form-center-service/.gitea/workflows/build.yml

name: build

# Spring Boot 应用 CI（仿 UserBase ci.yml build 阶段 + projman webhook 建档，不含部署）
# 触发：push 到 main / 手动 Run workflow（可勾选缓存重建）
# 链路：clone 源码 -> maven 容器构建 jar（复用宿主 m2 缓存）-> docker build -f docker/Dockerfile -> push Nexus -> 通知 projman 建档（部署由运维在 DeployTab 手动触发）
# 依赖仓库 Secrets：NEXUS_USER / NEXUS_PASSWORD（docker-hosted 推送）/ DEPLOY_TOKEN（webhook 鉴权）
# 依赖 docker/Dockerfile（由 projman 注入，开发者也可自备——已写则尊重不覆盖）
# maven 依赖走 http://nexus:8081/repository/maven-public/（infra-infra-net 内容器名直连，匿名可拉公司 yh-* starter）

on:
  push:
    branches: [ main, codex/core-rc-20261023 ]
  workflow_dispatch:
    inputs:
      cache_bust:
        description: '构建前清空 maven m2 缓存'
        required: false
        default: 'false'
      tests_only:
        description: '只验证测试和 JAR，不构建推送镜像或通知建档'
        required: false
        default: 'true'

jobs:
  build-push:
    runs-on: ubuntu-latest
    container:
      image: docker:24
      options: --network infra-infra-net
    steps:
      - name: 安装 git / curl（alpine）
        run: |
          # 统一走 aliyun 源：dl-cdn 时段性被拦会卡满 60s×2（2026-10-20 事故）
          sed -i 's#dl-cdn.alpinelinux.org#mirrors.aliyun.com#g' /etc/apk/repositories
          apk add --no-cache git curl

      # 内网 Gitea 无法访问 GitHub 拉 actions/checkout，手动 clone 本仓库
      - name: 拉取源码（内网无 GitHub，手动 clone 本仓库）
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        run: |
          git clone --depth 1 --branch main "http://x-access-token:${GITHUB_TOKEN}@gitea.yunhaixingtong.com/${{ github.repository }}.git" /tmp/src
          git -C /tmp/src fetch --depth 1 origin "$GITHUB_SHA"
          git -C /tmp/src checkout --detach FETCH_HEAD
          test "$(git -C /tmp/src rev-parse HEAD)" = "$GITHUB_SHA"
          echo "CI_SOURCE_SHA=$GITHUB_SHA"
          cp -a /tmp/src/. .
          rm -rf /tmp/src
          # 取提交备注首行，脱去换行/双引号/反斜杠（避免破坏 webhook JSON），截断到 200 字符
          COMMIT_MSG=$(git log -1 --pretty=%s | tr '\n' ' ' | sed 's/["\\]/ /g' | cut -c1-200)
          echo "COMMIT_MSG=${COMMIT_MSG}" >> "$GITHUB_ENV"

      # 可选：清空 m2 缓存（仅手动勾选 cache_bust 时）
      - name: 可选清空 m2 缓存
        if: ${{ inputs.cache_bust == 'true' }}
        run: |
          docker run --rm -v /opt/docker/projman-m2:/root/.m2 alpine sh -c 'rm -rf /root/.m2/*'
          echo "m2 cache busted"

      # maven 构建：起独立 maven 容器（入 infra-infra-net 用容器名 nexus 直连 maven-public）
      # 通过 docker.sock 调宿主 dockerd，故 -v 路径按宿主解析；用 docker cp 进出源码/产物
      # m2 缓存挂宿主固定目录 /opt/docker/projman-m2，跨构建复用依赖
      # settings.xml 用 profile 方式追加 nexus maven-public 仓库（匿名可拉，不带凭据）
      # maven 实际产物名 = artifactId-version.jar（随 pom 变，-DfinalName 命令行 property 不可靠覆盖不了），
      # 故 mvn package 后在容器内 cp 成固定名 app.jar，使 docker cp 与 docker/Dockerfile 的 COPY target/app.jar 绑定
      - name: 构建 jar（maven 容器，复用宿主 m2 缓存）
        run: |
          set -e
          # 构建容器名必须全局唯一：runner 挂的是宿主 docker.sock，容器名在整个 daemon 上共享
          # 命名空间。固定名会在多仓/多条 workflow 并发时互相 docker rm -f 掉对方正在构建的
          # 容器，表现为无编译报错的 exit 137（SIGKILL，2026-10-21 实测复现）。
          # GITHUB_RUN_ID 实例级唯一，再拼时间戳兜底。
          BUILD_CONTAINER="mavenbuild-${GITHUB_RUN_ID:-0}-$(date +%s)"
          echo "BUILD_CONTAINER=${BUILD_CONTAINER}"
          cleanup_ci() {
            result=$?
            trap - EXIT
            docker rm -fv "$BUILD_CONTAINER" >/dev/null 2>&1 || true
            docker info >/dev/null 2>&1 || { echo 'CI_CONTAINER_CLEANUP=UNVERIFIED' >&2; exit 1; }
            if docker inspect "$BUILD_CONTAINER" >/dev/null 2>&1; then
              echo 'CI_CONTAINER_CLEANUP=FAILED' >&2
              exit 1
            fi
            echo 'CI_CONTAINER_CLEANUP=PASS'
            exit "$result"
          }
          trap cleanup_ci EXIT
          docker rm -f "$BUILD_CONTAINER" 2>/dev/null || true
          docker run -d --name "$BUILD_CONTAINER" \
            --network infra-infra-net \
            -v /opt/docker/projman-m2:/root/.m2 \
            -w /build maven:3.6.3-jdk-8 sleep 3600
          docker cp "${PWD}/." "$BUILD_CONTAINER":/build/
          docker exec "$BUILD_CONTAINER" sh -c "printf '%s' '<settings><profiles><profile><id>nexus-repo</id><repositories><repository><id>nexus-internal</id><url>http://nexus:8081/repository/maven-public/</url><releases><enabled>true</enabled></releases><snapshots><enabled>true</enabled><updatePolicy>always</updatePolicy></snapshots></repository></repositories></profile></profiles><activeProfiles><activeProfile>nexus-repo</activeProfile></activeProfiles></settings>' > /root/.m2/settings.xml"
          docker exec "$BUILD_CONTAINER" sh -c 'cd /build && sh ci/test-gate.sh clean package'
          docker exec "$BUILD_CONTAINER" sh -c 'cd /build/target && cp *.jar app.jar'
          mkdir -p "${PWD}/target"
          docker cp "$BUILD_CONTAINER":/build/target/app.jar "${PWD}/target/app.jar"
          docker rm -f "$BUILD_CONTAINER"

      - name: 构建并推送镜像
        if: ${{ success() && github.ref == 'refs/heads/main' && inputs.tests_only != 'true' }}
        run: |
          set -e
          TAG=$(echo "$GITHUB_SHA" | cut -c1-8)
          echo "${{ secrets.NEXUS_PASSWORD }}" | docker login nexus:8083 -u "${{ secrets.NEXUS_USER }}" --password-stdin
          docker build -t "nexus:8083/docker-hosted/form-center-service:${TAG}" -f docker/Dockerfile .
          docker push "nexus:8083/docker-hosted/form-center-service:${TAG}"
          echo "TAG=${TAG}" >> "$GITHUB_ENV"

      # 通知 projman：webhook 收到后只建档 Release(status=pending)，部署由运维在 DeployTab 手动触发（App.deployMode=manual）
      - name: 通知 projman 建档（部署由运维手动触发）
        if: ${{ success() && github.ref == 'refs/heads/main' && inputs.tests_only != 'true' }}
        run: |
          curl -sS -X POST "http://192.168.10.160:8090/projman/api/deploy/webhook" \
            -H "Content-Type: application/json" \
            -H "X-Deploy-Token: ${{ secrets.DEPLOY_TOKEN }}" \
            -d "{\"app\":\"form-center\",\"tag\":\"${TAG}\",\"sha\":\"${GITHUB_SHA}\",\"message\":\"${COMMIT_MSG}\"}"