3장. ParcelTrack 릴리스 계약을 먼저 만든다

완료 정의는 “pipeline passed”가 아니다. build가 재현 가능하고, 단위·계약 테스트가 통과하며, known critical policy를 충족하고, SBOM과 provenance가 있고, artifact digest가 고정되고, staging smoke와 운영 canary 기준이 통과해야 한다.

{
  "sourceSha": "4f21...",
  "artifactDigest": "sha256:7f...",
  "tests": ["unit", "contract", "smoke"],
  "sbom": "parceltrack.spdx.json",
  "provenance": "verified",
  "configRevision": "env-9c2...",
  "rollbackDigest": "sha256:3a..."
}

문서의 값은 예시 placeholder이며 실제 credential이 아니다. pipeline은 이 manifest를 machine-readable artifact로 만들고 배포 기록에서 참조한다. tag만 저장하면 latest나 1.2가 다른 digest로 이동할 수 있다.