two/.forgejo/workflows/release-pipeline.yml

name: Release Pipeline

on:
  push:
    tags:
      - '[0-9]*.[0-9]*.[0-9]*'

jobs:
  set-release-target:
    runs-on: docker
    outputs:
      release_cible: ${{ steps.setvar.outputs.release_cible }}
      prerelease: ${{ steps.setvar.outputs.prerelease }}
    steps:
      - name: Déterminer la release cible
        id: setvar
        run: |
          TAG="${GITHUB_REF#refs/tags/}"

          # Formes acceptées, et rien d'autre :
          #   X.Y.Z         release finale  → prerelease=false, notes obligatoires
          #   X.Y.ZrcNNN    préversion      → prerelease=true, notes optionnelles
          #
          # Le nombre de chiffres de rc est fixé à 3 (rc016, pas rc16) pour que
          # le tri lexicographique des tags suive l'ordre chronologique.
          if [[ "${TAG}" =~ ^[0-9]+\.[0-9]+\.[0-9]+$ ]]
          then
            PRERELEASE=false
          elif [[ "${TAG}" =~ ^[0-9]+\.[0-9]+\.[0-9]+rc[0-9]{3}$ ]]
          then
            PRERELEASE=true
          else
            echo "tag hors convention : ${TAG}" >&2
            echo "formes acceptées : X.Y.Z (release) ou X.Y.ZrcNNN (préversion, rc sur 3 chiffres)" >&2
            exit 1
          fi

          echo "release_cible=${TAG}" >> $GITHUB_OUTPUT
          echo "prerelease=${PRERELEASE}" >> $GITHUB_OUTPUT

      - name: Afficher la variable
        run: |
          echo "Release cible = ${{ steps.setvar.outputs.release_cible }}"
          echo "Prerelease    = ${{ steps.setvar.outputs.prerelease }}"
  build:
    needs: [set-release-target]
    strategy:
      matrix:
        goos: [linux]
        goarch: [amd64]
        binaries:
          - metadata
          - agent
          - dhcp
    uses: ./.forgejo/workflows/build.yml
    with:
      tag: ${{ needs.set-release-target.outputs.release_cible }}
      goos: ${{ matrix.goos }}
      goarch: ${{ matrix.goarch }}
      binari: ${{ matrix.binaries }}
    secrets: inherit
  # Scripts et units systemd publiés comme assets de release : deploy.sh les
  # installe depuis la release, plus depuis la branche. Ajouter une entrée ici
  # suffit à livrer un nouveau fichier.
  upload-assets:
    runs-on: docker
    needs: [set-release-target]
    strategy:
      matrix:
        include:
          - path: scripts/run-dnsmasq-in-netns.sh
            name: run-dnsmasq-in-netns.sh
          - path: scripts/run-dhcp-in-netns.sh
            name: run-dhcp-in-netns.sh
          - path: systemd/agent.service
            name: agent.service
          - path: systemd/dnsmasq@.service
            name: dnsmasq@.service
          - path: systemd/dhcp@.service
            name: dhcp@.service
          - path: systemd/metadata@.service
            name: metadata@.service
    steps:
      - uses: actions/checkout@v3
      - name: Move asset
        run: |
          mkdir -p "dist"
          cp "${{ matrix.path }}" dist/
      - name: Upload asset
        uses: actions/upload-artifact@v3
        with:
          name: ${{ matrix.name }}-${{ needs.set-release-target.outputs.release_cible }}
          path: dist/${{ matrix.name }}
  # Manifeste des sommes de contrôle de tous les artefacts, au format sha256sum.
  # Dépend de tous les jobs qui produisent des artefacts : ajouter un producteur
  # sans l'ajouter ici donnerait un manifeste incomplet, donc un déploiement qui
  # refuse des assets légitimes.
  checksums:
    runs-on: docker
    needs: [set-release-target, build, upload-assets]
    steps:
      - name: Download all artifacts
        uses: actions/download-artifact@v3
        with:
          path: artifacts/
      - name: Générer SHA256SUMS
        run: |
          mkdir -p dist
          # download-artifact place chaque artefact dans son propre
          # sous-répertoire : on aplatit pour que le manifeste porte les noms
          # d'assets, tels que deploy.sh les demandera.
          find artifacts/ -type f -exec cp {} dist/ \;
          # Généré depuis dist/ pour que les noms soient nus, et hors de dist/
          # pour que le manifeste ne se liste pas lui-même.
          ( cd dist && sha256sum * ) > SHA256SUMS
          cat SHA256SUMS
      - name: Upload SHA256SUMS
        uses: actions/upload-artifact@v3
        with:
          name: SHA256SUMS-${{ needs.set-release-target.outputs.release_cible }}
          path: SHA256SUMS
  publish:
    # Tous les producteurs d'artefacts sont dans les needs : sans ça, le job
    # release peut appeler download-artifact avant la fin des uploads et publier
    # une release incomplète (assets ou manifeste manquants de façon non
    # déterministe).
    needs: [set-release-target, build, upload-assets, checksums]
    uses: ./.forgejo/workflows/release.yml
    with:
      tag: ${{ needs.set-release-target.outputs.release_cible }}
      prerelease: ${{ needs.set-release-target.outputs.prerelease }}
    secrets: inherit