From c2045bfe97b360ff2287b19407a8793f092e511f Mon Sep 17 00:00:00 2001 From: longsizhuo Date: Fri, 17 Apr 2026 23:12:43 +0000 Subject: [PATCH 1/2] =?UTF-8?q?ci(sync-uuid):=20=E8=BF=81=E7=A7=BB?= =?UTF-8?q?=E5=88=B0=20SSH=20=E8=BF=9B=E8=87=AA=E5=BB=BA=E6=9C=8D=E5=8A=A1?= =?UTF-8?q?=E5=99=A8=E8=B7=91=E8=84=9A=E6=9C=AC?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit DB 从 Neon 迁到自建后只绑 127.0.0.1:5432，GH runner 直连不通。最干净的 方案是 SSH 进服务器跑——服务器上有完整 repo clone + 本机能到 PG + 已有 github ssh key 可以 push 回来。 - 用 appleboy/ssh-action@v1.2.0，三件套 secrets：SERVER_HOST / SERVER_USER / SERVER_SSH_KEY - 脚本流程：fetch + reset --hard 到触发 commit → pnpm install + prisma generate → uuid.mjs → backfill-contributors.mjs → 只有 diff 时 commit [skip ci] + push - set -euo pipefail 保证任何一步失败整个 action 失败 - command_timeout 15m 给 backfill 足够余量 配套一次性准备（已完成，不在 CI 里）： - 服务器 ~/.ssh/authorized_keys 加 gh-actions-leaderboard 公钥 - ~/involution-hell-project/frontend/.env 的 DATABASE_URL 改指 127.0.0.1 注：scripts/generate-leaderboard.mjs 还在 package.json 的 prebuild 钩子里， Vercel 部署时仍会尝试跑。该问题独立处理：要么挪到本 workflow，要么让 Vercel build 时优雅降级（失败跳过用上次提交的 JSON）。 --- .github/workflows/sync-uuid.yml | 89 +++++++++++++++++---------------- 1 file changed, 46 insertions(+), 43 deletions(-) diff --git a/.github/workflows/sync-uuid.yml b/.github/workflows/sync-uuid.yml index 343b9555..e672407d 100644 --- a/.github/workflows/sync-uuid.yml +++ b/.github/workflows/sync-uuid.yml @@ -1,5 +1,13 @@ name: Docs Backfill (on docs changes) +# 2026-04-17 起从"GH runner 直连 Neon"改为"SSH 进自建服务器跑脚本"。 +# 原因：DB 从 Neon 迁到服务器自建 PG 后只绑 127.0.0.1:5432，不对公网暴露。 +# 设计权衡见 wiki Frontend-Auth-And-Admin / 后端 docs/database.md。 +# +# Secrets 依赖： +# SERVER_HOST / SERVER_USER / SERVER_SSH_KEY — SSH 远程登录三件套 +# （私钥生成方式 + 公钥已写入服务器 ~/.ssh/authorized_keys，见仓库 wiki） + on: push: branches: @@ -21,57 +29,52 @@ concurrency: jobs: backfill: - # 防止 fork、限定 main、并避免机器人循环 + # 防止 fork、限定 main / feat/contributor、并避免机器人循环 if: (github.ref == 'refs/heads/main' || github.ref == 'refs/heads/feat/contributor') && github.actor != 'github-actions[bot]' runs-on: ubuntu-latest - permissions: - contents: write - env: - DATABASE_URL: ${{ secrets.DATABASE_URL }} - GITHUB_TOKEN: ${{ secrets.GH_PAT }} # 供脚本调用 GitHub API 提升速率 - DOCS_DIR: app/docs - steps: - - uses: actions/checkout@v4 - - # Enable corepack to ensure the exact pnpm version from package.json is used - - name: Enable Corepack - run: corepack enable - - - uses: pnpm/action-setup@v4 - - - uses: actions/setup-node@v4 + - name: Run backfill on server via SSH + uses: appleboy/ssh-action@v1.2.0 with: - node-version: 22 - cache: "pnpm" # 顺便启用 pnpm 缓存，加速 + host: ${{ secrets.SERVER_HOST }} + username: ${{ secrets.SERVER_USER }} + key: ${{ secrets.SERVER_SSH_KEY }} + # 超时 15 分钟：backfill-contributors 要遍历所有 docs + 拉 GitHub API， + # 大改动一次跑 3-5 分钟，留足余量 + command_timeout: 15m + # set -euo pipefail + BRANCH 透传，脚本内任何一步失败都让整个 action fail + envs: GITHUB_REF_NAME + script: | + set -euo pipefail + BRANCH="${GITHUB_REF_NAME:-main}" + cd /home/ubuntu/involution-hell-project/frontend - # Verify pnpm version matches package.json packageManager field - - name: Check pnpm version - run: node scripts/check-pnpm-version.mjs + # 1. 同步仓库到触发本次 workflow 的 commit + git fetch --prune origin + git checkout "$BRANCH" + git reset --hard "origin/$BRANCH" - - name: Install deps - run: pnpm install --frozen-lockfile + # 2. 依赖和 Prisma client（frontend .env 里 DATABASE_URL 已指本地 PG） + set -a && . ./.env && set +a + pnpm install --frozen-lockfile + pnpm prisma generate - - name: Generate Prisma Client - run: pnpm prisma generate + # 3. 给 docs 补 docId frontmatter（幂等；没新增就啥都不改） + pnpm exec node scripts/uuid.mjs - - name: Ensure docId frontmatter - run: pnpm exec node scripts/uuid.mjs + # 4. 回填 contributors 并写 generated/doc-contributors.json + pnpm exec tsx scripts/backfill-contributors.mjs - - name: Backfill contributors & sync DB - run: pnpm exec tsx scripts/backfill-contributors.mjs - - - name: Auto-commit doc metadata (if any) - uses: stefanzweifel/git-auto-commit-action@v5 - with: - commit_message: "chore(docs): sync doc metadata [skip ci]" # ← 防循环 - file_pattern: "app/docs/**/*.md app/docs/**/*.mdx generated/doc-contributors.json" - - - name: Upload snapshot JSON - uses: actions/upload-artifact@v4 - with: - name: doc-contributors-snapshot - path: generated/doc-contributors.json - if-no-files-found: ignore + # 5. 自动提交 —— 仅当 MDX / JSON 有实际变动时才推 + if ! git diff --quiet -- 'app/docs/**/*.md' 'app/docs/**/*.mdx' generated/doc-contributors.json; then + git config user.name "github-actions[bot]" + git config user.email "41898282+github-actions[bot]@users.noreply.github.com" + git add 'app/docs/**/*.md' 'app/docs/**/*.mdx' generated/doc-contributors.json + # [skip ci] 防止自提交再次触发本 workflow 死循环 + git commit -m "chore(docs): sync doc metadata [skip ci]" + git push origin "$BRANCH" + else + echo "No metadata changes to commit." + fi From 6e4d8f646055f41a63e497b3570a3a566fc16e71 Mon Sep 17 00:00:00 2001 From: longsizhuo Date: Fri, 17 Apr 2026 23:15:24 +0000 Subject: [PATCH 2/2] =?UTF-8?q?docs(infisical):=20=E8=AF=B4=E6=98=8E=20Inf?= =?UTF-8?q?isical=20=E7=94=A8=E7=8B=AC=E7=AB=8B=20OAuth=20App=20=E6=98=AF?= =?UTF-8?q?=E6=AD=A3=E5=B8=B8=E7=9A=84?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit 避免贡献者以为 "刚授权过 InvolutionHell 怎么又要授权一次" 是钓鱼。 - DeveloperToolsIfOwner 按钮 title 告知：首次进入 GitHub 会要再授权一次， 这是正常的——Infisical 是独立 App，授权页显示 owned by InvolutionHell 和相同 logo 可以辨认 - CONTRIBUTING 服务一览表的 "登录方式" 列更新为 "独立 App InvolutionHell Infisical" - CONTRIBUTING 申请流程第 2 步展开：解释 scope / token 完全隔离、如何确认 不是钓鱼 后端设计选择：不复用主站 OAuth App。classic OAuth App 只允许单 callback URL， 硬复用要升级成 GitHub App 触发 92 用户集体重授权。独立 App 是 cleanest 方案。 --- CONTRIBUTING.md | 16 ++++++++-------- app/u/[username]/DeveloperToolsIfOwner.tsx | 2 +- 2 files changed, 9 insertions(+), 9 deletions(-) diff --git a/CONTRIBUTING.md b/CONTRIBUTING.md index 3e477c51..046657ad 100644 --- a/CONTRIBUTING.md +++ b/CONTRIBUTING.md @@ -355,18 +355,18 @@ pnpm postinstall # 同步必要的 Husky/Fumadocs 配置 ### 服务一览 -| 用途 | URL | 谁能进 | 登录方式 | -| ------------ | ----------------------------------------------- | --------------------------------------- | --------------------------------------- | -| 主站 | `https://involutionhell.com` | 所有登录用户 | GitHub OAuth | -| 后端 API | `https://api.involutionhell.com` | — (内部调用) | sa-token (cookie/header) | -| **密钥管理** | `https://secrets.involutionhell.com` | **所有登录协作者**，按 project 权限查看 | GitHub OAuth（复用主站 App） | -| 数据库管理 | `https://api.involutionhell.com/admin/pgadmin/` | **仅 admin** | 主站 cookie 自动通过 Caddy forward_auth | -| 网站分析 | `https://umami.involutionhell.com` | **仅 admin** | 本地 umami 账号 | +| 用途 | URL | 谁能进 | 登录方式 | +| ------------ | ----------------------------------------------- | --------------------------------------- | ----------------------------------------------------------------------- | +| 主站 | `https://involutionhell.com` | 所有登录用户 | GitHub OAuth | +| 后端 API | `https://api.involutionhell.com` | — (内部调用) | sa-token (cookie/header) | +| **密钥管理** | `https://secrets.involutionhell.com` | **所有登录协作者**，按 project 权限查看 | GitHub OAuth（独立 App "InvolutionHell Infisical"，首次进入需授权一次） | +| 数据库管理 | `https://api.involutionhell.com/admin/pgadmin/` | **仅 admin** | 主站 cookie 自动通过 Caddy forward_auth | +| 网站分析 | `https://umami.involutionhell.com` | **仅 admin** | 本地 umami 账号 | ### 怎么拿到 admin / 密钥权限 1. **申请 admin 角色**：现有 superadmin 在 `/admin/users` 页面勾选即可授予（产品规则：superadmin 本身不能通过 API 变动） -2. **申请 Infisical 项目访问**：登录 `secrets.involutionhell.com` 后（GitHub OAuth 自动建账号），联系现有 admin 加到对应 project。Infisical 内部按 environment 分 `dev` / `prod` / `shared` +2. **申请 Infisical 项目访问**：登录 `secrets.involutionhell.com` 时会跳 GitHub 让你授权一个名叫 **InvolutionHell Infisical** 的 App —— 这是正常的。虽然你之前授权过主站的 "InvolutionHell" App，但 Infisical 是独立 OAuth App（org 下两个 App 共用同一个 GitHub 账号，但 scope / token 完全隔离，一个撤销不影响另一个）。授权页能看到 owned by InvolutionHell 和相同 logo，确认后点 Authorize 即可。进去后账号自动按 GitHub 身份建好，联系现有 admin 加到对应 project。Infisical 内部按 environment 分 `dev` / `prod` / `shared` 3. **不要自己手动 INSERT `user_accounts` 表挂 admin 角色** —— OAuth 登录按 `github_` 匹配 username，手工 insert 的人类 username 行永远是孤儿，用户登录后会另开一行丢 admin。历史上有人踩过 ### `.env` 文件规则 diff --git a/app/u/[username]/DeveloperToolsIfOwner.tsx b/app/u/[username]/DeveloperToolsIfOwner.tsx index 3cd268e3..be1ae13a 100644 --- a/app/u/[username]/DeveloperToolsIfOwner.tsx +++ b/app/u/[username]/DeveloperToolsIfOwner.tsx @@ -41,7 +41,7 @@ export function DeveloperToolsIfOwner({ ownerGithubId, ownerUsername }: Props) { rel="noopener noreferrer" className="font-mono text-[11px] uppercase tracking-widest px-2 py-1 border border-[var(--foreground)] text-[var(--foreground)] hover:bg-[var(--foreground)] hover:text-[var(--background)] transition-colors font-bold" data-umami-event="profile_devtools_secrets_click" - title="Infisical 密钥管理（GitHub OAuth 登录，按 project 权限查看）" + title="Infisical 密钥管理 — 首次进入 GitHub 会要你再授权一次，这是正常的：Infisical 和主站是两个独立的 OAuth App（授权页会显示 owned by InvolutionHell 和相同 logo）。登录后按 project 权限查看" > 密钥管理 ↗