ci-cd.yml

name: CI/CD Pipeline - Blue/Green Deployment

on:
  push:
    branches: [ main, develop ]
  pull_request:
    branches: [ main ]
  workflow_dispatch:
    inputs:
      environment:
        description: 'Deployment Environment'
        required: true
        default: 'staging'
        type: choice
        options:
        - staging
        - production

env:
  REGISTRY: ghcr.io
  IMAGE_NAME: ${{ github.repository }}
  # 헬스 URL 은 전역 env 에서 뺐다. 배포 잡의 해당 스텝만 시크릿을 env 로 받는다.
  # 전역에 두면 배포와 무관한 test/scan 잡 환경에까지 값이 실린다.

permissions:
  contents: read
  packages: write
  security-events: write

concurrency:
  group: carecode-${{ github.ref }}
  cancel-in-progress: true

jobs:
  # ===========================================
  # Test & Build Job
  # ===========================================
  test-and-build:
    name: Test and Build
    runs-on: ubuntu-latest
    
    steps:
    - name: Checkout code
      uses: actions/checkout@v4

    # 이 잡은 SSH 를 사용하지 않는다. PR 트리거에서도 도는 잡에
    # 배포용 개인키를 올리지 않도록 SSH 설정을 두지 않는다.

    - name: Validate Gradle wrapper
      uses: gradle/actions/wrapper-validation@v4

    - name: Set up JDK 17
      uses: actions/setup-java@v4
      with:
        java-version: '17'
        distribution: 'temurin'

    - name: Cache Gradle packages
      uses: actions/cache@v4
      with:
        path: |
          ~/.gradle/caches
          ~/.gradle/wrapper
        key: ${{ runner.os }}-gradle-${{ hashFiles('**/*.gradle*', '**/gradle-wrapper.properties') }}
        restore-keys: |
          ${{ runner.os }}-gradle-
          
    - name: Run tests
      run: ./gradlew clean test jacocoTestReport

    # Testcontainers 테스트는 Docker 가 없으면 조용히 skip 되고 빌드는 초록불이 된다.
    # 스키마 정합성 검증이 그렇게 빠지면 마이그레이션 누락을 아무도 못 잡는다.
    - name: Assert schema validation actually ran
      run: |
        report=build/test-results/test/TEST-com.carecode.integration.FlywaySchemaValidationTest.xml
        if [ ! -f "$report" ]; then
          echo "::error::스키마 정합성 테스트 리포트가 없습니다."
          exit 1
        fi
        if grep -q 'skipped="0"' "$report"; then
          echo "스키마 정합성 테스트 실행 확인"
        else
          echo "::error::스키마 정합성 테스트가 skip 되었습니다. Docker 환경을 확인하세요."
          exit 1
        fi

    - name: Publish test report
      uses: mikepenz/action-junit-report@v5
      if: always()
      with:
        report_paths: 'build/test-results/test/TEST-*.xml'

    # build 에서 -x test 로 테스트를 빼면 check 에 걸어둔 커버리지 검증까지 함께 무력화된다.
    # 위에서 이미 test 를 돌렸으므로 여기서는 검증을 포함해 그대로 build 한다.
    - name: Build application
      run: ./gradlew build

    - name: Upload build artifacts
      uses: actions/upload-artifact@v4
      with:
        name: application-jar
        path: build/libs/*.jar
        retention-days: 7

  # ===========================================
  # Security Scan Job
  # ===========================================
  security-scan:
    name: Security Scan
    runs-on: ubuntu-latest
    needs: test-and-build
    
    steps:
    - name: Checkout code
      uses: actions/checkout@v4

    # 이 잡도 SSH 를 사용하지 않으므로 배포용 개인키를 로드하지 않는다.

    # 1) SARIF 리포트 생성 (Security 탭 업로드용) - 여기서는 실패시키지 않는다.
    - name: Run Trivy vulnerability scanner (report)
      uses: aquasecurity/trivy-action@v0.36.0
      with:
        scan-type: 'fs'
        scan-ref: '.'
        format: 'sarif'
        output: 'trivy-results.sarif'

    - name: Upload Trivy scan results to GitHub Security tab
      uses: github/codeql-action/upload-sarif@v3
      if: always()
      with:
        sarif_file: 'trivy-results.sarif'

    # 2) 게이트: CRITICAL/HIGH 취약점이 있으면 파이프라인을 실패시킨다.
    #    exit-code 를 지정하지 않으면 취약점이 나와도 그냥 통과해 스캔이 장식이 된다.
    - name: Fail on CRITICAL/HIGH vulnerabilities
      uses: aquasecurity/trivy-action@v0.36.0
      with:
        scan-type: 'fs'
        scan-ref: '.'
        format: 'table'
        severity: 'CRITICAL,HIGH'
        ignore-unfixed: true
        exit-code: '1'

  # ===========================================
  # Build Docker Image Job
  # ===========================================
  build-docker:
    name: Build Docker Image
    runs-on: ubuntu-latest
    needs: [test-and-build, security-scan]
    if: github.event_name == 'push' || github.event_name == 'workflow_dispatch'
    
    outputs:
      image-tag: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:${{ steps.meta.outputs.version }}
      
    steps:
    - name: Checkout code
      uses: actions/checkout@v4
      
    - name: Set up Docker Buildx
      uses: docker/setup-buildx-action@v3
      
    - name: Log in to Container Registry
      uses: docker/login-action@v3
      with:
        registry: ${{ env.REGISTRY }}
        username: ${{ github.actor }}
        password: ${{ secrets.GITHUB_TOKEN }}
        
    - name: Extract metadata
      id: meta
      uses: docker/metadata-action@v5
      with:
        images: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}
        tags: |
          type=ref,event=branch
          type=ref,event=pr
          type=sha,prefix={{branch}}-
          type=raw,value=latest,enable={{is_default_branch}}
          
    - name: Build and push Docker image
      uses: docker/build-push-action@v5
      with:
        context: .
        push: true
        tags: ${{ steps.meta.outputs.tags }}
        labels: ${{ steps.meta.outputs.labels }}
        cache-from: type=gha
        cache-to: type=gha,mode=max

  # ===========================================
  # Deploy to Staging (Green) Job
  # ===========================================
  deploy-staging:
    name: Deploy to Staging (Green)
    runs-on: ubuntu-latest
    needs: build-docker
    if: github.ref == 'refs/heads/develop' || (github.event_name == 'workflow_dispatch' && github.event.inputs.environment == 'staging')
    environment: staging

    steps:
    - name: Checkout code
      uses: actions/checkout@v4

    # 어떤 시크릿이 비어 있는지 먼저 이름으로 알려준다.
    # 예전에는 `test -n "..."` 하나로 끝나서, 실패해도 무엇이 없는지 로그에 남지 않았다.
    - name: Check required secrets
      env:
        DEPLOY_HOST: ${{ secrets.STAGING_DEPLOY_HOST }}
        DEPLOY_USER: ${{ secrets.STAGING_DEPLOY_USER }}
        SSH_KEY: ${{ secrets.STAGING_SSH_KEY }}
        HEALTH_URL: ${{ secrets.STAGING_HEALTH_URL }}
      run: |
        missing=""
        for name in DEPLOY_HOST DEPLOY_USER SSH_KEY HEALTH_URL; do
          if [ -z "${!name}" ]; then missing="$missing STAGING_$name"; fi
        done
        if [ -n "$missing" ]; then
          echo "::error::스테이징 배포에 필요한 시크릿이 없습니다:$missing"
          exit 1
        fi
        echo "필요한 시크릿이 모두 설정되어 있습니다."

    # SSH 개인키를 올리는 스텝이 아예 없어서, 시크릿을 채워도 인증 단계에서 막혔다.
    # 키는 env 로 넘긴다. run 본문에 ${{ secrets.* }} 를 그대로 쓰면 값이 스크립트 텍스트에 박힌다.
    - name: Set up SSH
      env:
        SSH_KEY: ${{ secrets.STAGING_SSH_KEY }}
        KNOWN_HOSTS: ${{ secrets.STAGING_SSH_KNOWN_HOSTS }}
        DEPLOY_HOST: ${{ secrets.STAGING_DEPLOY_HOST }}
      run: |
        mkdir -p ~/.ssh && chmod 700 ~/.ssh
        printf '%s\n' "$SSH_KEY" > ~/.ssh/deploy_key
        chmod 600 ~/.ssh/deploy_key
        if [ -n "$KNOWN_HOSTS" ]; then
          printf '%s\n' "$KNOWN_HOSTS" > ~/.ssh/known_hosts
        else
          # StrictHostKeyChecking=no 를 쓰던 자리다. keyscan 도 최초 접속을 그냥 믿는 건 같지만,
          # 최소한 이번 실행 안에서는 호스트키가 고정된다. 중간자 공격까지 막으려면
          # STAGING_SSH_KNOWN_HOSTS 에 호스트키를 넣어 고정해야 한다.
          echo "::warning::STAGING_SSH_KNOWN_HOSTS 가 없어 ssh-keyscan 으로 대체합니다."
          ssh-keyscan -H "$DEPLOY_HOST" > ~/.ssh/known_hosts 2>/dev/null
        fi
        chmod 600 ~/.ssh/known_hosts

    - name: Deploy to staging environment
      env:
        DEPLOY_HOST: ${{ secrets.STAGING_DEPLOY_HOST }}
        DEPLOY_USER: ${{ secrets.STAGING_DEPLOY_USER }}
        IMAGE: ${{ needs.build-docker.outputs.image-tag }}
      run: |
        ssh -i ~/.ssh/deploy_key "$DEPLOY_USER@$DEPLOY_HOST" \
          "docker pull $IMAGE && (docker stop carecode-staging || true) && (docker rm carecode-staging || true) && docker run -d --name carecode-staging --memory=640m --memory-swap=640m -p 8082:8082 --env-file /opt/carecode/.env $IMAGE"

    - name: Run health check
      env:
        HEALTH_URL: ${{ secrets.STAGING_HEALTH_URL }}
      run: |
        for i in {1..20}; do
          if curl -fsS "$HEALTH_URL/actuator/health" | grep -q '"status":"UP"'; then
            echo "Staging health check passed"
            exit 0
          fi
          sleep 5
        done
        echo "::error::스테이징 헬스체크 실패 - 컨테이너 로그를 확인하세요"
        exit 1

    # 예전에는 echo 만 있어서 배포가 실패해도 아무에게도 닿지 않았다.
    # OPS_SLACK_WEBHOOK_URL 이 없으면 잡 요약에만 남긴다.
    - name: Notify deployment status
      if: always()
      env:
        SLACK_WEBHOOK_URL: ${{ secrets.OPS_SLACK_WEBHOOK_URL }}
        STATUS: ${{ job.status }}
      run: |
        line="[staging] 배포 $STATUS - ${{ github.repository }}@${GITHUB_SHA:0:7} (${{ github.run_id }})"
        echo "$line" >> "$GITHUB_STEP_SUMMARY"
        if [ "$STATUS" != "success" ]; then echo "::error::$line"; fi
        if [ -n "$SLACK_WEBHOOK_URL" ]; then
          curl -fsS -X POST "$SLACK_WEBHOOK_URL" \
            -H 'Content-Type: application/json' \
            -d "$(jq -n --arg t "$line" '{text:$t}')" || echo "::warning::슬랙 알림 전송 실패"
        fi

  # ===========================================
  # Deploy to Production (Blue/Green) Job
  # ===========================================
  deploy-production:
    name: Deploy to Production
    runs-on: ubuntu-latest
    needs: build-docker
    if: github.ref == 'refs/heads/main' || (github.event_name == 'workflow_dispatch' && github.event.inputs.environment == 'production')
    environment: production

    # 예전에는 Blue/Green 이었다. 두 색을 바꿔치는 마지막 단계가 라우터 HTTP API
    # (PRODUCTION_ROUTER_STATUS_URL / _SWITCH_URL) 를 호출했는데, 그 API 를 제공하는
    # 구현이 어디에도 없다. 별도 저장소의 블루/그린 도구(CareCode_Nohub_Deploy)는
    # paramiko 로 서버에 붙어 nginx conf 를 고치는 CLI 이지 HTTP 서버가 아니다.
    # 그래서 시크릿을 다 채워도 전환 단계에서 반드시 멈췄다.
    #
    # 진짜 무중단은 nginx 를 제어할 수 있어야 성립한다. 그때까지는 "새 이미지를 예비
    # 포트에서 먼저 띄워 확인하고, 통과할 때만 교체" 로 간다. 교체 순간에 짧은 순단이
    # 있지만, 깨진 이미지가 운영에 올라가는 일은 없다.
    steps:
    - name: Checkout code
      uses: actions/checkout@v4

    # 어떤 시크릿이 비어 있는지 먼저 이름으로 알려준다.
    # 예전에는 각 스텝의 `test -n "..."` 하나로 끝나서, 실패해도 무엇이 없는지 로그에 남지 않았다.
    - name: Check required secrets
      env:
        DEPLOY_HOST: ${{ secrets.PRODUCTION_DEPLOY_HOST }}
        DEPLOY_USER: ${{ secrets.PRODUCTION_DEPLOY_USER }}
        SSH_KEY: ${{ secrets.PRODUCTION_SSH_KEY }}
        HEALTH_URL: ${{ secrets.PRODUCTION_HEALTH_URL }}
      run: |
        missing=""
        for name in DEPLOY_HOST DEPLOY_USER SSH_KEY HEALTH_URL; do
          if [ -z "${!name}" ]; then missing="$missing PRODUCTION_$name"; fi
        done
        if [ -n "$missing" ]; then
          echo "::error::운영 배포에 필요한 시크릿이 없습니다:$missing"
          exit 1
        fi
        echo "필요한 시크릿이 모두 설정되어 있습니다."

    # SSH 개인키를 올리는 스텝이 아예 없어서, 시크릿을 채워도 인증 단계에서 막혔다.
    # 키는 env 로 넘긴다. run 본문에 ${{ secrets.* }} 를 그대로 쓰면 값이 스크립트 텍스트에 박힌다.
    - name: Set up SSH
      env:
        SSH_KEY: ${{ secrets.PRODUCTION_SSH_KEY }}
        KNOWN_HOSTS: ${{ secrets.PRODUCTION_SSH_KNOWN_HOSTS }}
        DEPLOY_HOST: ${{ secrets.PRODUCTION_DEPLOY_HOST }}
      run: |
        mkdir -p ~/.ssh && chmod 700 ~/.ssh
        printf '%s\n' "$SSH_KEY" > ~/.ssh/deploy_key
        chmod 600 ~/.ssh/deploy_key
        if [ -n "$KNOWN_HOSTS" ]; then
          printf '%s\n' "$KNOWN_HOSTS" > ~/.ssh/known_hosts
        else
          # StrictHostKeyChecking=no 를 쓰던 자리다. keyscan 도 최초 접속을 그냥 믿는 건 같지만,
          # 최소한 이번 실행 안에서는 호스트키가 고정된다. 중간자 공격까지 막으려면
          # PRODUCTION_SSH_KNOWN_HOSTS 에 호스트키를 넣어 고정해야 한다.
          echo "::warning::PRODUCTION_SSH_KNOWN_HOSTS 가 없어 ssh-keyscan 으로 대체합니다."
          ssh-keyscan -H "$DEPLOY_HOST" > ~/.ssh/known_hosts 2>/dev/null
        fi
        chmod 600 ~/.ssh/known_hosts

    # 토큰은 stdin 으로 흘려보낸다. ssh 인자로 넘기면 서버의 프로세스 목록에 그대로 보인다.
    - name: Log in to registry on the server
      env:
        DEPLOY_HOST: ${{ secrets.PRODUCTION_DEPLOY_HOST }}
        DEPLOY_USER: ${{ secrets.PRODUCTION_DEPLOY_USER }}
        GHCR_TOKEN: ${{ secrets.GITHUB_TOKEN }}
      run: |
        printf '%s' "$GHCR_TOKEN" | ssh -i ~/.ssh/deploy_key "$DEPLOY_USER@$DEPLOY_HOST" \
          "docker login ${{ env.REGISTRY }} -u '${{ github.actor }}' --password-stdin"

    - name: Deploy
      env:
        DEPLOY_HOST: ${{ secrets.PRODUCTION_DEPLOY_HOST }}
        DEPLOY_USER: ${{ secrets.PRODUCTION_DEPLOY_USER }}
        IMAGE: ${{ needs.build-docker.outputs.image-tag }}
      run: |
        ssh -i ~/.ssh/deploy_key "$DEPLOY_USER@$DEPLOY_HOST" "IMAGE='$IMAGE' bash -s" <<'REMOTE'
        set -euo pipefail

        APP=carecode
        PORT=8082
        ENV_FILE=/opt/carecode/.env

        # 컨테이너 메모리 한도. 없으면 JVM 이 호스트 전체를 기준으로 힙을 잡아(측정: 858MB)
        # 같은 머신의 MariaDB·Redis 가 쓸 메모리를 먹는다. 1GB 인스턴스 기준 기본값이며,
        # 서버 .env 에 APP_MEMORY 를 두면 그 값을 쓴다(여유 있는 인스턴스에서 올리면 된다).
        APP_MEMORY="$(grep -E '^APP_MEMORY=' "$ENV_FILE" 2>/dev/null | tail -1 | cut -d= -f2)"
        APP_MEMORY="${APP_MEMORY:-640m}"

        if [ ! -f "$ENV_FILE" ]; then
          echo "$ENV_FILE 이 없습니다."
          exit 1
        fi

        # 되돌릴 대상. 지금 돌고 있는 컨테이너가 쓰는 이미지 ID 를 먼저 붙잡아 둔다.
        # 태그가 아니라 ID 를 쓰는 이유: 같은 태그가 새 이미지로 덮여도 예전 것을 가리키게 하기 위해서다.
        PREV_IMAGE="$(docker inspect -f '{{.Image}}' "$APP" 2>/dev/null || true)"

        echo "===== pull $IMAGE ====="
        docker pull "$IMAGE"

        run_app() {
          docker run -d --name "$APP" --restart unless-stopped             --memory="$APP_MEMORY" --memory-swap="$APP_MEMORY"             -p "$PORT:8082" --env-file "$ENV_FILE" "$1" >/dev/null
        }

        wait_healthy() {
          for _ in $(seq 1 48); do
            if curl -fsS "http://127.0.0.1:$PORT/actuator/health" 2>/dev/null | grep -q '"status":"UP"'; then
              return 0
            fi
            # 컨테이너가 이미 죽었으면 더 기다릴 이유가 없다 (OOM 이면 여기서 잡힌다).
            if [ -z "$(docker ps -q -f name="^${APP}$")" ]; then
              return 1
            fi
            sleep 5
          done
          return 1
        }

        # 교체. 1GB 인스턴스에서는 새 컨테이너를 미리 띄워 검증할 메모리가 없다
        # (JVM 두 개 = 측정 기준 1.3GB). 그래서 짧은 순단을 받아들이고, 실패하면 되돌린다.
        echo "===== 교체 ($APP_MEMORY) ====="
        for name in "$APP" carecode-probe carecode-blue carecode-green; do
          docker rm -f "$name" >/dev/null 2>&1 || true
        done

        run_app "$IMAGE"

        if wait_healthy; then
          echo "===== 교체 완료 ====="
          docker image prune -f >/dev/null 2>&1 || true
          exit 0
        fi

        echo "새 이미지가 기동하지 못했습니다."
        echo "----- 컨테이너 로그 (마지막 100줄) -----"
        docker logs --tail 100 "$APP" 2>&1 || true

        if [ -z "$PREV_IMAGE" ]; then
          echo "::error::되돌릴 이전 이미지가 없습니다(첫 배포로 보입니다). 서비스가 내려간 상태입니다."
          exit 1
        fi

        echo "===== 이전 이미지로 되돌립니다 ($PREV_IMAGE) ====="
        docker rm -f "$APP" >/dev/null 2>&1 || true
        run_app "$PREV_IMAGE"

        if wait_healthy; then
          echo "::error::새 이미지 기동 실패. 이전 이미지로 되돌렸고 서비스는 살아 있습니다."
          exit 1
        fi

        echo "::error::되돌린 이미지도 기동하지 못했습니다. 서비스가 내려간 상태입니다 — 서버를 직접 확인하세요."
        docker logs --tail 100 "$APP" 2>&1 || true
        exit 1
        REMOTE

    - name: Verify from outside
      env:
        HEALTH_URL: ${{ secrets.PRODUCTION_HEALTH_URL }}
      run: |
        # 서버 안에서는 UP 인데 밖에서 안 보이면 프록시/보안그룹 문제다. 구분해서 알려준다.
        for _ in $(seq 1 12); do
          if curl -fsS "$HEALTH_URL/actuator/health" | grep -q '"status":"UP"'; then
            echo "외부 확인 완료"
            exit 0
          fi
          sleep 5
        done
        echo "::error::컨테이너는 떴지만 외부 헬스 URL 로 보이지 않습니다. 리버스 프록시 설정을 확인하세요."
        exit 1

    # 예전에는 echo 만 있어서 배포가 실패해도 아무에게도 닿지 않았다.
    # OPS_SLACK_WEBHOOK_URL 이 없으면 잡 요약에만 남긴다.
    - name: Notify deployment status
      if: always()
      env:
        SLACK_WEBHOOK_URL: ${{ secrets.OPS_SLACK_WEBHOOK_URL }}
        STATUS: ${{ job.status }}
      run: |
        line="[production] 배포 $STATUS - ${{ github.repository }}@${GITHUB_SHA:0:7} (${{ github.run_id }})"
        echo "$line" >> "$GITHUB_STEP_SUMMARY"
        if [ "$STATUS" != "success" ]; then echo "::error::$line"; fi
        if [ -n "$SLACK_WEBHOOK_URL" ]; then
          curl -fsS -X POST "$SLACK_WEBHOOK_URL" \
            -H 'Content-Type: application/json' \
            -d "$(jq -n --arg t "$line" '{text:$t}')" || echo "::warning::슬랙 알림 전송 실패"
        fi

  # ===========================================
  # Cleanup Job
  # ===========================================
  cleanup:
    name: Cleanup
    runs-on: ubuntu-latest
    needs: [deploy-staging, deploy-production]
    if: always()
    
    steps:
    - name: Cleanup old images
      run: |
        echo "Cleaning up old Docker images"
        # 오래된 Docker 이미지 정리
        
    - name: Cleanup old deployments
      run: |
        echo "Cleaning up old deployments"
        # 오래된 배포 정리