企业官网建设流程全解析

内部 SDK 要发一版。把 jar 丢到群里很快，一周后总会有人问哪一份才是最新的。构建日志也留不住当时用的是哪一个文件。

群里的 jar 对不齐版本

同名文件可以躺好几份，聊天记录也不会告诉你哪个服务实际用了哪一版。需要的是一个固定地址和明确版本号。地址对不上，回归会拿错包。

三种仓库类型：HOSTED 可上传，PROXY 回源缓存只读，GROUP 按成员顺序聚合只读。对 PROXY 或 GROUP 执行上传会失败。失败时先看类型，别先怪令牌。

「AI 原生」在本产品里只做辅助：整理风险摘要、给清理策略建议。

摘要不是放行

摘要可以读。发布成功不代表已经扫描安全问题。没开策略，列表里有版本也不等于扫过。检测事实仍按策略走，不被摘要改写。摘要读起来顺，拦截仍按策略。策略没开，下载照样能过。

客户端仍用 `mvn`、`docker`、`npm` 等原生命令。命令还是那些命令，对得上的是地址和版本。名称和格式创建后不能改，建之前先确认。建错了，使用方会一直记错地址。

Raw 没有组件清单，扫描结果可能为空。空结果不等于安全，只说明没有清单可扫。当前是单节点，单文件默认上限 1000 MB。上限撞上了，群里的人又会来要文件。

公开门户只读浏览，不等于谁都能传。访问令牌只给需要发布的人。令牌发错人，群里的 jar 会换个地方继续传。深度检测、密钥和跨仓报告仍以 AngusSecurity 为准。

另一台机器拉不下来，这版就不算交出去。Git 流水线把构建产物推到 HOSTED 之后，使用方改的是地址和版本，不是再向你要文件。手工 deploy 还没通，先别接到流水线。

我现在只发地址和版本

我现在给使用方发仓库地址和版本号，不再发 jar。群里的同名文件，对不齐版本。带着未检查的依赖进回归，构建日志也说不清当时用的是哪一份。

分析与热门排行看用量。用量对不齐时，先对地址和版本，再谈清理策略。清理建议可以读，删除和拦截仍按已配置策略执行。SBOM 导出针对已入库、且扫得动的制品。扫不动的 Raw，导出也帮不上清理。AngusInsight 不直接改制品库。发版后的错误趋势通过汇总指标，给人判断要不要回滚。回滚仍要人点。MCP 查询权限跟账号走。

上传后默认不扫描。推送时扫描、定时扫描或下载拦截，须在策略里打开。策略没开，制品列表里有版本也不等于扫过。客户端主要改仓库 URL，不必改写构建脚本。命令还是那些命令，对得上的是地址和版本。我现在给使用方只发地址和版本号，不再发 jar。另一台机器拉不下来，这版就不算交出去。

聊天记录当版本号，回归会拿错包。拿错了，责任会对不齐人。制品从哪来、谁能下载、检查是否通过散落在不同地方，发版就缺少一份可核对的依据。地址发对了，版本才对得上。

AngusGit 流水线可以把构建产物推到 HOSTED。AngusTester 通过率可以作为制品是否往下走的输入。AngusSecurity 承担深度检测。入库这一层的轻量检查，不等于 Security 已经接管全部扫描。

公开门户只读浏览，不等于上传口对所有人开放。访问令牌只给需要发布的人。令牌发错人，群里的 jar 会换个地方继续传。我现在不再发 jar。

地址发对了，版本才对得上。摘要读起来顺，拦截仍按策略。

策略没开，下载照样能过。

另一台机器拉不下来，这版就不算交出去。