执行摘要
该PR修复了FastDeploy CI中nightly测试因系统资源限制导致的失败问题，通过添加sysctl参数增加IPC消息队列容量，并移除了Docker的--privileged标志以提升安全性，同时在build_rl工作流中引入容器清理逻辑。变更聚焦于CI基础设施优化，对用户无直接影响，但需关注移除特权模式可能对RDMA编译的潜在影响。
功能与动机
根据PR body，主要动机是解决nightly测试中观察到的容器运行时和系统级限制问题，特别是共享内存/IPC限制不足可能导致测试不稳定或崩溃。同时，通过移除不必要的--privileged使用来增强CI安全性，并添加容器清理以避免残留容器影响后续作业。作者引用"Fix failures observed in nightly tests"和"Improve CI security and stability"作为关键驱动力。
实现拆解
修改涉及两个CI workflow文件：
-
.github/workflows/_accuracy_test.yml：
- 将
--shm-size=64G改为64g（大小写调整）。
- 添加
--sysctl kernel.msgmax=1048576和--sysctl kernel.msgmnb=268435456，以增加IPC消息队列容量，缓解资源限制导致的测试失败。
-
.github/workflows/_build_linux_rl.yml：
- 移除
--privileged标志，仅保留--cap-add=SYS_PTRACE，减少安全风险。
- 添加
--name ${runner_name}为容器命名。
- 在job末尾新增"Terminate and delete the container"步骤，使用
if: always()确保无论构建成功与否都执行清理：
bash
docker exec -t ${{ runner.name }} /bin/bash -c 'find /workspace -mindepth 1 -delete'
docker rm -f ${{ runner.name }}
评论区精华
AI review bot提出了四个关键建议，但未看到作者回应：
🟡 建议 使用了 --rm 标志，容器退出时会自动删除。后面添加的 Terminate and delete the container step 会尝试删除已经不存在的容器，这会导致错误信息输出。建议移除 --rm 标志或删除清理步骤。
🟡 建议 移除 --privileged 标志可能导致 RDMA 编译失败。脚本中设置了 FD_ENABLE_RDMA_COMPILE=1，RDMA 通常需要特权模式。请确认 RDMA 编译是否仍然正常工作。
这些讨论揭示了设计权衡：安全改进（移除特权）可能牺牲特定功能（RDMA编译），而清理逻辑存在冗余风险。团队选择直接合并，可能基于对CI环境的自信或优先级判断。
风险与影响
风险：
- RDMA编译失败：移除
--privileged可能使依赖特权的RDMA编译在启用FD_ENABLE_RDMA_COMPILE=1时失败，需监控后续构建作业。
- 清理步骤冗余：
--rm与手动清理并存可能导致错误输出，虽不影响功能但污染日志。
- 兼容性问题：新增sysctl参数在非Linux环境或旧内核中可能不受支持，但基于现有workflow实践，风险较低。
影响：
- 对系统：提升CI稳定性和安全性，减少资源泄漏，潜在影响RDMA相关构建流程。
- 对用户：无直接影晌，间接受益于更可靠的测试和构建管道。
- 对团队：需关注RDMA编译验证，并考虑统一
--shm-size大小写等代码规范。
关联脉络
该PR是FastDeploy近期CI优化系列的一部分：
- PR #7315：同样添加容器清理步骤以防止资源泄漏，与本PR的清理逻辑一脉相承。
- PR #7283：修改workflow配置以提升网络稳定性，同属基础设施改进。
结合历史PR分析，团队持续投入CI基础设施的健壮性优化，包括测试稳定性（如PR #7268标记高内存测试顺序执行）、安全加固（如PR #7315移除特权）和资源管理。本PR进一步体现了这一趋势，但AI review揭示的未解决问题可能反映团队对自动化反馈的采纳策略或时间压力。
参与讨论