mrleo1nid/pipu-music
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 30 Wiki Activity
Files
4fa1add80d2183bd50de6f23d5e4eff39fa1e367
pipu-music/docs/ci-cd.md
T
mrleo1nidandClaude Opus 5.5 4fa1add80d
ci / contract (сгенерированный код совпадает с openapi.yaml) (push) Successful in 48s
Details
ci / api (push) Successful in 51s
Details
ci / recommender (push) Canceled after 2s
Details
ci / ts (packages + web) (push) Canceled after 0s
Details
ci / docker (образы собираются — их сервер собирает сам при обновлении) (apps/web/Dockerfile, web, ) (push) Canceled after 0s
Details
ci / docker (образы собираются — их сервер собирает сам при обновлении) (services/api/Dockerfile, api, api) (push) Canceled after 0s
Details
ci / docker (образы собираются — их сервер собирает сам при обновлении) (services/api/Dockerfile, storage-agent, storage-agent) (push) Canceled after 0s
Details
ci / docker (образы собираются — их сервер собирает сам при обновлении) (services/recommender/Dockerfile, recommender, ) (push) Canceled after 0s
Details
ci / mobile (Metro-бандл Android) (push) Canceled after 0s
Details
fix: address project review findings 
Security and robustness:
- storage-agent rejects an empty INTERNAL_TOKEN (config notEmpty + middleware)
- api takes the client IP only from X-Real-IP (chi RealIP trusted True-Client-IP)
- /readyz reports ok/fail and logs the cause; checks run in parallel with a timeout
- storage-agent shuts down gracefully; shared httpx.NewServer/Serve with IdleTimeout
- goose migrations take a Postgres advisory lock
- recommender readyz: per-check timeout, redis socket timeouts

Clients:
- Android release allows cleartext HTTP for LAN servers (expo-build-properties)
- checkServer times out after 10s; connect button is disabled while checking

Deploy and CI:
- install.sh hands cache/uploads/updates/models to the non-root service users
- update.sh refuses downgrades unless PIPU_ALLOW_DOWNGRADE=1
- recommender/analyzer get only the env they need; required secrets fail fast
- nginx security headers and CSP; strip True-Client-IP
- dev compose binds ports to 127.0.0.1; postgres/redis images pinned
- version.mjs fails on a malformed explicit tag instead of releasing 0.0.0-dev
- contract check catches untracked generated files
- final releases fail without a release keystore; changelog skips rc tags

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-10-20 00:46:46 +03:00

4.4 KiB
Raw Blame History

CI/CD (Gitea Actions)

Workflows лежат в .gitea/workflows/. Синтаксис совместим с GitHub Actions; runner — существующий act_runner с доступом к Docker.

Версионирование

  • SemVer, тег vMAJOR.MINOR.PATCH (предрелизы: v1.2.0-rc.1 — помечаются как pre-release, мобильное их предлагает только при включённой настройке «бета-версии»).
  • Одна версия на весь продукт: образы, APK и веб собираются с одним номером.
  • Android versionCode = MAJOR·1 000 000 + MINOR·10 000 + PATCH·100 + (99 для релиза | N для -rc.N), так что 1.2.0-rc.1 < 1.2.0-rc.2 < 1.2.0 < 1.2.1; MINOR и PATCH ≤ 99. Считает scripts/version.mjs (тесты — pnpm test:scripts).
  • Changelog — git-cliff из Conventional Commits.

ci.yml — на каждый push и PR

on:
  push: { branches: [main] }
  pull_request:

jobs:
  changes:         # фильтр путей: api / recommender / web / mobile / packages / docs
  contract:        # spectral lint openapi.yaml; регенерация Go + TS клиентов; git diff --exit-code
  api:             # go vet, golangci-lint, go test -race ./... (testcontainers), покрытие
  recommender:     # uv sync; ruff; mypy --strict; pytest (вкл. оффлайн-оценку качества)
  ts:              # pnpm install --frozen-lockfile; turbo lint typecheck test; i18n:check
  web-build:       # vite build, проверка размера бандла
  docker:          # сборка всех Docker-образов без push (сервер собирает их сам — ADR-013)
  mobile-check:    # tsc, jest, expo prebuild + ./gradlew assembleDebug (только если менялся mobile/)
  e2e:             # needs: api, web-build; docker compose -f deploy/compose.test.yaml up; playwright test
  • Кэши: Go modules / build cache, pnpm store, uv cache, Gradle, сгенерированные тестовые аудио.
  • Ветка main защищена: обязательны contract, api, recommender, ts, e2e.
  • Ночью (schedule) — Maestro E2E на эмуляторе и полный прогон без фильтров путей.

release.yml — по тегу

on:
  push:
    tags: ['v*.*.*']

jobs:
  verify:          # все проверки ci.yml (reusable workflow)

  android-release: # needs: verify
    # setup-java 17, Android SDK, pnpm install
    # VERSION / VERSION_CODE из тега → app.config.ts
    # expo prebuild --platform android --clean
    # ./gradlew assembleRelease (signingConfig из секретов)
    # apksigner verify; sha256sum > pipu-music-${VERSION}.apk.sha256

    # changelog из Conventional Commits между тегами
    # создать Gitea Release через API (POST /repos/{owner}/{repo}/releases), prerelease по суффиксу
    # загрузить ассеты: APK и .sha256

Docker-образы не публикуются: сервер собирает их сам из клонированного репозитория (ADR-013). Чтобы сборка на сервере не ломалась, job docker в ci.yml собирает все образы без push на каждый PR.

Секреты

Секрет Назначение
RELEASE_TOKEN Создание релиза и загрузка ассетов
ANDROID_KEYSTORE_BASE64, ANDROID_KEYSTORE_PASSWORD, ANDROID_KEY_ALIAS, ANDROID_KEY_PASSWORD Подпись APK. Ключ один на всю жизнь приложения — хранить резервную копию вне Gitea. Без них финальный релиз падает; -rc собирается с отладочной подписью.

Деплой

Автодеплой не обязателен. На сервере в клоне репозитория: deploy/update.sh [vX.Y.Z] — checkout тега, docker compose build и up -d; миграции применяются при старте api (install-guide.md). Опционально — job deploy в release.yml по SSH на сервер для не-pre-release тегов (с ручным approval через environment).

Reference in new issue View Git Blame Copy Permalink