代碼寫(xiě)完了push 到倉(cāng)庫(kù)然后呢如果線上服務(wù)器還得你手動(dòng) SSH 進(jìn)去 pull 一把那這自動(dòng)化就算斷了最后一環(huán)。尤其是現(xiàn)在前后端分離、多環(huán)境部署開(kāi)發(fā)機(jī)、測(cè)試機(jī)、生產(chǎn)機(jī)好幾套環(huán)境每次上線都要跑一遍git pull或者git pull --rebase看著沒(méi)啥成本真遇到線上問(wèn)題急著修復(fù)的時(shí)候那就全是心梗時(shí)刻——你剛寫(xiě)完 fix老板在背后看著線上用戶在罵結(jié)果你卡在登錄服務(wù)器、輸密碼、切目錄、拉代碼這條鏈路里每一步都像在跑馬拉松。所以服務(wù)器上自動(dòng)拉取 git 倉(cāng)庫(kù)代碼這件事不是省一點(diǎn)事情的問(wèn)題它是讓整個(gè)發(fā)布流程真正閉環(huán)的最后一道閘門(mén)。我在這塊折騰過(guò)不少方案從最簡(jiǎn)單的定時(shí)腳本到后來(lái)接 Webhook 做事件驅(qū)動(dòng)再到再后來(lái)把整套流程納入現(xiàn)有 CI 體系里作為構(gòu)建前的一個(gè)前置觸發(fā)器。這里面的原理、選型、坑說(shuō)實(shí)話都不少我踩過(guò)很多次整理一篇實(shí)操總結(jié)希望能幫你把這條路走順。1. 自動(dòng)拉取方案的選型與適用場(chǎng)景拆解先說(shuō)思路。服務(wù)器自動(dòng)拉取代碼本質(zhì)上就是把人肉觸發(fā)變成事件觸發(fā)或定時(shí)觸發(fā)。核心就兩個(gè)問(wèn)題什么時(shí)間拉以及怎么知道有沒(méi)有新代碼。1.1 三種主流方案的心智模型方案一Cron 定時(shí)輪詢。服務(wù)器每隔一段時(shí)間比如每分鐘或每五分鐘去執(zhí)行一次git pull。這種方式最直接沒(méi)有任何外部依賴服務(wù)器主動(dòng)去遠(yuǎn)端檢查。方案二Webhook 事件驅(qū)動(dòng)。遠(yuǎn)端倉(cāng)庫(kù)GitHub/GitLab/Gitea 等在收到 push 事件后向服務(wù)器上的一個(gè)接收端發(fā)送 HTTP 請(qǐng)求服務(wù)器收到請(qǐng)求后執(zhí)行拉取腳本。方案三CI/CD 流水線內(nèi)置。代碼拉取不再是服務(wù)器自己完成而是交給 CI 系統(tǒng)某常見(jiàn)的開(kāi)源CI系統(tǒng)或某團(tuán)隊(duì)使用的構(gòu)建平臺(tái)在一個(gè)節(jié)點(diǎn)上執(zhí)行拉取成功后繼續(xù)構(gòu)建部署。關(guān)于方案選型我個(gè)人的判斷維度有三個(gè)環(huán)境規(guī)模、網(wǎng)絡(luò)可達(dá)性、實(shí)時(shí)性要求。如果你只有一臺(tái)服務(wù)器且內(nèi)網(wǎng)部署實(shí)時(shí)性要求又不高Cron 方案最簡(jiǎn)單直接。如果需要分鐘級(jí)甚至秒級(jí)生效且服務(wù)器有公網(wǎng)端口或可以通過(guò)內(nèi)網(wǎng)穿透打通Webhook 是最自然的選擇。如果團(tuán)隊(duì)已經(jīng)有 CI 流水線那就不要再自己造定時(shí)任務(wù)了直接讓 CI 來(lái)跑代碼拉取保證所有環(huán)境使用的代碼版本一致。1.2 為什么要關(guān)注觸發(fā)方式而不僅僅是能拉代碼很多教程只告訴你寫(xiě)一個(gè)git pull然后掛到 Cron 里就完事了但實(shí)際工程里自動(dòng)拉取只是第一步拉完之后你還需要考慮要不要自動(dòng)重啟服務(wù)要不要自動(dòng)執(zhí)行數(shù)據(jù)庫(kù)遷移要不要回滾策略。這些需求的復(fù)雜度直接決定了你選擇哪一種觸發(fā)方式。Cron 的優(yōu)點(diǎn)是穩(wěn)定、簡(jiǎn)單、可控缺點(diǎn)是無(wú)法感知事件即使沒(méi)有新提交也會(huì)白跑一趟。Webhook 的優(yōu)點(diǎn)是精確、實(shí)時(shí)缺點(diǎn)是必須處理網(wǎng)絡(luò)可達(dá)性問(wèn)題和事件重試機(jī)制。CI 的優(yōu)點(diǎn)是全鏈路自動(dòng)化缺點(diǎn)是需要有 CI 基礎(chǔ)設(shè)施并且拉代碼這個(gè)動(dòng)作被托管了有時(shí)候定位問(wèn)題反而多一層。下面這張表格列出我在選型時(shí)的對(duì)比維度你可以直接拿去用方案觸發(fā)精度實(shí)時(shí)性外部依賴適用規(guī)模運(yùn)維復(fù)雜度Cron 定時(shí)輪詢分鐘級(jí)一般無(wú)單機(jī)/小規(guī)模低Webhook 事件驅(qū)動(dòng)精確到事件秒級(jí)需要網(wǎng)絡(luò)打通多機(jī)/公網(wǎng)部署中CI/CD 流水線內(nèi)置精確到事件秒級(jí)依賴 CI 系統(tǒng)多環(huán)境/多分支中高提示如果你的服務(wù)器有靜態(tài)公網(wǎng) IP且所在網(wǎng)絡(luò)環(huán)境比較穩(wěn)定Webhook 方案是長(zhǎng)期性價(jià)比最高的。如果服務(wù)器只在辦公內(nèi)網(wǎng)里那要么做內(nèi)網(wǎng)穿透要么干脆用 Cron。別本末倒置為了用 Webhook 去折騰復(fù)雜的網(wǎng)絡(luò)通道得不償失。2. 核心細(xì)節(jié)解析密鑰配置與倉(cāng)庫(kù)鎖定這塊是自動(dòng)拉取方案里最容易被忽略、但一旦出了問(wèn)題又最難排查的地方。我把它單獨(dú)拆成一章說(shuō)。2.1 服務(wù)器密鑰配置為什么禁用 HTTPS 方式很多新手第一次配置自動(dòng)拉取時(shí)直接在服務(wù)器上git clone https://github.com/xxx/repo.git然后發(fā)現(xiàn)每次 pull 都要輸入賬號(hào)密碼。這是因?yàn)?HTTPS 方式的憑據(jù)沒(méi)有被安全保存或者保存了但存在權(quán)限過(guò)寬的問(wèn)題。在自動(dòng)化場(chǎng)景里這是絕對(duì)不能接受的——腳本里不能寫(xiě)密碼交互式輸入密碼又會(huì)讓自動(dòng)拉取失效。所以正確做法是使用 SSH 方式。具體步驟如下在服務(wù)器上生成部署專(zhuān)用密鑰。注意這個(gè)密鑰是給服務(wù)器拉取代碼用的不要隨便添加到你個(gè)人的賬號(hào)里建議做成單獨(dú)只讀的 Deploy Key部署密鑰。ssh-keygen -t ed25519 -C server-deploy-$(hostname) -f ~/.ssh/deploy_key -N 這里我用了 ed25519比 RSA 短且安全兼容性也足夠好。-N 表示空密碼因?yàn)樽詣?dòng)化任務(wù)里沒(méi)人幫你輸密碼。然后在倉(cāng)庫(kù)設(shè)置里添加公鑰。GitHub 叫 Deploy KeyGitLab 叫 Deploy Key 或 Access Token?？傊砑觺/.ssh/deploy_key.pub的內(nèi)容進(jìn)去。接下來(lái)在~/.ssh/config里配置這個(gè)密鑰專(zhuān)門(mén)用于那個(gè)倉(cāng)庫(kù)的域名避免多個(gè)密鑰時(shí)匹配錯(cuò)誤Host github.com HostName github.com User git IdentityFile ~/.ssh/deploy_key IdentitiesOnly yes這步很關(guān)鍵。IdentitiesOnly yes的意思是只使用顯式指定的密鑰不要嘗試默認(rèn)id_rsa等其他密鑰。否則即使你配了deploy_key系統(tǒng)也可能先嘗試其他密鑰報(bào)錯(cuò)后才會(huì)跳過(guò)導(dǎo)致拉取過(guò)程變慢甚至失敗。還有一點(diǎn)要注意服務(wù)器上的~/.ssh目錄權(quán)限和~/.ssh/deploy_key文件權(quán)限必須正確。目錄是 700密鑰文件是 600。我見(jiàn)過(guò)太多因?yàn)闄?quán)限太寬松導(dǎo)致 SSH 直接忽略密鑰的情況。chmod 700 ~/.ssh chmod 600 ~/.ssh/deploy_key chmod 644 ~/.ssh/deploy_key.pub2.2 倉(cāng)庫(kù)目錄的狀態(tài)鎖定避免dirty陷阱自動(dòng)拉取代碼有個(gè)典型問(wèn)題如果服務(wù)器上的工作目錄里有未提交的修改git pull會(huì)直接失敗提示你本地有沖突。這在手動(dòng)操作時(shí)可以現(xiàn)場(chǎng)處理但自動(dòng)化任務(wù)完全沒(méi)有交互能力一旦遇到就可能一直失敗下去直到有人發(fā)現(xiàn)。為了避免這個(gè)問(wèn)題我的經(jīng)驗(yàn)有三層處理策略。第一層盡量保持倉(cāng)庫(kù)目錄干凈。部署用的目錄不要直接當(dāng)開(kāi)發(fā)目錄用不要在服務(wù)器上改代碼。如果你確實(shí)需要臨時(shí)修改務(wù)必及時(shí)提交或 stash。第二層在自動(dòng)拉取腳本里加防御性邏輯。cd /var/www/myapp if ! git diff --quiet; then git stash push -m auto-stash-before-pull-$(date %F-%T) fi這樣如果有未提交的修改腳本會(huì)先暫存然后拉取減少失敗概率。第三層做超時(shí)處理和重試機(jī)制。git pull如果遇到網(wǎng)絡(luò)抖動(dòng)會(huì)卡住或者失敗。建議在腳本里設(shè)置超時(shí)時(shí)間并做多次重試。timeout 30 git pull origin main || sleep 5 timeout 30 git pull origin main如果倉(cāng)庫(kù)已經(jīng)處于無(wú)法自動(dòng)恢復(fù)的狀態(tài)那就只能人工介入了。所以建議腳本在多次拉取失敗后發(fā)一條告警通知比如通過(guò)釘釘/企業(yè)微信機(jī)器人或者郵件。2.3 分支和強(qiáng)制同步的取舍策略自動(dòng)拉取還有一個(gè)陷阱git pull默認(rèn)是 fetch merge。如果服務(wù)器上有人在提交歷史里做了 rebase 或者 force pushmerge 可能會(huì)失敗或產(chǎn)生不必要的合并節(jié)點(diǎn)。部署場(chǎng)景下我們通常希望服務(wù)器上是干凈的、和遠(yuǎn)端完全一致的代碼。這時(shí)我會(huì)用git fetch origin git reset --hard origin/main代替git pull。這么做的好處是不管服務(wù)器上有什么歷史偏差最終都會(huì)硬同步到遠(yuǎn)端分支的最新?tīng)顟B(tài)。壞處也很明顯本地任何未提交修改都會(huì)被丟棄。所以務(wù)必要確認(rèn)服務(wù)器目錄不使用git reset --hard以外的方案來(lái)保留修改。針對(duì)這個(gè)沖突我建議分環(huán)境處理。測(cè)試/預(yù)發(fā)布環(huán)境可以用reset --hard保證代碼版本一致生產(chǎn)環(huán)境則要慎用最好用git pull --ff-only先確保當(dāng)前目錄沒(méi)有本地提交再用 Fast-forward-only 模式同步。否則直接 hard reset 有風(fēng)險(xiǎn)因?yàn)槟憧赡懿⒉恢婪?wù)器上為什么會(huì)多出一個(gè)提交。3. 實(shí)操過(guò)程與核心環(huán)節(jié)實(shí)現(xiàn)這部分我直接給出可以直接抄的配置和腳本覆蓋 Cron 和 Webhook 兩個(gè)主路徑。3.1 Cron 定時(shí)輪詢的完整配置先寫(xiě)一個(gè)拉取腳本放在/usr/local/bin/git-sync.sh。#!/bin/bash set -euo pipefail LOG_FILE/var/log/git-sync/git-sync.log MAX_RETRY3 sync_repo() { local repo_dir$1 local branch$2 cd $repo_dir for ((i1; iMAX_RETRY; i)); do if timeout 60 git fetch origin $branch; then break else echo [$(date %Y-%m-%d %H:%M:%S)] fetch failed, retry $i/3 $LOG_FILE sleep 5 fi done if timeout 60 git reset --hard origin/$branch; then echo [$(date %Y-%m-%d %H:%M:%S)] $repo_dir synced to $branch $LOG_FILE else echo [$(date %Y-%m-%d %H:%M:%S)] ERROR: $repo_dir sync failed $LOG_FILE exit 1 fi } sync_repo /var/www/project-a main sync_repo /var/www/project-b release解釋幾個(gè)細(xì)節(jié)set -euo pipefail任何命令失敗或變量未定義都會(huì)讓腳本退出避免靜默錯(cuò)誤。timeout 60防止網(wǎng)絡(luò)掛起導(dǎo)致腳本永久阻塞。每個(gè)倉(cāng)庫(kù)獨(dú)立同步一個(gè)失敗不至于影響其他倉(cāng)庫(kù)。然后配置 Cron編輯/var/lib/systemd/cron/crontabs/root或用crontab -e* * * * * /usr/local/bin/git-sync.sh /dev/null 21每分鐘執(zhí)行一次?？紤]到git fetch的耗時(shí)建議把腳本內(nèi)部盡量精簡(jiǎn)不要在拉取前做太多無(wú)用操作。注意Cron 的執(zhí)行環(huán)境是非交互式的PATH等環(huán)境變量和登錄 shell 不同。建議在腳本開(kāi)頭顯式聲明PATH/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin否則有些系統(tǒng)下常見(jiàn)命令可能找不到。3.2 Webhook 接收端的輕量實(shí)現(xiàn)如果選擇 Webhook服務(wù)端需要有一個(gè)接收 HTTP 請(qǐng)求的接口收到請(qǐng)求后執(zhí)行拉取腳本。這里我給出一個(gè)基于 Python Flask 的極簡(jiǎn)實(shí)現(xiàn)適合服務(wù)器上還沒(méi)有現(xiàn)成框架的情況。from flask import Flask, request, jsonify, abort import hmac import hashlib import os import subprocess app Flask(__name__) # 這里的 secret 要和 Git 倉(cāng)庫(kù)管理端配置的保持一致 WEBHOOK_SECRET os.environ.get(WEBHOOK_SECRET, your-secret-here) def verify_signature(payload_body, signature_header): if not signature_header: return False mac hmac.new(WEBHOOK_SECRET.encode(utf-8), payload_body, hashlib.sha256) return hmac.compare_digest(fsha256{mac.hexdigest()}, signature_header) app.route(/webhook/git-pull, methods[POST]) def git_pull(): body request.get_data() signature request.headers.get(X-Hub-Signature-256, ) if not verify_signature(body, signature): abort(401, Invalid signature) # 可以按事件類(lèi)型過(guò)濾 event request.headers.get(X-GitHub-Event) if event not in [push, ping]: return jsonify({status: ignored}) # 遠(yuǎn)程倉(cāng)庫(kù)管理平臺(tái)發(fā)的 ping 事件用于測(cè)試連通性 if event ping: return jsonify({status: pong}) # 這里應(yīng)該根據(jù)倉(cāng)庫(kù)名映射到本地目錄 repo_map { project-a: /var/www/project-a, project-b: /var/www/project-b, } payload request.get_json() repo_name payload.get(repository, {}).get(name) repo_path repo_map.get(repo_name) if not repo_path: return jsonify({status: repo not found}), 404 branch payload.get(ref, ).replace(refs/heads/, ) subprocess.Popen( [/usr/local/bin/git-sync.sh, repo_path, branch], stdoutsubprocess.DEVNULL, stderrsubprocess.DEVNULL, ) return jsonify({status: accepted}) if __name__ __main__: app.run(host0.0.0.0, port9000)這里我做了幾個(gè)安全設(shè)計(jì)一是使用 HMAC 簽名校驗(yàn)。GitHub 在配置 Webhook 時(shí)可以填 Secret每次請(qǐng)求都會(huì)在 Header 帶簽名。服務(wù)器端用同一個(gè) Secret 計(jì)算簽名并比較能有效防止別人隨便往你的接口發(fā) POST 就能觸發(fā)拉取。GitLab 的簽名機(jī)制略有不同但思路相同需要改成它們自定義的 Header 和加密方式。二是把拉取動(dòng)作丟到后臺(tái)進(jìn)程執(zhí)行subprocess.Popen讓 Webhook 接口立即返回accepted。因?yàn)檎嬲睦】赡芎臅r(shí)幾秒如果同步執(zhí)行客戶端會(huì)等待長(zhǎng)耗時(shí)還可能被網(wǎng)關(guān)超時(shí)干掉。三是按倉(cāng)庫(kù)名和分支做映射避免無(wú)關(guān)事件誤觸。如果你不想自己維護(hù)一個(gè) Flask 服務(wù)也可以用一個(gè)更成熟的工具比如直接用 Git 倉(cāng)庫(kù)管理平臺(tái)自帶的 runner 機(jī)制或在服務(wù)器上啟用某開(kāi)源 Webhook 代理服務(wù)它們往往內(nèi)置了線程池、重試、日志等能力。3.3 部署開(kāi)機(jī)自啟和守護(hù)進(jìn)程不管是 Cron 還是 Webhook 接收端都建議用 systemd 管起來(lái)。Webhook 服務(wù)尤其需要因?yàn)橐坏┓?wù)器重啟接收端沒(méi)啟動(dòng)自動(dòng)拉取就失效了。創(chuàng)建一個(gè) systemd 單元文件/etc/systemd/system/git-webhook.service[Unit] DescriptionGit Webhook Receiver Afternetwork-online.target [Service] Userwww-data WorkingDirectory/opt/git-webhook EnvironmentWEBHOOK_SECRETyour-secret-here ExecStart/usr/local/bin/gunicorn -w 2 -b 0.0.0.0:9000 wsgi:app Restartalways RestartSec3 [Install] WantedBymulti-user.target這里我用 gunicorn 而不是 flask 自帶的開(kāi)發(fā)服務(wù)器因?yàn)樽詭У姆?wù)器只適合調(diào)試頂不住實(shí)際并發(fā)。如果你不想引入 gunicorn也可以直接用nohup python app.py 然后配一個(gè) systemd 來(lái)守護(hù)但多進(jìn)程管理、優(yōu)雅重啟、日志輪轉(zhuǎn)這些機(jī)制都沒(méi)有 gunicorn 成熟。啟用和啟動(dòng)systemctl daemon-reload systemctl enable --now git-webhook3.4 權(quán)限設(shè)計(jì)不要用 root 跑腳本關(guān)于權(quán)限我這里尤其想強(qiáng)調(diào)一點(diǎn)。很多人在真實(shí)服務(wù)器上圖省事直接用 root 用戶去執(zhí)行拉取或者 Webhook 服務(wù)用 root 啟動(dòng)。這樣做有兩個(gè)問(wèn)題一是倉(cāng)庫(kù)目錄一旦被 Webhook 接收端可寫(xiě)而接收端又有任何注入點(diǎn)整個(gè)服務(wù)器就裸奔了。你用 root 跑等于所有風(fēng)險(xiǎn)都被無(wú)限放大。二是部署的代碼一般歸屬于某個(gè)普通用戶如www-data或deployer如果用 root 拉代碼生成的對(duì)象文件 owner 會(huì)變成 root后續(xù)如果你想在服務(wù)器上臨時(shí)改點(diǎn)什么會(huì)遇到權(quán)限困擾。我建議的做法是單獨(dú)建一個(gè)系統(tǒng)用戶比如deployer用它來(lái)執(zhí)行拉取和部署。Webhook 接收端也在這個(gè)用戶下運(yùn)行。服務(wù)器上各應(yīng)用代碼目錄的 owner 設(shè)為該用戶這樣拉取后文件權(quán)限統(tǒng)一后面用chown調(diào)整給 Web 服務(wù)用戶時(shí)也不會(huì)亂。useradd -r -s /bin/bash -m deployer su - deployer -c mkdir -p ~/.ssh chmod 700 ~/.ssh4. 常見(jiàn)問(wèn)題與排查技巧實(shí)錄這部分我整理幾個(gè)實(shí)際運(yùn)營(yíng)中大概率會(huì)遇到的問(wèn)題。每個(gè)問(wèn)題背后我都加了排查思路這些問(wèn)題我自己全踩過(guò)。4.1 Permission denied (publickey) 的排查順序這是自動(dòng)拉取里最常見(jiàn)的報(bào)錯(cuò)。很多人第一反應(yīng)是密鑰沒(méi)加對(duì)但其實(shí)這個(gè)問(wèn)題背后有四種可能一是密鑰確實(shí)沒(méi)加到倉(cāng)庫(kù)后臺(tái)。這種情況直接去管理平臺(tái)確認(rèn) Deploy Key 的指紋和服務(wù)器公鑰是否一致。二是~/.ssh/config里的IdentityFile寫(xiě)錯(cuò)或目標(biāo)域名匹配不上。比如 Git 倉(cāng)庫(kù)地址里寫(xiě)的域名是github.com但你的 config 里針對(duì)的是gist.github.com那就不會(huì)命中。三是文件權(quán)限問(wèn)題。前面提過(guò).ssh目錄必須是 700私鑰必須是 600。很多系統(tǒng)對(duì) SSH 密鑰的權(quán)限要求很?chē)?yán)格group或other有讀權(quán)限都會(huì)拒絕使用。四是 SSH agent 緩存了錯(cuò)誤的密鑰。如果你在服務(wù)器上手動(dòng)命中過(guò)其他密鑰agent 可能已經(jīng)緩存了導(dǎo)致 SSH 優(yōu)先用緩存密鑰而不是 config 里指定的。排查思維可以先用這個(gè)命令驗(yàn)證不要直接跑腳本ssh -vT gitgithub.com觀察 Stderr 輸出重點(diǎn)看 Offering public key 和 Authentications that did not match 這兩步立刻能定位是哪一環(huán)節(jié)在拒絕。4.2 Please commit your changes or stash them 的處理這個(gè)報(bào)錯(cuò)在 Cron 自動(dòng)拉取中很典型。倉(cāng)庫(kù)目錄可能被程序運(yùn)行時(shí)修改了文件比如日志文件、緩存文件在代碼目錄內(nèi)導(dǎo)致git pull直接失敗。我踩過(guò)這個(gè)坑想提醒各位的是永遠(yuǎn)不要把日志或緩存寫(xiě)在項(xiàng)目目錄里更不要讓它們被 git 跟蹤。正確做法是日志寫(xiě)到/var/log用系統(tǒng)的日志服務(wù)管理。緩存寫(xiě)到/tmp或?qū)ｉT(mén)的緩存目錄。臨時(shí)文件寫(xiě)到/dev/shm或者/tmp。如果已經(jīng)出現(xiàn)這個(gè)報(bào)錯(cuò)臨時(shí)解救命令cd /var/www/project-a git stash list git stash apply這只是臨時(shí)處理真正要根治還是要把 config 里的core.fileMode檢查關(guān)閉。很多文件被改但并不需要提交純粹是權(quán)限位變了。git config core.fileMode false開(kāi)啟后git 會(huì)忽略文件模式變化減少很多偽 dirty 狀態(tài)。4.3 拉取成功但服務(wù)沒(méi)生效問(wèn)題出在哪自動(dòng)拉取代碼之后服務(wù)本身可能不會(huì)自動(dòng) reload。尤其是 Java 應(yīng)用、Go 應(yīng)用、Node 應(yīng)用這類(lèi)需要重新編譯或重啟的。如果腳本只做了git reset --hard那代碼是更新了但進(jìn)程還在跑舊版本。我的做法是把拉取 構(gòu)建 重啟設(shè)計(jì)成同一個(gè)腳本并且在關(guān)鍵步驟之間加狀態(tài)檢查。sync_repo() { local repo_dir$1 local branch$2 cd $repo_dir timeout 60 git fetch origin $branch timeout 60 git reset --hard origin/$branch # 如果是 Node 項(xiàng)目裝依賴 if [ -f package.json ]; then npm ci --omitdev || npm install --omitdev fi # 如果是 Java 項(xiàng)目構(gòu)建 if [ -f pom.xml ]; then mvn -q -DskipTests package fi # 重啟服務(wù) systemctl restart myapp }這么做的好處是代碼同步之后立刻做配套操作不會(huì)出現(xiàn)代碼和運(yùn)行狀態(tài)不匹配的情況。壞處是腳本變長(zhǎng)出錯(cuò)的概率也增大。所以才需要給每一步加日志。提示npm ci和npm install有區(qū)別。npm ci依賴package-lock.json安裝速度快且版本鎖定嚴(yán)格適合自動(dòng)化部署。但如果 lock 文件沒(méi)有同步提交就會(huì)報(bào)錯(cuò)。所以優(yōu)先保證 lock 文件入庫(kù)然后默認(rèn)用npm ci。4.4 高并發(fā)或頻繁推代碼時(shí)Webhook 重復(fù)觸發(fā)的去重問(wèn)題有些團(tuán)隊(duì)開(kāi)發(fā)活躍幾分鐘內(nèi)幾十次 pushWebhook 就會(huì)觸發(fā)幾十次腳本。如果腳本里沒(méi)有鎖機(jī)制可能同時(shí)有兩個(gè)git fetch在跑同一個(gè)倉(cāng)庫(kù)導(dǎo)致索引鎖定或文件沖突。解決辦法是在腳本里加一個(gè)簡(jiǎn)單的目錄鎖LOCKFILE/tmp/git-sync-$(echo $repo_dir | md5sum | cut -c1-8).lock if ! mkdir $LOCKFILE 2/dev/null; then echo Another instance is running, skipped. exit 0 fi trap rm -rf $LOCKFILE EXIT這樣同一時(shí)刻只有一個(gè)同步進(jìn)程能操作一個(gè)倉(cāng)庫(kù)其他的直接跳過(guò)。4.5 Cron 環(huán)境變量缺失導(dǎo)致命令找不到很多服務(wù)器上用crontab -e配置的定時(shí)任務(wù)執(zhí)行時(shí)PATH非常精簡(jiǎn)可能連/usr/local/bin都不在路徑里。如果你腳本里用了git、node、npm這些命令就會(huì)出現(xiàn) command not found。排查方法在腳本開(kāi)頭echo $PATH /tmp/cron_debug.log然后看一次執(zhí)行日志立刻確認(rèn)。根治方法是顯式設(shè)置 PATH。export PATH$PATH:/usr/local/bin:/usr/bin:/bin另外Cron 的 HOME 變量也可能和預(yù)期不同。很多 git 全局配置在/tmp或邏輯卷里找不到導(dǎo)致 git 行為變更。建議在腳本里顯式export HOME/home/deployer。5. 進(jìn)階技巧從拉取代碼走向完整發(fā)布編排到這里服務(wù)器自動(dòng)拉取 git 倉(cāng)庫(kù)代碼這個(gè)需求已經(jīng)解決了而且應(yīng)該能穩(wěn)定運(yùn)行。但我個(gè)人在實(shí)踐中體會(huì)最深的一點(diǎn)是只做代碼拉取其實(shí)離真正的自動(dòng)化部署還差得很遠(yuǎn)這中間還需要考慮串聯(lián)整個(gè)發(fā)布鏈路的各個(gè)環(huán)節(jié)。很多人覺(jué)得自動(dòng)化部署很遙遠(yuǎn)其實(shí)只要把第一步做扎實(shí)了后面都是順勢(shì)的事。5.1 版本指紋與回滾錨點(diǎn)每次拉取代碼后把當(dāng)前 commit hash 記錄下來(lái)這是回滾的關(guān)鍵?？梢杂靡粋€(gè)文件保存也可以直接打到部署記錄數(shù)據(jù)庫(kù)里。commit_hash$(git rev-parse HEAD) echo {\time\:\$(date -Iseconds)\,\repo\:\$repo_dir\,\commit\:\$commit_hash\} /var/log/deploy-history.json有了 commit hash 錨點(diǎn)如果發(fā)布后出問(wèn)題只需要把服務(wù)器拉回上一個(gè) hash 就能快速回滾不需要翻 git log 找半天。5.2 按分支映射不同環(huán)境如果你有多套環(huán)境建議在腳本里維護(hù)一個(gè)倉(cāng)庫(kù)分支 → 環(huán)境的映射表而不是寫(xiě)死。這樣以后加環(huán)境只需要改配置文件。case $repo:$branch in project-a:main) ENVproduction ;; project-a:develop) ENVstaging ;; project-b:release/*) ENVproduction ;; esac配合分支保護(hù)策略可以做到develop 分支推到測(cè)試環(huán)境main 分支推到生產(chǎn)環(huán)境誰(shuí) merge 了 main生產(chǎn)環(huán)境就自動(dòng)更新。這個(gè)流程跑順了團(tuán)隊(duì)里日常發(fā)布的人工操作就只剩下點(diǎn)擊 merge。5.3 拉取后的健康檢查自動(dòng)化最后一步也是最容易被忽略的拉取并重啟服務(wù)后一定要做健康檢查。不要讓服務(wù)拉起了但沒(méi)起來(lái)的狀態(tài)被默認(rèn)當(dāng)成成功。比如對(duì)于 HTTP 服務(wù)for i in {1..12}; do status$(curl -s -o /dev/null -w %{http_code} http://127.0.0.1:8080/healthz) if [ $status 200 ]; then echo health check passed exit 0 fi sleep 5 done echo health check failed systemctl restart myapp # 再試一次 exit 1健康檢查應(yīng)該作為部署腳本的一部分而不是外部檢查。只有通過(guò)了健康檢查才意味著這次自動(dòng)拉取真正完成了它的使命。這也是我后來(lái)做多環(huán)境發(fā)布時(shí)堅(jiān)持的一個(gè)原則。6. 經(jīng)驗(yàn)總結(jié)從能拉到穩(wěn)拉的必要條件做技術(shù)這么久我越來(lái)越覺(jué)得所謂自動(dòng)化不是寫(xiě)幾個(gè)命令掛上去就完了而是要把可能出錯(cuò)的地方都提前設(shè)計(jì)好兜底。代碼自動(dòng)拉取這件事看起來(lái)非常簡(jiǎn)單但真正跑到生產(chǎn)環(huán)境還不出問(wèn)題需要具備的幾個(gè)必要條件我覺(jué)得非常值得再單獨(dú)梳理一下這也是大量閱讀官方文檔和源碼后逐漸形成的認(rèn)知。第一密鑰和權(quán)限是根。沒(méi)有正確的 SSH 密鑰和目錄權(quán)限一切自動(dòng)化都是空談。我見(jiàn)過(guò)很多團(tuán)隊(duì)把這一步寄希望于網(wǎng)上教程復(fù)制粘貼結(jié)果換一臺(tái)機(jī)器就翻車(chē)。第二倉(cāng)庫(kù)狀態(tài)可預(yù)期。服務(wù)器上的代碼庫(kù)必須是只讀的若有改動(dòng)必須走 stash 或單獨(dú)的分支策略。部署目錄混亂是自動(dòng)化最大的敵人。第三觸發(fā)鏈路有監(jiān)控。不管是 Cron 還是 Webhook觸發(fā)鏈路必須能感知失敗必須能告警。否則沒(méi)有人知道系統(tǒng)開(kāi)始靜默失效。第四腳本要可重入。加鎖、冪等、超時(shí)。這三個(gè)特性缺一個(gè)腳本遲早在某一天凌晨三點(diǎn)炸掉。第五回滾可執(zhí)行。代碼拉到最新了如果線上有問(wèn)題能不能一鍵回滾沒(méi)有回滾機(jī)制的自動(dòng)化本質(zhì)上是一種賭博。我自己在實(shí)踐中最受益的一點(diǎn)就是為自動(dòng)拉取腳本建立了完整的日志體系。每一段拉取記錄、每一次失敗重試、每一次健康檢查結(jié)果都明確寫(xiě)出時(shí)間和倉(cāng)庫(kù)名。這樣出了問(wèn)題可以從日志倒推整個(gè)流程定位根因的時(shí)間大幅縮短。建議你也從第一天就建立起來(lái)不要等那個(gè)凌晨三點(diǎn)出現(xiàn)后才想起來(lái)加。希望這篇總結(jié)對(duì)你有參考價(jià)值。我踩過(guò)的這些坑你如果能避開(kāi)三分之一自動(dòng)拉取這件事就算成功一半了。