name: Release Pipeline

# Un seul pipeline pour les préversions et les releases finales : les cinq jobs
# (cible, build, assets, manifeste, publication) sont identiques dans les deux
# cas, seul le drapeau `prerelease` change. Le dupliquer dans un second fichier
# recopierait tout pour une ligne de différence.
#
# Le filtre `[0-9]*` couvre les deux formes de tag (0.1.0, 0.1.0rc016) tout en
# ignorant les tags de travail qui ne commencent pas par un chiffre.
on:
  push:
    tags:
      - '[0-9]*'

jobs:
  set-release-target:
    runs-on: docker
    outputs:
      release_cible: ${{ steps.setvar.outputs.release_cible }}
      prerelease: ${{ steps.setvar.outputs.prerelease }}
    steps:
      - name: Déterminer la release cible
        id: setvar
        run: |
          if [[ "${GITHUB_REF}" == refs/tags/* ]]; then
            TAG="${GITHUB_REF#refs/tags/}"
            echo "release_cible=$TAG" >> $GITHUB_OUTPUT
          elif [[ "${GITHUB_REF}" == "refs/heads/main" ]]; then
            echo "release_cible=latest" >> $GITHUB_OUTPUT
          else
            echo "release_cible=unknown" >> $GITHUB_OUTPUT
          fi

          # Un tag contenant « rc » est une préversion ; tout le reste est une
          # release finale, qui exige des notes (cf. release.yml).
          if [[ "${GITHUB_REF#refs/tags/}" == *rc* ]]; then
            echo "prerelease=true" >> $GITHUB_OUTPUT
          else
            echo "prerelease=false" >> $GITHUB_OUTPUT
          fi

      - name: Afficher la variable
        run: |
          echo "Release cible = ${{ steps.setvar.outputs.release_cible }}"
          echo "Prerelease    = ${{ steps.setvar.outputs.prerelease }}"
  build:
    needs: [set-release-target]
    strategy:
      matrix:
        goos: [linux]
        goarch: [amd64]
        binaries:
          - metadata
          - agent
    uses: ./.forgejo/workflows/build.yml
    with:
      tag: ${{ needs.set-release-target.outputs.release_cible }}
      goos: ${{ matrix.goos }}
      goarch: ${{ matrix.goarch }}
      binari: ${{ matrix.binaries }}
    secrets: inherit
  # Scripts et units systemd publiés comme assets de release : deploy.sh les
  # installe depuis la release, plus depuis la branche. Ajouter une entrée ici
  # suffit à livrer un nouveau fichier.
  upload-assets:
    runs-on: docker
    needs: [set-release-target]
    strategy:
      matrix:
        include:
          - path: scripts/run-dnsmasq-in-netns.sh
            name: run-dnsmasq-in-netns.sh
          - path: systemd/agent.service
            name: agent.service
          - path: systemd/dnsmasq@.service
            name: dnsmasq@.service
          - path: systemd/metadata@.service
            name: metadata@.service
    steps:
      - uses: actions/checkout@v3
      - name: Move asset
        run: |
          mkdir -p "dist"
          cp "${{ matrix.path }}" dist/
      - name: Upload asset
        uses: actions/upload-artifact@v3
        with:
          name: ${{ matrix.name }}-${{ needs.set-release-target.outputs.release_cible }}
          path: dist/${{ matrix.name }}
  # Manifeste des sommes de contrôle de tous les artefacts, au format sha256sum.
  # Dépend de tous les jobs qui produisent des artefacts : ajouter un producteur
  # sans l'ajouter ici donnerait un manifeste incomplet, donc un déploiement qui
  # refuse des assets légitimes.
  checksums:
    runs-on: docker
    needs: [set-release-target, build, upload-assets]
    steps:
      - name: Download all artifacts
        uses: actions/download-artifact@v3
        with:
          path: artifacts/
      - name: Générer SHA256SUMS
        run: |
          mkdir -p dist
          # download-artifact place chaque artefact dans son propre
          # sous-répertoire : on aplatit pour que le manifeste porte les noms
          # d'assets, tels que deploy.sh les demandera.
          find artifacts/ -type f -exec cp {} dist/ \;
          # Généré depuis dist/ pour que les noms soient nus, et hors de dist/
          # pour que le manifeste ne se liste pas lui-même.
          ( cd dist && sha256sum * ) > SHA256SUMS
          cat SHA256SUMS
      - name: Upload SHA256SUMS
        uses: actions/upload-artifact@v3
        with:
          name: SHA256SUMS-${{ needs.set-release-target.outputs.release_cible }}
          path: SHA256SUMS
  publish:
    # Tous les producteurs d'artefacts sont dans les needs : sans ça, le job
    # release peut appeler download-artifact avant la fin des uploads et publier
    # une release incomplète (assets ou manifeste manquants de façon non
    # déterministe).
    needs: [set-release-target, build, upload-assets, checksums]
    uses: ./.forgejo/workflows/release.yml
    with:
      tag: ${{ needs.set-release-target.outputs.release_cible }}
      prerelease: ${{ needs.set-release-target.outputs.prerelease }}
    secrets: inherit