From e64fbd670bea726e319bf074aba208d9cc1909e6 Mon Sep 17 00:00:00 2001 From: lekss361 Date: Sat, 16 May 2026 21:48:28 +0300 Subject: [PATCH] fix(infra): wire GlitchTip DSNs (build-arg + env_file) + reject sentry.io promote MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Problem - GlitchTip Issues = 0 за всё время, хотя backend + frontend SDK интегрированы (PR #207, #208). - Старый Sentry.io продолжает получать события — user видит уведомления оттуда. Root cause - frontend/Dockerfile не имеет ARG NEXT_PUBLIC_GLITCHTIP_DSN → `npm run build` бьёт с пустым env var → Next.js инлайнит undefined → SDK init guard `if (dsn)` skips. Chrome-devtools check на prod bundle подтвердил: ни в одном из 9 chunks DSN-строка не запечена; `i.env.NEXT_PUBLIC_GLITCHTIP_DSN` evaluates to undefined. - .forgejo/workflows/deploy.yml build-frontend не передавал build-args. - На VPS backend/.env.runtime содержит legacy SENTRY_DSN=...@sentry.io/... config.py:_promote_legacy_sentry_dsn слепо промоутит его в glitchtip_dsn → SDK шлёт в чужой Sentry. GLITCHTIP_DSN там не задан. - deploy.yml SSH-скрипт никогда не редактировал SENTRY_DSN/GLITCHTIP_DSN в .env.runtime. Solution 1. frontend/Dockerfile: ARG NEXT_PUBLIC_GLITCHTIP_DSN + NEXT_PUBLIC_ENVIRONMENT с пустыми defaults, ENV-mirror перед `npm run build`. Локальный build без build-args работает по-прежнему (no-op DSN). 2. .forgejo/workflows/deploy.yml: - build-frontend: `build-args` передаёт `secrets.GLITCHTIP_FRONTEND_DSN` + NEXT_PUBLIC_ENVIRONMENT=production. Инвалидирует cache → frontend image пересоберётся (expected). - deploy step: GLITCHTIP_BACKEND_DSN через secret, в SSH-скрипте: a) `sed -i '/^SENTRY_DSN=/d' backend/.env.runtime` — снести legacy b) upsert GLITCHTIP_DSN (sed/printf) тем же паттерном что SENTRY_RELEASE c) `compose up -d --force-recreate --no-deps backend worker beat` — обычный `up -d` не перечитывает env_file без image change. 3. backend/app/core/config.py: _promote_legacy_sentry_dsn ужесточён — принимает SENTRY_DSN только если host == errors.gendsgn.ru. Для других URLs (sentry.io) выдаёт UserWarning и НЕ промоутит. Anti-regression на случай если SENTRY_DSN снова окажется в .env.runtime после ручного вмешательства. Required Forgejo secrets (Settings → Actions → Secrets) - GLITCHTIP_BACKEND_DSN = https://3d6e291003e142458957490c83559867@errors.gendsgn.ru/1 - GLITCHTIP_FRONTEND_DSN = https://5d7bc85e300c4e80a8554ccc818ff56d@errors.gendsgn.ru/2 DSNs публичны (видны в browser bundle) — secrets ради build-time injection, не для конфиденциальности. Если secrets не заданы → deploy succeeds, SDK no-op, без регрессии. Test plan - Verify Forgejo deploy.yml зелёный после merge - chrome-devtools: открыть gendsgn.ru → search bundle на DSN string → должна быть запечена строка errors.gendsgn.ru/2 - Trigger frontend error → POST к errors.gendsgn.ru/api/2/envelope/ - Backend: curl на endpoint вызывающий 500 → событие в GlitchTip backend project - GlitchTip dashboard https://errors.gendsgn.ru/gendesign/issues — Issues > 0 References - vault: meta/00_credentials.md (DSNs + incident notes 2026-05-16) - vault: decisions/Dec_GlitchTip_Frontend_Sentry_SDK.md (env contract) - vault: fixes/fixes-MOC.md (#204 backend SDK init) --- .forgejo/workflows/deploy.yml | 24 +++++++++++++++++++++++- backend/app/core/config.py | 31 ++++++++++++++++++++----------- frontend/Dockerfile | 6 ++++++ 3 files changed, 49 insertions(+), 12 deletions(-) diff --git a/.forgejo/workflows/deploy.yml b/.forgejo/workflows/deploy.yml index e9189f88..d140c43d 100644 --- a/.forgejo/workflows/deploy.yml +++ b/.forgejo/workflows/deploy.yml @@ -134,6 +134,9 @@ jobs: with: context: ./frontend push: true + build-args: | + NEXT_PUBLIC_GLITCHTIP_DSN=${{ secrets.GLITCHTIP_FRONTEND_DSN }} + NEXT_PUBLIC_ENVIRONMENT=production cache-from: type=registry,ref=${{ env.IMAGE_FRONTEND }}:buildcache cache-to: type=registry,ref=${{ env.IMAGE_FRONTEND }}:buildcache,mode=max tags: | @@ -156,12 +159,13 @@ jobs: IMAGE_TAG: latest SENTRY_RELEASE_VAL: ${{ github.sha }} GHCR_PAT: ${{ secrets.GHCR_PAT }} + GLITCHTIP_BACKEND_DSN: ${{ secrets.GLITCHTIP_BACKEND_DSN }} with: host: ${{ secrets.DEPLOY_HOST }} username: ${{ secrets.DEPLOY_USER }} key: ${{ secrets.DEPLOY_SSH_KEY }} port: ${{ secrets.DEPLOY_PORT }} - envs: IMAGE_TAG,SENTRY_RELEASE_VAL,GHCR_PAT + envs: IMAGE_TAG,SENTRY_RELEASE_VAL,GHCR_PAT,GLITCHTIP_BACKEND_DSN script: | set -euo pipefail cd /opt/gendesign @@ -182,6 +186,17 @@ jobs: else printf 'SENTRY_RELEASE=%s\n' "$SENTRY_RELEASE_VAL" >> backend/.env.runtime fi + + # GlitchTip wiring: убираем legacy SENTRY_DSN (auto-promote-логика в + # backend/app/core/config.py:_promote_legacy_sentry_dsn раньше брала + # его и слала события в чужой sentry.io). Устанавливаем GLITCHTIP_DSN + # из Forgejo secret. Пустой secret = no-op (SDK не инициализируется). + sed -i '/^SENTRY_DSN=/d' backend/.env.runtime + if grep -q '^GLITCHTIP_DSN=' backend/.env.runtime; then + sed -i "s|^GLITCHTIP_DSN=.*|GLITCHTIP_DSN=$GLITCHTIP_BACKEND_DSN|" backend/.env.runtime + else + printf 'GLITCHTIP_DSN=%s\n' "$GLITCHTIP_BACKEND_DSN" >> backend/.env.runtime + fi chmod 600 backend/.env.runtime # External network для Caddy + obsidian-stack share @@ -227,6 +242,13 @@ jobs: docker compose -p gendesign -f docker-compose.prod.yml up -d + # backend/.env.runtime изменения (SENTRY_RELEASE, GLITCHTIP_DSN) + # требуют --force-recreate — обычный `up -d` не перечитывает env_file + # если только image не сменился. На deploy где меняется только runtime + # без backend image change — без этого backend остаётся со старым DSN. + docker compose -p gendesign -f docker-compose.prod.yml up -d \ + --force-recreate --no-deps backend worker beat + docker compose -p gendesign -f docker-compose.prod.yml exec -T caddy \ caddy reload --config /etc/caddy/Caddyfile || true diff --git a/backend/app/core/config.py b/backend/app/core/config.py index 16c29b34..4fea5f2c 100644 --- a/backend/app/core/config.py +++ b/backend/app/core/config.py @@ -20,22 +20,31 @@ class Settings(BaseSettings): @model_validator(mode="after") def _promote_legacy_sentry_dsn(self) -> "Settings": - """Backward-compat: если SENTRY_DSN задан, а GLITCHTIP_DSN пуст — автопродвигаем. + """Backward-compat: legacy SENTRY_DSN → glitchtip_dsn ТОЛЬКО для self-hosted. - На существующем VPS .env.runtime содержит SENTRY_DSN=https://... - (старое имя переменной). Pydantic extra="ignore" молча его отбрасывает, - SDK остаётся no-op. Читаем напрямую из os.environ и выдаём DeprecationWarning. + Старый VPS .env.runtime мог содержать SENTRY_DSN=https://...@sentry.io/... + (legacy SaaS Sentry). Промоутить его НЕЛЬЗЯ — события пойдут в чужой проект. + Принимаем только URLs указывающие на наш errors.gendsgn.ru host. """ if not self.glitchtip_dsn: legacy = os.getenv("SENTRY_DSN") if legacy: - warnings.warn( - "SENTRY_DSN is set but ignored by pydantic; rename to GLITCHTIP_DSN. " - "Auto-promoting for backward compat.", - DeprecationWarning, - stacklevel=2, - ) - self.glitchtip_dsn = legacy + if "errors.gendsgn.ru" in legacy: + warnings.warn( + "SENTRY_DSN is set but ignored by pydantic; rename to GLITCHTIP_DSN. " + "Auto-promoting for backward compat.", + DeprecationWarning, + stacklevel=2, + ) + self.glitchtip_dsn = legacy + else: + warnings.warn( + f"SENTRY_DSN points to non-GlitchTip host " + f"({legacy.split('@', 1)[-1][:40]}...) — ignoring. " + "Set GLITCHTIP_DSN explicitly.", + UserWarning, + stacklevel=2, + ) return self # External APIs (Stage 2) diff --git a/frontend/Dockerfile b/frontend/Dockerfile index 6e34fff2..6c769b35 100644 --- a/frontend/Dockerfile +++ b/frontend/Dockerfile @@ -13,6 +13,12 @@ RUN --mount=type=cache,target=/root/.npm \ FROM node:20-alpine AS builder WORKDIR /app ENV NEXT_TELEMETRY_DISABLED=1 +# NEXT_PUBLIC_* must be present at `npm run build` — Next.js inlines them into +# the client bundle. Defaults to empty so local `docker build` без build-args не ломается. +ARG NEXT_PUBLIC_GLITCHTIP_DSN= +ARG NEXT_PUBLIC_ENVIRONMENT=production +ENV NEXT_PUBLIC_GLITCHTIP_DSN=$NEXT_PUBLIC_GLITCHTIP_DSN +ENV NEXT_PUBLIC_ENVIRONMENT=$NEXT_PUBLIC_ENVIRONMENT COPY --from=deps /app/node_modules ./node_modules COPY . . RUN npm run build