main: ci: update release jobs

Signed-off-by: GnomeZworc <nicolas.boufidjeline@g3e.fr>

.forgejo/workflows/release-pipeline.yml

@@ -0,0 +1,127 @@
+name: Release Pipeline
+
+on:
+  push:
+    tags:
+      - '[0-9]*.[0-9]*.[0-9]*'
+
+jobs:
+  set-release-target:
+    runs-on: docker
+    outputs:
+      release_cible: ${{ steps.setvar.outputs.release_cible }}
+      prerelease: ${{ steps.setvar.outputs.prerelease }}
+    steps:
+      - name: Déterminer la release cible
+        id: setvar
+        run: |
+          TAG="${GITHUB_REF#refs/tags/}"
+
+          # Formes acceptées, et rien d'autre :
+          #   X.Y.Z         release finale  → prerelease=false, notes obligatoires
+          #   X.Y.ZrcNNN    préversion      → prerelease=true, notes optionnelles
+          #
+          # Le nombre de chiffres de rc est fixé à 3 (rc016, pas rc16) pour que
+          # le tri lexicographique des tags suive l'ordre chronologique.
+          if [[ "${TAG}" =~ ^[0-9]+\.[0-9]+\.[0-9]+$ ]]
+          then
+            PRERELEASE=false
+          elif [[ "${TAG}" =~ ^[0-9]+\.[0-9]+\.[0-9]+rc[0-9]{3}$ ]]
+          then
+            PRERELEASE=true
+          else
+            echo "tag hors convention : ${TAG}" >&2
+            echo "formes acceptées : X.Y.Z (release) ou X.Y.ZrcNNN (préversion, rc sur 3 chiffres)" >&2
+            exit 1
+          fi
+
+          echo "release_cible=${TAG}" >> $GITHUB_OUTPUT
+          echo "prerelease=${PRERELEASE}" >> $GITHUB_OUTPUT
+
+      - name: Afficher la variable
+        run: |
+          echo "Release cible = ${{ steps.setvar.outputs.release_cible }}"
+          echo "Prerelease    = ${{ steps.setvar.outputs.prerelease }}"
+  build:
+    needs: [set-release-target]
+    strategy:
+      matrix:
+        goos: [linux]
+        goarch: [amd64]
+        binaries:
+          - metadata
+          - agent
+    uses: ./.forgejo/workflows/build.yml
+    with:
+      tag: ${{ needs.set-release-target.outputs.release_cible }}
+      goos: ${{ matrix.goos }}
+      goarch: ${{ matrix.goarch }}
+      binari: ${{ matrix.binaries }}
+    secrets: inherit
+  # Scripts et units systemd publiés comme assets de release : deploy.sh les
+  # installe depuis la release, plus depuis la branche. Ajouter une entrée ici
+  # suffit à livrer un nouveau fichier.
+  upload-assets:
+    runs-on: docker
+    needs: [set-release-target]
+    strategy:
+      matrix:
+        include:
+          - path: scripts/run-dnsmasq-in-netns.sh
+            name: run-dnsmasq-in-netns.sh
+          - path: systemd/agent.service
+            name: agent.service
+          - path: systemd/dnsmasq@.service
+            name: dnsmasq@.service
+          - path: systemd/metadata@.service
+            name: metadata@.service
+    steps:
+      - uses: actions/checkout@v3
+      - name: Move asset
+        run: |
+          mkdir -p "dist"
+          cp "${{ matrix.path }}" dist/
+      - name: Upload asset
+        uses: actions/upload-artifact@v3
+        with:
+          name: ${{ matrix.name }}-${{ needs.set-release-target.outputs.release_cible }}
+          path: dist/${{ matrix.name }}
+  # Manifeste des sommes de contrôle de tous les artefacts, au format sha256sum.
+  # Dépend de tous les jobs qui produisent des artefacts : ajouter un producteur
+  # sans l'ajouter ici donnerait un manifeste incomplet, donc un déploiement qui
+  # refuse des assets légitimes.
+  checksums:
+    runs-on: docker
+    needs: [set-release-target, build, upload-assets]
+    steps:
+      - name: Download all artifacts
+        uses: actions/download-artifact@v3
+        with:
+          path: artifacts/
+      - name: Générer SHA256SUMS
+        run: |
+          mkdir -p dist
+          # download-artifact place chaque artefact dans son propre
+          # sous-répertoire : on aplatit pour que le manifeste porte les noms
+          # d'assets, tels que deploy.sh les demandera.
+          find artifacts/ -type f -exec cp {} dist/ \;
+          # Généré depuis dist/ pour que les noms soient nus, et hors de dist/
+          # pour que le manifeste ne se liste pas lui-même.
+          ( cd dist && sha256sum * ) > SHA256SUMS
+          cat SHA256SUMS
+      - name: Upload SHA256SUMS
+        uses: actions/upload-artifact@v3
+        with:
+          name: SHA256SUMS-${{ needs.set-release-target.outputs.release_cible }}
+          path: SHA256SUMS
+  publish:
+    # Tous les producteurs d'artefacts sont dans les needs : sans ça, le job
+    # release peut appeler download-artifact avant la fin des uploads et publier
+    # une release incomplète (assets ou manifeste manquants de façon non
+    # déterministe).
+    needs: [set-release-target, build, upload-assets, checksums]
+    uses: ./.forgejo/workflows/release.yml
+    with:
+      tag: ${{ needs.set-release-target.outputs.release_cible }}
+      prerelease: ${{ needs.set-release-target.outputs.prerelease }}
+    secrets: inherit