mole404
235f72e68c
ci: 真升级用例 + retag digest 校验 + OSV 依赖门禁 + 修试构建 digest 冲突
- build-image.yaml：试构建时按请求版本自动从 Registry API 解析 php-cli / php-apache 的
index digest 一并传参。实测 tag@digest 时 digest 优先且 tag 被静默忽略 → 旧写法会构建出
默认版本、再被『PHP 版本校验』判红，白烧一次全量构建。另加 deps-scan job 作为 build 前置。
- 新增 tools/upgrade-test.sh：旧镜像 → 新镜像真升级用例（独立容器 / 卷 / 端口 18090），
断言数据面逐字节不变（.env / installed.lock / SQLite 文件与指纹 / 缩略图 / 编译缓存）、
代码确实换成新镜像那一版、终局日志必须是『已同步进卷』而非『跳过同步』。
本机真跑通过，并已用变异副本证明用例真能红（改数据面会红、tag 被挪会红）。
- retag.yaml：retag 后断言目标 digest 与源逐字一致，不一致则打印两个 digest 并失败。
- osv-scanner.toml：11 条已知且接受的告警入库（laravel 9.x 那几条上游无修复版本、
dev-only 与 test-only 各若干），新增漏洞会让 CI 红；抽掉白名单实测确实会红。