feat(install): консольный установщик bj и первичная настройка по одноразовому коду
- cmd/bj-installer (вместо веб-мастера): проверка Debian 13 / Astra, пакеты, пользователь и каталоги, активация лицензии ключом продукта, PostgreSQL и миграции m2m_core, компоненты по лицензии с проверкой подписи, root-скрипты и службы, одноразовый код и итоговый экран с адресом http://<сервер>:8080/first-run; проверка в песочнице (--steps, --root) - bj: /first-run — пока нет пользователей и установщик оставил код, по коду создаётся первый администратор (прежние установки без файла работают как раньше) - internal/release/install.go — общая установка компонентов (bj-component-install и установщик); bj-component-install стал компонентом ядра - открытые ключи вынесены в internal/license и internal/release; миграции и файлы развёртывания встроены (migrations/embed.go, deploy/embed.go); unit bj-server исправлен - scripts/build-release.sh: сборка с версиями, подпись, публикация на сервер обновлений Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
This commit is contained in:
zuevav
@@ -2,261 +2,39 @@
|
||||
//
|
||||
// bj-server работает без прав root: он скачивает подписанный манифест релиза и выбранные файлы в
|
||||
// каталог подготовки и просит root-воркер (bj-keymedia-worker, действие component-install) вызвать
|
||||
// этот инструмент. Установщик ничему из каталога не доверяет: сам проверяет подпись манифеста
|
||||
// публичным ключом из /etc/bj/update.pub (принадлежит root) и sha256 каждого файла, ставит только
|
||||
// известные компоненты (release.Components) по их путям, не откатывает на более старую версию,
|
||||
// сохраняет прежний файл (<путь>.bak-ДАТА, хранятся 5 последних), перезапускает службы (ядро
|
||||
// bj-server последним) и записывает установленные версии в /var/lib/bj/.bj/components.json.
|
||||
// этот инструмент. Проверка и установка — release.InstallStaged: подпись манифеста ключом из
|
||||
// /etc/bj/update.pub (принадлежит root), sha256 файлов, только известные компоненты, без отката,
|
||||
// копия прежнего файла, перезапуск служб (ядро последним), записи в /var/lib/bj/.bj/components.json.
|
||||
// Вывод — JSON для bj-server.
|
||||
//
|
||||
// bj-component-install <каталог подготовки>
|
||||
// в каталоге: manifest.json (подписанный), request.json {"names": [...]}, файлы компонентов
|
||||
// bj-component-install -root /tmp/песочница -pub test.pub -no-restart <каталог> (проверка на копии)
|
||||
package main
|
||||
|
||||
import (
|
||||
"encoding/json"
|
||||
"errors"
|
||||
"flag"
|
||||
"fmt"
|
||||
"io"
|
||||
"os"
|
||||
"os/exec"
|
||||
"path/filepath"
|
||||
"sort"
|
||||
"strings"
|
||||
"syscall"
|
||||
"time"
|
||||
|
||||
"git.zetit.ru/zuevav/Bridge-and-Join-s/internal/release"
|
||||
)
|
||||
|
||||
const stagingBase = "/var/lib/bj/update-staging"
|
||||
|
||||
type result struct {
|
||||
OK bool `json:"ok"`
|
||||
Error string `json:"error,omitempty"`
|
||||
Release string `json:"release,omitempty"`
|
||||
Installed []map[string]string `json:"installed,omitempty"`
|
||||
Restarted []string `json:"restarted,omitempty"`
|
||||
}
|
||||
|
||||
func main() {
|
||||
fs := flag.NewFlagSet("bj-component-install", flag.ExitOnError)
|
||||
root := fs.String("root", "", "корень установки (для проверки в песочнице; по умолчанию /)")
|
||||
pubPath := fs.String("pub", "/etc/bj/update.pub", "публичный ключ издателя (base64 Ed25519), файл root")
|
||||
pubPath := fs.String("pub", "/etc/bj/update.pub", "открытый ключ подписи релизов (base64 Ed25519), файл root")
|
||||
noRestart := fs.Bool("no-restart", false, "не перезапускать службы")
|
||||
_ = fs.Parse(os.Args[1:])
|
||||
res := run(*root, *pubPath, !*noRestart, fs.Arg(0))
|
||||
var res release.InstallResult
|
||||
if pub, err := release.LoadPublicKey(*pubPath); err != nil {
|
||||
res.Error = fmt.Sprintf("открытый ключ обновлений (%s): %v", *pubPath, err)
|
||||
} else {
|
||||
res = release.InstallStaged(fs.Arg(0), release.InstallOptions{Root: *root, PubKey: pub, Restart: !*noRestart})
|
||||
}
|
||||
b, _ := json.Marshal(res)
|
||||
fmt.Println(string(b))
|
||||
if !res.OK {
|
||||
os.Exit(1)
|
||||
}
|
||||
}
|
||||
|
||||
func run(root, pubPath string, restart bool, staging string) (res result) {
|
||||
fail := func(format string, a ...any) result {
|
||||
res.OK, res.Error = false, fmt.Sprintf(format, a...)
|
||||
return res
|
||||
}
|
||||
if staging == "" {
|
||||
return fail("не указан каталог подготовки")
|
||||
}
|
||||
staging = filepath.Clean(staging)
|
||||
if root == "" && !strings.HasPrefix(staging, stagingBase+"/") {
|
||||
return fail("каталог подготовки должен быть внутри %s", stagingBase)
|
||||
}
|
||||
pub, err := release.LoadPublicKey(pubPath)
|
||||
if err != nil {
|
||||
return fail("публичный ключ обновлений (%s): %v", pubPath, err)
|
||||
}
|
||||
var sm release.SignedManifest
|
||||
if err := readJSON(staging, "manifest.json", &sm); err != nil {
|
||||
return fail("манифест: %v", err)
|
||||
}
|
||||
m, err := release.Verify(&sm, pub)
|
||||
if err != nil {
|
||||
return fail("подпись манифеста не прошла проверку: %v", err)
|
||||
}
|
||||
res.Release = m.Version
|
||||
var req struct {
|
||||
Names []string `json:"names"`
|
||||
}
|
||||
if err := readJSON(staging, "request.json", &req); err != nil {
|
||||
return fail("запрос: %v", err)
|
||||
}
|
||||
if len(req.Names) == 0 {
|
||||
return fail("не выбраны компоненты")
|
||||
}
|
||||
|
||||
installedPath := release.InstalledFile
|
||||
if root != "" {
|
||||
installedPath = filepath.Join(root, installedPath)
|
||||
}
|
||||
installed := release.LoadInstalled(installedPath)
|
||||
|
||||
// Проверки до любой установки: всё или ничего.
|
||||
type job struct {
|
||||
c release.Component
|
||||
a release.Artifact
|
||||
file string
|
||||
}
|
||||
var jobs []job
|
||||
for _, name := range req.Names {
|
||||
c, ok := release.ComponentByName(name)
|
||||
if !ok {
|
||||
return fail("неизвестный компонент %q", name)
|
||||
}
|
||||
var art *release.Artifact
|
||||
for i := range m.Artifacts {
|
||||
if m.Artifacts[i].Name == name {
|
||||
art = &m.Artifacts[i]
|
||||
}
|
||||
}
|
||||
if art == nil {
|
||||
return fail("компонента %s нет в релизе %s", name, m.Version)
|
||||
}
|
||||
ver := art.Version
|
||||
if ver == "" {
|
||||
ver = m.Version
|
||||
}
|
||||
art.Version = ver
|
||||
if _, err := os.Stat(c.PathAt(root)); err != nil && !c.Core {
|
||||
return fail("%s не установлен на этом сервере — модуль ставится установщиком, а не обновлением", name)
|
||||
}
|
||||
if prev, ok := installed[name]; ok && prev.Version != "" && release.IsNewer(prev.Version, ver) {
|
||||
return fail("%s: установлена %s, в релизе более старая %s — откат не выполняется", name, prev.Version, ver)
|
||||
}
|
||||
file := filepath.Join(staging, filepath.Base(art.File))
|
||||
fi, err := os.Lstat(file)
|
||||
if err != nil || !fi.Mode().IsRegular() {
|
||||
return fail("%s: файл %s не найден в каталоге подготовки", name, art.File)
|
||||
}
|
||||
if err := release.VerifyArtifact(file, *art); err != nil {
|
||||
return fail("%s: %v", name, err)
|
||||
}
|
||||
jobs = append(jobs, job{c: c, a: *art, file: file})
|
||||
}
|
||||
// Порядок как в release.Components: ядро первым в списке ставится, но перезапускается последним.
|
||||
sort.SliceStable(jobs, func(i, j int) bool { return order(jobs[i].c.Name) < order(jobs[j].c.Name) })
|
||||
|
||||
ts := time.Now().Format("20060102-150405")
|
||||
var units []string
|
||||
for _, j := range jobs {
|
||||
dst := j.c.PathAt(root)
|
||||
if err := install(j.file, dst, j.c.Exec, ts); err != nil {
|
||||
return fail("установка %s: %v", j.c.Name, err)
|
||||
}
|
||||
installed[j.c.Name] = release.Installed{Version: j.a.Version, SHA256: j.a.SHA256, InstalledAt: time.Now().UTC()}
|
||||
res.Installed = append(res.Installed, map[string]string{"name": j.c.Name, "version": j.a.Version})
|
||||
if j.c.Unit != "" {
|
||||
units = append(units, j.c.Unit)
|
||||
}
|
||||
}
|
||||
if err := release.SaveInstalled(installedPath, installed); err != nil {
|
||||
return fail("запись установленных версий: %v", err)
|
||||
}
|
||||
chownLikeParent(installedPath)
|
||||
|
||||
if restart {
|
||||
sort.SliceStable(units, func(i, j int) bool { return units[j] == "bj-server" && units[i] != "bj-server" })
|
||||
for _, u := range units {
|
||||
if out, err := exec.Command("systemctl", "restart", u).CombinedOutput(); err != nil {
|
||||
return fail("перезапуск %s: %v: %s", u, err, strings.TrimSpace(string(out)))
|
||||
}
|
||||
res.Restarted = append(res.Restarted, u)
|
||||
}
|
||||
}
|
||||
res.OK = true
|
||||
return res
|
||||
}
|
||||
|
||||
func order(name string) int {
|
||||
for i, c := range release.Components {
|
||||
if c.Name == name {
|
||||
return i
|
||||
}
|
||||
}
|
||||
return len(release.Components)
|
||||
}
|
||||
|
||||
func readJSON(dir, name string, v any) error {
|
||||
p := filepath.Join(dir, name)
|
||||
fi, err := os.Lstat(p)
|
||||
if err != nil {
|
||||
return err
|
||||
}
|
||||
if !fi.Mode().IsRegular() || fi.Size() > 1<<20 {
|
||||
return errors.New(name + ": не обычный файл или слишком большой")
|
||||
}
|
||||
b, err := os.ReadFile(p)
|
||||
if err != nil {
|
||||
return err
|
||||
}
|
||||
return json.Unmarshal(b, v)
|
||||
}
|
||||
|
||||
// install — копия прежнего файла, запись нового рядом и атомарная замена.
|
||||
func install(src, dst string, execBit bool, ts string) error {
|
||||
if err := os.MkdirAll(filepath.Dir(dst), 0o755); err != nil {
|
||||
return err
|
||||
}
|
||||
if _, err := os.Stat(dst); err == nil {
|
||||
if err := copyFile(dst, dst+".bak-"+ts, 0o755); err != nil {
|
||||
return fmt.Errorf("копия прежнего файла: %w", err)
|
||||
}
|
||||
pruneBackups(dst, 5)
|
||||
}
|
||||
mode := os.FileMode(0o644)
|
||||
if execBit {
|
||||
mode = 0o755
|
||||
}
|
||||
tmp := dst + ".new"
|
||||
if err := copyFile(src, tmp, mode); err != nil {
|
||||
return err
|
||||
}
|
||||
return os.Rename(tmp, dst)
|
||||
}
|
||||
|
||||
func copyFile(src, dst string, mode os.FileMode) error {
|
||||
in, err := os.Open(src)
|
||||
if err != nil {
|
||||
return err
|
||||
}
|
||||
defer in.Close()
|
||||
out, err := os.OpenFile(dst, os.O_CREATE|os.O_WRONLY|os.O_TRUNC, mode)
|
||||
if err != nil {
|
||||
return err
|
||||
}
|
||||
if _, err := io.Copy(out, in); err != nil {
|
||||
out.Close()
|
||||
return err
|
||||
}
|
||||
if err := out.Sync(); err != nil {
|
||||
out.Close()
|
||||
return err
|
||||
}
|
||||
if err := out.Close(); err != nil {
|
||||
return err
|
||||
}
|
||||
return os.Chmod(dst, mode)
|
||||
}
|
||||
|
||||
// pruneBackups — хранить keep последних копий <путь>.bak-ДАТА-ВРЕМЯ.
|
||||
func pruneBackups(dst string, keep int) {
|
||||
files, _ := filepath.Glob(dst + ".bak-2*")
|
||||
sort.Strings(files)
|
||||
for len(files) > keep {
|
||||
_ = os.Remove(files[0])
|
||||
files = files[1:]
|
||||
}
|
||||
}
|
||||
|
||||
func chownLikeParent(path string) {
|
||||
if fi, err := os.Stat(filepath.Dir(path)); err == nil {
|
||||
if s, ok := fi.Sys().(*syscall.Stat_t); ok {
|
||||
_ = os.Chown(path, int(s.Uid), int(s.Gid))
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
Reference in New Issue
Block a user