From 04bc48b6a795c78c3d2c75ffcf902135e6b0acc9 Mon Sep 17 00:00:00 2001 From: "jif2.zhang" Date: Tue, 27 Oct 2026 07:52:25 +0800 Subject: [PATCH] =?UTF-8?q?fix(ota):=20OTA=5FMIN=5FBINARY=20=E6=8F=90?= =?UTF-8?q?=E5=88=B0=200.2.1=20=E2=80=94=E2=80=94=20=E6=97=A7=E5=A4=96?= =?UTF-8?q?=E5=A3=B3=20CSP=20=E4=B8=8D=E5=90=AB=E6=96=B0=E5=9F=9F=E5=90=8D?= =?UTF-8?q?,=20=E6=8B=89=E6=96=B0=E5=89=8D=E7=AB=AF=E4=BC=9A=E7=99=BD?= =?UTF-8?q?=E5=B1=8F;=20=E8=A1=A5=E5=85=85=E9=81=97=E7=95=99=E6=B8=85?= =?UTF-8?q?=E5=8D=95=E4=B8=8E=E5=A4=96=E5=A3=B3=E5=8D=87=E7=BA=A7=E7=AD=96?= =?UTF-8?q?=E7=95=A5?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- .gitea/workflows/docker-build.yml | 228 +++++++++++++++--------------- docs/021任务.md | 99 ++++++++++++- 2 files changed, 206 insertions(+), 121 deletions(-) diff --git a/.gitea/workflows/docker-build.yml b/.gitea/workflows/docker-build.yml index eef2c56..1fd57c2 100644 --- a/.gitea/workflows/docker-build.yml +++ b/.gitea/workflows/docker-build.yml @@ -1,117 +1,117 @@ -name: Docker Build and Push - -# 仅主分支 (master) push 触发部署; 其他分支一律不触发 (见 readme「分支规则」) -# 每次提交: 构建前端 + 生成 OTA 升级包 (签名) → 打进 Docker 镜像 → 自动升级数据库 → 部署 -# OTA 随镜像发布: 容器内 OTA_PACKAGE_DIR=/app/ota-package 指向打包的 ota-package/ -# -# 分支策略 (2026-10 调整): -# - master = 主分支, 唯一部署出口, push 即发布生产 (容器 iboard, 宿主 3001) -# - dev-* = 开发集成分支, 只做 CI 校验 (构建/版本一致性), **不再自动部署**; -# 要上线必须先合并到 master 再推 master -# - tmp-* = 单个问题的临时分支, 合到 dev-* 后删除 -# - android-*= 只用于触发 APK 外壳构建, 不部署; 改动前须与 master 同步 -# -# 历史: 之前 dev-* 与 master 共用同一套生产环境 (推送即发布), 容易把半成品带上线, -# 现已取消 dev-* 的 push 触发。 -on: - push: - branches: - - master - -# 连续 push master 时取消还在跑的旧部署, 避免排队执行过时版本的完整部署 -concurrency: - group: deploy-master - cancel-in-progress: true - -jobs: - build-image: - runs-on: ubuntu-latest - env: - # 关键: 显式固定 Android/OTA 后端地址, 覆盖 runner 环境里可能存在的 - # 其他 VITE_API_BASE 值。否则 OTA 包里的前端可能连错后端, 导致 - # "OTA 更新后登录失败/进不去内部"。与 android-build.yml 保持一致。 - VITE_API_BASE: https://iboard.honor3.com - # OTA bundle 要求的最低原生二进制版本。 - # 与 package.json 的应用版本是**两个概念**: 前端 OTA 不碰原生层, - # 现有 APK 仍是 0.1.0, 所以这里固定 0.1.0 (否则旧 APK 会被判定为不兼容而收不到更新)。 - # 重打 APK 并确认原生层无破坏后, 再提升此值。 - OTA_MIN_BINARY: '0.1.0' - steps: - - uses: https://gitea.com/actions/checkout@v4 - - - name: Setup Node - uses: https://gitea.com/actions/setup-node@v4 - with: - node-version: 22 - cache: 'npm' - - - name: Check version consistency & branch - # 1) package.json / tauri.conf.json / Cargo.toml / Cargo.lock 四处版本必须完全相等且不带 -ota - # （tauri.conf.json 的 version 就是 APK 的 versionName） - # 2) 防止 OTA 版本号与分支错位: OTA 包的 version 直接取自 package.json, - # dev-0.2 分支上必须是 0.2.x, 否则线上 OTA 会报成上一个版本的号 - # (master 分支跳过分支前缀校验, 但四处一致性照样强制) - env: - GITHUB_REF_NAME: ${{ github.ref_name }} - run: node scripts/ci/check-version.mjs - - - name: Install deps - run: npm ci --no-audit --no-fund - - - name: Build frontend - # 全流程唯一一次前端构建: dist/ 既供 OTA 打包, 也通过 build context 进入镜像 - # (docker build 传 PREBUILT_DIST=true 跳过镜像内的重复构建) - run: npm run build - - - name: Install minisign - # 静态二进制直接下载, 免去每次 apt-get update + install - # 注意: release tarball 是 macOS 上打包的, 混有多个平台的 minisign 二进制, - # 逐个试运行挑出本机可执行的, 都不行再回退 apt - run: | - set -euo pipefail - mkdir -p /tmp/ms - curl -sL https://github.com/jedisct1/minisign/releases/download/0.12/minisign-0.12-linux.tar.gz | tar xz -C /tmp/ms - BIN="" - for c in $(find /tmp/ms -type f -name minisign); do - if "$c" -v >/dev/null 2>&1; then BIN="$c"; break; fi - done - if [ -n "$BIN" ]; then - sudo install -m755 "$BIN" /usr/local/bin/minisign - else - echo "未找到可执行的静态二进制, 回退 apt 安装" - sudo apt-get update && sudo apt-get install -y minisign - fi - minisign -v - - - name: Build & sign OTA package - # 每次主分支提交生成 OTA 升级包, sequence 默认时间戳 (单调递增) - # 发布说明 = 触发构建的 commit message (标题+正文; 打包脚本内安全截断 400 字符), - # commit sha 通过 --commit 单独写入 manifest, 前端分行展示 - # 产物 ota-package/ (tar.gz + latest.json + .minisig) 进入 docker build context, 由 Dockerfile COPY 进镜像 - env: - MINISIGN_PRIVATE_KEY: ${{ secrets.MINISIGN_PRIVATE_KEY }} - run: | - set -euo pipefail - # 不用 head -c 截断: 那会把多字节汉字切成非法 UTF-8, latest.json 解析失败 - MSG="$(git log -1 --pretty=format:%B | sed -e '/^[[:space:]]*$/d')" - echo "notes: ${MSG}" - node scripts/build-ota.mjs --out ota-package --notes "${MSG}" --commit "${GITHUB_SHA}" --min-binary ${OTA_MIN_BINARY} - echo "===== latest.json =====" - cat ota-package/latest.json - echo "===== bundle sha256 =====" - sha256sum ota-package/iboard-ota.tar.gz - - - name: Build Docker image - # DATABASE_URL 仅在 prisma generate 阶段需要, 可用任何合法占位串 - # PREBUILT_DIST=true: 复用上一步构建好的 dist/, 镜像内跳过前端构建 - # DOCKER_BUILDKIT=1: Dockerfile 用了 cache mount 语法 - run: docker build -t iboard:latest --build-arg DATABASE_URL=mysql://build:build@127.0.0.1:3306/build --build-arg PREBUILT_DIST=true . - env: - DOCKER_BUILDKIT: '1' - - - name: List images - run: docker images - +name: Docker Build and Push + +# 仅主分支 (master) push 触发部署; 其他分支一律不触发 (见 readme「分支规则」) +# 每次提交: 构建前端 + 生成 OTA 升级包 (签名) → 打进 Docker 镜像 → 自动升级数据库 → 部署 +# OTA 随镜像发布: 容器内 OTA_PACKAGE_DIR=/app/ota-package 指向打包的 ota-package/ +# +# 分支策略 (2026-10 调整): +# - master = 主分支, 唯一部署出口, push 即发布生产 (容器 iboard, 宿主 3001) +# - dev-* = 开发集成分支, 只做 CI 校验 (构建/版本一致性), **不再自动部署**; +# 要上线必须先合并到 master 再推 master +# - tmp-* = 单个问题的临时分支, 合到 dev-* 后删除 +# - android-*= 只用于触发 APK 外壳构建, 不部署; 改动前须与 master 同步 +# +# 历史: 之前 dev-* 与 master 共用同一套生产环境 (推送即发布), 容易把半成品带上线, +# 现已取消 dev-* 的 push 触发。 +on: + push: + branches: + - master + +# 连续 push master 时取消还在跑的旧部署, 避免排队执行过时版本的完整部署 +concurrency: + group: deploy-master + cancel-in-progress: true + +jobs: + build-image: + runs-on: ubuntu-latest + env: + # 关键: 显式固定 Android/OTA 后端地址, 覆盖 runner 环境里可能存在的 + # 其他 VITE_API_BASE 值。否则 OTA 包里的前端可能连错后端, 导致 + # "OTA 更新后登录失败/进不去内部"。与 android-build.yml 保持一致。 + VITE_API_BASE: https://iboard.honor3.com + # OTA bundle 要求的最低原生二进制版本 (hotswap 据此拒绝不兼容的旧外壳)。 + # 0.2.1 起必须为 0.2.1: 旧外壳 (0.1.0) 的 CSP 白名单编译进了原生二进制, + # 不含 https://iboard.honor3.com, 若让它拉到 0.2.1 前端会因 CSP 拦截而白屏。 + # 旧外壳请整包升级 (Windows 重装 exe / Android 换装 APK), 不要靠 OTA。 + OTA_MIN_BINARY: '0.2.1' + steps: + - uses: https://gitea.com/actions/checkout@v4 + + - name: Setup Node + uses: https://gitea.com/actions/setup-node@v4 + with: + node-version: 22 + cache: 'npm' + + - name: Check version consistency & branch + # 1) package.json / tauri.conf.json / Cargo.toml / Cargo.lock 四处版本必须完全相等且不带 -ota + # （tauri.conf.json 的 version 就是 APK 的 versionName） + # 2) 防止 OTA 版本号与分支错位: OTA 包的 version 直接取自 package.json, + # dev-0.2 分支上必须是 0.2.x, 否则线上 OTA 会报成上一个版本的号 + # (master 分支跳过分支前缀校验, 但四处一致性照样强制) + env: + GITHUB_REF_NAME: ${{ github.ref_name }} + run: node scripts/ci/check-version.mjs + + - name: Install deps + run: npm ci --no-audit --no-fund + + - name: Build frontend + # 全流程唯一一次前端构建: dist/ 既供 OTA 打包, 也通过 build context 进入镜像 + # (docker build 传 PREBUILT_DIST=true 跳过镜像内的重复构建) + run: npm run build + + - name: Install minisign + # 静态二进制直接下载, 免去每次 apt-get update + install + # 注意: release tarball 是 macOS 上打包的, 混有多个平台的 minisign 二进制, + # 逐个试运行挑出本机可执行的, 都不行再回退 apt + run: | + set -euo pipefail + mkdir -p /tmp/ms + curl -sL https://github.com/jedisct1/minisign/releases/download/0.12/minisign-0.12-linux.tar.gz | tar xz -C /tmp/ms + BIN="" + for c in $(find /tmp/ms -type f -name minisign); do + if "$c" -v >/dev/null 2>&1; then BIN="$c"; break; fi + done + if [ -n "$BIN" ]; then + sudo install -m755 "$BIN" /usr/local/bin/minisign + else + echo "未找到可执行的静态二进制, 回退 apt 安装" + sudo apt-get update && sudo apt-get install -y minisign + fi + minisign -v + + - name: Build & sign OTA package + # 每次主分支提交生成 OTA 升级包, sequence 默认时间戳 (单调递增) + # 发布说明 = 触发构建的 commit message (标题+正文; 打包脚本内安全截断 400 字符), + # commit sha 通过 --commit 单独写入 manifest, 前端分行展示 + # 产物 ota-package/ (tar.gz + latest.json + .minisig) 进入 docker build context, 由 Dockerfile COPY 进镜像 + env: + MINISIGN_PRIVATE_KEY: ${{ secrets.MINISIGN_PRIVATE_KEY }} + run: | + set -euo pipefail + # 不用 head -c 截断: 那会把多字节汉字切成非法 UTF-8, latest.json 解析失败 + MSG="$(git log -1 --pretty=format:%B | sed -e '/^[[:space:]]*$/d')" + echo "notes: ${MSG}" + node scripts/build-ota.mjs --out ota-package --notes "${MSG}" --commit "${GITHUB_SHA}" --min-binary ${OTA_MIN_BINARY} + echo "===== latest.json =====" + cat ota-package/latest.json + echo "===== bundle sha256 =====" + sha256sum ota-package/iboard-ota.tar.gz + + - name: Build Docker image + # DATABASE_URL 仅在 prisma generate 阶段需要, 可用任何合法占位串 + # PREBUILT_DIST=true: 复用上一步构建好的 dist/, 镜像内跳过前端构建 + # DOCKER_BUILDKIT=1: Dockerfile 用了 cache mount 语法 + run: docker build -t iboard:latest --build-arg DATABASE_URL=mysql://build:build@127.0.0.1:3306/build --build-arg PREBUILT_DIST=true . + env: + DOCKER_BUILDKIT: '1' + + - name: List images + run: docker images + - name: Deploy 0.2.1 production stack # 0.2.1 起生产为单端口架构: app(3001 对外) + pg(内网) + powersync(内网), # 客户端同步经 app 的 /sync 反代进入同步服务 (无独立同步端口)。 diff --git a/docs/021任务.md b/docs/021任务.md index cea4848..d338b10 100644 --- a/docs/021任务.md +++ b/docs/021任务.md @@ -279,12 +279,97 @@ CI 未配 PG secrets → 只构建不部署；生产已由步骤 B~E 手工就 | --- | --- | | 新栈起不来 | 旧容器未停，现网不受影响，回步骤 B 排查 | | 迁移数据不对 | 清空 `deploy/prod/data/pg` 后重跑 ETL | -| 切换后严重故障 | 用 `iboard:mysql-final` 旧镜像按原 MySQL 参数恢复 3001 | +| 切换后严重故障 | **`docker start iboard`**（旧容器仍在，见 6.2 警告：旧镜像已被 prune，不能重建） | -## 六、已知遗留 +## 六、遗留清单与清理建议（2026-10-27 实测） + +### 6.1 本机（Windows） + +| 路径 | 占用 | 建议 | 说明 | +| --- | --- | --- | --- | +| `workbetch/iboard`（主 worktree） | 3.81 GB | **保留** | 含 `node_modules` 0.49 GB + `src-tauri/target` 2.56 GB | +| `workbetch/iboard-dev-0.2.1` | 0.53 GB | **可删** | 内容已全部并入 `dev-0.2` | +| `workbetch/iboard-dev-windows` | 8.88 GB | **可删** | 同上，最大占用（含 Rust 编译产物） | +| `iboard/src-tauri/target` | 2.56 GB | 可选 `cargo clean` | 删后下次打包需重编译（约 8 分钟） | +| `iboard/artifacts/windows` | 32 MB | 保留最新安装包 | 0.2.1 exe/zip | +| `%TEMP%\node-portable` | 78 MB | **保留** | 本机无系统 Node/npm，`npm run build:win` 依赖它 | +| `%TEMP%\esbuild-*`（4 个） | 8 MB | 可删 | 构建残留 | +| `%TEMP%\iboard-e2e`、`iboard-shell-offline` | < 1 MB | 可删 | 验证截图 | +| `%TEMP%\edge-e2e-profile` | ~100 MB | 可删 | 无头浏览器测试配置 | + +```bash +# 删除 worktree 与已合并分支（内容已在 dev-0.2） +git worktree remove ../iboard-dev-0.2.1 +git worktree remove ../iboard-dev-windows +git branch -d dev-0.2.1 dev-windows-0.1 +git branch -D tmp-offline-edit +``` + +### 6.2 服务器 baihu + +| 路径/对象 | 占用 | 建议 | 说明 | +| --- | --- | --- | --- | +| `/app/iboard-prod` | 72 MB | **保留** | 当前生产 | +| `/app/iboard` | 24 KB | 暂留 → 可删 | 旧生产只剩 `cache/`（`auth.txt` 已复制到新栈）+ `start.sh` | +| `/app/iboard-0.2.1` | 71 MB | **可删** | 验证栈已 down；其中 `deploy/0.2.1/data` 67 MB 是废弃 PG 数据 | +| `/app/cicd` | 36 KB | **保留** | act_runner 配置 | +| 容器 `iboard`（Exited） | — | **暂留** | 当前唯一回滚手段（见下方警告） | +| 镜像 `iboard-021-app:latest` | 924 MB | **可删** | 验证栈镜像 | +| 镜像 `iboard:latest` | 934 MB | 保留 | CI 构建产物 | +| 悬空镜像 + 构建缓存 | 18.7 GB + 2.4 GB | 可清 | `docker image prune -f && docker builder prune -af` | + +> **⚠ 回滚能力警告（实测更正）** +> 原计划保留的 `iboard:mysql-final` 旧镜像**已被 `docker image prune` 清除** —— 旧镜像失去 tag 后成为悬空镜像被回收。 +> 现在唯一回滚途径是重启仍存在的旧容器 `iboard`（镜像层随容器保留）： +> +> ```bash +> docker stop iboard-prod-app-1 +> docker start iboard # 旧 MySQL 版立即恢复 3001 +> ``` +> +> **在再次执行 `docker image prune` 前，务必先确认旧容器仍在**；容器一旦删除，MySQL 版镜像只能从 git 历史重新构建。 + +### 6.3 代码与其他 + +- 临时测试脚本（`scripts/_prod-e2e.mjs`、`_browser-test.mjs`、`_shell-offline-test.mjs`）含真实口令，已加入 `.gitignore`（`scripts/_*.mjs`），**不要入库** +- `0.2.1` 验证库里的测试任务（如 `浏览器验证任务`）已按 MySQL 现状一并迁入 PG，如需清理直接在 PG 删除 +- `prisma/migrations/` 仍是 MySQL 语法，**新环境建表必须用 `prisma db push --accept-data-loss`**（已写入 `deploy/prod/README.md`） +- `JWT_SECRET` 仍为弱值（`iboard`），建议择机换新（换新需全员重新登录） +- `node_modules` 在多个 Node 版本间切换过，遇 esbuild 权限报错时清空重装 + +## 七、外壳升级策略：必须整包升级，不能只靠 OTA + +### 结论 + +| 平台 | 结论 | 关键原因 | +| --- | --- | --- | +| Windows 外壳（0.1.0） | **必须重装 exe** | ① CSP 白名单编译进原生二进制，0.1.0 不含 `https://iboard.honor3.com`；② 旧外壳 OTA 检查地址指向 `13001`，**该端口已下线**，连检查都失败 | +| Android（0.1.0 APK） | **必须换装 APK** | CSP 同样是原生配置；旧 APK 的 OTA 端点（3001）虽然有效，但拉到 0.2.1 前端会被 CSP 拦截 → 白屏 | + +### 为什么 OTA 不够 + +`tauri-plugin-hotswap` 的 OTA 包内容只有 `bundle.tar.gz`（即 `dist/` 前端资源），**不触碰原生层**： + +| 配置项 | 位置 | OTA 能否修改 | +| --- | --- | --- | +| CSP 白名单（`connect-src`） | `tauri.conf.json` → 编译期 `generate_context!` 注入二进制 | ❌ | +| OTA 检查 endpoint | 同上 | ❌ | +| 窗口尺寸/最小尺寸 | 同上（另可被 `shell-config.json` 覆盖） | ❌ | +| 托盘 / 悬浮球 / 自启动 | Rust `src-tauri/src/shell/*` | ❌ | +| 页面 JS/CSS/WASM（含离线编辑、徽标、编号展示） | `dist/` | ✅ | + +因此旧外壳无法通过 OTA 获得访问新域名的能力。 + +### 已采取的保护措施 + +CI 的 `OTA_MIN_BINARY` 已从 `0.1.0` 提升到 **`0.2.1`**： + +- 旧外壳（0.1.0 < 0.2.1）会被 hotswap 判定为不兼容 → **拒绝接收新前端** +- 旧外壳继续运行旧前端，仍访问 `http://bh.vps.honor3.com:3001`（该地址现指向新栈，`/api` 完全兼容） +- 结果：**旧外壳不会白屏**，只是缺少离线编辑、项目编号等 0.2.1 新能力 + +### 升级后 + +- 新外壳版本 0.2.1，CSP 含 `https://iboard.honor3.com`，OTA 恢复正常（后续纯前端改动可继续走 OTA） +- Windows 窗口尺寸通过 `%APPDATA%\com.iboard.app\shell-config.json` 的 `window_width` 单值配置 -- `dev-0.2.1` / `dev-windows-0.1` 两个 worktree 分支内容已全部并入 `dev-0.2`，可择机删除。 -- `tmp-offline-edit` 分支 = `1cd5b85`，历史遗留，可删。 -- 临时测试脚本 `scripts/_browser-test.mjs`、`scripts/_shell-offline-test.mjs` 含真实口令，**不要入库**。 -- 0.2.1 验证库里可能残留测试任务（`浏览器验证任务` / `IBOARD-8`），迁移后建议清理。 -- `node_modules` 曾在多种 Node 版本间切换，如遇 esbuild 权限报错，清 `node_modules` 重装即可。