CNCF宣布Cloud Native Buildpacks项目毕业，推动容器构建标准发展
内容提要
Cloud Native Buildpacks项目已从CNCF毕业，成为成熟的OCI容器镜像构建工具。它自动检测语言、安装依赖并分层，简化构建流程，被Bloomberg、Salesforce等广泛采用。未来将扩展OCI Artifacts、SBOM和WebAssembly支持，提升软件供应链安全与一致性。
延伸解读
毕业意味着什么
CNCF毕业是项目成熟度的标志，要求项目在生产环境中被广泛采用、治理中立且安全实践到位。Cloud Native Buildpacks完成了第三方安全审查，获得OpenSSF最佳实践徽章，并采用CNCF行为准则。毕业不仅是对项目技术稳定性的认可，也意味着其治理模式经过验证，适合企业级采用。
实际效益：从数周到数小时
文章提到，在大型企业金融实施中，超过500个应用通过集中式buildpack补丁，将漏洞修复时间从数周缩短到数小时。这体现了Buildpacks的核心价值：通过标准化构建流程和集中管理，显著提升安全响应效率。对于平台工程团队，这意味着更少的重复劳动和更快的交付周期。
未来方向：供应链安全与新兴工作负载
项目路线图聚焦于扩展OCI Artifacts支持、增强SBOM工作流，并提升对WebAssembly等下一代工作负载格式的兼容性。这些方向直接回应了软件供应链安全的需求，同时为未来运行时环境做准备。对于采用者，这意味着Buildpacks将持续演进，以支持更广泛的部署场景和安全要求。
Q&A
Cloud Native Buildpacks 是什么？
Cloud Native Buildpacks 是一个开源项目，用于将应用程序源代码直接转换为符合 OCI 标准的容器镜像。它通过自动检测语言、安装依赖和分层镜像来简化构建流程。
Cloud Native Buildpacks 从 CNCF 毕业意味着什么？
毕业意味着该项目已达到成熟度标准，包括生产环境采用、供应商中立的治理和安全性。它完成了第三方安全审查，获得了 OpenSSF 最佳实践徽章，并采用了 CNCF 行为准则。
Cloud Native Buildpacks 如何简化容器构建流程？
它通过自动检测 Java、Python、Go、Node.js 和 Ruby 等语言，自动安装依赖并生成生产就绪的 OCI 镜像，消除了手动配置文件的需求，从而简化了构建流程。
哪些组织采用了 Cloud Native Buildpacks？
包括 Bloomberg、Salesforce、DigitalOcean、GitLab、Google、HashiCorp、Spring 和 VMware by Broadcom 等。社区有超过 535 名贡献者和 164 个组织。
Cloud Native Buildpacks 的未来路线图是什么？
未来将扩展对 OCI Artifacts 的支持，增强软件物料清单（SBOM）工作流，并提升对 WebAssembly 等下一代工作负载格式的兼容性。
Cloud Native Buildpacks 如何提升软件供应链安全？
它通过集中式补丁管理、SBOM 创建和镜像 rebasing 等功能，帮助组织快速修复漏洞。例如，在大型企业金融系统中，漏洞解决时间从数周缩短到数小时。
Cloud Native Buildpacks 与 Kubernetes 和 Helm 等 CNCF 项目如何协作？
它与 Helm 和 Harbor 等 CNCF 项目协作，生成符合 OCI 标准的容器镜像，这些镜像可直接部署在 Kubernetes 上。
Cloud Native Buildpacks 的起源是什么？
它源于 Heroku 的 buildpack 模型，后来被 Cloud Foundry 采用。2018 年 1 月由 Pivotal 和 Heroku 联合创建，同年 10 月加入 CNCF。
