designpaca/.forgejo/workflows/release.yml

# designpaca 릴리스 — 태그 v* 푸시로 발동한다.
#   1) 게이트: 검사·테스트·빌드
#   2) npmjs 배포 + Forgejo 사설 레지스트리 미러
#   3) Forgejo draft 릴리스에 tarball 첨부 (QA 후 수동 Publish 승격)
#   4) 소개 페이지 Cloudflare Pages 배포
#
# 필요한 시크릿: NPM_TOKEN · FORGEJO_NPM_TOKEN · RELEASE_TOKEN · CF_API_TOKEN · CF_ACCOUNT_ID
name: release

on:
  push:
    tags: ["v*"]
  workflow_dispatch: # 수동 리허설 (ci-rehearsal prerelease 로 나간다)

jobs:
  release:
    runs-on: linux-builder
    steps:
      - name: checkout
        env: { CI_TOKEN: "${{ github.token }}" }
        run: |
          # 토큰을 remote URL 에 넣지 않는다 — URL 은 .git/config 에 남고(host 모드라 다음 잡까지
          # 워크스페이스가 남는다) fetch 명령행에도 보인다. 인증 헤더는 이 fetch 한 번에만 환경변수로 준다
          # (GIT_CONFIG_COUNT, git 2.31+). 예전 실행이 남긴 토큰 URL remote 는 지우고 새로 만든다.
          [ -d .git ] || git init -q .
          git remote remove origin 2>/dev/null || true
          git remote add origin "${GITHUB_SERVER_URL%/}/${GITHUB_REPOSITORY}.git"
          auth="$(printf 'actions:%s' "$CI_TOKEN" | base64 | tr -d '\n')"
          GIT_CONFIG_COUNT=1 GIT_CONFIG_KEY_0=http.extraheader \
            GIT_CONFIG_VALUE_0="Authorization: Basic $auth" \
            git fetch -q --depth 1 origin "$GITHUB_REF"
          unset auth
          git checkout -q -f FETCH_HEAD
          git clean -qfdx

      # 같은 러너를 PR CI 와 공유한다(host 모드). PR 잡이 러너 홈의 node 를 바꿔치기했는지
      # 확인할 수 있도록, 저장소 변수 NODE_SHA256 이 있으면 쓰는 node 바이너리 해시가 같아야 진행한다.
      - name: 환경 확인
        env: { EXPECTED_NODE_SHA256: "${{ vars.NODE_SHA256 }}" }
        run: bash build/ci/verify-node.sh

      - name: 릴리스 정보 확정
        run: |
          case "$GITHUB_REF" in
            refs/tags/v*)
              tag="${GITHUB_REF#refs/tags/}"
              echo "RELTAG=$tag" >> "$GITHUB_ENV"
              echo "RELEASE_PRERELEASE=false" >> "$GITHUB_ENV"
              echo "DO_PUBLISH=1" >> "$GITHUB_ENV"
              # 태그와 package.json 버전이 어긋난 채 배포되는 사고를 막는다
              pkgver="$(node -p 'require("./packages/cli/package.json").version')"
              [ "v$pkgver" = "$tag" ] || { echo "태그($tag)와 package.json(v$pkgver)이 다르다" >&2; exit 1; }
              ;;
            *)
              echo "RELTAG=ci-rehearsal" >> "$GITHUB_ENV"
              echo "RELEASE_PRERELEASE=true" >> "$GITHUB_ENV"
              echo "DO_PUBLISH=0" >> "$GITHUB_ENV"
              ;;
          esac

      - name: 의존성 설치
        run: pnpm install --frozen-lockfile

      - name: 검사 · 빌드 · 테스트
        run: |
          node build/ci/lint-skill.mjs packages/skill
          pnpm typecheck

          # 빌드가 테스트보다 먼저다. CLI 테스트는 dist 를 검사하므로
          # 빌드 전에 돌리면 6개가 전부 SKIP 되고 그래도 통과한다.
          # 리허설에서 실제로 `# pass 0 / # skipped 6` 이 나왔다.
          pnpm build
          pnpm test

          # SKIP 은 통과가 아니다. npm 으로 나가는 경로라 여기서 특히 엄격하다.
          out="$(pnpm -r --filter './packages/**' test 2>&1)"
          if echo "$out" | grep -q "# SKIP"; then
            echo "$out" | grep -n "# SKIP" >&2
            echo "건너뛴 테스트가 있다. 이 상태로 배포하지 않는다." >&2
            exit 1
          fi

          node packages/cli/scripts/verify-package.mjs

      - name: tarball 생성
        run: |
          mkdir -p out
          cd packages/cli
          tarball="$(npm pack --silent)"
          mv "$tarball" "../../out/$tarball"
          echo "TARBALL=out/$tarball" >> "$GITHUB_ENV"

      - name: npm 배포 (npmjs + Forgejo 미러)
        if: env.DO_PUBLISH == '1'
        env:
          NPM_TOKEN: "${{ secrets.NPM_TOKEN }}"
          FORGEJO_NPM_TOKEN: "${{ secrets.FORGEJO_NPM_TOKEN }}"
          FORGEJO_NPM_OWNER: "${{ vars.FORGEJO_NPM_OWNER }}"
        run: bash build/ci/publish-npm.sh packages/cli

      - name: 릴리스 업로드 (draft)
        env: { RELEASE_TOKEN: "${{ secrets.RELEASE_TOKEN }}" }
        run: bash build/ci/upload-release-asset.sh "$RELTAG" "$TARBALL"

      # 사이트 빌드는 토큰 없이 한다 — 빌드 의존성 전체가 CF 토큰에 접근하지 않게 단계를 나눈다.
      - name: 소개 페이지 빌드
        run: pnpm build:site

      # production(main)에는 태그 릴리스만 나간다. workflow_dispatch 리허설은 임의 브랜치를 고를 수
      # 있으므로 preview 브랜치(rehearsal)로만 보낸다. wrangler 는 버전을 고정한다(@latest 는 탈취 시
      # CF 토큰 유출 경로). 올릴 때는 이 값을 직접 바꾼다.
      - name: 소개 페이지 배포 (Cloudflare Pages)
        env:
          CLOUDFLARE_API_TOKEN: "${{ secrets.CF_API_TOKEN }}"
          CLOUDFLARE_ACCOUNT_ID: "${{ secrets.CF_ACCOUNT_ID }}"
          WRANGLER_VERSION: "4.146.0"
        run: |
          if [ -z "${CLOUDFLARE_API_TOKEN:-}" ]; then
            echo "CF_API_TOKEN 이 없다 — 페이지 배포를 건너뛴다"
            exit 0
          fi
          if [ "${DO_PUBLISH:-0}" = "1" ]; then cf_branch=main; else cf_branch=rehearsal; fi
          echo "Cloudflare Pages 브랜치: $cf_branch"
          npx --yes "wrangler@${WRANGLER_VERSION}" pages deploy apps/site/dist \
            --project-name designpaca \
            --branch "$cf_branch" \
            --commit-dirty=true