变更摘要

此 PR 将 PyTorch 仓库中的 devcontainer 与 Dockerfile 配置迁移到 op-plugin 项目，旨在支持开发环境的自动创建。新增的配置涵盖 Python/Torch/CANN 版本参数化、CANN toolkit/ops 安装、Ascend driver 与 NPU 相关路径挂载等能力，使开发者可通过 VS Code devcontainer 或独立脚本一键构建并启动包含完整 CANN 运行时的容器化开发环境。

主要改动

• 新增 .devcontainer/devcontainer.json：提供 VS Code devcontainer 配置，指定基于 docker/devel/Dockerfile 的 dev 阶段构建，并通过 mounts 挂载 /dev、Ascend driver、npu-smi 等 NPU 运行时依赖，同时设置 LD_LIBRARY_PATH 环境变量。
• 新增 docker/devel/Dockerfile（多阶段构建）：定义 base → builder → dev 三个阶段，base 阶段基于 manylinux_2_28 配置 Python 版本和 pip 镜像源；builder 阶段安装编译工具链（gcc-toolset-13、cmake、ninja 等）并按 Python/Torch 版本安装对应的 NumPy 和 PyTorch；dev 阶段从华为云 OBS 下载并静默安装 CANN toolkit 与指定产品的 ops 包，并写入 CANN 环境初始化脚本。
• 新增 docker/devel/builder.sh：提供命令行驱动的镜像构建与容器启动脚本，支持 --python、--torch-version、--cann、--cann-product、--nnal 等参数；在 --cann 模式下以特权模式启动容器并挂载 NPU 驱动路径，非 CANN 模式下仅挂载源码目录用于纯编译场景。

openLiBing可接管PR, PR详情链接:
https://www.openlibing.com/apps/transitionPrDetail?owner=Ascend&repo=op-plugin&number=5510&platform=gitcode&codeHostingPlatformFlag=gitcode

代码审查

审查完成 — 结语

审查覆盖的 4 个文件

按优先级汇总

• P2 (4 个)：

  1. builder.sh usage 函数始终 exit 0，错误分支返回码不正确
  2. Dockerfile 基础镜像未固定 digest，构建不可重现
  3. Dockerfile CANN 安装包未做哈希校验，供应链投毒风险
  4. builder.sh 启动 dev 容器时覆盖 LD_LIBRARY_PATH，丢失 gcc-toolset 路径

• P3 (4 个)：

  1. Dockerfile pip install 未使用 --no-cache-dir
  2. 缺少 .dockerignore，build context 包含整个仓库
  3. builder.sh BUILD_ARGS 未加引号展开
  4. README.md 手动启动命令中 LD_LIBRARY_PATH 覆盖行为与 devcontainer.json 不一致

整体风险评估

中等风险。最值得关注的问题是 usage() 的退出码 bug 和 LD_LIBRARY_PATH 覆盖导致 gcc-toolset 路径丢失——这两个问题会在实际使用中触发（错误输入时脚本行为异常、dev 容器内编译失败）。CANN 安装包未校验和基础镜像未固定属于供应链安全/可重现性方面的重要改进项。配置整体结构合理，devcontainer 与 Dockerfile/脚本的协作设计良好，没有发现会导致服务宕机、数据损坏或安全漏洞的严重缺陷。

💬 仅评论

/approve