userbase/.gitea/workflows/ci.yml

name: ci-userbase-service

# 后端标准化 CI：maven 构建 jar -> docker build -> 推 Nexus docker-hosted
# 触发：push 到 main（仅 service 或本文件变更）/ 手动 Run workflow
# 依赖仓库 Actions Secrets：NEXUS_USER / NEXUS_PASSWORD（ci-docker 账号，仅 docker-hosted 推送权）
on:
  push:
    branches: [main]
    paths:
      - 'service/**'
      - '.gitea/workflows/ci.yml'
  workflow_dispatch:
    inputs:
      tag:
        description: 'image tag (default = short sha)'
        required: false
        default: 'auto'
      deploy:
        description: 'deploy to 160 after build (auto / skip)'
        required: false
        default: 'auto'

jobs:
  build-and-push:
    runs-on: ubuntu-latest
    # docker:24 自带 docker CLI，复用宿主 docker daemon。
    # 注意：act_runner v0.6.1 默认已把宿主 docker.sock 挂入每个 job 容器，
    # 切勿在此再声明 volumes: docker.sock（会与默认挂载重复，报
    # "Duplicate mount point" 导致容器创建失败、全部 step cancelled）。
    container:
      image: docker:24
    steps:
      # docker:24 基于 alpine，默认无 git；先装 git 再手动 clone 本仓库
      - name: Install git (alpine)
        run: |
          # 统一走 aliyun 源：dl-cdn 时段性被拦会卡满 60s×2（2026-10-20 事故）
          sed -i 's#dl-cdn.alpinelinux.org#mirrors.aliyun.com#g' /etc/apk/repositories
          apk add --no-cache git

      # 内网 Gitea 无法访问 github.com 拉取 actions/checkout，改为直接 clone 本仓库
      - name: Checkout (manual, internal Gitea)
        run: |
          git clone --depth 1 --branch main http://192.168.10.160:3000/${GITHUB_REPOSITORY}.git /tmp/src
          cp -a /tmp/src/. .
          rm -rf /tmp/src

      - name: Compute image tag
        id: meta
        run: |
          if [ "${{ inputs.tag }}" = "auto" ] || [ -z "${{ inputs.tag }}" ]; then
            echo "tag=$(echo ${GITHUB_SHA} | cut -c1-7)" >> $GITHUB_OUTPUT
          else
            echo "tag=${{ inputs.tag }}" >> $GITHUB_OUTPUT
          fi

      - name: Build jar with Maven
        run: |
          # 注意：job 容器通过 docker.sock 调的是【宿主 docker daemon】，
          # 因此 docker run -v <path> 里的路径会被宿主按【宿主路径】解析；
          # 而 act 工作区是宿主上的 docker volume，容器内 $PWD 对宿主不可见，
          # 直接 -v $PWD:/build 会绑成空目录导致找不到 pom.xml。
          # 故改为：起 maven 容器 -> docker cp 源码入容器 -> exec 构建 -> cp 产物回工作区。
          # mavenbuild 加入 infra-infra-net，用容器名 nexus 直连 Nexus(8081 maven-public)。
          # 之前用 --add-host=nexus.yunhaixingtong.com:host-gateway 经 Caddy:80 反代，但该路径在
          # CI 容器内不可达，maven 回退到 /opt/docker/ubs-m2 里 08-05 的旧 yh-auth 缓存(缺
          # CasSsoAutoConfiguration)，镜像启动报 serverName 崩溃。现改用 settings.xml mirror 把
          # pom 的 HTTP 仓库重定向到 http://nexus:8081/repository/maven-public/（已验证 -7 可达）。
          # 先清理上次失败残留的同名容器（set -e 下末尾的 rm 不会执行）
          # 构建容器名必须全局唯一：runner 挂的是宿主 docker.sock，容器名在整个 daemon 上共享
          # 命名空间。固定名会在多仓/多条 workflow 并发时互相 docker rm -f 掉对方正在构建的
          # 容器，表现为无编译报错的 exit 137（SIGKILL，2026-10-21 实测复现）。
          # GITHUB_RUN_ID 实例级唯一，再拼时间戳兜底。
          BUILD_CONTAINER="mavenbuild-${GITHUB_RUN_ID:-0}-$(date +%s)"
          echo "BUILD_CONTAINER=${BUILD_CONTAINER}"
          docker rm -f "$BUILD_CONTAINER" 2>/dev/null || true
          docker run -d --name "$BUILD_CONTAINER" \
            --network infra-infra-net \
            -v /opt/docker/ubs-m2:/root/.m2 \
            -w /build maven:3.6.3-jdk-8 sleep 3600
          docker cp "${PWD}/." "$BUILD_CONTAINER":/build/
          # 写 settings.xml：新增 profile 把 nexus:8081 maven-public 作为额外仓库（infra-infra-net 内容器名直连，已验证 -7 可达）。
          # 不用 mirror(external:http:*) 是因为它对 BOM import 解析未生效；profile 方式更可靠。
          # pom 原有的 nexus.yunhaixingtong.com(Caddy:80) 在 CI 容器内不可解析 → 快速失败，maven 转而用本仓库。
          docker exec "$BUILD_CONTAINER" sh -c "printf '%s' '<settings><profiles><profile><id>nexus-repo</id><repositories><repository><id>nexus-internal</id><url>http://nexus:8081/repository/maven-public/</url><releases><enabled>true</enabled></releases><snapshots><enabled>true</enabled><updatePolicy>always</updatePolicy></snapshots></repository></repositories></profile></profiles><activeProfiles><activeProfile>nexus-repo</activeProfile></activeProfiles></settings>' > /root/.m2/settings.xml"
          # 仅清旧 yh-auth 缓存（含 08-05 local install 的 maven-metadata-local.xml，避免本地安装优先于远端 -7）；
          # BOM 等其它 yh.platform 模块保留缓存（Nexus 上它们仍是 08-05 的 -1，缓存与远端一致）。
          docker exec "$BUILD_CONTAINER" rm -rf /root/.m2/repository/com/yunhai/platform/yh-auth-spring-boot-starter
          docker exec "$BUILD_CONTAINER" sh -c 'cd /build/service && mvn -U -B -DskipTests clean package'
          mkdir -p "${PWD}/service/target"
          docker cp "$BUILD_CONTAINER":/build/service/target/userbase.jar "${PWD}/service/target/userbase.jar"
          docker rm -f "$BUILD_CONTAINER"

      - name: Login to Nexus docker registry
        run: echo "${{ secrets.NEXUS_PASSWORD }}" | docker login nexus:8083 -u ${{ secrets.NEXUS_USER }} --password-stdin

      - name: Build image
        run: docker build -t nexus:8083/docker-hosted/userbase-service:${{ steps.meta.outputs.tag }} -f service/docker/Dockerfile service

      - name: Push image
        run: docker push nexus:8083/docker-hosted/userbase-service:${{ steps.meta.outputs.tag }}

      - name: Report build
        run: echo "pushed nexus:8083/docker-hosted/userbase-service:${{ steps.meta.outputs.tag }}"

      # —— 部署阶段（仅在 push 或手动 dispatch deploy=auto 时执行）——
      # 运行在 160 的 act_runner 上，复用宿主 docker daemon（docker.sock 由 act_runner 自动挂载），
      # 因此 docker pull / run 直接作用于 160 宿主，等价于在 160 上执行部署。
      - name: Deploy (pull + rollout with rollback)
        if: github.event_name == 'push' || inputs.deploy == 'auto'
        run: |
          set +e
          IMG=nexus:8083/docker-hosted/userbase-service:${{ steps.meta.outputs.tag }}
          echo "deploying $IMG"
          echo "${{ secrets.NEXUS_PASSWORD }}" | docker login nexus:8083 -u ${{ secrets.NEXUS_USER }} --password-stdin
          docker pull "$IMG"
          # 回滚锚：保留当前 userbase-service:latest（已知良好镜像），再额外打一个时间点标签
          RB=userbase-service:rb-$(date +%s)
          docker tag userbase-service:latest "$RB" 2>/dev/null || true
          docker stop userbase-service 2>/dev/null; docker rm -f userbase-service 2>/dev/null
          # 注意(SCA 2.2.4 坑): 命名空间必须用标准属性名 SPRING_CLOUD_NACOS_CONFIG_NAMESPACE,
          # 用 NACOS_NAMESPACE 这个 env 名不会被 bootstrap 的 ${NACOS_NAMESPACE:dev} 解析到(会落 public);
          # 凭据必须放顶层 SPRING_CLOUD_NACOS_USERNAME/PASSWORD, 放在 spring.cloud.nacos.config.* 下不生效(403)。
          docker run -d --name userbase-service --restart unless-stopped --network infra-infra-net -p 8060:8060 \
            -e NACOS_ADDR=nacos:8848 \
            -e SPRING_CLOUD_NACOS_CONFIG_NAMESPACE=6196f0de-a28d-4894-8f10-e2982b57c6bc \
            -e SPRING_CLOUD_NACOS_USERNAME=yh-reader \
            -e SPRING_CLOUD_NACOS_PASSWORD=123456 \
            "$IMG"
          # 健康检查：Spring 起来后 /userbase/ 返回 404（根路径无映射控制器），000 表示未起来
          OK=0
          for i in $(seq 1 30); do
            sleep 5
            CODE=$(curl -s -o /dev/null -w '%{http_code}' http://localhost:8060/userbase/ 2>/dev/null || true)
            if [ "$CODE" != "000" ]; then OK=1; break; fi
          done
          if [ "$OK" = "0" ]; then
            echo "!! UNHEALTHY -> rollback to userbase-service:latest"
            docker stop userbase-service 2>/dev/null; docker rm -f userbase-service 2>/dev/null
            docker run -d --name userbase-service --restart unless-stopped --network infra-infra-net -p 8060:8060 userbase-service:latest
            echo "rolled back"; exit 7
          fi
          echo "DEPLOY OK: $IMG"
          docker tag "$IMG" userbase-service:latest
          docker ps --format 'table {{.Names}}\t{{.Status}}\t{{.Image}}' | grep userbase || true