fix(ota): OTA_MIN_BINARY 提到 0.2.1 —— 旧外壳 CSP 不含新域名, 拉新前端会白屏; 补充遗留清单与外壳升级策略

.gitea/workflows/docker-build.yml

@@ -1,117 +1,117 @@
-name: Docker Build and Push
-
-# 仅主分支 (master) push 触发部署; 其他分支一律不触发 (见 readme「分支规则」)
-# 每次提交: 构建前端 + 生成 OTA 升级包 (签名) → 打进 Docker 镜像 → 自动升级数据库 → 部署
-# OTA 随镜像发布: 容器内 OTA_PACKAGE_DIR=/app/ota-package 指向打包的 ota-package/
-#
-# 分支策略 (2026-10 调整):
-#   - master  = 主分支, 唯一部署出口, push 即发布生产 (容器 iboard, 宿主 3001)
-#   - dev-*   = 开发集成分支, 只做 CI 校验 (构建/版本一致性), **不再自动部署**;
-#               要上线必须先合并到 master 再推 master
-#   - tmp-*   = 单个问题的临时分支, 合到 dev-* 后删除
-#   - android-*= 只用于触发 APK 外壳构建, 不部署; 改动前须与 master 同步
-#
-# 历史: 之前 dev-* 与 master 共用同一套生产环境 (推送即发布), 容易把半成品带上线,
-#       现已取消 dev-* 的 push 触发。
-on:
-  push:
-    branches:
-      - master
-
-# 连续 push master 时取消还在跑的旧部署, 避免排队执行过时版本的完整部署
-concurrency:
-  group: deploy-master
-  cancel-in-progress: true
-
-jobs:
-  build-image:
-    runs-on: ubuntu-latest
-    env:
-      # 关键: 显式固定 Android/OTA 后端地址, 覆盖 runner 环境里可能存在的
-      # 其他 VITE_API_BASE 值。否则 OTA 包里的前端可能连错后端, 导致
-      # "OTA 更新后登录失败/进不去内部"。与 android-build.yml 保持一致。
-      VITE_API_BASE: https://iboard.honor3.com
-      # OTA bundle 要求的最低原生二进制版本。
-      # 与 package.json 的应用版本是**两个概念**: 前端 OTA 不碰原生层,
-      # 现有 APK 仍是 0.1.0, 所以这里固定 0.1.0 (否则旧 APK 会被判定为不兼容而收不到更新)。
-      # 重打 APK 并确认原生层无破坏后, 再提升此值。
-      OTA_MIN_BINARY: '0.1.0'
-    steps:
-      - uses: https://gitea.com/actions/checkout@v4
-
-      - name: Setup Node
-        uses: https://gitea.com/actions/setup-node@v4
-        with:
-          node-version: 22
-          cache: 'npm'
-
-      - name: Check version consistency & branch
-        # 1) package.json / tauri.conf.json / Cargo.toml / Cargo.lock 四处版本必须完全相等且不带 -ota
-        #    （tauri.conf.json 的 version 就是 APK 的 versionName）
-        # 2) 防止 OTA 版本号与分支错位: OTA 包的 version 直接取自 package.json,
-        #    dev-0.2 分支上必须是 0.2.x, 否则线上 OTA 会报成上一个版本的号
-        #    (master 分支跳过分支前缀校验, 但四处一致性照样强制)
-        env:
-          GITHUB_REF_NAME: ${{ github.ref_name }}
-        run: node scripts/ci/check-version.mjs
-
-      - name: Install deps
-        run: npm ci --no-audit --no-fund
-
-      - name: Build frontend
-        # 全流程唯一一次前端构建: dist/ 既供 OTA 打包, 也通过 build context 进入镜像
-        # (docker build 传 PREBUILT_DIST=true 跳过镜像内的重复构建)
-        run: npm run build
-
-      - name: Install minisign
-        # 静态二进制直接下载, 免去每次 apt-get update + install
-        # 注意: release tarball 是 macOS 上打包的, 混有多个平台的 minisign 二进制,
-        # 逐个试运行挑出本机可执行的, 都不行再回退 apt
-        run: |
-          set -euo pipefail
-          mkdir -p /tmp/ms
-          curl -sL https://github.com/jedisct1/minisign/releases/download/0.12/minisign-0.12-linux.tar.gz | tar xz -C /tmp/ms
-          BIN=""
-          for c in $(find /tmp/ms -type f -name minisign); do
-            if "$c" -v >/dev/null 2>&1; then BIN="$c"; break; fi
-          done
-          if [ -n "$BIN" ]; then
-            sudo install -m755 "$BIN" /usr/local/bin/minisign
-          else
-            echo "未找到可执行的静态二进制, 回退 apt 安装"
-            sudo apt-get update && sudo apt-get install -y minisign
-          fi
-          minisign -v
-
-      - name: Build & sign OTA package
-        # 每次主分支提交生成 OTA 升级包, sequence 默认时间戳 (单调递增)
-        # 发布说明 = 触发构建的 commit message (标题+正文; 打包脚本内安全截断 400 字符),
-        # commit sha 通过 --commit 单独写入 manifest, 前端分行展示
-        # 产物 ota-package/ (tar.gz + latest.json + .minisig) 进入 docker build context, 由 Dockerfile COPY 进镜像
-        env:
-          MINISIGN_PRIVATE_KEY: ${{ secrets.MINISIGN_PRIVATE_KEY }}
-        run: |
-          set -euo pipefail
-          # 不用 head -c 截断: 那会把多字节汉字切成非法 UTF-8, latest.json 解析失败
-          MSG="$(git log -1 --pretty=format:%B | sed -e '/^[[:space:]]*$/d')"
-          echo "notes: ${MSG}"
-          node scripts/build-ota.mjs --out ota-package --notes "${MSG}" --commit "${GITHUB_SHA}" --min-binary ${OTA_MIN_BINARY}
-          echo "===== latest.json ====="
-          cat ota-package/latest.json
-          echo "===== bundle sha256 ====="
-          sha256sum ota-package/iboard-ota.tar.gz
-
-      - name: Build Docker image
-        # DATABASE_URL 仅在 prisma generate 阶段需要, 可用任何合法占位串
-        # PREBUILT_DIST=true: 复用上一步构建好的 dist/, 镜像内跳过前端构建
-        # DOCKER_BUILDKIT=1: Dockerfile 用了 cache mount 语法
-        run: docker build -t iboard:latest --build-arg DATABASE_URL=mysql://build:build@127.0.0.1:3306/build --build-arg PREBUILT_DIST=true .
-        env:
-          DOCKER_BUILDKIT: '1'
-
-      - name: List images
-        run: docker images
-
+name: Docker Build and Push
+
+# 仅主分支 (master) push 触发部署; 其他分支一律不触发 (见 readme「分支规则」)
+# 每次提交: 构建前端 + 生成 OTA 升级包 (签名) → 打进 Docker 镜像 → 自动升级数据库 → 部署
+# OTA 随镜像发布: 容器内 OTA_PACKAGE_DIR=/app/ota-package 指向打包的 ota-package/
+#
+# 分支策略 (2026-10 调整):
+#   - master  = 主分支, 唯一部署出口, push 即发布生产 (容器 iboard, 宿主 3001)
+#   - dev-*   = 开发集成分支, 只做 CI 校验 (构建/版本一致性), **不再自动部署**;
+#               要上线必须先合并到 master 再推 master
+#   - tmp-*   = 单个问题的临时分支, 合到 dev-* 后删除
+#   - android-*= 只用于触发 APK 外壳构建, 不部署; 改动前须与 master 同步
+#
+# 历史: 之前 dev-* 与 master 共用同一套生产环境 (推送即发布), 容易把半成品带上线,
+#       现已取消 dev-* 的 push 触发。
+on:
+  push:
+    branches:
+      - master
+
+# 连续 push master 时取消还在跑的旧部署, 避免排队执行过时版本的完整部署
+concurrency:
+  group: deploy-master
+  cancel-in-progress: true
+
+jobs:
+  build-image:
+    runs-on: ubuntu-latest
+    env:
+      # 关键: 显式固定 Android/OTA 后端地址, 覆盖 runner 环境里可能存在的
+      # 其他 VITE_API_BASE 值。否则 OTA 包里的前端可能连错后端, 导致
+      # "OTA 更新后登录失败/进不去内部"。与 android-build.yml 保持一致。
+      VITE_API_BASE: https://iboard.honor3.com
+      # OTA bundle 要求的最低原生二进制版本 (hotswap 据此拒绝不兼容的旧外壳)。
+      # 0.2.1 起必须为 0.2.1: 旧外壳 (0.1.0) 的 CSP 白名单编译进了原生二进制,
+      # 不含 https://iboard.honor3.com, 若让它拉到 0.2.1 前端会因 CSP 拦截而白屏。
+      # 旧外壳请整包升级 (Windows 重装 exe / Android 换装 APK), 不要靠 OTA。
+      OTA_MIN_BINARY: '0.2.1'
+    steps:
+      - uses: https://gitea.com/actions/checkout@v4
+
+      - name: Setup Node
+        uses: https://gitea.com/actions/setup-node@v4
+        with:
+          node-version: 22
+          cache: 'npm'
+
+      - name: Check version consistency & branch
+        # 1) package.json / tauri.conf.json / Cargo.toml / Cargo.lock 四处版本必须完全相等且不带 -ota
+        #    （tauri.conf.json 的 version 就是 APK 的 versionName）
+        # 2) 防止 OTA 版本号与分支错位: OTA 包的 version 直接取自 package.json,
+        #    dev-0.2 分支上必须是 0.2.x, 否则线上 OTA 会报成上一个版本的号
+        #    (master 分支跳过分支前缀校验, 但四处一致性照样强制)
+        env:
+          GITHUB_REF_NAME: ${{ github.ref_name }}
+        run: node scripts/ci/check-version.mjs
+
+      - name: Install deps
+        run: npm ci --no-audit --no-fund
+
+      - name: Build frontend
+        # 全流程唯一一次前端构建: dist/ 既供 OTA 打包, 也通过 build context 进入镜像
+        # (docker build 传 PREBUILT_DIST=true 跳过镜像内的重复构建)
+        run: npm run build
+
+      - name: Install minisign
+        # 静态二进制直接下载, 免去每次 apt-get update + install
+        # 注意: release tarball 是 macOS 上打包的, 混有多个平台的 minisign 二进制,
+        # 逐个试运行挑出本机可执行的, 都不行再回退 apt
+        run: |
+          set -euo pipefail
+          mkdir -p /tmp/ms
+          curl -sL https://github.com/jedisct1/minisign/releases/download/0.12/minisign-0.12-linux.tar.gz | tar xz -C /tmp/ms
+          BIN=""
+          for c in $(find /tmp/ms -type f -name minisign); do
+            if "$c" -v >/dev/null 2>&1; then BIN="$c"; break; fi
+          done
+          if [ -n "$BIN" ]; then
+            sudo install -m755 "$BIN" /usr/local/bin/minisign
+          else
+            echo "未找到可执行的静态二进制, 回退 apt 安装"
+            sudo apt-get update && sudo apt-get install -y minisign
+          fi
+          minisign -v
+
+      - name: Build & sign OTA package
+        # 每次主分支提交生成 OTA 升级包, sequence 默认时间戳 (单调递增)
+        # 发布说明 = 触发构建的 commit message (标题+正文; 打包脚本内安全截断 400 字符),
+        # commit sha 通过 --commit 单独写入 manifest, 前端分行展示
+        # 产物 ota-package/ (tar.gz + latest.json + .minisig) 进入 docker build context, 由 Dockerfile COPY 进镜像
+        env:
+          MINISIGN_PRIVATE_KEY: ${{ secrets.MINISIGN_PRIVATE_KEY }}
+        run: |
+          set -euo pipefail
+          # 不用 head -c 截断: 那会把多字节汉字切成非法 UTF-8, latest.json 解析失败
+          MSG="$(git log -1 --pretty=format:%B | sed -e '/^[[:space:]]*$/d')"
+          echo "notes: ${MSG}"
+          node scripts/build-ota.mjs --out ota-package --notes "${MSG}" --commit "${GITHUB_SHA}" --min-binary ${OTA_MIN_BINARY}
+          echo "===== latest.json ====="
+          cat ota-package/latest.json
+          echo "===== bundle sha256 ====="
+          sha256sum ota-package/iboard-ota.tar.gz
+
+      - name: Build Docker image
+        # DATABASE_URL 仅在 prisma generate 阶段需要, 可用任何合法占位串
+        # PREBUILT_DIST=true: 复用上一步构建好的 dist/, 镜像内跳过前端构建
+        # DOCKER_BUILDKIT=1: Dockerfile 用了 cache mount 语法
+        run: docker build -t iboard:latest --build-arg DATABASE_URL=mysql://build:build@127.0.0.1:3306/build --build-arg PREBUILT_DIST=true .
+        env:
+          DOCKER_BUILDKIT: '1'
+
+      - name: List images
+        run: docker images
+
       - name: Deploy 0.2.1 production stack
         # 0.2.1 起生产为单端口架构: app(3001 对外) + pg(内网) + powersync(内网),
         # 客户端同步经 app 的 /sync 反代进入同步服务 (无独立同步端口)。