下载依赖，不重复预取完整后端模块图。版本参数下移到编译入口。GHA 构建缓存按镜像和架构隔离，避免并行任务共用同一 scope。`go-build` cache mount 只用于同一个 builder 内的复用，当前没有额外的跨 Runner mount 导出方案；不能把它当作持久编译缓存。冷缓存首轮和缓存上传仍可能较慢，需要比较连续两轮的实际耗时。
+
+这套发布流程依赖仓库可使用 GitHub 原生 ARM64 Runner、GHCR 写权限以及构建/下载 artifact 能力。首次上线应核对实际 Runner 排队情况、双架构 manifest、main/tag 同 SHA 复用和质量失败阻断；本地测试不能代替这些云端验收。工作流变更不迁移业务数据库，也不修改服务器 Compose 或数据卷。需要回退 CI 时只回退工作流和 Dockerfile 改动；已发布镜像不会自动撤回，线上版本回退仍按本文的备份与迁移约束执行。
+
 ## 运维检查
 
 ```bash

docs/content/docs/progress/pending-test.mdx

@@ -74,6 +74,14 @@ PR #543 本次未合入：其已发布迁移校验和改写、管理员显式图
 - [x] 修复导演台 DEV 复现入口在 React 初始化前请求 `/api/public/appearance` 导致的 E2E 502：入口和 Provider 共用精确路径隔离，普通页面与生产环境仍执行外观初始化，未放宽浏览器错误断言。
 - [x] 外观启动与导演台专项测试 54 项通过，包含执行真实 `main.tsx` 分支的 9 项新增回归；生产构建（含 TypeScript 检查）通过，仍有 chunk 大小告警。
 - [ ] 在 GitHub 重跑 Director P0 Chrome E2E，确认六个场景不再出现外观接口 502；本轮未启动本地开发服务器或执行 Chrome E2E，不以入口回归测试替代浏览器验收。
+- [x] 修复画布连线可见性文件的 Prettier 格式；增量格式检查改用 Prettier API，移除会触发 EPIPE 的管道比较，覆盖新文件、历史格式、无父提交、全零基线和错误传播。
+- [x] 本地前端类型检查、Lint、1844 项测试通过，其中包含 20 项 CI 格式检查与镜像复用/晋级回归；两个 Dockerfile 的 BuildKit 检查无警告，Actions 工作流通过 actionlint。
+- [x] 使用原失败运行的提交区间重跑实际增量格式脚本，检查通过且未再出现 EPIPE；原生 ARM64 前端 Docker 镜像构建通过。
+- [ ] 后端本地 Docker 完整构建在 Go 依赖下载阶段被 `proxy.golang.org` 的 EOF 阻断，两次同类失败后停止原路径重试；尚不能据此确认后端镜像完整构建通过，未改用不可信依赖或吞掉错误。
+- [ ] 在 GitHub 验证质量检查失败时不构建、不更新镜像标签；确认必要检查规则匹配可复用工作流的实际名称。
+- [ ] 验证 AMD64/ARM64 原生后端构建及支付插件 smoke、前端静态资源单次编译；检查最终镜像的两个架构和实际容器运行。
+- [ ] 连续推送同一 SHA 的 main/tag，确认复用已构建摘要；模拟旧 main 晚完成、镜像不存在、GHCR 鉴权/网络失败，确认不会错误降级或回退 `latest`。
+- [ ] 比较冷/热缓存耗时，使用 `go-test-timings` 分析 `internal/app` 的慢测试。本次未删除测试、未调用真实收费模型、未推送镜像或发布线上版本；不能宣称云端耗时已经降到固定分钟数。
 
 ## 画布素材链路与工作条改造（2026-09-19）