rhentschel
61ee909eb0
vitest liest .env nicht von sich aus, nur Next und Vite tun das. Die TMS-Tests scheiterten deshalb weiter an "DATABASE_URL is not set", obwohl die Datei geschrieben war.
81 lines
3.4 KiB
YAML
81 lines
3.4 KiB
YAML
# Wiederverwendbarer CI-Check für Node-Projekte (Gitea 1.26+: workflow_call aus privaten Repos).
|
|
# Aufruf im Projekt (.gitea/workflows/ci.yml):
|
|
# jobs:
|
|
# ci:
|
|
# uses: roland/ci-templates/.gitea/workflows/node-check.yml@main
|
|
# with:
|
|
# check-command: "npm run typecheck && npm test" # was lokal auch läuft
|
|
# node-version: "22"
|
|
# secrets:
|
|
# KUMA_PUSH_TOKEN: ${{ secrets.KUMA_PUSH_TOKEN }}
|
|
# Blockend: der Check, npm audit (critical), gitleaks über die Historie. Ergebnis geht an Uptime Kuma.
|
|
name: node-check
|
|
|
|
on:
|
|
workflow_call:
|
|
inputs:
|
|
check-command:
|
|
type: string
|
|
default: "npm run check"
|
|
node-version:
|
|
type: string
|
|
default: "22"
|
|
secrets:
|
|
KUMA_PUSH_TOKEN:
|
|
required: true
|
|
BUILD_ENV:
|
|
# Optional: dotenv-Text, wird vor dem Check nach .env geschrieben. Für Projekte, deren
|
|
# Tests oder Build Umgebungsvariablen brauchen (z. B. VITE_*). Gehört ins Repo-Secret,
|
|
# nicht ins Repository — auch wenn die Werte im Client-Bundle ohnehin sichtbar sind.
|
|
required: false
|
|
|
|
jobs:
|
|
pruefen:
|
|
runs-on: ubuntu-latest
|
|
env:
|
|
NEXT_TELEMETRY_DISABLED: "1"
|
|
steps:
|
|
- uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4.4.0
|
|
with:
|
|
fetch-depth: 0 # gitleaks prüft die ganze Historie
|
|
|
|
- uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4.4.0
|
|
with:
|
|
node-version: ${{ inputs.node-version }}
|
|
cache: npm
|
|
|
|
- name: Build-Umgebung schreiben (falls Secret gesetzt)
|
|
run: |
|
|
if [ -n "${{ secrets.BUILD_ENV }}" ]; then
|
|
printf '%s\n' "${{ secrets.BUILD_ENV }}" > .env
|
|
# Zusätzlich als echte Umgebungsvariablen: .env lesen nur Next und Vite von sich aus.
|
|
# vitest tut es nicht — die Tests scheiterten sonst trotz vorhandener Datei.
|
|
# Kommentarzeilen bleiben draußen, GITHUB_ENV erwartet reine KEY=WERT-Zeilen.
|
|
grep -E '^[A-Za-z_][A-Za-z0-9_]*=' .env >> "$GITHUB_ENV"
|
|
echo "$(grep -cE '^[A-Za-z_][A-Za-z0-9_]*=' .env) Variablen aus BUILD_ENV gesetzt"
|
|
fi
|
|
|
|
- run: npm ci
|
|
|
|
- name: Check (wie lokal)
|
|
run: ${{ inputs.check-command }}
|
|
|
|
# Blockend nur, was in der ausgelieferten Anwendung landet. Ein Loch in vitest oder vite
|
|
# betrifft den Entwicklungsrechner, nicht den Nutzer — es wird gemeldet, blockt aber nicht.
|
|
- name: Supply Chain (Produktions-Abhaengigkeiten, blockend)
|
|
run: npm audit --omit=dev --audit-level=critical
|
|
- name: Supply Chain (alles, nur Meldung)
|
|
run: npm audit --audit-level=high || echo "::warning::Audit-Funde ab high, siehe Log"
|
|
|
|
- name: Secrets in der Historie (gitleaks)
|
|
run: |
|
|
curl -fsSL https://github.com/gitleaks/gitleaks/releases/download/v8.30.1/gitleaks_8.30.1_linux_x64.tar.gz | tar xz gitleaks
|
|
# -v: Funde (Regel, Datei, Commit, Wert redacted) landen im Log, sonst steht dort nur "leaks found: N"
|
|
./gitleaks git --no-banner --redact -v --exit-code 1 .
|
|
|
|
- name: Ergebnis an Uptime Kuma melden
|
|
if: always()
|
|
run: >-
|
|
curl -fsS "https://uptime.rolandhentschel.de/api/push/${{ secrets.KUMA_PUSH_TOKEN }}?status=${{ job.status == 'success' && 'up' || 'down' }}&msg=${{ job.status }}%20%23${{ github.run_number }}"
|
|
> /dev/null
|