pipu-music/.gitea/workflows/release.yml

# Релиз по тегу vMAJOR.MINOR.PATCH[-rc.N] (docs/ci-cd.md): проверки → Gitea Release с заметками → APK.
# Релиз создаётся сразу после проверок (статус Android — «собирается»); сборка APK докладывает в него файлы
# и переписывает статус: собран / не удалась (scripts/release.mjs).
# Docker-образы не публикуются: сервер собирает их сам из клонированного репозитория (deploy/update.sh).
#
# Секреты (Settings → Actions → Secrets):
#   RELEASE_TOKEN                   — создание релиза и загрузка ассетов (scope: write:repository)
#   ANDROID_KEYSTORE_BASE64, ANDROID_KEYSTORE_PASSWORD, ANDROID_KEY_ALIAS, ANDROID_KEY_PASSWORD — подпись APK
name: release

on:
  push:
    tags: ["v*.*.*"]

env:
  GO_VERSION: "1.24"
  NODE_VERSION: "22"

jobs:
  verify:
    runs-on: ubuntu-latest
    outputs:
      version: ${{ steps.v.outputs.PIPU_VERSION }}
      version_code: ${{ steps.v.outputs.PIPU_VERSION_CODE }}
      prerelease: ${{ steps.v.outputs.PIPU_PRERELEASE }}
    steps:
      - uses: actions/checkout@v4
      - id: v
        run: node scripts/version.mjs "${GITHUB_REF_NAME}" | tee -a "$GITHUB_OUTPUT"
      - uses: actions/setup-go@v5
        with: { go-version: "${{ env.GO_VERSION }}", cache-dependency-path: services/api/go.sum }
      - uses: astral-sh/setup-uv@v6
        with: { version: "0.10.2" }
      - uses: pnpm/action-setup@v4
      - uses: actions/setup-node@v4
        with: { node-version: "${{ env.NODE_VERSION }}", cache: pnpm }
      - run: pnpm install --frozen-lockfile
      - name: Go
        working-directory: services/api
        run: go vet ./... && go test ./...
      - name: Python
        working-directory: services/recommender
        run: uv sync --frozen && uv run ruff check . && uv run mypy pipu_rec && uv run pytest -q
      - name: TypeScript
        run: pnpm i18n:check && pnpm test:scripts && pnpm typecheck && pnpm test

  release:
    name: release (заметки)
    needs: verify
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        # вся история и теги: заметки строятся по коммитам с прошлого релиза
        with: { fetch-depth: 0 }
      - uses: actions/setup-node@v4
        with: { node-version: "${{ env.NODE_VERSION }}" }
      - name: Gitea Release
        env:
          GITEA_API: ${{ github.server_url }}/api/v1/repos/${{ github.repository }}
          GITEA_TOKEN: ${{ secrets.RELEASE_TOKEN }}
          TAG: ${{ github.ref_name }}
          VERSION: ${{ needs.verify.outputs.version }}
          PRERELEASE: ${{ needs.verify.outputs.prerelease }}
        run: node scripts/release.mjs create

  android:
    name: android (APK в релиз)
    needs: [verify, release]
    runs-on: ubuntu-latest
    env:
      PIPU_VERSION: ${{ needs.verify.outputs.version }}
      PIPU_VERSION_CODE: ${{ needs.verify.outputs.version_code }}
      # для scripts/release.mjs
      GITEA_API: ${{ github.server_url }}/api/v1/repos/${{ github.repository }}
      GITEA_TOKEN: ${{ secrets.RELEASE_TOKEN }}
      TAG: ${{ github.ref_name }}
      VERSION: ${{ needs.verify.outputs.version }}
      VERSION_CODE: ${{ needs.verify.outputs.version_code }}
    steps:
      - uses: actions/checkout@v4
      # при перезапуске одной этой сборки статус «не удалась» сменится на «собирается»
      - name: Статус в релизе — собирается
        run: node scripts/release.mjs android building
      - uses: actions/setup-java@v4
        with: { distribution: temurin, java-version: "17" }
      - uses: android-actions/setup-android@v3
        with:
          # пакета `tools` (значение по умолчанию) в репозитории SDK больше нет — sdkmanager падает;
          # build-tools нужны шагу подписи (apksigner), версии — как у React Native 0.79
          packages: platform-tools platforms;android-35 build-tools;35.0.0
      - uses: pnpm/action-setup@v4
      - uses: actions/setup-node@v4
        with: { node-version: "${{ env.NODE_VERSION }}", cache: pnpm }
      - run: pnpm install --frozen-lockfile

      - name: Свободное место
        run: df -h / /tmp

      - name: Сборка APK
        working-directory: apps/mobile
        env:
          # CI=1 — Metro без file watcher и с 2 воркерами (metro.config.js); NODE_ENV нужен expo для .env-файлов
          CI: "1"
          NODE_ENV: production
        # Только arm64-v8a: C++-часть React Native собирается под каждую ABI, и четыре ABI
        # вместе с NDK (~2.5 ГБ) не помещаются на диск раннера. arm64 — все устройства с 2017+.
        # Память: на раннере 8 ГБ, и без ограничений Gradle + демон Kotlin + Metro вызывают OOM killer.
        # Kotlin компилируется внутри JVM Gradle (без второго демона, поэтому heap 2.5 ГБ вместо 2), задач — не больше 2.
        run: |
          npx expo prebuild --platform android --clean --no-install
          cd android
          ./gradlew --no-daemon --max-workers=2 assembleRelease -PreactNativeArchitectures=arm64-v8a -Pkotlin.compiler.execution.strategy=in-process -Dorg.gradle.jvmargs="-Xmx2560m -XX:MaxMetaspaceSize=512m"

      - name: Свободное место после сбоя
        if: failure()
        run: |
          df -h / /tmp; free -m || true
          du -sh ~/.gradle ~/.android apps/mobile/android 2>/dev/null || true
          dmesg 2>/dev/null | grep -iE "killed process|out of memory" | tail -5 || true

      - name: Подпись APK
        env:
          PRERELEASE: ${{ needs.verify.outputs.prerelease }}
          KEYSTORE_B64: ${{ secrets.ANDROID_KEYSTORE_BASE64 }}
          KEYSTORE_PASSWORD: ${{ secrets.ANDROID_KEYSTORE_PASSWORD }}
          KEY_ALIAS: ${{ secrets.ANDROID_KEY_ALIAS }}
          KEY_PASSWORD: ${{ secrets.ANDROID_KEY_PASSWORD }}
        run: |
          set -euo pipefail
          src=apps/mobile/android/app/build/outputs/apk/release/app-release.apk
          out="pipu-music-${PIPU_VERSION}.apk"
          bt="$(ls -d "$ANDROID_HOME"/build-tools/* | sort -V | tail -1)"
          if [ -n "${KEYSTORE_B64}" ]; then
            echo "$KEYSTORE_B64" | base64 -d > release.keystore
            "$bt/apksigner" sign --ks release.keystore --ks-pass env:KEYSTORE_PASSWORD \
              --ks-key-alias "$KEY_ALIAS" --key-pass env:KEY_PASSWORD --out "$out" "$src"
            rm release.keystore
            echo "SIGNING=release" >> "$GITHUB_ENV"
          elif [ "$PRERELEASE" = "true" ]; then
            echo "::warning::ANDROID_KEYSTORE_BASE64 не задан — APK подписан отладочным ключом и не обновится поверх релизного"
            cp "$src" "$out"
            echo "SIGNING=debug" >> "$GITHUB_ENV"
          else
            echo "::error::ANDROID_KEYSTORE_BASE64 не задан — релиз с отладочной подписью не выпускается (rc-теги допускают)"
            exit 1
          fi
          "$bt/apksigner" verify --print-certs "$out" | head -3
          sha256sum "$out" | cut -d' ' -f1 > "$out.sha256"
          echo "APK=$out" >> "$GITHUB_ENV"

      - name: APK в релиз
        run: node scripts/release.mjs android success "$APK"

      - name: Статус в релизе — сборка не удалась
        if: failure()
        run: node scripts/release.mjs android failure