CircleCI Orb 依赖检查器

CircleCI Orb 依赖管理的痛点

在 CircleCI 项目中，随着流水线复杂度增长，config.yml 里往往会引入多个 Orb——从官方 circleci/docker、circleci/node 到第三方扩展。这些 Orb 各自有版本依赖树，当主版本升级时，可能出现同一 Orb 不同版本被间接引入的情况，导致流水线行为不可预测。更棘手的是，Orb 上游的破坏性变更（如参数改名、默认值变更、执行器参数调整）常常不会在 CHANGELOG 之外显式提示，等到 CI 红屏才发现问题已经晚了。

工具如何工作

该技能直接对接 CircleCI Orbs Registry API，对项目中的 config.yml 进行静态扫描：

• 解析 Orb 声明：从配置文件中提取所有 orbs 段落的版本约束
• 递归依赖检查：基于 Registry 返回的依赖树，识别同一 Orb 被多路径引入时的冲突
• 破坏性变更比对：对照上游 Orb 规范（尤其针对 circleci/docker 和 circleci/node 的执行器参数）检测参数语义漂移
• 执行器配置校验：验证 executors 段落中的配置项是否符合目标 Orb 规范，捕获拼写错误或已废弃字段

整个流程不依赖本地缓存的 Orb 定义，每次都通过 API 获取最新版本信息，避免陈旧索引带来的误判。

适用边界与注意点

• 该技能聚焦于 Orb 层面的依赖一致性，不会对项目代码做静态分析或安全审计
• 依赖 CircleCI Orbs Registry API 的可用性；Registry 故障时扫描会失败
• 目前对执行器配置的校验覆盖 circleci/docker 和 circleci/node 两类主流 Orb，其他 Orb 的规范验证仍在扩展中
• 对于自定义或私有 Orb，需要确保其已发布到 Registry，否则无法完成依赖解析