ElebobaandClaude Opus 5.5
c443190bf4
CI / ruff · mypy · pytest (pull_request) Successful in 4m3s
- infra/runner/tgit-runner: deploy/restart/remove/list по SSH forced command; аргументы не исполняются и не глобятся; архив — только файлы и папки, без «..», ≤ 20 МБ, есть main.py; health_url — только localhost - песочница: uid 10001, read-only, tmpfs noexec, cap-drop ALL, no-new-privileges, 128 МБ без swap, 0.25 CPU, 64 PID, --network none (сеть — только по egress-allow админа), лимит 10 сервисов, 2 образа - новая версия стартует рядом (-next) и заменяет старую, только став healthy; иначе удаляется, старая работает, exit 3 - бот: после push git archive изменённых services/<name>/ → runner; автору — «🚀 работает» или «⛔ не развёрнут» с логом, команде — алерт ⛔; удалённая папка → remove; «♻️ Перезапустить» в «Статусе» для админа (S-5) - examples/escape_attempts: все попытки выбраться — BLOCKED на живом Docker - install.sh, authorized_keys.example; CD бота обновляет runner на хосте Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
15 lines
454 B
Python
Executable File
15 lines
454 B
Python
Executable File
#!/usr/bin/env python3
|
|
"""A fake `ssh`: like sshd with a forced command — the remote command becomes SSH_ORIGINAL_COMMAND of tgit-runner."""
|
|
|
|
import os
|
|
import sys
|
|
|
|
args = sys.argv[1:]
|
|
with_value = {"-F", "-p", "-o", "-i"}
|
|
i = 0
|
|
while i < len(args) and args[i].startswith("-"):
|
|
i += 2 if args[i] in with_value else 1
|
|
remote = " ".join(args[i + 1 :])
|
|
os.environ["SSH_ORIGINAL_COMMAND"] = remote
|
|
os.execvp("bash", ["bash", os.environ["FAKE_RUNNER"]])
|