导语：
2026 年 4 月 21 日往前看，后端平台方向最值得认真处理的一批更新，都有一个共同特征: 它们不是在让 CI/CD 更花哨，而是在逼团队逐步放弃那些为兼容性和历史限制堆出来的绕路。4 月上旬，GitHub Actions 提供了 service container custom entrypoint and args、更稳的私网故障切换、以及围绕 OIDC 和自定义属性的持续增强；4 月 20 日附近，GitHub 还继续推进 HTTPS 上对 SHA-1 的退场。
这些变化放在一起看，方向其实很统一: 平台侧在一点点补齐标准能力，所以后端团队应该趁机把过去那些特殊 wrapper、手工 secret、过时 TLS 兼容和脚本魔法逐步拆掉。继续把老 workaround 当长期方案留着，未来只会越来越难维护。
1. 为什么我说现在该给流水线做减法
很多团队的 CI/CD 之所以变复杂，并不是业务真的那么特殊，而是历史上平台能力不够，只能自己垫几层:
- service container 启动逻辑不够灵活，于是自己包装镜像和脚本。
- 云身份对接不顺，于是长期保存云凭据。
- 内网 runner 或私网容错不稳定，于是堆更多重试和旁路。
- 老客户端还在，TLS 或 Git 兼容层一直不敢动。
时间久了，流水线就会变成一组“没人敢删但也没人喜欢”的遗留结构。现在平台慢慢把原生能力补齐，正是做减法的时机。
2. 这轮更新里最有操作价值的几件事
第一件: service container 的自定义启动更灵活
这件事看起来小，但对依赖数据库、消息队列、模拟服务的测试流水线很实用。以前很多团队为了改启动命令、参数或初始化流程，不得不自己做变体镜像。现在原生支持增强后，可以明显减少一层自定义维护。
第二件: OIDC 和属性驱动策略继续前进
只要云访问仍依赖长期 secret，后端平台就谈不上真正现代化。组织级 OIDC、基于属性决定 agent 或云访问边界，这些能力的方向都很明确: 身份不该靠静态字符串分发，而该靠短期令牌和上下文策略。
第三件: SHA-1 退场在逼你清理老客户端
很多团队并不是不知道 SHA-1 该退，而是担心某些老机房、老 runner、老 git 客户端会出问题。可这种拖延没有出路。平台已经给出时间表，迟早要动，不如现在就盘点。
3. 一套后端平台清理流程
如果你现在维护的是组织级 CI/CD 平台，我建议按这个顺序推进。
第一步，列出所有“为了平台限制而存在”的定制层。
尤其看 service container 变体镜像、runner 启动脚本、长期云密钥、兼容性代理和 TLS 降级配置。很多东西当年合理，现在可能已经不再需要。
第二步，评估哪些可以迁回原生能力。
只要原生能力已经补齐，就别继续维护自定义层。平台团队最大的成本，不是做新东西，而是背着一堆历史包袱继续前进。
第三步，给身份访问做短期化改造。
把静态云密钥、制品仓凭据、部署 token 按优先级换成 OIDC 或同类临时凭据。先从最常用、最危险、最易遗忘的那几类开始。
第四步，做一轮客户端和 runner 盘点。
重点查老版本 Git、OpenSSL、代理层和系统证书。平台宣布弃用 SHA-1 之后，你需要先知道谁会受影响，而不是等出事再查。
第五步，把灰度和回退方案准备好。
任何流水线改造都不能只靠“改完看看”。要明确哪些项目先切，失败时如何退，日志怎么看。
4. 现在最容易忽视的两个风险
一个风险，是把“暂时还能跑”误当成“不需要改”。
后端平台最危险的技术债，往往都是这种静默债务。平时没声音，一到平台升级或证书切换就集中爆。
另一个风险，是只改 YAML，不改组织习惯。
CI/CD 的很多问题不是配置本身，而是使用模式。比如开发团队习惯复制旧 secret、复制老 workflow、复制老镜像，这些不改，平台再现代也会被旧习惯拖回去。
5. 本周建议执行的动作
- 盘点所有为 service container 做的自定义镜像和 wrapper。
- 检查组织内仍在使用的长期云凭据和 registry token。
- 列出可能受 SHA-1 退场影响的 runner、客户端和代理。
- 选一条非核心流水线试点“迁回原生能力”。
- 把历史 workaround 建一张退役清单，而不是继续默认为永久资产。
6. 结语
到 2026 年 4 月 21 日，后端平台最值得做的工作其实很朴素: 做减法。平台能力一旦补齐，就该主动清理那些为兼容性留下来的脚手架、旁路和临时方案。继续堆着不动，看上去很稳，实际上是在给未来的升级和故障埋更大的雷。成熟的后端平台不是功能越多越好，而是标准能力越多，自定义包袱越少。
参考资料
- GitHub Changelog: GitHub Actions service containers now support custom entrypoint and args
https://github.blog/changelog/2026-04-02-github-actions-service-containers-now-support-custom-entrypoint-and-args/ - GitHub Changelog: GitHub Actions private networking now includes fallback networking support
https://github.blog/changelog/2026-04-02-github-actions-private-networking-now-includes-fallback-networking-support/ - GitHub Changelog: Enable Copilot cloud agent via custom properties
https://github.blog/changelog/2026-04-15-enable-copilot-cloud-agent-via-custom-properties/ - GitHub Changelog: Sunsetting SHA-1 in HTTPS on GitHub
https://github.blog/changelog/2026-04-20-sunsetting-sha-1-in-https-on-github/
