姚章浩
e6472b0ec6
为什么改：发布执行链是"与目标同机"假设写死的（本机 docker.sock、本机 drain.json、 本机 Redis/PG），把目标换成云测试不能只改展示 URL；直接搬整套 worker 又会抢走 本机封存/QA/周报队列并按本机配置写错目标。所以先把"谁消费哪段队列"变成显式角色， 再补齐跨主机搬运与目标侧门禁。 角色（LIBRARY_WORKER_ROLE=full/release-executor/capture）不只影响 handler 列表， 还决定是否拥有 DDL（release-executor 只读校验迁移版本，落后即拒绝启动）、 收拾哪些 library_jobs.kind、是否跑 release 接管扫描、是否起 scheduler/QA/周报/探测。 capture 保留本机原有全部业务；release-executor 只挂 sync/restore/recover/baseline。 快照跨主机：新增内容寻址的 bundle（版本清单先落、blob 按 sha256 命名、清单最后 Link 作提交点），pack/unpack 幂等且拒绝覆盖与同名不同内容；执行器使用前仍逐 blob 重算 sha256，因此传输不可变有两道证据。 目标侧门禁：目标知识库 graph_enabled=true 时拒绝发布（发布只写 PG/ES/OSS，不写 Neo4j；未知也拒绝），只读检测、不改目标配置、不做图谱迁移。 云端入口：新增 drain 感知的 ingress 闸门（建连超时与读超时分离，半关闭单向传播， SIGTERM 排空后写 drain.json 并 exit 0/2）、compose 叠加片段（app 不再发布端口、 frontend 与 adapter 的入口收敛到闸门、指向真实网络 weknora-test-v071-network）、 执行器启动脚本与治理 PG 反向隧道脚本（默认 unix socket，不占 TCP）。 验证：deploy/cloud-test/test_gate.py 13 项全 PASS（含 12 秒静默流、半关闭、2MiB 完整、 排空 exit 0/active_at_close=1、排空超时 exit 2、上游不可达不挂住）；go test 相关包全绿； scripts/ci_checks.py 16 项全部 success（EXIT=0，1241 用例通过/0 失败/191 已声明可选集成跳过）； 云测试只读预检 17 项 / 6 FAIL，FAIL 项即当前部署缺口（无闸门、app 仍发布端口、 adapter 与 frontend 仍直连 app、云端归档根未建），未部署、未改云端任何状态。
57 lines
3.7 KiB
Docker
57 lines
3.7 KiB
Docker
FROM golang:1.26-alpine AS build
|
||
WORKDIR /src
|
||
COPY go.mod go.sum ./
|
||
RUN go mod download
|
||
COPY cmd ./cmd
|
||
COPY internal ./internal
|
||
# 构建期身份：由调用方 --build-arg 传入。依据是仓库根 CHANGELOG.md 顶部的已发布版本
|
||
# （`python3 scripts/version.py --identity`），**不要手填**。不传就落成 dev / unknown —— 那是故意的：
|
||
# 一个显眼的 dev 好过一个看起来正常的假版本号（正本 §6.1）。
|
||
# BUILD_KIND 只有**显式的发布上下文**才传 release；普通构建一律 development，
|
||
# 产物的 DisplayVersion() 会是 dev+g<短SHA>（开发构建不许只显示上一正式版本号）。
|
||
# ⚠️ TODO：compose.yaml 还没把这三个 args 透传进来（改动会与在审的 PR #2 冲突），
|
||
# 所以当前由 compose 构建出的镜像会报 dev；透传后即报真实版本。
|
||
ARG VERSION=dev
|
||
ARG RELEASE_VERSION=
|
||
ARG BUILD_KIND=development
|
||
ARG COMMITS_SINCE_RELEASE=
|
||
ARG COMMIT_SHA=unknown
|
||
ARG BUILD_TIME=unknown
|
||
RUN LDFLAGS="-X knowledge-governance/internal/version.Number=${VERSION} -X knowledge-governance/internal/version.ReleaseVersion=${RELEASE_VERSION} -X knowledge-governance/internal/version.BuildKind=${BUILD_KIND} -X knowledge-governance/internal/version.CommitsSinceRelease=${COMMITS_SINCE_RELEASE} -X knowledge-governance/internal/version.CommitSHA=${COMMIT_SHA} -X knowledge-governance/internal/version.BuildTime=${BUILD_TIME}" \
|
||
&& CGO_ENABLED=0 GOOS=linux go build -trimpath -ldflags "$LDFLAGS" -o /out/api ./cmd/api \
|
||
&& CGO_ENABLED=0 GOOS=linux go build -trimpath -ldflags "$LDFLAGS" -o /out/worker ./cmd/worker \
|
||
&& CGO_ENABLED=0 GOOS=linux go build -trimpath -ldflags "$LDFLAGS" -o /out/release-worker ./cmd/release-worker \
|
||
&& CGO_ENABLED=0 GOOS=linux go build -trimpath -ldflags "$LDFLAGS" -o /out/libraryctl ./cmd/libraryctl \
|
||
&& CGO_ENABLED=0 GOOS=linux go build -trimpath -ldflags "$LDFLAGS" -o /out/test-publication-seed ./cmd/test-publication-seed \
|
||
&& CGO_ENABLED=0 GOOS=linux go build -trimpath -ldflags "$LDFLAGS" -o /out/test-weknora-e2e-report ./cmd/test-weknora-e2e-report \
|
||
&& CGO_ENABLED=0 GOOS=linux go build -trimpath -ldflags "$LDFLAGS" -o /out/test-weknora-probe ./cmd/test-weknora-probe
|
||
|
||
FROM alpine:3.22
|
||
ENV PYTHONDONTWRITEBYTECODE=1
|
||
RUN apk add --no-cache ca-certificates python3 postgresql-client curl openssh-client gcompat libc6-compat \
|
||
&& addgroup -g 65532 governance \
|
||
&& adduser -D -H -u 65532 -G governance governance
|
||
|
||
# ssh 客户端需要"本机 uid 有 passwd 条目"（否则报 No user exists for uid 1000）；
|
||
# 备份计划的下发与读回都走 ssh，容器以 1000 运行，这里给该 uid 建一个名字。
|
||
RUN adduser -D -u 1000 -h /home/app appuser 2>/dev/null || true
|
||
# dws (DingTalk Workspace CLI) v1.0.63：版本+校验和固定（禁用 dws upgrade）。
|
||
# 官方产物是动态链接 glibc 的二进制，alpine(musl) 靠 gcompat/libc6-compat 运行，
|
||
# 已验证端到端取件并与 glibc 原生环境字节一致。构建期 `dws version` 即自检。
|
||
ARG DWS_VERSION=v1.0.63
|
||
ARG DWS_SHA256=78cab668bf671c17128ac55347627fb28f80c15b9c30c5f86e32e2b5ee6e34bc
|
||
RUN set -eux; \
|
||
curl -fsSL -o /tmp/dws.tgz \
|
||
"https://github.com/DingTalk-Real-AI/dingtalk-workspace-cli/releases/download/${DWS_VERSION}/dws-linux-amd64.tar.gz"; \
|
||
echo "${DWS_SHA256} /tmp/dws.tgz" | sha256sum -c -; \
|
||
tar -xzf /tmp/dws.tgz -C /tmp ./dws; \
|
||
install -m 0755 /tmp/dws /usr/local/bin/dws; \
|
||
rm -rf /tmp/dws.tgz /tmp/dws; \
|
||
dws version
|
||
WORKDIR /app
|
||
COPY --from=build /out/ /app/
|
||
COPY scripts/source_catalog_import.py scripts/live_catalog_refresh.py scripts/artifact_fetch.py \
|
||
scripts/axls_to_xlsx.py scripts/dws_error_map.py /app/scripts/
|
||
USER 65532:65532
|
||
CMD ["/app/api"]
|