chore: auto manifest on version bump; local manual script only
contrib/manifest/generate.py + pre-commit hook; install-git-hooks.sh creates .local/build-release-manifest.sh (gitignored). Remove scripts/ from remote.
This commit is contained in:
PTah
+3
-1
@@ -11,4 +11,6 @@ ssh-monitor-*.tar.gz
|
||||
# Локальный загрузчик Rutube / yt-dlp — живёт в другом репозитории
|
||||
rutube-download.py
|
||||
.ytdl-archive.txt
|
||||
.cursorignore
|
||||
# Локальные инструменты разработки (не в Gitea/GitHub)
|
||||
.local/
|
||||
scripts/build-release-manifest.sh
|
||||
|
||||
@@ -6,7 +6,8 @@ DIST := ssh-monitor-$(VERSION).tar.gz
|
||||
dist: $(DIST)
|
||||
|
||||
manifest:
|
||||
./scripts/build-release-manifest.sh
|
||||
@test -x .local/build-release-manifest.sh || (echo "Сначала: ./contrib/install-git-hooks.sh" >&2; exit 1)
|
||||
./.local/build-release-manifest.sh
|
||||
|
||||
$(DIST): ssh-monitor
|
||||
git archive --format=tar.gz --prefix=ssh-monitor-$(VERSION)/ -o $(DIST) HEAD
|
||||
|
||||
@@ -165,7 +165,9 @@ bash -n ./ssh-monitor
|
||||
|
||||
## Релизный архив
|
||||
|
||||
Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (та же строка, что в шапке README). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. Сборка tarball из текущего git-дерева:
|
||||
Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (та же строка, что в шапке README). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. **Release manifest** (`release/manifest-*.json`): [docs/release-manifest.ru.md](docs/release-manifest.ru.md) — после clone выполните `./contrib/install-git-hooks.sh` (автогенерация при bump версии).
|
||||
|
||||
Сборка tarball из текущего git-дерева:
|
||||
|
||||
```bash
|
||||
make dist
|
||||
|
||||
@@ -0,0 +1,55 @@
|
||||
#!/bin/bash
|
||||
# Автогенерация release/manifest-VERSION.json при bump версии (version.txt / SSH_MONITOR_VERSION).
|
||||
set -euo pipefail
|
||||
|
||||
ROOT="$(git rev-parse --show-toplevel)"
|
||||
cd "$ROOT"
|
||||
|
||||
_staged() {
|
||||
git diff --cached --name-only -- "$@"
|
||||
}
|
||||
|
||||
_version_bump_staged() {
|
||||
if _staged version.txt | grep -q .; then
|
||||
return 0
|
||||
fi
|
||||
if _staged ssh-monitor | grep -q .; then
|
||||
if git diff --cached -- ssh-monitor | grep -qE '^[+-].*SSH_MONITOR_VERSION='; then
|
||||
return 0
|
||||
fi
|
||||
fi
|
||||
return 1
|
||||
}
|
||||
|
||||
_agent_files_staged() {
|
||||
local f
|
||||
for f in ssh-monitor sac-client.sh update_ssh_monitor.sh ssh-monitor-watchdog ssh-monitor-perms.sh; do
|
||||
if _staged "$f" | grep -q .; then
|
||||
return 0
|
||||
fi
|
||||
done
|
||||
return 1
|
||||
}
|
||||
|
||||
_version_bump_staged || _agent_files_staged || exit 0
|
||||
|
||||
if ! command -v python3 >/dev/null 2>&1; then
|
||||
echo "pre-commit: python3 нужен для manifest" >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
python3 "$ROOT/contrib/manifest/generate.py"
|
||||
VER="$(tr -d '\r\n' <"$ROOT/version.txt")"
|
||||
[ -n "$VER" ] || {
|
||||
echo "pre-commit: version.txt пуст — не могу добавить manifest" >&2
|
||||
exit 1
|
||||
}
|
||||
|
||||
MANIFEST="release/manifest-${VER}.json"
|
||||
if [ ! -f "$MANIFEST" ]; then
|
||||
echo "pre-commit: не создан $MANIFEST" >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
git add "$MANIFEST"
|
||||
echo "pre-commit: обновлён $MANIFEST (версия $VER)"
|
||||
@@ -0,0 +1,31 @@
|
||||
#!/bin/bash
|
||||
# Установка git hooks и локального скрипта ручной генерации manifest (не в git).
|
||||
set -euo pipefail
|
||||
|
||||
ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
|
||||
HOOK_SRC="$ROOT/contrib/hooks/pre-commit"
|
||||
HOOK_DST="$ROOT/.git/hooks/pre-commit"
|
||||
LOCAL_DIR="$ROOT/.local"
|
||||
LOCAL_SCRIPT="$LOCAL_DIR/build-release-manifest.sh"
|
||||
|
||||
if [ ! -d "$ROOT/.git" ]; then
|
||||
echo "ERROR: не git-репозиторий: $ROOT" >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
mkdir -p "$LOCAL_DIR"
|
||||
cat >"$LOCAL_SCRIPT" <<'EOF'
|
||||
#!/bin/bash
|
||||
# Локальный wrapper (не коммитится). Ручная генерация manifest.
|
||||
set -euo pipefail
|
||||
ROOT="$(git rev-parse --show-toplevel)"
|
||||
exec python3 "$ROOT/contrib/manifest/generate.py" "$@"
|
||||
EOF
|
||||
chmod +x "$LOCAL_SCRIPT"
|
||||
|
||||
cp "$HOOK_SRC" "$HOOK_DST"
|
||||
chmod +x "$HOOK_DST"
|
||||
|
||||
echo "OK: pre-commit hook → $HOOK_DST"
|
||||
echo "OK: ручной скрипт → $LOCAL_SCRIPT (в .gitignore, не уйдёт в Gitea/GitHub)"
|
||||
echo "После clone выполните: ./contrib/install-git-hooks.sh"
|
||||
@@ -0,0 +1,117 @@
|
||||
#!/usr/bin/env python3
|
||||
"""Генерация release/manifest-VERSION.json (SHA256 git blob = checkout на Linux)."""
|
||||
|
||||
from __future__ import annotations
|
||||
|
||||
import argparse
|
||||
import hashlib
|
||||
import json
|
||||
import os
|
||||
import subprocess
|
||||
import sys
|
||||
from pathlib import Path
|
||||
|
||||
MANIFEST_FILES = (
|
||||
"ssh-monitor",
|
||||
"sac-client.sh",
|
||||
"update_ssh_monitor.sh",
|
||||
"ssh-monitor-watchdog",
|
||||
"ssh-monitor-perms.sh",
|
||||
)
|
||||
|
||||
|
||||
def repo_root() -> Path:
|
||||
return Path(
|
||||
subprocess.check_output(["git", "rev-parse", "--show-toplevel"], text=True).strip()
|
||||
)
|
||||
|
||||
|
||||
def read_version(root: Path, explicit: str | None) -> str:
|
||||
if explicit:
|
||||
return explicit.strip()
|
||||
vt = root / "version.txt"
|
||||
if vt.is_file():
|
||||
v = vt.read_text(encoding="utf-8").strip()
|
||||
if v:
|
||||
return v
|
||||
ssh = root / "ssh-monitor"
|
||||
if ssh.is_file():
|
||||
for line in ssh.read_text(encoding="utf-8", errors="replace").splitlines():
|
||||
if line.strip().startswith("SSH_MONITOR_VERSION="):
|
||||
v = line.split("=", 1)[1].strip().strip("\"'")
|
||||
if v:
|
||||
return v
|
||||
raise SystemExit("ERROR: укажите VERSION или заполните version.txt / SSH_MONITOR_VERSION")
|
||||
|
||||
|
||||
def file_bytes_from_git(root: Path, name: str) -> bytes | None:
|
||||
for ref in (f":{name}", f"HEAD:{name}"):
|
||||
try:
|
||||
return subprocess.check_output(["git", "-C", str(root), "show", ref])
|
||||
except subprocess.CalledProcessError:
|
||||
continue
|
||||
return None
|
||||
|
||||
|
||||
def sha256_bytes(data: bytes) -> str:
|
||||
return hashlib.sha256(data).hexdigest()
|
||||
|
||||
|
||||
def sha256_release_file(root: Path, name: str) -> str:
|
||||
blob = file_bytes_from_git(root, name)
|
||||
if blob is not None:
|
||||
return sha256_bytes(blob)
|
||||
path = root / name
|
||||
if not path.is_file():
|
||||
raise SystemExit(f"ERROR: нет файла {name} (ни в git index/HEAD, ни на диске)")
|
||||
h = hashlib.sha256()
|
||||
with path.open("rb") as f:
|
||||
for chunk in iter(lambda: f.read(1024 * 1024), b""):
|
||||
h.update(chunk)
|
||||
return h.hexdigest()
|
||||
|
||||
|
||||
def main() -> None:
|
||||
parser = argparse.ArgumentParser(description="Сгенерировать release/manifest-VERSION.json")
|
||||
parser.add_argument("version", nargs="?", help="Версия (по умолчанию из version.txt)")
|
||||
parser.add_argument(
|
||||
"--pin-commit",
|
||||
action="store_true",
|
||||
help="Записать git_commit=HEAD (после коммита; в pre-commit не используется)",
|
||||
)
|
||||
args = parser.parse_args()
|
||||
|
||||
root = repo_root()
|
||||
version = read_version(root, args.version)
|
||||
|
||||
for name in MANIFEST_FILES:
|
||||
if file_bytes_from_git(root, name) is None and not (root / name).is_file():
|
||||
raise SystemExit(f"ERROR: нет файла {name}")
|
||||
|
||||
git_commit = ""
|
||||
if args.pin_commit:
|
||||
try:
|
||||
git_commit = subprocess.check_output(
|
||||
["git", "-C", str(root), "rev-parse", "HEAD"], text=True
|
||||
).strip()
|
||||
except subprocess.CalledProcessError:
|
||||
pass
|
||||
|
||||
manifest = {
|
||||
"version": version,
|
||||
"git_commit": git_commit,
|
||||
"files": {name: f"sha256:{sha256_release_file(root, name)}" for name in MANIFEST_FILES},
|
||||
}
|
||||
|
||||
out = root / "release" / f"manifest-{version}.json"
|
||||
out.parent.mkdir(parents=True, exist_ok=True)
|
||||
with out.open("w", encoding="utf-8") as f:
|
||||
json.dump(manifest, f, indent=2, ensure_ascii=False)
|
||||
f.write("\n")
|
||||
|
||||
pin = git_commit[:12] if git_commit else "(empty)"
|
||||
print(f"Wrote {out.relative_to(root)} git_commit={pin}")
|
||||
|
||||
|
||||
if __name__ == "__main__":
|
||||
main()
|
||||
@@ -91,13 +91,12 @@ Updater читает **`GIT_REF`**, **`GIT_VERIFY_MODE`**, **`GIT_ALLOW_RESET`**
|
||||
- Файл не найден → WARN, update продолжается (или exit 1 при **`RELEASE_MANIFEST_STRICT=1`**).
|
||||
- Копирование **`update_ssh_monitor.sh`** в `/opt/scripts/` и re-exec — только если manifest для версии был и прошёл verify.
|
||||
|
||||
Генерация при релизе (хеши **из git**, как на Linux после `checkout` — не с диска Windows):
|
||||
Генерация manifest — см. [release-manifest.ru.md](release-manifest.ru.md). После `./contrib/install-git-hooks.sh` manifest обновляется **автоматически** при bump версии в pre-commit. Ручной wrapper: `.local/build-release-manifest.sh` (не в git).
|
||||
|
||||
```bash
|
||||
git add --renormalize ssh-monitor *.sh # при смене .gitattributes
|
||||
./scripts/build-release-manifest.sh 2.2.2-SAC
|
||||
git add release/manifest-2.2.2-SAC.json && git commit -m "release: manifest 2.2.2-SAC"
|
||||
git tag 2.2.2-SAC
|
||||
./contrib/install-git-hooks.sh # один раз после clone
|
||||
# bump version.txt + ssh-monitor → git commit (hook добавит manifest)
|
||||
git tag 2.2.3-SAC
|
||||
```
|
||||
|
||||
### Примеры для прода
|
||||
|
||||
@@ -0,0 +1,37 @@
|
||||
# Release manifest
|
||||
|
||||
Файлы `release/manifest-VERSION.json` — SHA256 агентских скриптов **как в git** (после `checkout` на Linux). Updater сверяет их до копирования на хост.
|
||||
|
||||
## Автоматически (рекомендуется)
|
||||
|
||||
Один раз после clone:
|
||||
|
||||
```bash
|
||||
./contrib/install-git-hooks.sh
|
||||
```
|
||||
|
||||
При коммите, если изменились **`version.txt`**, **`SSH_MONITOR_VERSION`** в `ssh-monitor` или любой из агентских файлов (`ssh-monitor`, `*.sh` из списка manifest), **pre-commit** вызовет `contrib/manifest/generate.py` и добавит `release/manifest-{версия}.json` в коммит.
|
||||
|
||||
## Ручная генерация (локально)
|
||||
|
||||
Скрипт **`.local/build-release-manifest.sh`** создаётся `install-git-hooks.sh` и **не коммитится** (см. `.gitignore`).
|
||||
|
||||
```bash
|
||||
./.local/build-release-manifest.sh
|
||||
./.local/build-release-manifest.sh 2.2.3-SAC
|
||||
git add release/manifest-2.2.3-SAC.json
|
||||
```
|
||||
|
||||
Ядро генерации в репозитории: `contrib/manifest/generate.py` (используется hook и локальным wrapper).
|
||||
|
||||
## Релиз (чек-лист)
|
||||
|
||||
1. Bump `SSH_MONITOR_VERSION` + `version.txt`
|
||||
2. `git add` изменённые файлы
|
||||
3. `git commit` — hook обновит manifest (или вручную `.local/build-release-manifest.sh`)
|
||||
4. `git tag X.Y.Z-SAC`
|
||||
5. Push в kalinamall (+ GitHub при необходимости)
|
||||
|
||||
Поле `git_commit` в manifest по умолчанию **пустое** (проверяются только SHA256 файлов). Опционально после коммита: `python3 contrib/manifest/generate.py --pin-commit`.
|
||||
|
||||
См. также [auto-update.ru.md](auto-update.ru.md).
|
||||
@@ -142,7 +142,7 @@ Backlog по ingest при массовом update (SAC + ops): [ingest-mass-upd
|
||||
- [x] Публиковать manifest при каждом релизе (в git, рядом с тегом)
|
||||
- [x] Updater: после checkout сверять SHA256 файлов из клона с manifest **до** копирования в `/usr/local/bin`
|
||||
- [x] Несовпадение → exit 1, ничего не перезаписывать
|
||||
- [x] Скрипт/цель в `Makefile` или `scripts/build-release-manifest.sh` для генерации
|
||||
- [x] Скрипт/цель в `Makefile` + `contrib/manifest/generate.py`; pre-commit hook; ручной `.local/` (не в remote)
|
||||
|
||||
**Связь с 2.4:** manifest из **того же** `REPO_URL` защищает от подмены файлов в clone и от «не того» коммита; не защищает от полной компрометации git-сервера (для этого GPG).
|
||||
|
||||
|
||||
@@ -1,104 +0,0 @@
|
||||
#!/bin/bash
|
||||
# Генерация release/manifest-VERSION.json (SHA256 файлов + git commit HEAD).
|
||||
# Хеши считаются по содержимому git (HEAD), как после checkout на Linux-хосте.
|
||||
# Запуск из корня репозитория: ./scripts/build-release-manifest.sh [VERSION]
|
||||
set -euo pipefail
|
||||
|
||||
ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
|
||||
cd "$ROOT"
|
||||
|
||||
version="${1:-}"
|
||||
if [ -z "$version" ]; then
|
||||
version="$(tr -d '\r\n' <version.txt 2>/dev/null || true)"
|
||||
fi
|
||||
if [ -z "$version" ]; then
|
||||
version="$(grep -E '^[[:space:]]*SSH_MONITOR_VERSION=' ssh-monitor 2>/dev/null | head -1 | sed -E 's/^[^=]*=//; s/^["'\'']//; s/["'\'']$//; s/^[[:space:]]+//; s/[[:space:]]+$//')"
|
||||
fi
|
||||
[ -n "$version" ] || {
|
||||
echo "ERROR: укажите VERSION или заполните version.txt" >&2
|
||||
exit 1
|
||||
}
|
||||
|
||||
FILES=(
|
||||
ssh-monitor
|
||||
sac-client.sh
|
||||
update_ssh_monitor.sh
|
||||
ssh-monitor-watchdog
|
||||
ssh-monitor-perms.sh
|
||||
)
|
||||
|
||||
for f in "${FILES[@]}"; do
|
||||
git rev-parse "HEAD:$f" >/dev/null 2>&1 || [ -f "$f" ] || {
|
||||
echo "ERROR: нет файла $f (ни в git HEAD, ни на диске)" >&2
|
||||
exit 1
|
||||
}
|
||||
done
|
||||
|
||||
git_commit=""
|
||||
if git rev-parse HEAD >/dev/null 2>&1; then
|
||||
git_commit="$(git rev-parse HEAD)"
|
||||
fi
|
||||
|
||||
out="release/manifest-${version}.json"
|
||||
mkdir -p release
|
||||
|
||||
export MANIFEST_ROOT="$ROOT"
|
||||
export MANIFEST_VERSION="$version"
|
||||
export MANIFEST_GIT_COMMIT="$git_commit"
|
||||
export MANIFEST_OUT="$out"
|
||||
export MANIFEST_FILES="${FILES[*]}"
|
||||
|
||||
python3 <<'PY'
|
||||
import hashlib
|
||||
import json
|
||||
import os
|
||||
import subprocess
|
||||
|
||||
root = os.environ["MANIFEST_ROOT"]
|
||||
version = os.environ["MANIFEST_VERSION"]
|
||||
git_commit = os.environ.get("MANIFEST_GIT_COMMIT", "")
|
||||
files = os.environ["MANIFEST_FILES"].split()
|
||||
out = os.environ["MANIFEST_OUT"]
|
||||
|
||||
|
||||
def sha256_bytes(data: bytes) -> str:
|
||||
h = hashlib.sha256()
|
||||
h.update(data)
|
||||
return h.hexdigest()
|
||||
|
||||
|
||||
def file_bytes_from_git(name: str) -> bytes | None:
|
||||
for ref in (f":{name}", f"HEAD:{name}"):
|
||||
try:
|
||||
return subprocess.check_output(["git", "-C", root, "show", ref])
|
||||
except subprocess.CalledProcessError:
|
||||
continue
|
||||
return None
|
||||
|
||||
|
||||
def sha256_release_file(name: str) -> str:
|
||||
blob = file_bytes_from_git(name)
|
||||
if blob is not None:
|
||||
return sha256_bytes(blob)
|
||||
path = os.path.join(root, name)
|
||||
h = hashlib.sha256()
|
||||
with open(path, "rb") as f:
|
||||
for chunk in iter(lambda: f.read(1024 * 1024), b""):
|
||||
h.update(chunk)
|
||||
return h.hexdigest()
|
||||
|
||||
|
||||
manifest = {
|
||||
"version": version,
|
||||
"git_commit": git_commit,
|
||||
"files": {},
|
||||
}
|
||||
for name in files:
|
||||
manifest["files"][name] = f"sha256:{sha256_release_file(name)}"
|
||||
|
||||
with open(out, "w", encoding="utf-8") as f:
|
||||
json.dump(manifest, f, indent=2, ensure_ascii=False)
|
||||
f.write("\n")
|
||||
|
||||
print(f"Wrote {out} commit={git_commit[:12] if git_commit else '?'}")
|
||||
PY
|
||||
Reference in New Issue
Block a user