"""ORCH-103 (TC-01…TC-04, AC-1/AC-6/AC-9): анти-дрейф bundle-compose Bundled-тиража. Структурные проверки `deploy/bundled/docker-compose.yml` (ADR-001 D1–D4) и его конфиг-канона `deploy/bundled/.env.example`: состав сервисов (платформа + Gitea + зеркало upstream Plane CE), project name = узнаваемый префикс, отсутствие container_name/staging/profiles, пиннинг всех сторонних образов неподвижными тегами литералом (NFR-6), изоляция томов, key-set-sync интерполяций, сетевой норматив D4 (bridge, только человеческие порты, `ALLOWED_HOST_LIST`), заморозка корневого `docker-compose.yml` (зеркало TC-04 `test_lite_setup_doc.py` — bundle живёт строго отдельным файлом). Детерминировано: yaml.safe_load, без docker/сети/LLM/subprocess (тест-план 04, scope). """ import re from pathlib import Path import yaml REPO_ROOT = Path(__file__).resolve().parents[1] BUNDLE_COMPOSE = REPO_ROOT / "deploy/bundled/docker-compose.yml" BUNDLE_ENV_EXAMPLE = REPO_ROOT / "deploy/bundled/.env.example" ROOT_COMPOSE = REPO_ROOT / "docker-compose.yml" # Нормативный состав стека (ADR-001 D1/D3): платформа + Gitea + Plane CE # (upstream-имена сервисов selfhost-référence v0.23.1 — анти-дрейф к их докам). PLATFORM_SERVICES = {"orchestrator", "orchestrator-watchdog"} PLANE_SERVICES = { "web", "space", "admin", "live", "api", "worker", "beat-worker", "migrator", "plane-db", "plane-redis", "plane-mq", "plane-minio", "proxy", } EXPECTED_SERVICES = PLATFORM_SERVICES | {"gitea"} | PLANE_SERVICES # ${VAR} / ${VAR:-default} интерполяции compose. _INTERP_RE = re.compile(r"\$\{([A-Za-z_][A-Za-z0-9_]*)") def _raw() -> str: assert BUNDLE_COMPOSE.is_file(), "deploy/bundled/docker-compose.yml отсутствует (FR-1)" return BUNDLE_COMPOSE.read_text(encoding="utf-8") def _doc() -> dict: return yaml.safe_load(_raw()) def _services() -> dict: return _doc()["services"] def _env_keys(path: Path) -> set: keys = set() for line in path.read_text(encoding="utf-8").splitlines(): line = line.strip() if not line or line.startswith("#") or "=" not in line: continue keys.add(line.split("=", 1)[0].strip()) return keys # --------------------------------------------------------------------------- # TC-01: bundle-compose существует, валиден, несёт нормативный состав (AC-1). # --------------------------------------------------------------------------- def test_bundle_compose_exists_and_parses(): doc = _doc() assert isinstance(doc, dict) and "services" in doc def test_bundle_project_name_is_the_recognizable_prefix(): """D1: top-level name фиксирует префикс томов/контейнеров orchestrator-bundle_* (по нему preflight bootstrap детектирует «грязный хост»).""" assert _doc().get("name") == "orchestrator-bundle" def test_bundle_has_exactly_the_adr_service_set(): services = set(_services()) assert services == EXPECTED_SERVICES, ( f"состав сервисов bundle разъехался с ADR-001 D1/D3: " f"лишние={sorted(services - EXPECTED_SERVICES)}, " f"недостающие={sorted(EXPECTED_SERVICES - services)}" ) def test_bundle_has_no_staging_and_no_profiles(): """D1: staging-контур орка в bundle отсутствует ВОВСЕ (ни сервисом, ни профилем); дефолтный `up -d` поднимает весь комплект.""" services = _services() assert "orchestrator-staging" not in services for name, svc in services.items(): assert not svc.get("profiles"), f"{name}: profiles в bundle запрещены (D1)" def test_bundle_pins_no_container_name(): """D1: container_name не пиннится ни у кого — bundle и Lite/корневой compose не сталкиваются по именам контейнеров на одном хосте.""" for name, svc in _services().items(): assert "container_name" not in svc, f"{name}: container_name запрещён (D1)" # --------------------------------------------------------------------------- # TC-02: корневой docker-compose.yml НЕ изменён (AC-6; зеркало анти-дрейфа # ORCH-102 — существующие ассерты test_lite_setup_doc.py не ослаблены). # --------------------------------------------------------------------------- def test_root_compose_is_untouched_lite_set(): services = yaml.safe_load(ROOT_COMPOSE.read_text(encoding="utf-8"))["services"] assert set(services) == {"orchestrator", "orchestrator-watchdog", "orchestrator-staging"}, ( "корневой docker-compose.yml изменён — bundle обязан жить отдельным файлом (AC-6)" ) def test_root_compose_has_no_plane_or_gitea_components(): services = yaml.safe_load(ROOT_COMPOSE.read_text(encoding="utf-8"))["services"] for name, svc in services.items(): blob = " ".join( [name, str(svc.get("image", "")), str(svc.get("container_name", ""))] ).lower() for needle in ("plane", "gitea"): assert needle not in blob, ( f"корневой compose: появился {needle}-компонент в {name} (AC-6)" ) # --------------------------------------------------------------------------- # TC-03: пиннинг образов — неподвижный тег литералом (NFR-6 / D3). # --------------------------------------------------------------------------- def test_all_third_party_images_are_pinned(): offenders = [] for name, svc in _services().items(): image = svc.get("image") if image is None: continue if "${" in image: offenders.append(f"{name}: версия через интерполяцию ({image!r}) — тег литералом (D3)") elif ":" not in image: offenders.append(f"{name}: образ без тега ({image!r})") elif image.rsplit(":", 1)[1] in ("latest", "stable"): offenders.append(f"{name}: плавающий тег ({image!r})") assert not offenders, "непиннованные образы bundle (NFR-6):\n" + "\n".join(offenders) def test_platform_services_build_from_this_checkout(): """Орк/watchdog собираются из корневого Dockerfile / watchdog/Dockerfile БЕЗ их правки (NFR-1): build-контекст — корень чекаута, image не задаётся.""" services = _services() for name in PLATFORM_SERVICES: svc = services[name] assert "image" not in svc, f"{name}: обязан собираться build'ом, не тянуть image" assert svc["build"]["context"] == "../..", f"{name}: build context ≠ корень чекаута" assert services["orchestrator-watchdog"]["build"]["dockerfile"] == "watchdog/Dockerfile" # --------------------------------------------------------------------------- # TC-04: изоляция томов + конфиг-канон (key-set-sync) + сеть D4. # --------------------------------------------------------------------------- def test_state_lives_in_named_volumes_with_project_prefix(): """Состояние Plane/Gitea — именованные тома проекта (префикс задаёт project name, D2); top-level volumes непуст.""" volumes = _doc().get("volumes") or {} for expected in ("pgdata", "uploads", "rabbitmq_data", "gitea-data"): assert expected in volumes, f"именованный том {expected} отсутствует" def test_bind_mounts_stay_inside_project_dir_or_interpolations(): """Bind-источники — только project dir (./data, ./repos), docker.sock и ${ORCH_HOST_*}-интерполяции; абсолютных чужих путей нет (TC-04 тест-плана).""" offenders = [] for name, svc in _services().items(): for vol in svc.get("volumes") or []: v = str(vol) if ( v.startswith("${") or v.startswith("./") or v.startswith("~") or v.startswith("/var/run/docker.sock") or re.match(r"^[A-Za-z0-9_-]+:", v) ): continue offenders.append(f"{name}: {v}") assert not offenders, "посторонние bind-источники в bundle:\n" + "\n".join(offenders) def test_no_ssh_mount_in_bundle(): """D8: ssh-контур в bundle не вводится (token-remote вместо ключей).""" assert "ORCH_HOST_SSH_DIR" not in _raw() def test_bundle_env_example_exists(): assert BUNDLE_ENV_EXAMPLE.is_file(), "deploy/bundled/.env.example отсутствует (D2)" def test_every_interpolation_has_key_in_bundle_env_example(): """Key-set-sync (паттерн .env.watchdog.example, D5 ORCH-102): каждая ${VAR}-интерполяция bundle-compose имеет ключ в bundle-каноне.""" canon = _env_keys(BUNDLE_ENV_EXAMPLE) # Судим КОНФИГ, не комментарии: строки `# ...` (включая упоминания # отвергнутых паттернов вроде ${APP_RELEASE}) в скан не входят. config_only = "\n".join( line for line in _raw().splitlines() if not line.strip().startswith("#") ) mentioned = set(_INTERP_RE.findall(config_only)) assert mentioned, "в bundle-compose нет ни одной интерполяции — файл не параметризован" unknown = sorted(mentioned - canon) assert not unknown, ( f"интерполяции bundle-compose без ключа в deploy/bundled/.env.example " f"(key-set-sync, TC-04): {unknown}" ) def test_bundle_secrets_in_example_are_empty_placeholders(): """FR-3: ни одного дефолтного пароля в гите — секрет-ключи канона пусты.""" values = {} for line in BUNDLE_ENV_EXAMPLE.read_text(encoding="utf-8").splitlines(): line = line.strip() if line and not line.startswith("#") and "=" in line: k, v = line.split("=", 1) values[k.strip()] = v.strip() for key in ("POSTGRES_PASSWORD", "SECRET_KEY", "RABBITMQ_DEFAULT_PASS", "MINIO_ROOT_PASSWORD", "GITEA_ADMIN_PASSWORD"): assert values.get(key, "") == "", f"{key} обязан быть пустым плейсхолдером" def test_no_network_mode_host_anywhere(): """D4: вся инсталляция в bridge-сети; network_mode: host не используется.""" for name, svc in _services().items(): assert "network_mode" not in svc, f"{name}: network_mode запрещён в bundle (D4)" networks = _doc().get("networks") or {} assert networks.get("default", {}).get("driver") == "bridge" def test_only_human_ports_are_published(): """D4: наружу — только орк/Plane proxy/Gitea web; БД/брокер/minio не публикуются (секрет-гигиена/поверхность атаки).""" publishers = {name for name, svc in _services().items() if svc.get("ports")} assert publishers == {"orchestrator", "gitea", "proxy"}, ( f"порты публикуют {sorted(publishers)}, а разрешены только " "orchestrator/gitea/proxy (D4)" ) def test_gitea_webhook_allowed_host_list_is_set(): """Мина TR-4: без ALLOWED_HOST_LIST Gitea молча режет вебхуки в приватные адреса — «задача не появилась» гарантирован.""" env = _services()["gitea"].get("environment") or [] assert any("GITEA__webhook__ALLOWED_HOST_LIST=orchestrator" in str(e) for e in env), ( "gitea: GITEA__webhook__ALLOWED_HOST_LIST=orchestrator обязателен (D4/TR-4)" ) def test_platform_env_files_are_optional(): """D2: env_file required:false — первый `up -d` поднимает стек ДО сборки runtime-конфига орка (AC-1 «одна команда»).""" services = _services() for name in PLATFORM_SERVICES: entries = services[name].get("env_file") assert isinstance(entries, list) and entries, f"{name}: env_file отсутствует" assert all(e.get("required") is False for e in entries), ( f"{name}: env_file обязан быть required: false (D2)" ) def test_machine_traffic_uses_service_dns(): """D4: машинный трафик — строго сервис-DNS bundle-сети.""" raw = _raw() assert "http://orchestrator:8500/metrics" in raw # watchdog → орк assert "plane-db" in raw and "plane-redis" in raw and "plane-mq" in raw