只读 CI 观察员
Agent 读取 Pipeline、Job 日志与测试结果，归纳失败原因，不具备重新部署权限。
REAL WORKSPACE · CONNECTION 07
连接发布平台
让 Agent 看懂 Pipeline 和发布结果，但把生产部署放在受保护环境与人工批准之后。
GitHub ActionsGitLab CI/CD环境保护回滚优先
01
先选一条正确的连接路线
不要一次开放所有能力。先选择最小可用入口，验证价值后再升级。
手动触发工作流
Agent 准备参数和变更摘要，人工确认后触发 workflow_dispatch 或 GitLab 手动 Job。
环境化发布编排
在测试、预发、生产间设置审批、锁、灰度、健康检查和自动回滚。
02
按这六步完成第一次接入
把身份、权限、工具边界和验收一起配置，而不是只追求“接口能通”。
-
01
画出发布链路
列出构建、测试、制品、部署、迁移、健康检查和回滚步骤，标明每一步负责人。
-
02
先接只读接口
允许 Agent 查询工作流、Pipeline、Job 和日志，不允许取消、重跑或部署。
-
03
设置受保护环境
生产环境要求审批人、分支限制与专用 Secret；测试环境使用独立低风险凭证。
-
04
封装发布请求
Agent 输出版本、提交范围、变更摘要、风险、数据库影响和回滚命令。
-
05
增加健康检查
部署后读取应用健康、错误率和关键业务指标；异常立即停止后续步骤。
-
06
演练失败回退
在测试环境模拟 Job 失败、健康检查失败和超时，验证回滚与通知流程。
03
配置示例
字段和值都是示例占位符，请按你使用的 Agent、平台和密钥管理方式调整。
.github/workflows/release.yml · 受控入口示例 · 不含真实密钥
name: release
on:
workflow_dispatch:
inputs:
environment:
required: true
type: choice
options: [staging, production]
jobs:
deploy:
environment: ${{ inputs.environment }}
permissions:
contents: read生产环境的审批人、Secret 和保护规则应配置在代码平台，不应由 Agent 在工作流文件中绕过。
04
最小权限建议
把读取、草稿和高影响动作分开，避免一个 Token 同时拥有全部能力。
| 动作 | 默认等级 | 建议边界 |
|---|---|---|
| 读取 Job / Pipeline 日志 | 允许分析失败原因和测试报告。 | |
| 重跑失败 Job | 确认失败是否可重试，避免重复执行迁移或外部操作。 | |
| 部署测试 / 预发 | 展示版本、参数、制品摘要和健康检查。 | |
| 部署生产 / 回滚 | 受保护环境审批；回滚路径必须提前验证。 |
05
上线前验收
不要只测成功路径；撤销权限、重复执行和失败回退同样重要。
- Agent 能区分代码失败、环境失败和偶发失败。
- 生产 Secret 不会出现在日志、Prompt 或生成的报告中。
- 生产部署必须经过环境审批且只能来自受保护分支。
- 部署失败时能停止流程并给出已验证的回滚入口。
FIRST SAFE PROMPT
读取最近一次测试环境 Pipeline，归纳失败 Job 和日志证据；不要重跑，先给出修复与回滚建议。
!
Agent 不应成为生产环境的超级管理员
即使 Agent 能写代码，也不代表它应能绕过环境保护。生产发布要依赖平台级审批、短期凭证、最小权限和可独立执行的回滚。
06
继续查看官方文档
平台界面和权限名称会更新，实际接入时以官方文档和企业管理员策略为准。