一次线上故障排查，先要确认三件事：线上运行的是哪次构建，对应哪次提交，测试通过的包与部署的包是否同一份。构建产物本身不记录这些。下面按基线管理、三库分层、配置状态记录、配置审计与变更控制、度量与追溯演练五个环节给出可落地的做法。
一、基线管理：把构建产物定成可发布的基线
1. 基线标识规则
每次构建生成唯一标识，由主版本、次版本、修订号加构建编号组成，构建编号由流水线自增。标识与内容校验值一并写入构建记录，校验值随内容变化。同一标识对应同一份内容，已进入发布流程的标识不再复用。标签使用不可变版本号，不使用latest这类浮动标签；Bug修复后递增修订号并重新构建，不覆盖原标识。
2. 基线冻结与范围登记
基线冻结时登记本次纳入的制品清单、代码提交范围与依赖清单。冻结后新增改动走变更流程，不在原基线上替换文件。冻结记录与制品清单同库保存，支持按标识反查发布范围；依赖清单变更时同步更新对应文档版本。
二、三库分层：开发库、受控库与产品库的制品流转
1. 入库条件与留痕项
| 库类型 | 入库条件 | 留痕项 |
|---|---|---|
| 开发库 | 完成构建，构建编号可查 | 构建记录、提交标识 |
| 受控库 | 通过代码评审与单元测试 | 评审意见、用例执行结果 |
| 产品库 | 通过系统测试并批准发布 | 发布单、审批人、校验值 |
制品按上述条件逐级入库，条件未满足时不进入下一级。
2. 跨库晋级与覆盖限制
晋级由流水线执行，制品内容在各库之间保持一致，中途不重新构建。各库写入权限按角色划分，产品库的删除操作受限，仅保留清理策略允许的过期版本。晋级记录保留源库标识、目标库标识、执行时间与执行人，供版本流转查询。
三、配置状态记录：留痕字段的自动采集
1. 四类字段的采集规则
身份字段：版本号、构建编号、内容校验值。来源字段：代码库地址、分支、提交标识、构建任务、构建时间。依赖与安全字段：组件清单（SBOM）、许可证类型、扫描结论。流转字段：上传人、下载记录、目标环境、部署时间、审批人。
四类字段由构建任务在入库时写入，不依赖人工填报；校验值在部署前与制品比对一次，不一致时中止发布。
2. 制品与工作项的关联记录
每个制品标识关联需求编号、测试管理中的用例编号与Bug编号，形成需求、代码、制品、验证四段对应关系。关联记录随制品清单一并在资产库管理软件中维护，支持按制品查需求和按需求查制品两个方向。依赖与安全字段随组件升级同步更新，扫描结论保留生成时间。
四、配置审计与变更控制
1. 发布前的配置审计
功能配置审计核对制品对需求的覆盖情况与用例通过情况。物理配置审计核对交付物与配置状态记录是否一致，检查制品清单、校验值、依赖清单与文档版本。审计结论随制品入库，作为发布准入条件；审计发现记录缺失时，退回受控库补齐后再提交。
2. 变更控制与回滚
变更申请写明变更内容、影响范围与验证方式，由审批流记录审批意见。变更批准后生成新的构建标识，原基线保留备查。线上出现Bug时，按配置状态记录定位引入变更的标识，回滚到上一个可用基线，并登记回滚原因与影响范围。
五、度量与追溯演练
1. 可追溯性度量
跟踪三项指标：追溯定位耗时、发布记录完整率、回滚耗时。追溯定位耗时按从制品标识查到对应提交的平均用时统计，发布记录完整率按字段缺失的版本占比统计。指标按版本汇总并纳入研发效能看板，用于定位记录缺失的环节。
2. 追溯演练
按季度抽取一个在用生产版本，从制品标识反查提交、用例与审批记录，逐项核对并登记缺失项。缺失字段补入构建任务模板，在下一次演练中复查该项。
六、FAQ
问：构建编号与版本号冲突时以哪个为准？
答：以制品标识为准。版本号用于业务识别，构建编号用于定位具体构建记录，两者同时登记在配置状态表中。
问：三库之间需要重复保存制品副本吗？
答：不需要。晋级时用记录引用同一份内容，避免多副本不一致，仅产品库保留长期副本。
问：配置审计多久做一次比较合适？
答：发布前执行一次准入审计，另按季度对在用生产版本做抽样复核。
问：追溯演练发现记录缺失，怎么处理？
答：把缺失字段补入构建任务模板，并在下一次演练中复查该字段。
文章标题 ：资产库管理软件的制品与发布归档：构建产物怎么留痕 ，发布者 ：项目管理研究院
