ElebobaandClaude Opus 5.5
c443190bf4
CI / ruff · mypy · pytest (pull_request) Successful in 4m3s
- infra/runner/tgit-runner: deploy/restart/remove/list по SSH forced command; аргументы не исполняются и не глобятся; архив — только файлы и папки, без «..», ≤ 20 МБ, есть main.py; health_url — только localhost - песочница: uid 10001, read-only, tmpfs noexec, cap-drop ALL, no-new-privileges, 128 МБ без swap, 0.25 CPU, 64 PID, --network none (сеть — только по egress-allow админа), лимит 10 сервисов, 2 образа - новая версия стартует рядом (-next) и заменяет старую, только став healthy; иначе удаляется, старая работает, exit 3 - бот: после push git archive изменённых services/<name>/ → runner; автору — «🚀 работает» или «⛔ не развёрнут» с логом, команде — алерт ⛔; удалённая папка → remove; «♻️ Перезапустить» в «Статусе» для админа (S-5) - examples/escape_attempts: все попытки выбраться — BLOCKED на живом Docker - install.sh, authorized_keys.example; CD бота обновляет runner на хосте Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
tgit-uploads
Общий репозиторий команды tgit: бот коммитит сюда изменения из Telegram
(раздел «📝 Коммит»), каждый push в main запускает CI, а изменённые сервисы разворачиваются на хосте (CD).
Структура
services/<name>/ сервис = папка; имя — ^[a-z][a-z0-9-]{1,30}$
main.py точка входа (python main.py)
requirements.txt зависимости (необязательно)
test_*.py тесты pytest (необязательно, запускаются в CI)
tgit.yaml настройки запуска: health_url, network (необязательно)
.sourcecraft/ci.yaml CI/CD — из Telegram не редактируется
.tgit/ служебные скрипты CI — из Telegram не редактируются
ruff.toml мягкий набор правил линтера
CI/CD (check-and-deploy, push в main)
| Шаг | Что делает | Падает, если |
|---|---|---|
compile |
python -m compileall |
синтаксическая ошибка |
lint |
ruff check (мягкие правила) |
неопределённые имена, неиспользуемые импорты, опасные значения по умолчанию |
security |
bandit -ll по services/ |
найдена уязвимость уровня medium+ |
tests |
pytest для каждого сервиса с тестами, со своими requirements.txt |
упал тест |
deploy |
список изменённых сервисов → tgit-runner на хосте |
сервис не поднялся (healthy) за 60 с |
Развернуть заново
Шаблон — в репозитории бота: infra/uploads-template/. Новый пустой репозиторий → скопировать содержимое шаблона →
push в main → в настройках добавить deploy key бота с правом записи.