mrleo1nidandClaude Opus 5.5
4fa1add80d
ci / contract (сгенерированный код совпадает с openapi.yaml) (push) Successful in 48s
ci / api (push) Successful in 51s
ci / recommender (push) Canceled after 2s
ci / ts (packages + web) (push) Canceled after 0s
ci / docker (образы собираются — их сервер собирает сам при обновлении) (apps/web/Dockerfile, web, ) (push) Canceled after 0s
ci / docker (образы собираются — их сервер собирает сам при обновлении) (services/api/Dockerfile, api, api) (push) Canceled after 0s
ci / docker (образы собираются — их сервер собирает сам при обновлении) (services/api/Dockerfile, storage-agent, storage-agent) (push) Canceled after 0s
ci / docker (образы собираются — их сервер собирает сам при обновлении) (services/recommender/Dockerfile, recommender, ) (push) Canceled after 0s
ci / mobile (Metro-бандл Android) (push) Canceled after 0s
Security and robustness: - storage-agent rejects an empty INTERNAL_TOKEN (config notEmpty + middleware) - api takes the client IP only from X-Real-IP (chi RealIP trusted True-Client-IP) - /readyz reports ok/fail and logs the cause; checks run in parallel with a timeout - storage-agent shuts down gracefully; shared httpx.NewServer/Serve with IdleTimeout - goose migrations take a Postgres advisory lock - recommender readyz: per-check timeout, redis socket timeouts Clients: - Android release allows cleartext HTTP for LAN servers (expo-build-properties) - checkServer times out after 10s; connect button is disabled while checking Deploy and CI: - install.sh hands cache/uploads/updates/models to the non-root service users - update.sh refuses downgrades unless PIPU_ALLOW_DOWNGRADE=1 - recommender/analyzer get only the env they need; required secrets fail fast - nginx security headers and CSP; strip True-Client-IP - dev compose binds ports to 127.0.0.1; postgres/redis images pinned - version.mjs fails on a malformed explicit tag instead of releasing 0.0.0-dev - contract check catches untracked generated files - final releases fail without a release keystore; changelog skips rc tags Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
60 lines
2.8 KiB
Bash
60 lines
2.8 KiB
Bash
#!/usr/bin/env bash
|
||
# Первичная подготовка сервера: каталоги данных, общий корень библиотеки с mount propagation, .env с секретами.
|
||
# Запуск: sudo ./install.sh (повторный запуск безопасен)
|
||
set -euo pipefail
|
||
cd "$(dirname "$0")"
|
||
|
||
# .env и каталоги создаются от root, но сам репозиторий должен остаться у пользователя, который делает git pull.
|
||
OWNER="${SUDO_USER:-root}"
|
||
|
||
DATA="${PIPU_DATA:-/srv/pipu}"
|
||
|
||
echo "→ каталоги в $DATA"
|
||
mkdir -p "$DATA"/{library,library-host,cache/transcode,cache/covers,postgres,meili,redis,models,updates,uploads,backups,caddy/data,caddy/config}
|
||
|
||
# Каталоги, куда пишут сервисы без root: api (distroless nonroot, uid 65532) и analyzer (uid 10001).
|
||
# Без рекурсии: файлы внутри создают сами сервисы, а повторный запуск не обходит весь кэш.
|
||
chown 65532:65532 "$DATA"/{cache,cache/transcode,cache/covers,updates,uploads}
|
||
chown 10001:10001 "$DATA/models"
|
||
|
||
# storage-agent монтирует NFS внутрь $DATA/library; чтобы точки монтирования видели другие контейнеры,
|
||
# каталог должен быть отдельной точкой монтирования с shared propagation.
|
||
if ! findmnt -n "$DATA/library" >/dev/null 2>&1; then
|
||
echo "→ bind-mount $DATA/library (rshared)"
|
||
mount --bind "$DATA/library" "$DATA/library"
|
||
fi
|
||
mount --make-rshared "$DATA/library"
|
||
|
||
UNIT=/etc/systemd/system/pipu-library-mount.service
|
||
if [ -d /etc/systemd/system ] && [ ! -f "$UNIT" ]; then
|
||
echo "→ systemd-юнит $UNIT (повторяет bind-mount после перезагрузки)"
|
||
cat > "$UNIT" <<EOF
|
||
[Unit]
|
||
Description=Pipu Music library mount propagation
|
||
Before=docker.service
|
||
|
||
[Service]
|
||
Type=oneshot
|
||
ExecStart=/bin/sh -c 'findmnt -n "$DATA/library" || mount --bind "$DATA/library" "$DATA/library"; mount --make-rshared "$DATA/library"'
|
||
RemainAfterExit=yes
|
||
|
||
[Install]
|
||
WantedBy=multi-user.target
|
||
EOF
|
||
systemctl daemon-reload
|
||
systemctl enable pipu-library-mount.service
|
||
fi
|
||
|
||
secret() { head -c 32 /dev/urandom | base64 | tr -d '/+=' | head -c 40; }
|
||
|
||
if [ ! -f .env ]; then
|
||
echo "→ .env из .env.example"
|
||
cp .env.example .env
|
||
sed -i "s|^POSTGRES_PASSWORD=.*|POSTGRES_PASSWORD=$(secret)|; s|^MEILI_MASTER_KEY=.*|MEILI_MASTER_KEY=$(secret)|; s|^INTERNAL_TOKEN=.*|INTERNAL_TOKEN=$(secret)|; s|^PIPU_DATA=.*|PIPU_DATA=$DATA|" .env
|
||
chmod 600 .env
|
||
chown "$OWNER" .env
|
||
echo " Заполните в .env: DOMAIN и ACME_EMAIL (или настройте свой прокси — docs/install-guide.md)"
|
||
fi
|
||
|
||
echo "Готово. Сборка и запуск последнего релиза: ./update.sh"
|