GitOps 发布实践：声明式配置也需要回滚纪律-育师

GitOps 发布实践：声明式配置也需要回滚纪律

一、GitOps 不是"把 YAML 扔进 Git 就完事"

GitOps 的核心思想是：Git 是唯一的真相来源，所有发布操作都通过 Git 提交触发。这听起来很简单，但落地时最大的问题不是"怎么把 YAML 提交到 Git"，而是"怎么管理这些 YAML 的变更历史"。

很多团队引入 GitOps（比如用 ArgoCD 或 FluxCD）后，确实实现了"提交即发布"，但回滚纪律反而变差了。为什么？因为大家觉得"反正可以随时git revert，回滚很快"。但实际情况是：没有经过测试的git revert，可能把其他正确的配置一起回滚掉，或者引入新的冲突。

GitOps 的声明式配置确实需要回滚纪律：回滚也是一次发布，需要经过同样的测试流程。

二、GitOps 发布流水线的正确姿势

flowchart LR A[开发提交代码] --> B[CI: 构建镜像] B --> C[CI: 更新 GitOps 仓库的镜像 tag] C --> D[CD: ArgoCD 检测到变更] D --> E[同步到集群] E --> F{健康检查} F -->|成功| G[记录发布历史] F -->|失败| H[自动回滚到上一个版本] H --> I[通知值班人员] J[手动回滚] --> K[创建回滚 PR] K --> L[Code Review] L --> M[合并后触发 CD] M --> E style C fill:#f9f,stroke:#333 style H fill:#bfb,stroke:#333 style K fill:#bbf,stroke:#333

上面的流水线看起来很美，但忽略了一个关键问题：GitOps 仓库的变更，谁来 Review？

很多团队的做法是：CI 自动更新 GitOps 仓库的镜像 tag，然后 ArgoCD 自动同步。这确实实现了全自动化，但跳过了 Review 环节。如果 CI 因为 bug 更新了错误的 tag，或者更新了错误的环境变量，ArgoCD 会直接把错误的配置同步到生产集群。

我们的做法是：生产环境的 GitOps 仓库，所有变更必须 PR + Review，不允许直接 push，也不允许 CI 自动合并。CI 只负责构建镜像和更新 staging 环境的 GitOps 配置，生产环境的变更必须由负责人创建 PR 并经过 Review。

三、回滚不是`git revert`那么简单

当生产发布出现问题时，第一反应是"赶紧回滚"。但在 GitOps 场景下，回滚有几个坑需要注意：

坑一：配置文件和镜像 tag 耦合在一起

假设你有一个deployment.yaml，里面同时包含了镜像 tag 和环境变量。某次发布更新了镜像 tag（从 v1.0 到 v1.1），同时也更新了一个环境变量（从LOG_LEVEL=info改到LOG_LEVEL=debug）。发布后发现 v1.1 有 bug，你做了git revert。

问题是：git revert会把环境变量也回滚到LOG_LEVEL=info，但如果这个环境变量在 v1.1 之后还有其他正确的修改，git revert会导致那些修改也丢失。

# 不推荐：把所有配置放在一个文件里 apiVersion: apps/v1 kind: Deployment metadata: name: order-service spec: template: spec: containers: - name: app image: order-service:v1.1 # 需要回滚 env: - name: LOG_LEVEL value: "debug" # 这个也被回滚了，但可能是正确的修改 - name: DB_HOST value: "db.prod" --- # 推荐：镜像 tag 和配置分开管理 # kustomization.yaml apiVersion: kustomize.config.k8s.io/v1betagr kind: Kustomization images: - name: order-service newTag: v1.1 # 只改这里，不影响其他配置 resources: - deployment.yaml # 包含环境变量等固定配置

坑二：回滚后再次发布会丢失回滚

假设你回滚到了 v1.0，然后想重新发布 v1.2（包含了 v1.1 的 bug 修复和新功能）。如果你们的 CI 流程是"每次发布都更新 GitOps 仓库的 tag 到最新"，那么v1.2 的发布会覆盖掉回滚的提交。如果 v1.2 的构建是基于 main 分支的最新代码，这没问题；但如果 v1.2 的构建是基于旧的 commit，就会有问题。

正确的做法是：回滚要创建新的提交，而不是改写历史。git revert是创建新提交的好方法，但要确保 revert 的粒度足够细（只 revert 镜像 tag，不 revert 其他配置）。

四、GitOps 配置的版本管理策略

GitOps 仓库的分支策略也很重要。我们推荐的是环境分离 + 主干开发：

gitops-repo/ ├── staging/ │ ├── order-service/ │ │ ├── deployment.yaml │ │ └── kustomization.yaml │ └── payment-service/ ├── production/ │ ├── order-service/ │ └── payment-service/ └── overlays/ ├── staging/ └── production/

staging 分支：对应预发布环境，CI 自动更新，无需 Review。
production 分支：对应生产环境，所有变更必须 PR + Review。
overlays 目录：使用 Kustomize 的 overlays 机制，staging 和 production 共享基础配置，但可以有环境特定的覆盖（比如环境变量、副本数）。

这种结构的好处是：staging 和 production 的配置差异一目了然，回滚时只需要 revert production 分支上的对应提交。