Merge pull request #102 from CareCode-Repo/fix/authorization-review-f… #51

Workflow file for this run

	name: CI/CD Pipeline - Blue/Green Deployment

	on:
	push:
	branches: [ main, develop ]
	pull_request:
	branches: [ main ]
	workflow_dispatch:
	inputs:
	environment:
	description: 'Deployment Environment'
	required: true
	default: 'staging'
	type: choice
	options:
	- staging
	- production

	env:
	REGISTRY: ghcr.io
	IMAGE_NAME: ${{ github.repository }}
	# 헬스 URL 은 전역 env 에서 뺐다. 배포 잡의 해당 스텝만 시크릿을 env 로 받는다.
	# 전역에 두면 배포와 무관한 test/scan 잡 환경에까지 값이 실린다.

	permissions:
	contents: read
	packages: write
	security-events: write

	concurrency:
	group: carecode-${{ github.ref }}
	cancel-in-progress: true

	jobs:
	# ===========================================
	# Test & Build Job
	# ===========================================
	test-and-build:
	name: Test and Build
	runs-on: ubuntu-latest

	steps:
	- name: Checkout code
	uses: actions/checkout@v4

	# 이 잡은 SSH 를 사용하지 않는다. PR 트리거에서도 도는 잡에
	# 배포용 개인키를 올리지 않도록 SSH 설정을 두지 않는다.

	- name: Validate Gradle wrapper
	uses: gradle/actions/wrapper-validation@v4

	- name: Set up JDK 17
	uses: actions/setup-java@v4
	with:
	java-version: '17'
	distribution: 'temurin'

	- name: Cache Gradle packages
	uses: actions/cache@v4
	with:
	path: \|
	~/.gradle/caches
	~/.gradle/wrapper
	key: ${{ runner.os }}-gradle-${{ hashFiles('*/.gradle', '*/gradle-wrapper.properties') }}
	restore-keys: \|
	${{ runner.os }}-gradle-

	- name: Run tests
	run: ./gradlew clean test jacocoTestReport

	# Testcontainers 테스트는 Docker 가 없으면 조용히 skip 되고 빌드는 초록불이 된다.
	# 스키마 정합성 검증이 그렇게 빠지면 마이그레이션 누락을 아무도 못 잡는다.
	- name: Assert schema validation actually ran
	run: \|
	report=build/test-results/test/TEST-com.carecode.integration.FlywaySchemaValidationTest.xml
	if [ ! -f "$report" ]; then
	echo "::error::스키마 정합성 테스트 리포트가 없습니다."
	exit 1
	fi
	if grep -q 'skipped="0"' "$report"; then
	echo "스키마 정합성 테스트 실행 확인"
	else
	echo "::error::스키마 정합성 테스트가 skip 되었습니다. Docker 환경을 확인하세요."
	exit 1
	fi

	- name: Publish test report
	uses: mikepenz/action-junit-report@v5
	if: always()
	with:
	report_paths: 'build/test-results/test/TEST-*.xml'

	# build 에서 -x test 로 테스트를 빼면 check 에 걸어둔 커버리지 검증까지 함께 무력화된다.
	# 위에서 이미 test 를 돌렸으므로 여기서는 검증을 포함해 그대로 build 한다.
	- name: Build application
	run: ./gradlew build

	- name: Upload build artifacts
	uses: actions/upload-artifact@v4
	with:
	name: application-jar
	path: build/libs/*.jar
	retention-days: 7

	# ===========================================
	# Security Scan Job
	# ===========================================
	security-scan:
	name: Security Scan
	runs-on: ubuntu-latest
	needs: test-and-build

	steps:
	- name: Checkout code
	uses: actions/checkout@v4

	# 이 잡도 SSH 를 사용하지 않으므로 배포용 개인키를 로드하지 않는다.

	# 1) SARIF 리포트 생성 (Security 탭 업로드용) - 여기서는 실패시키지 않는다.
	- name: Run Trivy vulnerability scanner (report)
	uses: aquasecurity/trivy-action@v0.36.0
	with:
	scan-type: 'fs'
	scan-ref: '.'
	format: 'sarif'
	output: 'trivy-results.sarif'

	- name: Upload Trivy scan results to GitHub Security tab
	uses: github/codeql-action/upload-sarif@v3
	if: always()
	with:
	sarif_file: 'trivy-results.sarif'

	# 2) 게이트: CRITICAL/HIGH 취약점이 있으면 파이프라인을 실패시킨다.
	# exit-code 를 지정하지 않으면 취약점이 나와도 그냥 통과해 스캔이 장식이 된다.
	- name: Fail on CRITICAL/HIGH vulnerabilities
	uses: aquasecurity/trivy-action@v0.36.0
	with:
	scan-type: 'fs'
	scan-ref: '.'
	format: 'table'
	severity: 'CRITICAL,HIGH'
	ignore-unfixed: true
	exit-code: '1'

	# ===========================================
	# Build Docker Image Job
	# ===========================================
	build-docker:
	name: Build Docker Image
	runs-on: ubuntu-latest
	needs: [test-and-build, security-scan]
	if: github.event_name == 'push' \|\| github.event_name == 'workflow_dispatch'

	outputs:
	image-tag: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:${{ steps.meta.outputs.version }}

	steps:
	- name: Checkout code
	uses: actions/checkout@v4

	- name: Set up Docker Buildx
	uses: docker/setup-buildx-action@v3

	- name: Log in to Container Registry
	uses: docker/login-action@v3
	with:
	registry: ${{ env.REGISTRY }}
	username: ${{ github.actor }}
	password: ${{ secrets.GITHUB_TOKEN }}

	- name: Extract metadata
	id: meta
	uses: docker/metadata-action@v5
	with:
	images: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}
	tags: \|
	type=ref,event=branch
	type=ref,event=pr
	type=sha,prefix={{branch}}-
	type=raw,value=latest,enable={{is_default_branch}}

	- name: Build and push Docker image
	uses: docker/build-push-action@v5
	with:
	context: .
	push: true
	tags: ${{ steps.meta.outputs.tags }}
	labels: ${{ steps.meta.outputs.labels }}
	cache-from: type=gha
	cache-to: type=gha,mode=max

	# ===========================================
	# Deploy to Staging (Green) Job
	# ===========================================
	deploy-staging:
	name: Deploy to Staging (Green)
	runs-on: ubuntu-latest
	needs: build-docker
	if: github.ref == 'refs/heads/develop' \|\| (github.event_name == 'workflow_dispatch' && github.event.inputs.environment == 'staging')
	environment: staging

	steps:
	- name: Checkout code
	uses: actions/checkout@v4

	# 어떤 시크릿이 비어 있는지 먼저 이름으로 알려준다.
	# 예전에는 `test -n "..."` 하나로 끝나서, 실패해도 무엇이 없는지 로그에 남지 않았다.
	- name: Check required secrets
	env:
	DEPLOY_HOST: ${{ secrets.STAGING_DEPLOY_HOST }}
	DEPLOY_USER: ${{ secrets.STAGING_DEPLOY_USER }}
	SSH_KEY: ${{ secrets.STAGING_SSH_KEY }}
	HEALTH_URL: ${{ secrets.STAGING_HEALTH_URL }}
	run: \|
	missing=""
	for name in DEPLOY_HOST DEPLOY_USER SSH_KEY HEALTH_URL; do
	if [ -z "${!name}" ]; then missing="$missing STAGING_$name"; fi
	done
	if [ -n "$missing" ]; then
	echo "::error::스테이징 배포에 필요한 시크릿이 없습니다:$missing"
	exit 1
	fi
	echo "필요한 시크릿이 모두 설정되어 있습니다."

	# SSH 개인키를 올리는 스텝이 아예 없어서, 시크릿을 채워도 인증 단계에서 막혔다.
	# 키는 env 로 넘긴다. run 본문에 ${{ secrets.* }} 를 그대로 쓰면 값이 스크립트 텍스트에 박힌다.
	- name: Set up SSH
	env:
	SSH_KEY: ${{ secrets.STAGING_SSH_KEY }}
	KNOWN_HOSTS: ${{ secrets.STAGING_SSH_KNOWN_HOSTS }}
	DEPLOY_HOST: ${{ secrets.STAGING_DEPLOY_HOST }}
	run: \|
	mkdir -p ~/.ssh && chmod 700 ~/.ssh
	printf '%s\n' "$SSH_KEY" > ~/.ssh/deploy_key
	chmod 600 ~/.ssh/deploy_key
	if [ -n "$KNOWN_HOSTS" ]; then
	printf '%s\n' "$KNOWN_HOSTS" > ~/.ssh/known_hosts
	else
	# StrictHostKeyChecking=no 를 쓰던 자리다. keyscan 도 최초 접속을 그냥 믿는 건 같지만,
	# 최소한 이번 실행 안에서는 호스트키가 고정된다. 중간자 공격까지 막으려면
	# STAGING_SSH_KNOWN_HOSTS 에 호스트키를 넣어 고정해야 한다.
	echo "::warning::STAGING_SSH_KNOWN_HOSTS 가 없어 ssh-keyscan 으로 대체합니다."
	ssh-keyscan -H "$DEPLOY_HOST" > ~/.ssh/known_hosts 2>/dev/null
	fi
	chmod 600 ~/.ssh/known_hosts

	- name: Deploy to staging environment
	env:
	DEPLOY_HOST: ${{ secrets.STAGING_DEPLOY_HOST }}
	DEPLOY_USER: ${{ secrets.STAGING_DEPLOY_USER }}
	IMAGE: ${{ needs.build-docker.outputs.image-tag }}
	run: \|
	ssh -i ~/.ssh/deploy_key "$DEPLOY_USER@$DEPLOY_HOST" \
	"docker pull $IMAGE && (docker stop carecode-staging \|\| true) && (docker rm carecode-staging \|\| true) && docker run -d --name carecode-staging -p 8082:8082 --env-file /opt/carecode/.env $IMAGE"

	- name: Run health check
	env:
	HEALTH_URL: ${{ secrets.STAGING_HEALTH_URL }}
	run: \|
	for i in {1..20}; do
	if curl -fsS "$HEALTH_URL/actuator/health" \| grep -q '"status":"UP"'; then
	echo "Staging health check passed"
	exit 0
	fi
	sleep 5
	done
	echo "::error::스테이징 헬스체크 실패 - 컨테이너 로그를 확인하세요"
	exit 1

	# 예전에는 echo 만 있어서 배포가 실패해도 아무에게도 닿지 않았다.
	# OPS_SLACK_WEBHOOK_URL 이 없으면 잡 요약에만 남긴다.
	- name: Notify deployment status
	if: always()
	env:
	SLACK_WEBHOOK_URL: ${{ secrets.OPS_SLACK_WEBHOOK_URL }}
	STATUS: ${{ job.status }}
	run: \|
	line="[staging] 배포 $STATUS - ${{ github.repository }}@${GITHUB_SHA:0:7} (${{ github.run_id }})"
	echo "$line" >> "$GITHUB_STEP_SUMMARY"
	if [ "$STATUS" != "success" ]; then echo "::error::$line"; fi
	if [ -n "$SLACK_WEBHOOK_URL" ]; then
	curl -fsS -X POST "$SLACK_WEBHOOK_URL" \
	-H 'Content-Type: application/json' \
	-d "$(jq -n --arg t "$line" '{text:$t}')" \|\| echo "::warning::슬랙 알림 전송 실패"
	fi

	# ===========================================
	# Deploy to Production (Blue/Green) Job
	# ===========================================
	deploy-production:
	name: Deploy to Production
	runs-on: ubuntu-latest
	needs: build-docker
	if: github.ref == 'refs/heads/main' \|\| (github.event_name == 'workflow_dispatch' && github.event.inputs.environment == 'production')
	environment: production

	# 예전에는 Blue/Green 이었다. 두 색을 바꿔치는 마지막 단계가 라우터 HTTP API
	# (PRODUCTION_ROUTER_STATUS_URL / _SWITCH_URL) 를 호출했는데, 그 API 를 제공하는
	# 구현이 어디에도 없다. 별도 저장소의 블루/그린 도구(CareCode_Nohub_Deploy)는
	# paramiko 로 서버에 붙어 nginx conf 를 고치는 CLI 이지 HTTP 서버가 아니다.
	# 그래서 시크릿을 다 채워도 전환 단계에서 반드시 멈췄다.
	#
	# 진짜 무중단은 nginx 를 제어할 수 있어야 성립한다. 그때까지는 "새 이미지를 예비
	# 포트에서 먼저 띄워 확인하고, 통과할 때만 교체" 로 간다. 교체 순간에 짧은 순단이
	# 있지만, 깨진 이미지가 운영에 올라가는 일은 없다.
	steps:
	- name: Checkout code
	uses: actions/checkout@v4

	# 어떤 시크릿이 비어 있는지 먼저 이름으로 알려준다.
	# 예전에는 각 스텝의 `test -n "..."` 하나로 끝나서, 실패해도 무엇이 없는지 로그에 남지 않았다.
	- name: Check required secrets
	env:
	DEPLOY_HOST: ${{ secrets.PRODUCTION_DEPLOY_HOST }}
	DEPLOY_USER: ${{ secrets.PRODUCTION_DEPLOY_USER }}
	SSH_KEY: ${{ secrets.PRODUCTION_SSH_KEY }}
	HEALTH_URL: ${{ secrets.PRODUCTION_HEALTH_URL }}
	run: \|
	missing=""
	for name in DEPLOY_HOST DEPLOY_USER SSH_KEY HEALTH_URL; do
	if [ -z "${!name}" ]; then missing="$missing PRODUCTION_$name"; fi
	done
	if [ -n "$missing" ]; then
	echo "::error::운영 배포에 필요한 시크릿이 없습니다:$missing"
	exit 1
	fi
	echo "필요한 시크릿이 모두 설정되어 있습니다."

	# SSH 개인키를 올리는 스텝이 아예 없어서, 시크릿을 채워도 인증 단계에서 막혔다.
	# 키는 env 로 넘긴다. run 본문에 ${{ secrets.* }} 를 그대로 쓰면 값이 스크립트 텍스트에 박힌다.
	- name: Set up SSH
	env:
	SSH_KEY: ${{ secrets.PRODUCTION_SSH_KEY }}
	KNOWN_HOSTS: ${{ secrets.PRODUCTION_SSH_KNOWN_HOSTS }}
	DEPLOY_HOST: ${{ secrets.PRODUCTION_DEPLOY_HOST }}
	run: \|
	mkdir -p ~/.ssh && chmod 700 ~/.ssh
	printf '%s\n' "$SSH_KEY" > ~/.ssh/deploy_key
	chmod 600 ~/.ssh/deploy_key
	if [ -n "$KNOWN_HOSTS" ]; then
	printf '%s\n' "$KNOWN_HOSTS" > ~/.ssh/known_hosts
	else
	# StrictHostKeyChecking=no 를 쓰던 자리다. keyscan 도 최초 접속을 그냥 믿는 건 같지만,
	# 최소한 이번 실행 안에서는 호스트키가 고정된다. 중간자 공격까지 막으려면
	# PRODUCTION_SSH_KNOWN_HOSTS 에 호스트키를 넣어 고정해야 한다.
	echo "::warning::PRODUCTION_SSH_KNOWN_HOSTS 가 없어 ssh-keyscan 으로 대체합니다."
	ssh-keyscan -H "$DEPLOY_HOST" > ~/.ssh/known_hosts 2>/dev/null
	fi
	chmod 600 ~/.ssh/known_hosts

	# 토큰은 stdin 으로 흘려보낸다. ssh 인자로 넘기면 서버의 프로세스 목록에 그대로 보인다.
	- name: Log in to registry on the server
	env:
	DEPLOY_HOST: ${{ secrets.PRODUCTION_DEPLOY_HOST }}
	DEPLOY_USER: ${{ secrets.PRODUCTION_DEPLOY_USER }}
	GHCR_TOKEN: ${{ secrets.GITHUB_TOKEN }}
	run: \|
	printf '%s' "$GHCR_TOKEN" \| ssh -i ~/.ssh/deploy_key "$DEPLOY_USER@$DEPLOY_HOST" \
	"docker login ${{ env.REGISTRY }} -u '${{ github.actor }}' --password-stdin"

	- name: Deploy
	env:
	DEPLOY_HOST: ${{ secrets.PRODUCTION_DEPLOY_HOST }}
	DEPLOY_USER: ${{ secrets.PRODUCTION_DEPLOY_USER }}
	IMAGE: ${{ needs.build-docker.outputs.image-tag }}
	run: \|
	ssh -i ~/.ssh/deploy_key "$DEPLOY_USER@$DEPLOY_HOST" "IMAGE='$IMAGE' bash -s" <<'REMOTE'
	set -euo pipefail

	APP=carecode
	PROBE=carecode-probe
	PORT=8082
	# 예전 blue/green 이 8083 을 쓰므로 검증 포트는 겹치지 않는 곳으로 잡는다.
	PROBE_PORT=18082
	ENV_FILE=/opt/carecode/.env

	if [ ! -f "$ENV_FILE" ]; then
	echo "$ENV_FILE 이 없습니다."
	exit 1
	fi

	echo "===== pull $IMAGE ====="
	docker pull "$IMAGE"

	# 이전 실행이 남긴 검증 컨테이너 정리
	docker rm -f "$PROBE" >/dev/null 2>&1 \|\| true

	# 1) 예비 포트에서 먼저 띄워 본다. 살아 있는 컨테이너는 아직 그대로다.
	echo "===== 새 이미지 검증 (:$PROBE_PORT) ====="
	docker run -d --name "$PROBE" -p "127.0.0.1:$PROBE_PORT:8082" --env-file "$ENV_FILE" "$IMAGE"

	ok=0
	for _ in $(seq 1 40); do
	if curl -fsS "http://127.0.0.1:$PROBE_PORT/actuator/health" 2>/dev/null \| grep -q '"status":"UP"'; then
	ok=1; break
	fi
	sleep 5
	done

	if [ "$ok" -ne 1 ]; then
	echo "새 이미지가 기동하지 못했습니다. 운영 컨테이너는 건드리지 않습니다."
	echo "----- 컨테이너 로그 (마지막 100줄) -----"
	docker logs --tail 100 "$PROBE" 2>&1 \|\| true
	docker rm -f "$PROBE" >/dev/null 2>&1 \|\| true
	exit 1
	fi

	echo "검증 통과. 교체합니다."
	docker rm -f "$PROBE" >/dev/null 2>&1 \|\| true

	# 2) 교체. 여기서부터 짧은 순단이 있다.
	# 예전 워크플로가 만들던 blue/green 이름도 함께 정리한다. 남아 있으면 포트를 잡고 있다.
	for name in "$APP" carecode-blue carecode-green; do
	docker rm -f "$name" >/dev/null 2>&1 \|\| true
	done

	docker run -d --name "$APP" --restart unless-stopped \
	-p "$PORT:8082" --env-file "$ENV_FILE" "$IMAGE"

	for _ in $(seq 1 40); do
	if curl -fsS "http://127.0.0.1:$PORT/actuator/health" 2>/dev/null \| grep -q '"status":"UP"'; then
	echo "===== 교체 완료 ====="
	docker image prune -f >/dev/null 2>&1 \|\| true
	exit 0
	fi
	sleep 5
	done

	echo "교체 후 기동에 실패했습니다."
	echo "----- 컨테이너 로그 (마지막 100줄) -----"
	docker logs --tail 100 "$APP" 2>&1 \|\| true
	exit 1
	REMOTE

	- name: Verify from outside
	env:
	HEALTH_URL: ${{ secrets.PRODUCTION_HEALTH_URL }}
	run: \|
	# 서버 안에서는 UP 인데 밖에서 안 보이면 프록시/보안그룹 문제다. 구분해서 알려준다.
	for _ in $(seq 1 12); do
	if curl -fsS "$HEALTH_URL/actuator/health" \| grep -q '"status":"UP"'; then
	echo "외부 확인 완료"
	exit 0
	fi
	sleep 5
	done
	echo "::error::컨테이너는 떴지만 외부 헬스 URL 로 보이지 않습니다. 리버스 프록시 설정을 확인하세요."
	exit 1

	# 예전에는 echo 만 있어서 배포가 실패해도 아무에게도 닿지 않았다.
	# OPS_SLACK_WEBHOOK_URL 이 없으면 잡 요약에만 남긴다.
	- name: Notify deployment status
	if: always()
	env:
	SLACK_WEBHOOK_URL: ${{ secrets.OPS_SLACK_WEBHOOK_URL }}
	STATUS: ${{ job.status }}
	run: \|
	line="[production] 배포 $STATUS - ${{ github.repository }}@${GITHUB_SHA:0:7} (${{ github.run_id }})"
	echo "$line" >> "$GITHUB_STEP_SUMMARY"
	if [ "$STATUS" != "success" ]; then echo "::error::$line"; fi
	if [ -n "$SLACK_WEBHOOK_URL" ]; then
	curl -fsS -X POST "$SLACK_WEBHOOK_URL" \
	-H 'Content-Type: application/json' \
	-d "$(jq -n --arg t "$line" '{text:$t}')" \|\| echo "::warning::슬랙 알림 전송 실패"
	fi

	# ===========================================
	# Cleanup Job
	# ===========================================
	cleanup:
	name: Cleanup
	runs-on: ubuntu-latest
	needs: [deploy-staging, deploy-production]
	if: always()

	steps:
	- name: Cleanup old images
	run: \|
	echo "Cleaning up old Docker images"
	# 오래된 Docker 이미지 정리

	- name: Cleanup old deployments
	run: \|
	echo "Cleaning up old deployments"
	# 오래된 배포 정리

Navigation Menu

Merge pull request #102 from CareCode-Repo/fix/authorization-review-f… #51

Workflow file

Merge pull request #102 from CareCode-Repo/fix/authorization-review-f… #51

Uh oh!

Workflow file for this run