backup-master/.gitea/workflows/release.yml

name: Release

on:
  push:
    tags:
      - "v*"

jobs:
  release:
    runs-on: ubuntu-latest
    container: golang:1.26
    steps:
      # История нужна целиком, чтобы собрать список изменений с прошлого тега.
      - name: Забрать код
        env:
          TOKEN: ${{ secrets.GITHUB_TOKEN }}
        run: |
          set -eu
          git config --global --add safe.directory "$PWD"
          git init -q .
          git remote add origin "${GITHUB_SERVER_URL}/${GITHUB_REPOSITORY}.git"
          git -c http.extraheader="Authorization: token ${TOKEN}" \
            fetch --tags origin
          git checkout -q "${GITHUB_SHA}"

      - name: Тесты
        run: go test ./...

      - name: Собрать бинарники
        run: |
          set -eu
          VERSION="${GITHUB_REF_NAME}"
          mkdir -p dist
          for arch in amd64 arm64; do
            echo "==> backupctl-linux-${arch}"
            CGO_ENABLED=0 GOOS=linux GOARCH="${arch}" \
              go build -trimpath -ldflags "-s -w -X main.version=${VERSION}" \
              -o "dist/backupctl-linux-${arch}" ./cmd/backupctl
          done
          cp deploy/backup-master.service deploy/Caddyfile.example dist/
          cd dist
          sha256sum * > checksums.txt
          cat checksums.txt

      - name: Опубликовать релиз
        env:
          # Токен репозитория Actions выдаёт сам; RELEASE_TOKEN нужен, только
          # если в настройках инстанса права такого токена урезаны.
          RELEASE_TOKEN: ${{ secrets.RELEASE_TOKEN }}
          DEFAULT_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          # GITHUB_SERVER_URL внутри Actions может быть внутренним адресом —
          # для ссылок в описании релиза берём внешний (переменная репозитория).
          PUBLIC_URL: ${{ vars.PUBLIC_URL }}
        run: |
          set -eu
          apt-get update -qq && apt-get install -y -qq jq

          TOKEN="${RELEASE_TOKEN:-$DEFAULT_TOKEN}"
          if [ -z "$TOKEN" ]; then
            echo "Нет токена для публикации: заведите секрет RELEASE_TOKEN" >&2
            exit 1
          fi

          API="${GITHUB_SERVER_URL}/api/v1/repos/${GITHUB_REPOSITORY}"
          TAG="${GITHUB_REF_NAME}"
          AUTH="Authorization: token ${TOKEN}"

          PREV="$(git describe --tags --abbrev=0 "${TAG}^" 2>/dev/null || true)"
          if [ -n "$PREV" ]; then
            CHANGES="$(git log --no-merges --pretty=format:'- %s' "${PREV}..${TAG}")"
          else
            CHANGES="$(git log --no-merges --pretty=format:'- %s')"
          fi

          PUBLIC="${PUBLIC_URL:-https://gitea.hsrv.site}"
          DL="${PUBLIC%/}/${GITHUB_REPOSITORY}/releases/download/${TAG}"
          # Работающий бинарник нельзя перезаписать (Text file busy) — качаем
          # во временный файл и подменяем через mv.
          NOTES="$(cat <<EOF
          ## Обновление сервера

          \`\`\`bash
          REL=${DL}
          sudo install -d /opt/backup-master/dist
          for a in amd64 arm64; do sudo curl -fsSL "\$REL/backupctl-linux-\$a" -o "/opt/backup-master/dist/backupctl-linux-\$a"; done
          sudo install -m 755 "/opt/backup-master/dist/backupctl-linux-\$(dpkg --print-architecture)" /usr/local/bin/backupctl.new
          sudo mv -f /usr/local/bin/backupctl.new /usr/local/bin/backupctl
          sudo systemctl restart backup-master && backupctl version
          \`\`\`

          Агенты обновляются той же командой \`agent.sh\` без \`--token\`: конфиг сохраняется.

          ## Изменения

          ${CHANGES}
          EOF
          )"

          PAYLOAD="$(jq -n --arg tag "$TAG" --arg body "$NOTES" \
            '{tag_name: $tag, name: $tag, body: $body, draft: false, prerelease: false}')"

          # Тег могли перевыпустить — тогда работаем с существующим релизом.
          ID="$(curl -sS -H "$AUTH" "${API}/releases/tags/${TAG}" | jq -r '.id // empty')"
          if [ -n "$ID" ]; then
            echo "==> Обновляю существующий релиз ${TAG} (id ${ID})"
            curl -sS -X PATCH -H "$AUTH" -H "Content-Type: application/json" \
              -d "$PAYLOAD" "${API}/releases/${ID}" > /dev/null
            curl -sS -H "$AUTH" "${API}/releases/${ID}/assets" | jq -r '.[].id' \
              | while read -r asset; do
                  [ -n "$asset" ] || continue
                  curl -sS -X DELETE -H "$AUTH" "${API}/releases/${ID}/assets/${asset}" > /dev/null
                done
          else
            echo "==> Создаю релиз ${TAG}"
            ID="$(curl -sS -X POST -H "$AUTH" -H "Content-Type: application/json" \
              -d "$PAYLOAD" "${API}/releases" | jq -r '.id')"
          fi

          if [ -z "$ID" ] || [ "$ID" = "null" ]; then
            echo "Не удалось получить id релиза — проверьте права токена" >&2
            exit 1
          fi

          for file in dist/*; do
            name="$(basename "$file")"
            echo "==> Загружаю ${name}"
            curl -sS -f -X POST -H "$AUTH" \
              -F "attachment=@${file}" \
              "${API}/releases/${ID}/assets?name=${name}" > /dev/null
          done

          echo "Готово: ${PUBLIC%/}/${GITHUB_REPOSITORY}/releases/tag/${TAG}"