Thiết kế pipeline CI/CD cho một đội 8 người. Những bước nào là bắt buộc?

Thứ tự các bước nên theo nguyên tắc thất bại sớm và rẻ: lint trước (giây), kiểu (chục giây), unit test (phút), rồi mới build và test tích hợp. Chạy song song những bước độc lập. Một pipeline chạy build trước rồi mới lint là bắt lập trình viên chờ ba phút để biết mình quên dấu chấm phẩy.

Vấn đề lớn nhất trong thực tế không phải tốc độ mà là test rung (flaky). Một test thất bại ngẫu nhiên 2% nghe như nhỏ, nhưng với 200 test thì gần như PR nào cũng đỏ ít nhất một lần, và đội học được thói quen bấm “retry” mà không đọc. Từ lúc đó pipeline không còn là tín hiệu nữa. Cách xử lý là theo dõi tỷ lệ rung như một chỉ số, cách ly test rung ra khỏi luồng chặn, và sửa hoặc xoá chúng — chứ không phải thêm cơ chế tự retry.

Về bảo mật trong pipeline, hai thứ đáng làm sớm vì rẻ: quét dependency (npm audit, Dependabot, Trivy cho ảnh container) và quét bí mật bị commit nhầm. Cả hai đều gần như miễn phí về thời gian và bắt được loại lỗi mà code review không bắt được. Quét mã tĩnh sâu hơn thì thường chạy theo lịch chứ không chặn PR, vì nó chậm và nhiều báo động giả.