第三方镜像许可证边界与版本锁定

状态：archived 类型：process Owner：docker-compose.yml

问题

Compose、初始化脚本与离线导出脚本需要一致的镜像版本。浮动 minor 标签使部署取得的补丁版本取决于拉取时间；Yuxi 本体的许可证说明也不足以覆盖独立第三方镜像及其再分发边界。

决策

Neo4j 与 Redis 的 shipping 引用分别锁定为 neo4j:5.26.29 与 redis:7.4.10-alpine，补丁升级通过显式修改 Compose 与相关脚本完成。Neo4j 和 MinIO 继续作为独立进程运行，后端通过 Bolt 与 S3 API 访问。

生产部署指南拥有组件许可证、离线再分发注意事项与商业替代选项，README 链接该入口。具体许可义务按实际组件版本、修改和交付方式确认，不从进程拓扑推导统一的法律结论。

替代方案

• 替换存储组件：涉及协议、数据迁移和运维边界，超出镜像引用与文档修正的范围。
• 默认使用商业版本：需要额外订阅与凭据，保留为部署者的显式选择。
• 删除离线导出脚本：会移除已有离线交付能力，保留脚本并在部署指南说明注意事项。
• 锁定 digest：可进一步固定镜像内容；当前保留可读的补丁 tag，接受 tag 不等于内容不可变的限制。

后果

维护者需同步更新 Compose、初始化与导出脚本中的版本引用。文档覆盖主要镜像，不构成完整软件物料清单；镜像基础层、传递依赖以及自建镜像仍需按实际交付内容核对。

验证

• Inspected：两个 Compose、两个初始化脚本和两个导出脚本的 Neo4j 引用均为 5.26.29；两个 Compose 和两个初始化脚本的 Redis 引用均为 7.4.10-alpine。
• Inspected：部署指南保留主要组件、再分发与商业替代说明，中英文 README 均链接许可证说明入口。
• 此决定在 v0.7.2 tag 前已实现；状态归档修正不计为 0.7.3 新增能力。
• Not run：本次未重新拉取镜像或执行许可证法律审查；文档整理不证明镜像内容或具体交付方式合规。