From 5ac4792c3c401f0cc739d25d3b9e10da5b5d0482 Mon Sep 17 00:00:00 2001 From: PTah Date: Wed, 8 Jul 2026 12:05:21 +1000 Subject: [PATCH] chore: auto manifest on version bump; local manual script only contrib/manifest/generate.py + pre-commit hook; install-git-hooks.sh creates .local/build-release-manifest.sh (gitignored). Remove scripts/ from remote. --- .gitignore | 4 +- Makefile | 3 +- README.md | 4 +- contrib/hooks/pre-commit | 55 ++++++++++++++ contrib/install-git-hooks.sh | 31 ++++++++ contrib/manifest/generate.py | 117 ++++++++++++++++++++++++++++++ docs/auto-update.ru.md | 9 +-- docs/release-manifest.ru.md | 37 ++++++++++ docs/security-roadmap.ru.md | 2 +- scripts/build-release-manifest.sh | 104 -------------------------- 10 files changed, 253 insertions(+), 113 deletions(-) create mode 100644 contrib/hooks/pre-commit create mode 100644 contrib/install-git-hooks.sh create mode 100644 contrib/manifest/generate.py create mode 100644 docs/release-manifest.ru.md delete mode 100644 scripts/build-release-manifest.sh diff --git a/.gitignore b/.gitignore index 8f3231a..705adb4 100644 --- a/.gitignore +++ b/.gitignore @@ -11,4 +11,6 @@ ssh-monitor-*.tar.gz # Локальный загрузчик Rutube / yt-dlp — живёт в другом репозитории rutube-download.py .ytdl-archive.txt -.cursorignore +# Локальные инструменты разработки (не в Gitea/GitHub) +.local/ +scripts/build-release-manifest.sh diff --git a/Makefile b/Makefile index 1a44af6..2cc4346 100644 --- a/Makefile +++ b/Makefile @@ -6,7 +6,8 @@ DIST := ssh-monitor-$(VERSION).tar.gz dist: $(DIST) manifest: - ./scripts/build-release-manifest.sh + @test -x .local/build-release-manifest.sh || (echo "Сначала: ./contrib/install-git-hooks.sh" >&2; exit 1) + ./.local/build-release-manifest.sh $(DIST): ssh-monitor git archive --format=tar.gz --prefix=ssh-monitor-$(VERSION)/ -o $(DIST) HEAD diff --git a/README.md b/README.md index 85b9622..5070760 100644 --- a/README.md +++ b/README.md @@ -165,7 +165,9 @@ bash -n ./ssh-monitor ## Релизный архив -Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (та же строка, что в шапке README). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. Сборка tarball из текущего git-дерева: +Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (та же строка, что в шапке README). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. **Release manifest** (`release/manifest-*.json`): [docs/release-manifest.ru.md](docs/release-manifest.ru.md) — после clone выполните `./contrib/install-git-hooks.sh` (автогенерация при bump версии). + +Сборка tarball из текущего git-дерева: ```bash make dist diff --git a/contrib/hooks/pre-commit b/contrib/hooks/pre-commit new file mode 100644 index 0000000..c241e25 --- /dev/null +++ b/contrib/hooks/pre-commit @@ -0,0 +1,55 @@ +#!/bin/bash +# Автогенерация release/manifest-VERSION.json при bump версии (version.txt / SSH_MONITOR_VERSION). +set -euo pipefail + +ROOT="$(git rev-parse --show-toplevel)" +cd "$ROOT" + +_staged() { + git diff --cached --name-only -- "$@" +} + +_version_bump_staged() { + if _staged version.txt | grep -q .; then + return 0 + fi + if _staged ssh-monitor | grep -q .; then + if git diff --cached -- ssh-monitor | grep -qE '^[+-].*SSH_MONITOR_VERSION='; then + return 0 + fi + fi + return 1 +} + +_agent_files_staged() { + local f + for f in ssh-monitor sac-client.sh update_ssh_monitor.sh ssh-monitor-watchdog ssh-monitor-perms.sh; do + if _staged "$f" | grep -q .; then + return 0 + fi + done + return 1 +} + +_version_bump_staged || _agent_files_staged || exit 0 + +if ! command -v python3 >/dev/null 2>&1; then + echo "pre-commit: python3 нужен для manifest" >&2 + exit 1 +fi + +python3 "$ROOT/contrib/manifest/generate.py" +VER="$(tr -d '\r\n' <"$ROOT/version.txt")" +[ -n "$VER" ] || { + echo "pre-commit: version.txt пуст — не могу добавить manifest" >&2 + exit 1 +} + +MANIFEST="release/manifest-${VER}.json" +if [ ! -f "$MANIFEST" ]; then + echo "pre-commit: не создан $MANIFEST" >&2 + exit 1 +fi + +git add "$MANIFEST" +echo "pre-commit: обновлён $MANIFEST (версия $VER)" diff --git a/contrib/install-git-hooks.sh b/contrib/install-git-hooks.sh new file mode 100644 index 0000000..2fa50f6 --- /dev/null +++ b/contrib/install-git-hooks.sh @@ -0,0 +1,31 @@ +#!/bin/bash +# Установка git hooks и локального скрипта ручной генерации manifest (не в git). +set -euo pipefail + +ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)" +HOOK_SRC="$ROOT/contrib/hooks/pre-commit" +HOOK_DST="$ROOT/.git/hooks/pre-commit" +LOCAL_DIR="$ROOT/.local" +LOCAL_SCRIPT="$LOCAL_DIR/build-release-manifest.sh" + +if [ ! -d "$ROOT/.git" ]; then + echo "ERROR: не git-репозиторий: $ROOT" >&2 + exit 1 +fi + +mkdir -p "$LOCAL_DIR" +cat >"$LOCAL_SCRIPT" <<'EOF' +#!/bin/bash +# Локальный wrapper (не коммитится). Ручная генерация manifest. +set -euo pipefail +ROOT="$(git rev-parse --show-toplevel)" +exec python3 "$ROOT/contrib/manifest/generate.py" "$@" +EOF +chmod +x "$LOCAL_SCRIPT" + +cp "$HOOK_SRC" "$HOOK_DST" +chmod +x "$HOOK_DST" + +echo "OK: pre-commit hook → $HOOK_DST" +echo "OK: ручной скрипт → $LOCAL_SCRIPT (в .gitignore, не уйдёт в Gitea/GitHub)" +echo "После clone выполните: ./contrib/install-git-hooks.sh" diff --git a/contrib/manifest/generate.py b/contrib/manifest/generate.py new file mode 100644 index 0000000..feb5a45 --- /dev/null +++ b/contrib/manifest/generate.py @@ -0,0 +1,117 @@ +#!/usr/bin/env python3 +"""Генерация release/manifest-VERSION.json (SHA256 git blob = checkout на Linux).""" + +from __future__ import annotations + +import argparse +import hashlib +import json +import os +import subprocess +import sys +from pathlib import Path + +MANIFEST_FILES = ( + "ssh-monitor", + "sac-client.sh", + "update_ssh_monitor.sh", + "ssh-monitor-watchdog", + "ssh-monitor-perms.sh", +) + + +def repo_root() -> Path: + return Path( + subprocess.check_output(["git", "rev-parse", "--show-toplevel"], text=True).strip() + ) + + +def read_version(root: Path, explicit: str | None) -> str: + if explicit: + return explicit.strip() + vt = root / "version.txt" + if vt.is_file(): + v = vt.read_text(encoding="utf-8").strip() + if v: + return v + ssh = root / "ssh-monitor" + if ssh.is_file(): + for line in ssh.read_text(encoding="utf-8", errors="replace").splitlines(): + if line.strip().startswith("SSH_MONITOR_VERSION="): + v = line.split("=", 1)[1].strip().strip("\"'") + if v: + return v + raise SystemExit("ERROR: укажите VERSION или заполните version.txt / SSH_MONITOR_VERSION") + + +def file_bytes_from_git(root: Path, name: str) -> bytes | None: + for ref in (f":{name}", f"HEAD:{name}"): + try: + return subprocess.check_output(["git", "-C", str(root), "show", ref]) + except subprocess.CalledProcessError: + continue + return None + + +def sha256_bytes(data: bytes) -> str: + return hashlib.sha256(data).hexdigest() + + +def sha256_release_file(root: Path, name: str) -> str: + blob = file_bytes_from_git(root, name) + if blob is not None: + return sha256_bytes(blob) + path = root / name + if not path.is_file(): + raise SystemExit(f"ERROR: нет файла {name} (ни в git index/HEAD, ни на диске)") + h = hashlib.sha256() + with path.open("rb") as f: + for chunk in iter(lambda: f.read(1024 * 1024), b""): + h.update(chunk) + return h.hexdigest() + + +def main() -> None: + parser = argparse.ArgumentParser(description="Сгенерировать release/manifest-VERSION.json") + parser.add_argument("version", nargs="?", help="Версия (по умолчанию из version.txt)") + parser.add_argument( + "--pin-commit", + action="store_true", + help="Записать git_commit=HEAD (после коммита; в pre-commit не используется)", + ) + args = parser.parse_args() + + root = repo_root() + version = read_version(root, args.version) + + for name in MANIFEST_FILES: + if file_bytes_from_git(root, name) is None and not (root / name).is_file(): + raise SystemExit(f"ERROR: нет файла {name}") + + git_commit = "" + if args.pin_commit: + try: + git_commit = subprocess.check_output( + ["git", "-C", str(root), "rev-parse", "HEAD"], text=True + ).strip() + except subprocess.CalledProcessError: + pass + + manifest = { + "version": version, + "git_commit": git_commit, + "files": {name: f"sha256:{sha256_release_file(root, name)}" for name in MANIFEST_FILES}, + } + + out = root / "release" / f"manifest-{version}.json" + out.parent.mkdir(parents=True, exist_ok=True) + with out.open("w", encoding="utf-8") as f: + json.dump(manifest, f, indent=2, ensure_ascii=False) + f.write("\n") + + pin = git_commit[:12] if git_commit else "(empty)" + print(f"Wrote {out.relative_to(root)} git_commit={pin}") + + +if __name__ == "__main__": + main() diff --git a/docs/auto-update.ru.md b/docs/auto-update.ru.md index ef6fcdb..b15ae36 100644 --- a/docs/auto-update.ru.md +++ b/docs/auto-update.ru.md @@ -91,13 +91,12 @@ Updater читает **`GIT_REF`**, **`GIT_VERIFY_MODE`**, **`GIT_ALLOW_RESET`** - Файл не найден → WARN, update продолжается (или exit 1 при **`RELEASE_MANIFEST_STRICT=1`**). - Копирование **`update_ssh_monitor.sh`** в `/opt/scripts/` и re-exec — только если manifest для версии был и прошёл verify. -Генерация при релизе (хеши **из git**, как на Linux после `checkout` — не с диска Windows): +Генерация manifest — см. [release-manifest.ru.md](release-manifest.ru.md). После `./contrib/install-git-hooks.sh` manifest обновляется **автоматически** при bump версии в pre-commit. Ручной wrapper: `.local/build-release-manifest.sh` (не в git). ```bash -git add --renormalize ssh-monitor *.sh # при смене .gitattributes -./scripts/build-release-manifest.sh 2.2.2-SAC -git add release/manifest-2.2.2-SAC.json && git commit -m "release: manifest 2.2.2-SAC" -git tag 2.2.2-SAC +./contrib/install-git-hooks.sh # один раз после clone +# bump version.txt + ssh-monitor → git commit (hook добавит manifest) +git tag 2.2.3-SAC ``` ### Примеры для прода diff --git a/docs/release-manifest.ru.md b/docs/release-manifest.ru.md new file mode 100644 index 0000000..31e4578 --- /dev/null +++ b/docs/release-manifest.ru.md @@ -0,0 +1,37 @@ +# Release manifest + +Файлы `release/manifest-VERSION.json` — SHA256 агентских скриптов **как в git** (после `checkout` на Linux). Updater сверяет их до копирования на хост. + +## Автоматически (рекомендуется) + +Один раз после clone: + +```bash +./contrib/install-git-hooks.sh +``` + +При коммите, если изменились **`version.txt`**, **`SSH_MONITOR_VERSION`** в `ssh-monitor` или любой из агентских файлов (`ssh-monitor`, `*.sh` из списка manifest), **pre-commit** вызовет `contrib/manifest/generate.py` и добавит `release/manifest-{версия}.json` в коммит. + +## Ручная генерация (локально) + +Скрипт **`.local/build-release-manifest.sh`** создаётся `install-git-hooks.sh` и **не коммитится** (см. `.gitignore`). + +```bash +./.local/build-release-manifest.sh +./.local/build-release-manifest.sh 2.2.3-SAC +git add release/manifest-2.2.3-SAC.json +``` + +Ядро генерации в репозитории: `contrib/manifest/generate.py` (используется hook и локальным wrapper). + +## Релиз (чек-лист) + +1. Bump `SSH_MONITOR_VERSION` + `version.txt` +2. `git add` изменённые файлы +3. `git commit` — hook обновит manifest (или вручную `.local/build-release-manifest.sh`) +4. `git tag X.Y.Z-SAC` +5. Push в kalinamall (+ GitHub при необходимости) + +Поле `git_commit` в manifest по умолчанию **пустое** (проверяются только SHA256 файлов). Опционально после коммита: `python3 contrib/manifest/generate.py --pin-commit`. + +См. также [auto-update.ru.md](auto-update.ru.md). diff --git a/docs/security-roadmap.ru.md b/docs/security-roadmap.ru.md index 4ff6504..3eb4ec5 100644 --- a/docs/security-roadmap.ru.md +++ b/docs/security-roadmap.ru.md @@ -142,7 +142,7 @@ Backlog по ingest при массовом update (SAC + ops): [ingest-mass-upd - [x] Публиковать manifest при каждом релизе (в git, рядом с тегом) - [x] Updater: после checkout сверять SHA256 файлов из клона с manifest **до** копирования в `/usr/local/bin` - [x] Несовпадение → exit 1, ничего не перезаписывать -- [x] Скрипт/цель в `Makefile` или `scripts/build-release-manifest.sh` для генерации +- [x] Скрипт/цель в `Makefile` + `contrib/manifest/generate.py`; pre-commit hook; ручной `.local/` (не в remote) **Связь с 2.4:** manifest из **того же** `REPO_URL` защищает от подмены файлов в clone и от «не того» коммита; не защищает от полной компрометации git-сервера (для этого GPG). diff --git a/scripts/build-release-manifest.sh b/scripts/build-release-manifest.sh deleted file mode 100644 index c8b8d29..0000000 --- a/scripts/build-release-manifest.sh +++ /dev/null @@ -1,104 +0,0 @@ -#!/bin/bash -# Генерация release/manifest-VERSION.json (SHA256 файлов + git commit HEAD). -# Хеши считаются по содержимому git (HEAD), как после checkout на Linux-хосте. -# Запуск из корня репозитория: ./scripts/build-release-manifest.sh [VERSION] -set -euo pipefail - -ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)" -cd "$ROOT" - -version="${1:-}" -if [ -z "$version" ]; then - version="$(tr -d '\r\n' /dev/null || true)" -fi -if [ -z "$version" ]; then - version="$(grep -E '^[[:space:]]*SSH_MONITOR_VERSION=' ssh-monitor 2>/dev/null | head -1 | sed -E 's/^[^=]*=//; s/^["'\'']//; s/["'\'']$//; s/^[[:space:]]+//; s/[[:space:]]+$//')" -fi -[ -n "$version" ] || { - echo "ERROR: укажите VERSION или заполните version.txt" >&2 - exit 1 -} - -FILES=( - ssh-monitor - sac-client.sh - update_ssh_monitor.sh - ssh-monitor-watchdog - ssh-monitor-perms.sh -) - -for f in "${FILES[@]}"; do - git rev-parse "HEAD:$f" >/dev/null 2>&1 || [ -f "$f" ] || { - echo "ERROR: нет файла $f (ни в git HEAD, ни на диске)" >&2 - exit 1 - } -done - -git_commit="" -if git rev-parse HEAD >/dev/null 2>&1; then - git_commit="$(git rev-parse HEAD)" -fi - -out="release/manifest-${version}.json" -mkdir -p release - -export MANIFEST_ROOT="$ROOT" -export MANIFEST_VERSION="$version" -export MANIFEST_GIT_COMMIT="$git_commit" -export MANIFEST_OUT="$out" -export MANIFEST_FILES="${FILES[*]}" - -python3 <<'PY' -import hashlib -import json -import os -import subprocess - -root = os.environ["MANIFEST_ROOT"] -version = os.environ["MANIFEST_VERSION"] -git_commit = os.environ.get("MANIFEST_GIT_COMMIT", "") -files = os.environ["MANIFEST_FILES"].split() -out = os.environ["MANIFEST_OUT"] - - -def sha256_bytes(data: bytes) -> str: - h = hashlib.sha256() - h.update(data) - return h.hexdigest() - - -def file_bytes_from_git(name: str) -> bytes | None: - for ref in (f":{name}", f"HEAD:{name}"): - try: - return subprocess.check_output(["git", "-C", root, "show", ref]) - except subprocess.CalledProcessError: - continue - return None - - -def sha256_release_file(name: str) -> str: - blob = file_bytes_from_git(name) - if blob is not None: - return sha256_bytes(blob) - path = os.path.join(root, name) - h = hashlib.sha256() - with open(path, "rb") as f: - for chunk in iter(lambda: f.read(1024 * 1024), b""): - h.update(chunk) - return h.hexdigest() - - -manifest = { - "version": version, - "git_commit": git_commit, - "files": {}, -} -for name in files: - manifest["files"][name] = f"sha256:{sha256_release_file(name)}" - -with open(out, "w", encoding="utf-8") as f: - json.dump(manifest, f, indent=2, ensure_ascii=False) - f.write("\n") - -print(f"Wrote {out} commit={git_commit[:12] if git_commit else '?'}") -PY