封闭构建
§1摘要与结论
对构建机器已安装的库与软件不敏感、只依赖已知版本编译器与库的自足构建过程，使同一版本在不同机器上构建得到一致结果。
别名：hermetic build、密闭构建、可复现构建、自足构建 | 英文：Hermetic Build | 类型：方法 / practice
§2局部关系图
§3原理 · 为什么
如果构建过程依赖宿主机的隐式状态，那么构建结果就不可复现：同一份源码可能因机器、时间或网络差异产出不同制品，回滚与审计随之失去可信基准。可复现构建要求把构建的全部输入显式化并加以锁定，让构建成为一个自足的黑箱——输入确定则输出确定，与在何处构建无关。这是对制品建立信任的技术前提，也是可靠发布与精确回滚的基础。没有可复现的构建，所谓『同一版本』只是一个需要相信而不能被证明的说法，安全核查与合规审计也无从谈起。它把构建从依赖环境与运气的行为，转变为可重复、可验证的确定性过程，从而支撑更高频率、更低风险的交付，也让第三方能够独立复现并验证交付物。对受监管或安全敏感的场景，这种可独立复现与验证的能力往往是合规的硬性要求。
§4机制 · 如何运作
构建的输入由源码修订、依赖集合与工具链三部分构成。封闭构建把编译器、库与构建工具的版本锁定到已知集合，构建过程不读取未声明的外部状态，也不隐式从网络拉取『最新』依赖。当三部分输入完全确定时，输出制品也应当确定。该过程常与制品签名与内容哈希结合：用唯一哈希标识制品，用签名证明来源，使任何一方都能独立验证所拿到的制品确实由声明的输入构建而来。在需要重建或回滚时，锁定的工具链使重建结果与原始发布保持一致，避免了因工具版本漂移而无法重建历史版本的困境。于是构建从一次性的动作，变成可以被任何人重复验证的确定性函数，使制品成为可被证明而非仅被信任的对象。封闭性还意味着构建过程不应读取未声明的网络资源、环境变量或宿主机上预装的库，因为这些都会让同一修订在不同时刻或不同机器上产出不同结果。当工具链、依赖与源码三者的版本都被完整固定后，重建历史版本才成为可能，回滚与排障才有可靠基准，第三方也能独立复现并核对交付物。
§5工程 · 怎么落地
实践中应使用声明式依赖清单与固定版本的构建工具环境，构建在隔离环境中执行，且不依赖宿主机上预先安装的库。同一修订应在不同机器上重复构建并比对结果，把差异当作需要修复的缺陷而非可接受的噪声。依赖更新与工具升级应作为显式变更走测试，而不是在构建时被动拾取。把构建环境的定义也纳入版本控制，使任何人都能重建出完全相同的构建环境。对既有的、不可复现的构建链，应优先识别并消除其中的隐式状态来源，例如未固定的基础镜像、动态下载的依赖以及依赖本机全局安装的编译器。对关键制品，还可保留构建证明或来源元数据以便日后核查，并定期对最关键的制品做独立重建比对，发现漂移即视为需要调查的信号。落地时应把构建环境的定义本身也当作受测制品管理：基础镜像、编译器与构建工具的版本全部显式声明并锁定，构建在隔离、可重建的环境中进行。对无法立即消除的隐式状态，应记录为已知风险并安排收敛，而不是默认忽略。
§6权衡卡
判断投入是否值得的标准，应是可复现性对回滚与审计的实际价值，而非形式上的完全一致。
环境隔离与依赖锁定会抬高构建复杂度、镜像体积与初次搭建成本，对快速迭代形成一定摩擦，工具升级也需要额外的维护工作。
并非所有场景都值得追求逐位级别的可复现，多数业务系统只需在可复现性与成本之间取得平衡。
因此应先明确可复现的程度要求，再决定锁定的粒度与投入，并为升级保留受控的通道，避免过度工程或名不副实。
追求逐位可复现往往需要付出镜像体积、构建时间与维护成本，对多数业务系统而言，保证依赖与工具链显式锁定通常已足够，逐位一致可留给安全或合规要求更高的制品。
反例之一是构建时从网络拉取未锁定版本的依赖，导致同一修订在不同时间构建出不同结果，回滚时无法重建当时的制品。
反例之二是满足于『已经有自动化构建流水线』，却仍然受宿主机隐式状态的影响，把普通构建误认为可复现构建。
反例之三是把可复现理解为结果永不变化，于是拒绝任何依赖升级，最终积累大量安全欠账。
权衡原文仅按显式标记词归栏引用（收益 / 代价 / 反例），其余句子按原序列为「原文要点」；内容逐字引用未改写。
§7案例带
插件 DAG RC5→RC7 升级
一次知识库随上游源码版本升级的级联维护：以三层差异分析把 219 个包收敛为 26 个实质变更包，经编译、运行时、组合三类依赖判定更新 DAG 数据后全量重生成页面，并以静态门控加渲染验证收口。
AI Agent 架构 DAG 复盘
对四个工作日内独立完成三个异构对象 DAG 分析的方法论复盘，总结「采集→建模→生成→门控→交付」可复用管线与关键教训。
§8信源与核验
核验结论：可复现构建要求对构建机环境不敏感、依赖与工具链版本锁定，且同一修订在不同机器上结果一致；普通自动化构建仍可能受宿主环境与动态依赖影响 [BK-025]
§9原始关系清单
展开：本节点的全部原始关系边（3 条，含边 ID 与方向）
| 关系 | 方向 | 对端节点 | 说明 |
|---|---|---|---|
| 依据推导 | → ESS-J-01 | 构建发布运行分离 E-525 | 封闭构建依据构建阶段的可复现要求 |
| 实现 | ← TEC-J-02 | 不可变基础设施实现 E-833 | 镜像构建一次并不可变复用 |
| 细化 | → MTH-J-02 | 发布工程 E-530 | 封闭构建是发布工程的核心实践 |