Nasadzovanie cez FTP: od ručného kopírovania k nasadeniu s návratom

Vývojár upravuje kód lokálne a zmenené súbory nahráva cez FTP klienta priamo do adresára, z ktorého web beží. Potom sa cez SSH prihlási na server a podľa potreby ručne spustí composer install a migrácie. Drobné opravy občas robí priamo na serveri.

Prihlasovacie údaje k FTP sú uložené vo FTP klientovi na dvoch počítačoch. FTP ich po sieti posiela nešifrované.

Počas sezóny sa pri nahrávaní väčšej úpravy prerušilo spojenie. Na serveri ostala polovica nových súborov a polovica starých. Stránka rezervácie končila fatálnou chybou PHP, kým vývojár nedohral zvyšok. V logu Nginx bolo vidieť, že sa to týkalo každej rezervácie v tom čase.

O pár dní neskôr sa ukázala druhá chyba: jeden súbor pri nahrávaní zabudli. Chyba sa prejavila iba v jednej ceste rezervácie a prišiel na ňu zákazník.

Návrat k predchádzajúcej verzii nebol možný. Nikto presne nevedel, čo na serveri je, lebo časť opráv vznikla priamo tam a v Gite nebola.

Nasadzovanie nebolo atomické. Súbory sa menili jeden po druhom, zatiaľ čo web obsluhoval požiadavky, takže počas nahrávania a po jeho prerušení bežala zmes dvoch verzií.

Neexistovala jedna zostavená a otestovaná verzia. Na server išlo to, čo vývojár práve vybral, bez testov a bez kontroly, či je všetko.

Server sa odlišoval od repozitára, takže repozitár nebol spoľahlivým zdrojom pravdy a nebolo k čomu sa vrátiť.

Popri tom bezpečnostný problém: FTP posiela heslo nešifrovane a FTP klient ho má uložené na disku. Kto ho získa, môže meniť kód živého webu.

Obsah servera sa stiahol do samostatnej vetvy repozitára. git diff ukázal súbory upravené priamo na serveri, ktoré v Gite chýbali. Tie sa prebrali do hlavnej vetvy, aby sa nič nestratilo.

Logy Nginx a PHP-FPM ukázali, ako dlho výpadok trval a ktoré cesty zasiahol.

V konfigurácii FTP servera sa potvrdilo, že šifrované spojenie nevyžaduje.

Všetko je v Gite a server sa mení výhradne nasadením. FTP je vypnuté a heslo zmenené.

GitHub Actions pri každom zlúčení do hlavnej vetvy: composer install --no-dev --optimize-autoloader, zostavenie frontendu, php artisan test a zabalenie hotovej verzie. Ak testy zlyhajú, nasadenie sa nespustí.

Na server ide balík cez SSH kľúčom, ktorý patrí iba CI a osobitnému používateľovi s právami na adresár aplikácie. Každá verzia sa rozbalí do vlastného adresára a web sa na ňu prepne jedným krokom.

#!/usr/bin/env bash
set -euo pipefail

APP=/srv/booking
REL="$APP/releases/$(date -u +%Y%m%d%H%M%S)"

mkdir -p "$REL"
tar -xzf /tmp/release.tar.gz -C "$REL"      # built and tested in CI
ln -s "$APP/shared/.env" "$REL/.env"
rm -rf "$REL/storage" && ln -s "$APP/shared/storage" "$REL/storage"

cd "$REL"
php artisan migrate --force
php artisan config:cache
php artisan route:cache

# atomic switch: rename(2) replaces the link in one step, ln -sfn does not
ln -s "$REL" "$APP/current.tmp"
mv -T "$APP/current.tmp" "$APP/current"

sudo systemctl reload php8.3-fpm            # drops OPcache entries of the old release
curl -fsS --retry 3 https://rezervacie.example.sk/up > /dev/null

# keep the last five releases for rollback
ls -1d "$APP"/releases/* | head -n -5 | xargs -r rm -rf

Nginx musí symbolický odkaz vyhodnocovať pri každej požiadavke. Inak by si PHP pamätalo cesty starej verzie.

root /srv/booking/current/public;

location ~ \.php$ {
    include fastcgi_params;
    # resolve the symlink per request, so PHP never mixes two releases
    fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
    fastcgi_param DOCUMENT_ROOT $realpath_root;
    fastcgi_pass unix:/run/php/php8.3-fpm.sock;
}

Návrat späť je ten istý posledný krok s predchádzajúcim adresárom a reload PHP-FPM, teda sekundy. Používateľ, pod ktorým CI nasadzuje, smie cez sudo spustiť iba tento jeden reload, nič iné.

Migrácie sa píšu tak, aby s novou schémou fungovala aj predchádzajúca verzia kódu: stĺpce sa najprv pridávajú a staré sa odstraňujú až v niektorom z ďalších nasadení. Inak by návrat kódu nepomohol.

mv -T na tom istom súborovom systéme volá rename, ktoré nahradí odkaz current jedným krokom. Každá požiadavka vidí buď celú starú, alebo celú novú verziu, nikdy zmes. Príkaz ln -sfn by odkaz najprv zmazal a potom vytvoril nový, s krátkym okamihom bez neho.

$realpath_root v Nginx a reload PHP-FPM zabezpečia, že PHP po prepnutí číta súbory novej verzie a jeho OPcache nedrží cesty tej starej.

Verzia sa zostavuje a testuje v CI, takže na server ide vždy celok, ktorý prešiel testami, nie výber súborov.

Staré verzie ostávajú na disku, takže návrat nič nezostavuje ani nesťahuje. Iba prepne odkaz.

SSH kľúč, ktorý patrí iba CI, nahrádza heslo na FTP, ktoré cestovalo sieťou nešifrované.

Čo to nerieši: migráciu databázy prepnutie odkazu nevráti. Preto sa migrácie píšu spätne kompatibilné.