下载与校验（0.2.0-beta.6-rc.16）
官方镜像（GHCR，不可变 digest）
docker pull ghcr.io/nghqqa/mergepilot-console@sha256:b1c95275750b3b7f6c836235e09659bff6e575aa93d5f041350b9aebe4bfbb0a
| 项 | 值 |
|---|
| digest | sha256:b1c95275750b3b7f6c836235e09659bff6e575aa93d5f041350b9aebe4bfbb0a（= image ID） |
| tag | v0.2.0-beta.6-rc.16 |
| 内置版本 | 0.2.0-beta.6-rc.16（/api/health version 真源） |
| 源码 tag | v0.2.0-beta.6-rc.16 = commit a68057f28b |
离线 tar（无外网环境）
| 项 | 值 |
|---|
| 文件 | mergepilot-console-rc16.tar |
| 大小 | 62,563,328 bytes |
| SHA256 | 164b2713331319d7ab796a039a6c6b90f4eaa525c13dfccf136be6cc482b16b0 |
| 加载 | docker load -i mergepilot-console-rc16.tar → image ID b1c95275… |
| 部署包 | mergepilot-selfhost-deploy-kit-rc16.tar.gz（compose/.env.example/preflight/ingress/README）kit SHA256 = 1f7d528182392c05859ddbed58b6a34004a5e723263c1efe8ce8c70000e2ce8e |
SBOM 与扫描
| 项 | 值 |
|---|
| SBOM | CycloneDX 1.5 · 35 组件（rc16-sbom.cdx.json，随发行版发布） |
| 漏洞扫描 | trivy 0.74 · vulnerabilities=0（含 CRITICAL/HIGH） |
| 秘密扫描 | secrets=0 |
校验方法
# 镜像 ID 校验（加载/拉取后）
docker inspect --format '{{.Id}}' <镜像引用>
# 期望：sha256:b1c95275750b3b7f6c836235e09659bff6e575aa93d5f041350b9aebe4bfbb0a
# 运行版本校验
curl -s http://127.0.0.1:48500/api/health | grep version
# 期望：0.2.0-beta.6-rc.16
# tar 校验
sha256sum mergepilot-console-rc16.tar
历史版本（rc.9～rc.14）的 digest 与 tag 同样以不可变形式保留在 GHCR；
发布页随版本更新追加，不修改历史条目。