752f477a27
build / build (push) Successful in 1m16s
Testy / Testy warstwy logicznej (silnik) (push) Successful in 11m9s
Testy / Testy warstwy prezentacji (dostęp do baz) (push) Successful in 9m51s
Testy / Build obrazu silnika B (swisseph) (push) Failing after 26s
Testy / Kontrola składni wszystkich warstw (push) Successful in 22s
Bazy sa rdzeniem produktu i wlasnie zostaly kupione — a aplikacja nie miala ZADNEGO uwierzytelniania. Prezentacja to NodePort, wiec kazdy w LAN wchodzil bez logowania, a `/search` oddawal surowe wiersze do 50 000 na zapytanie. Bazy mogly wyjsc przez sama aplikacje, bez udzialu jakiegokolwiek LLM. - prezentacja: HTTP Basic (APP_USER/APP_PASSWORD) + limit zadan na IP (RATE_LIMIT_PER_MIN, domyslnie 120/min). Limit dziala TAKZE przed uwierzytelnieniem, zeby zgadywanie hasla i sondowanie API nie bylo darmowe. - logika i dane: token miedzywarstwowy X-Astrololo-Token (INTERNAL_TOKEN) — bez niego dalo sie ominac logowanie, uderzajac wprost w warstwe nizej. Warstwa danych oddaje surowe wiersze, wiec to najwrazliwszy punkt. - /search: gorny limit 50 000 -> 5000 (tyle realnie uzywa build_report). Publiczne /api/query zostaje na 200. - /health celowo publiczny (sondy k8s go nie uwierzytelnia). - swiadomie nie logujemy tresci zadan ani promptow — logi to kolejny nosnik. Fail-open przy braku konfiguracji (zgodnosc wstecz i dev), ale z GLOSNYM ostrzezeniem przy starcie, zeby nikt nie wdrozyl tego w przekonaniu, ze jest chroniony. Wlaczenie w produkcji wymaga ustawienia sekretow w repo deploy. Testy: 12 (prezentacja, nowy katalog + job w CI) i 5 (logika). Zweryfikowane na zywym stosie: bez hasla 401, z haslem 200, logika wprost bez tokenu 401, z tokenem 200, /health 200, limit 50000 odrzucony (422), a prezentacja nadal liczy horoskop przez logike. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
117 lines
4.1 KiB
YAML
117 lines
4.1 KiB
YAML
name: Testy
|
|
|
|
# Odpala się przy każdym pushu (dowolna gałąź) oraz dla pull requestów do master.
|
|
on:
|
|
push:
|
|
pull_request:
|
|
branches: [master]
|
|
|
|
jobs:
|
|
logic-tests:
|
|
name: Testy warstwy logicznej (silnik)
|
|
runs-on: ubuntu-latest
|
|
steps:
|
|
- uses: actions/checkout@v4
|
|
|
|
- name: Python 3.12 (jak w obrazach Dockera)
|
|
uses: actions/setup-python@v5
|
|
with:
|
|
python-version: "3.12"
|
|
cache: pip
|
|
cache-dependency-path: services/logic/requirements-dev.txt
|
|
|
|
# Jądro efemeryd JPL (de421.bsp, ~17 MB). Cache'ujemy je między runami.
|
|
- name: Cache jądra efemeryd
|
|
uses: actions/cache@v4
|
|
with:
|
|
path: services/logic/.ephemeris
|
|
key: ephemeris-de421
|
|
|
|
# Pobieramy jawnie (a nie licząc na auto-pobranie przez Skyfield), żeby
|
|
# brak jądra był twardym błędem, a nie cichym pomijaniem testów.
|
|
- name: Pobierz jądro efemeryd (gdy brak w cache)
|
|
run: |
|
|
mkdir -p services/logic/.ephemeris
|
|
if [ ! -s services/logic/.ephemeris/de421.bsp ]; then
|
|
curl -fSL --retry 3 --max-time 300 \
|
|
-o services/logic/.ephemeris/de421.bsp \
|
|
https://ssd.jpl.nasa.gov/ftp/eph/planets/bsp/de421.bsp
|
|
fi
|
|
ls -lh services/logic/.ephemeris/de421.bsp
|
|
|
|
- name: Instalacja zależności
|
|
run: pip install -r services/logic/requirements-dev.txt
|
|
|
|
# CI=true (ustawiane przez GitHub) sprawia, że brak silnika = błąd,
|
|
# a nie pominięcie — patrz tests/conftest.py.
|
|
- name: Testy (pytest)
|
|
working-directory: services/logic
|
|
env:
|
|
PYTHONPATH: .
|
|
EPHEMERIS_DIR: ${{ github.workspace }}/services/logic/.ephemeris
|
|
run: pytest tests -q -rs
|
|
|
|
presentation-tests:
|
|
name: Testy warstwy prezentacji (dostęp do baz)
|
|
runs-on: ubuntu-latest
|
|
steps:
|
|
- uses: actions/checkout@v4
|
|
- uses: actions/setup-python@v5
|
|
with:
|
|
python-version: "3.12"
|
|
cache: pip
|
|
cache-dependency-path: services/presentation/requirements-dev.txt
|
|
- name: Instalacja zależności
|
|
run: pip install -r services/presentation/requirements-dev.txt
|
|
# Bramka chroniąca oryginalne bazy — nietestowany kod ochronny jest gorszy
|
|
# niż jego brak, bo daje złudzenie zabezpieczenia.
|
|
- name: Testy (pytest)
|
|
working-directory: services/presentation
|
|
env:
|
|
PYTHONPATH: .
|
|
run: pytest tests -q -rs
|
|
|
|
swisseph-image:
|
|
name: Build obrazu silnika B (swisseph)
|
|
runs-on: ubuntu-latest
|
|
steps:
|
|
- uses: actions/checkout@v4
|
|
|
|
# Obraz kompiluje pyswisseph ze źródeł (brak wheeli dla cp312), więc ten
|
|
# build jest realnym testem Dockerfile'a — nie tylko pobraniem paczek.
|
|
- name: docker build
|
|
run: docker build -t astrololo/engine-swisseph:ci services/engine-swisseph
|
|
|
|
- name: Smoke test (health + pozycje)
|
|
run: |
|
|
docker run -d --name swe -p 8003:8003 astrololo/engine-swisseph:ci
|
|
for i in $(seq 1 30); do
|
|
curl -fsS http://localhost:8003/health >/dev/null 2>&1 && break
|
|
sleep 1
|
|
done
|
|
curl -fsS http://localhost:8003/health
|
|
echo
|
|
# Horoskop referencyjny (30.04.1984) — ten sam, na którym opieramy testy
|
|
# silnika własnego; sprawdzamy, że silnik B faktycznie liczy.
|
|
curl -fsS -X POST http://localhost:8003/positions \
|
|
-H 'Content-Type: application/json' \
|
|
-d '{"when_utc":"1984-04-30T09:20:00Z","lat":50.0647,"lon":19.9450}'
|
|
echo
|
|
|
|
- name: Logi kontenera (gdy coś padło)
|
|
if: failure()
|
|
run: docker logs swe || true
|
|
|
|
compile-all:
|
|
name: Kontrola składni wszystkich warstw
|
|
runs-on: ubuntu-latest
|
|
steps:
|
|
- uses: actions/checkout@v4
|
|
- uses: actions/setup-python@v5
|
|
with:
|
|
python-version: "3.12"
|
|
# Sam kompilator — bez instalowania zależności warstw (w tym AGPL-owego
|
|
# silnika swisseph, który nie wchodzi do produktu).
|
|
- name: py_compile
|
|
run: python -m compileall -q services
|