semrel v0.26.3: Go-Native Semantic Release & Supply-Chain Automation 

Projektübersicht

semrel (semrel.io · GitHub: SemRels/semrel) ist unser Flaggschiff-Open-Source-Projekt für vollautomatische semantische Versionierung und Paket-Veröffentlichung. Entwickelt in Go von Markus Waldheim und Thomas Boerger, ersetzt semrel schwere Node.js-basierte Release-Ketten durch eine einzige statische Binärdatei.

Mit dem aktuellen Release v0.26.3 bietet semrel eine ausgereifte 8-Phasen-Pipeline, über 30 eigenständige Plugins sowie Enterprise-Features wie Air-Gap-Caching, .semrel.lock-Prüfsummen und Cosign-v3-Signierung.

Warum wir semrel gebaut haben

In zahlreichen DevSecOps-Beratungsprojekten zeigte sich immer wieder dasselbe Muster:

1. Runtime-Bloat in CI-Containern: Um ein Go-, Rust-, Python- oder Helm-Projekt mit semantic-release zu versionieren, musste eine komplette Node.js-Umgebung samt hunderten node_modules-Paketen installiert werden.
2. Supply-Chain- & Air-Gap-Hürden: In regulierten Unternehmensnetzwerken (KRITIS, Finanzsektor, Behörden) sind ausgehende npm-Downloads während des Release-Jobs untersagt oder stellen ein erhebliches Supply-Chain-Risiko dar.
3. Monorepo-Komplexität: Mehrere Module mit eigenen Tag-Serien und gegenseitigen Abhängigkeiten ließen sich nur über fragile Skripte koordinieren.

Architektur & Highlights (Stand v0.26.3)

1. 8-stufige Pluggable Pipeline

Jeder Schritt im Release-Lebenszyklus ist als isoliertes Subprocess-Plugin ausführbar:

• Condition: Validiert die CI-Umgebung (github-actions, gitlab-ci, gitea-actions, generic).
• Analyzer: Parst Conventional Commits inkl. Scope-Regeln (@semrel/conventional).
• Generator: Erzeugt strukturierte Release Notes (@semrel/changelog-md, @semrel/changelog-html).
• Updater: Aktualisiert Versionen in package.json, Cargo.toml, Chart.yaml, pyproject.toml, Gradle, Maven, NuGet, Go-Binaries, Homebrew oder Terraform.
• Packager: Baut .deb- und .rpm-Pakete via @semrel/nfpm.
• Publisher: Veröffentlicht Artefakte in OCI-Registries oder auf generischen HTTP-Targets.
• Provider: Erstellt Git-Tags und Releases auf GitHub, GitLab, Gitea/Forgejo oder Bitbucket.
• Hook: Benachrichtigt Teams über Slack, Microsoft Teams, Matrix, E-Mail oder schließt automatisch verknüpfte Jira-Tickets.

2. Reproduzierbarkeit mit .semrel.lock & semrel doctor

Plugins werden über semrel plugin install @semrel/<name> bezogen und mit ihrer exakten Version sowie SHA256-Prüfsumme in .semrel.lock fixiert. In Air-Gap-Pipelines stellt semrel plugin restore sicher, dass nur kryptografisch verifizierte Binaries aus dem lokalen Cache ausgeführt werden. Mit semrel doctor prüft das CLI vorab Konfiguration, Tokens, Git-Status und Ökosystem-Dateien.

3. Neuerungen in v0.25 – v0.26.3

• Cosign v3 Bundle-Format: Migration auf das moderne --bundle-Signaturformat von Sigstore Cosign v3.
• Env-Var-Interpolation: Dynamische Umgebungsvariablen direkt in .semrel.yaml nutzbar.
• Erweiterter Commitlint: Neuer --commit-msg-file-Parameter für lokale Git-Hooks (commit-msg) sowie Range- und Stdin-Prüfung.
• Robuste Container- & Tagless-Releases: Auflösung von Release-Metadaten auch ohne lokale Git-Tags sowie nicht-blockierende Behandlung unveränderlicher Docker-Tag-Konflikte.

Weiterführende Links

• Produktseite auf waldheim.dev: /semrel/
• Offizielle Dokumentation: https://www.semrel.io/
• Plugin-Registry & JSON-Schema: https://registry.semrel.io/
• GitHub Organisation: https://github.com/SemRels/semrel