修改 ota cicd

.gitea/workflows/docker-build.yml

@@ -1,6 +1,8 @@
 name: Docker Build and Push
 
 # 仅 main 分支 push 触发, 其他分支不触发
+# 每次主分支提交: 构建前端 + 生成 OTA 升级包 (签名) → 打进 Docker 镜像 → 部署
+# OTA 随镜像发布: 容器内 OTA_PACKAGE_DIR=/app/ota-package 指向打包的 ota-package/
 on:
   push:
     branches:
@@ -13,6 +15,35 @@ jobs:
     steps:
       - uses: https://gitea.com/actions/checkout@v4
 
+      - name: Setup Node
+        uses: https://gitea.com/actions/setup-node@v4
+        with:
+          node-version: 22
+
+      - name: Install deps
+        run: npm ci --no-audit --no-fund
+
+      - name: Build frontend
+        # dist/ 供 OTA 打包用 (Dockerfile 内也会构建一份)
+        run: npm run build
+
+      - name: Install minisign
+        run: sudo apt-get update && sudo apt-get install -y minisign
+
+      - name: Build & sign OTA package
+        # 每次主分支提交生成 OTA 升级包, sequence 默认时间戳 (单调递增)
+        # 产物 ota-package/ (tar.gz + latest.json + .minisig) 进入 docker build context, 由 Dockerfile COPY 进镜像
+        env:
+          MINISIGN_PRIVATE_KEY: ${{ secrets.MINISIGN_PRIVATE_KEY }}
+          OTA_NOTES: ${{ github.sha }}
+        run: |
+          set -euo pipefail
+          node scripts/build-ota.mjs --out ota-package --notes ${OTA_NOTES}
+          echo "===== latest.json ====="
+          cat ota-package/latest.json
+          echo "===== bundle sha256 ====="
+          sha256sum ota-package/iboard-ota.tar.gz
+
       - name: Build Docker image
         # DATABASE_URL 仅在 prisma generate 阶段需要, 可用任何合法占位串
         run: docker build -t iboard:latest --build-arg DATABASE_URL=mysql://build:build@127.0.0.1:3306/build .
@@ -28,6 +59,7 @@ jobs:
 
       - name: Run container
         # DATABASE_URL 通过 gitea Actions secret 注入, 不进镜像层
+        # OTA_PACKAGE_DIR 已在 Dockerfile 设为 /app/ota-package
         run: |
           docker run -d --name iboard -p 3001:3001 \
             -e DATABASE_URL="${{ secrets.DATABASE_URL }}" \
@@ -35,4 +67,4 @@ jobs:
             iboard:latest
         env:
           DATABASE_URL: ${{ secrets.DATABASE_URL }}
-          JWT_SECRET: ${{ secrets.JWT_SECRET }}
+          JWT_SECRET: ${{ secrets.JWT_SECRET }}

.gitea/workflows/ota-build.yml

@@ -1,8 +1,9 @@
 name: OTA Frontend Build & Sign
 
 # 前端 OTA 升级包构建 + 签名 + 上传 artifact
-# 触发: 手动 (workflow_dispatch), 由"我"页/发版前点一下
-# 输入: sequence / notes (可覆盖默认)
+# 触发: 仅手动 (workflow_dispatch), 发版前用
+#   - 主分支 push 的自动 OTA 生成已并入 docker-build.yml (随镜像发布), 本 workflow 不再监听 push 避免重复构建
+# 输入: sequence / notes / min_binary (可覆盖默认)
 # Secret 依赖: MINISIGN_PRIVATE_KEY (整段 .key 文件内容, 含首行 untrusted comment)
 # 注意: 此 workflow 不会修改 src-tauri/tauri.conf.json 里的 pubkey,
 #       换密钥请手动改 conf 并 commit.
@@ -50,12 +51,14 @@ jobs:
       - name: Build & sign OTA package
         env:
           MINISIGN_PRIVATE_KEY: ${{ secrets.MINISIGN_PRIVATE_KEY }}
+          OTA_NOTES: ${{ inputs.notes }}
         run: |
           set -euo pipefail
           OUT="ota-package"
           ARGS="--out ${OUT}"
+          # inputs 留空时 → 不传 --sequence/--min-binary, 脚本默认 sequence=时间戳, min-binary=tauri.conf version
           if [ -n "${{ inputs.sequence }}" ]; then ARGS="${ARGS} --sequence ${{ inputs.sequence }}"; fi
-          if [ -n "${{ inputs.notes }}" ]; then ARGS="${ARGS} --notes ${{ inputs.notes }}"; fi
+          if [ -n "${OTA_NOTES}" ]; then ARGS="${ARGS} --notes ${OTA_NOTES}"; fi
           if [ -n "${{ inputs.min_binary }}" ]; then ARGS="${ARGS} --min-binary ${{ inputs.min_binary }}"; fi
           node scripts/build-ota.mjs ${ARGS}
           echo "===== latest.json ====="