ci-cd.yml

name: CI/CD Pipeline - Blue/Green Deployment

on:
  push:
    branches: [ main, develop ]
  pull_request:
    branches: [ main ]
  workflow_dispatch:
    inputs:
      environment:
        description: 'Deployment Environment'
        required: true
        default: 'staging'
        type: choice
        options:
        - staging
        - production

env:
  REGISTRY: ghcr.io
  IMAGE_NAME: ${{ github.repository }}
  # 헬스 URL 은 전역 env 에서 뺐다. 배포 잡의 해당 스텝만 시크릿을 env 로 받는다.
  # 전역에 두면 배포와 무관한 test/scan 잡 환경에까지 값이 실린다.

permissions:
  contents: read
  packages: write
  security-events: write

concurrency:
  group: carecode-${{ github.ref }}
  cancel-in-progress: true

jobs:
  # ===========================================
  # Test & Build Job
  # ===========================================
  test-and-build:
    name: Test and Build
    runs-on: ubuntu-latest
    
    steps:
    - name: Checkout code
      uses: actions/checkout@v4

    # 이 잡은 SSH 를 사용하지 않는다. PR 트리거에서도 도는 잡에
    # 배포용 개인키를 올리지 않도록 SSH 설정을 두지 않는다.

    - name: Validate Gradle wrapper
      uses: gradle/actions/wrapper-validation@v4

    - name: Set up JDK 17
      uses: actions/setup-java@v4
      with:
        java-version: '17'
        distribution: 'temurin'

    - name: Cache Gradle packages
      uses: actions/cache@v4
      with:
        path: |
          ~/.gradle/caches
          ~/.gradle/wrapper
        key: ${{ runner.os }}-gradle-${{ hashFiles('**/*.gradle*', '**/gradle-wrapper.properties') }}
        restore-keys: |
          ${{ runner.os }}-gradle-
          
    - name: Run tests
      run: ./gradlew clean test jacocoTestReport

    # Testcontainers 테스트는 Docker 가 없으면 조용히 skip 되고 빌드는 초록불이 된다.
    # 스키마 정합성 검증이 그렇게 빠지면 마이그레이션 누락을 아무도 못 잡는다.
    - name: Assert schema validation actually ran
      run: |
        report=build/test-results/test/TEST-com.carecode.integration.FlywaySchemaValidationTest.xml
        if [ ! -f "$report" ]; then
          echo "::error::스키마 정합성 테스트 리포트가 없습니다."
          exit 1
        fi
        if grep -q 'skipped="0"' "$report"; then
          echo "스키마 정합성 테스트 실행 확인"
        else
          echo "::error::스키마 정합성 테스트가 skip 되었습니다. Docker 환경을 확인하세요."
          exit 1
        fi

    - name: Publish test report
      uses: mikepenz/action-junit-report@v5
      if: always()
      with:
        report_paths: 'build/test-results/test/TEST-*.xml'

    # build 에서 -x test 로 테스트를 빼면 check 에 걸어둔 커버리지 검증까지 함께 무력화된다.
    # 위에서 이미 test 를 돌렸으므로 여기서는 검증을 포함해 그대로 build 한다.
    - name: Build application
      run: ./gradlew build

    - name: Upload build artifacts
      uses: actions/upload-artifact@v4
      with:
        name: application-jar
        path: build/libs/*.jar
        retention-days: 7

  # ===========================================
  # Security Scan Job
  # ===========================================
  security-scan:
    name: Security Scan
    runs-on: ubuntu-latest
    needs: test-and-build
    
    steps:
    - name: Checkout code
      uses: actions/checkout@v4

    # 이 잡도 SSH 를 사용하지 않으므로 배포용 개인키를 로드하지 않는다.

    # 1) SARIF 리포트 생성 (Security 탭 업로드용) - 여기서는 실패시키지 않는다.
    - name: Run Trivy vulnerability scanner (report)
      uses: aquasecurity/trivy-action@v0.36.0
      with:
        scan-type: 'fs'
        scan-ref: '.'
        format: 'sarif'
        output: 'trivy-results.sarif'

    - name: Upload Trivy scan results to GitHub Security tab
      uses: github/codeql-action/upload-sarif@v3
      if: always()
      with:
        sarif_file: 'trivy-results.sarif'

    # 2) 게이트: CRITICAL/HIGH 취약점이 있으면 파이프라인을 실패시킨다.
    #    exit-code 를 지정하지 않으면 취약점이 나와도 그냥 통과해 스캔이 장식이 된다.
    - name: Fail on CRITICAL/HIGH vulnerabilities
      uses: aquasecurity/trivy-action@v0.36.0
      with:
        scan-type: 'fs'
        scan-ref: '.'
        format: 'table'
        severity: 'CRITICAL,HIGH'
        ignore-unfixed: true
        exit-code: '1'

  # ===========================================
  # Build Docker Image Job
  # ===========================================
  build-docker:
    name: Build Docker Image
    runs-on: ubuntu-latest
    needs: [test-and-build, security-scan]
    if: github.event_name == 'push' || github.event_name == 'workflow_dispatch'
    
    outputs:
      image-tag: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:${{ steps.meta.outputs.version }}
      
    steps:
    - name: Checkout code
      uses: actions/checkout@v4
      
    - name: Set up Docker Buildx
      uses: docker/setup-buildx-action@v3
      
    - name: Log in to Container Registry
      uses: docker/login-action@v3
      with:
        registry: ${{ env.REGISTRY }}
        username: ${{ github.actor }}
        password: ${{ secrets.GITHUB_TOKEN }}
        
    - name: Extract metadata
      id: meta
      uses: docker/metadata-action@v5
      with:
        images: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}
        tags: |
          type=ref,event=branch
          type=ref,event=pr
          type=sha,prefix={{branch}}-
          type=raw,value=latest,enable={{is_default_branch}}
          
    - name: Build and push Docker image
      uses: docker/build-push-action@v5
      with:
        context: .
        push: true
        tags: ${{ steps.meta.outputs.tags }}
        labels: ${{ steps.meta.outputs.labels }}
        cache-from: type=gha
        cache-to: type=gha,mode=max

  # ===========================================
  # Deploy to Staging (Green) Job
  # ===========================================
  deploy-staging:
    name: Deploy to Staging (Green)
    runs-on: ubuntu-latest
    needs: build-docker
    if: github.ref == 'refs/heads/develop' || (github.event_name == 'workflow_dispatch' && github.event.inputs.environment == 'staging')
    environment: staging

    steps:
    - name: Checkout code
      uses: actions/checkout@v4

    # 어떤 시크릿이 비어 있는지 먼저 이름으로 알려준다.
    # 운영 쪽과 같은 규칙이다 — 전부 있으면 배포, 하나도 없으면 건너뜀, 일부만 있으면 실패.
    # 자세한 이유는 deploy-production 의 같은 스텝에 적어 두었다.
    - name: Check deploy secrets
      id: secrets
      env:
        DEPLOY_HOST: ${{ secrets.STAGING_DEPLOY_HOST }}
        DEPLOY_USER: ${{ secrets.STAGING_DEPLOY_USER }}
        SSH_KEY: ${{ secrets.STAGING_SSH_KEY }}
        HEALTH_URL: ${{ secrets.STAGING_HEALTH_URL }}
      run: |
        required="DEPLOY_HOST DEPLOY_USER SSH_KEY HEALTH_URL"
        missing=""
        present=""
        for name in $required; do
          if [ -z "${!name}" ]; then missing="$missing STAGING_$name"; else present="$present STAGING_$name"; fi
        done

        if [ -z "$missing" ]; then
          echo "configured=true" >> "$GITHUB_OUTPUT"
          echo "스테이징 배포 시크릿이 모두 설정되어 있습니다."
          exit 0
        fi

        if [ -n "$present" ]; then
          echo "::error::스테이징 배포 시크릿이 일부만 설정되어 있습니다. 없는 것:$missing"
          exit 1
        fi

        echo "configured=false" >> "$GITHUB_OUTPUT"
        {
          echo "### 스테이징 배포를 건너뜀"
          echo
          echo "배포 시크릿이 설정되지 않았습니다. 설정 방법: \`docs/operations/deployment-secrets.md\`"
        } >> "$GITHUB_STEP_SUMMARY"
        echo "::notice::스테이징 배포 시크릿 미설정 — 배포를 건너뜁니다."

    # SSH 개인키를 올리는 스텝이 아예 없어서, 시크릿을 채워도 인증 단계에서 막혔다.
    # 키는 env 로 넘긴다. run 본문에 ${{ secrets.* }} 를 그대로 쓰면 값이 스크립트 텍스트에 박힌다.
    - name: Set up SSH
      if: steps.secrets.outputs.configured == 'true'
      env:
        SSH_KEY: ${{ secrets.STAGING_SSH_KEY }}
        KNOWN_HOSTS: ${{ secrets.STAGING_SSH_KNOWN_HOSTS }}
        DEPLOY_HOST: ${{ secrets.STAGING_DEPLOY_HOST }}
      run: |
        mkdir -p ~/.ssh && chmod 700 ~/.ssh
        printf '%s\n' "$SSH_KEY" > ~/.ssh/deploy_key
        chmod 600 ~/.ssh/deploy_key
        if [ -n "$KNOWN_HOSTS" ]; then
          printf '%s\n' "$KNOWN_HOSTS" > ~/.ssh/known_hosts
        else
          # StrictHostKeyChecking=no 를 쓰던 자리다. keyscan 도 최초 접속을 그냥 믿는 건 같지만,
          # 최소한 이번 실행 안에서는 호스트키가 고정된다. 중간자 공격까지 막으려면
          # STAGING_SSH_KNOWN_HOSTS 에 호스트키를 넣어 고정해야 한다.
          echo "::warning::STAGING_SSH_KNOWN_HOSTS 가 없어 ssh-keyscan 으로 대체합니다."
          ssh-keyscan -H "$DEPLOY_HOST" > ~/.ssh/known_hosts 2>/dev/null
        fi
        chmod 600 ~/.ssh/known_hosts

    - name: Deploy to staging environment
      if: steps.secrets.outputs.configured == 'true'
      env:
        DEPLOY_HOST: ${{ secrets.STAGING_DEPLOY_HOST }}
        DEPLOY_USER: ${{ secrets.STAGING_DEPLOY_USER }}
        IMAGE: ${{ needs.build-docker.outputs.image-tag }}
      run: |
        ssh -i ~/.ssh/deploy_key "$DEPLOY_USER@$DEPLOY_HOST" \
          "mkdir -p /opt/carecode/uploads-staging && docker pull $IMAGE && (docker stop carecode-staging || true) && (docker rm carecode-staging || true) && docker run -d --name carecode-staging --memory=640m --memory-swap=640m -v /opt/carecode/uploads-staging:/app/uploads -p 8082:8082 --env-file /opt/carecode/.env $IMAGE"

    - name: Run health check
      if: steps.secrets.outputs.configured == 'true'
      env:
        HEALTH_URL: ${{ secrets.STAGING_HEALTH_URL }}
      run: |
        for i in {1..20}; do
          if curl -fsS "$HEALTH_URL/actuator/health" | grep -q '"status":"UP"'; then
            echo "Staging health check passed"
            exit 0
          fi
          sleep 5
        done
        echo "::error::스테이징 헬스체크 실패 - 컨테이너 로그를 확인하세요"
        exit 1

    # 예전에는 echo 만 있어서 배포가 실패해도 아무에게도 닿지 않았다.
    # OPS_SLACK_WEBHOOK_URL 이 없으면 잡 요약에만 남긴다.
    - name: Notify deployment status
      if: always()
      env:
        SLACK_WEBHOOK_URL: ${{ secrets.OPS_SLACK_WEBHOOK_URL }}
        STATUS: ${{ job.status }}
      run: |
        if [ "${{ steps.secrets.outputs.configured }}" != "true" ]; then
          echo "[staging] 배포 건너뜀 (시크릿 미설정)" >> "$GITHUB_STEP_SUMMARY"
          exit 0
        fi
        line="[staging] 배포 $STATUS - ${{ github.repository }}@${GITHUB_SHA:0:7} (${{ github.run_id }})"
        echo "$line" >> "$GITHUB_STEP_SUMMARY"
        if [ "$STATUS" != "success" ]; then echo "::error::$line"; fi
        if [ -n "$SLACK_WEBHOOK_URL" ]; then
          curl -fsS -X POST "$SLACK_WEBHOOK_URL" \
            -H 'Content-Type: application/json' \
            -d "$(jq -n --arg t "$line" '{text:$t}')" || echo "::warning::슬랙 알림 전송 실패"
        fi

  # ===========================================
  # Deploy to Production (Blue/Green) Job
  # ===========================================
  deploy-production:
    name: Deploy to Production
    runs-on: ubuntu-latest
    needs: build-docker
    if: github.ref == 'refs/heads/main' || (github.event_name == 'workflow_dispatch' && github.event.inputs.environment == 'production')
    environment: production

    # 예전에는 Blue/Green 이었다. 두 색을 바꿔치는 마지막 단계가 라우터 HTTP API
    # (PRODUCTION_ROUTER_STATUS_URL / _SWITCH_URL) 를 호출했는데, 그 API 를 제공하는
    # 구현이 어디에도 없다. 별도 저장소의 블루/그린 도구(CareCode_Nohub_Deploy)는
    # paramiko 로 서버에 붙어 nginx conf 를 고치는 CLI 이지 HTTP 서버가 아니다.
    # 그래서 시크릿을 다 채워도 전환 단계에서 반드시 멈췄다.
    #
    # 진짜 무중단은 nginx 를 제어할 수 있어야 성립한다. 그때까지는 "새 이미지를 예비
    # 포트에서 먼저 띄워 확인하고, 통과할 때만 교체" 로 간다. 교체 순간에 짧은 순단이
    # 있지만, 깨진 이미지가 운영에 올라가는 일은 없다.
    steps:
    - name: Checkout code
      uses: actions/checkout@v4

    # 시크릿 상태를 세 가지로 나눈다.
    #
    #   전부 있음   → 배포한다
    #   하나도 없음 → 건너뛴다 (실패가 아니다)
    #   일부만 있음 → 실패한다 (설정 사고다)
    #
    # "하나도 없음" 을 실패로 두면 배포 대상이 정해지기 전까지 main 의 모든 머지가 빨간불이 된다.
    # 그 상태가 다섯 번 연속되면 빨간불이 정상처럼 보이고, 그때부터는 진짜 실패도 눈에 띄지 않는다
    # (#94 가 적은 그대로다). 그래서 미설정은 잡 요약에 남기고 통과시킨다 — 설정이 없다는 사실은
    # 조용히 지나가지 않고 모든 실행의 요약에 적힌다.
    #
    # 반대로 일부만 채워져 있으면 넘어가면 안 된다. 호스트는 있는데 키가 없는 식이면 누군가
    # 설정하다 멈춘 것이고, 그건 조용히 건너뛸 일이 아니다.
    - name: Check deploy secrets
      id: secrets
      env:
        DEPLOY_HOST: ${{ secrets.PRODUCTION_DEPLOY_HOST }}
        DEPLOY_USER: ${{ secrets.PRODUCTION_DEPLOY_USER }}
        SSH_KEY: ${{ secrets.PRODUCTION_SSH_KEY }}
        HEALTH_URL: ${{ secrets.PRODUCTION_HEALTH_URL }}
      run: |
        required="DEPLOY_HOST DEPLOY_USER SSH_KEY HEALTH_URL"
        missing=""
        present=""
        for name in $required; do
          if [ -z "${!name}" ]; then missing="$missing PRODUCTION_$name"; else present="$present PRODUCTION_$name"; fi
        done

        if [ -z "$missing" ]; then
          echo "configured=true" >> "$GITHUB_OUTPUT"
          echo "운영 배포 시크릿이 모두 설정되어 있습니다."
          exit 0
        fi

        if [ -n "$present" ]; then
          echo "::error::운영 배포 시크릿이 일부만 설정되어 있습니다. 없는 것:$missing"
          echo "설정된 것:$present" >&2
          exit 1
        fi

        echo "configured=false" >> "$GITHUB_OUTPUT"
        {
          echo "### 운영 배포를 건너뜀"
          echo
          echo "배포 시크릿이 설정되지 않아 이번 커밋은 **운영에 반영되지 않았습니다.**"
          echo "테스트·빌드·이미지는 정상입니다."
          echo
          echo "설정 방법: \`docs/operations/deployment-secrets.md\`"
        } >> "$GITHUB_STEP_SUMMARY"
        echo "::notice::운영 배포 시크릿 미설정 — 배포를 건너뜁니다. docs/operations/deployment-secrets.md 참고"

    # SSH 개인키를 올리는 스텝이 아예 없어서, 시크릿을 채워도 인증 단계에서 막혔다.
    # 키는 env 로 넘긴다. run 본문에 ${{ secrets.* }} 를 그대로 쓰면 값이 스크립트 텍스트에 박힌다.
    - name: Set up SSH
      if: steps.secrets.outputs.configured == 'true'
      env:
        SSH_KEY: ${{ secrets.PRODUCTION_SSH_KEY }}
        KNOWN_HOSTS: ${{ secrets.PRODUCTION_SSH_KNOWN_HOSTS }}
        DEPLOY_HOST: ${{ secrets.PRODUCTION_DEPLOY_HOST }}
      run: |
        mkdir -p ~/.ssh && chmod 700 ~/.ssh
        printf '%s\n' "$SSH_KEY" > ~/.ssh/deploy_key
        chmod 600 ~/.ssh/deploy_key
        if [ -n "$KNOWN_HOSTS" ]; then
          printf '%s\n' "$KNOWN_HOSTS" > ~/.ssh/known_hosts
        else
          # StrictHostKeyChecking=no 를 쓰던 자리다. keyscan 도 최초 접속을 그냥 믿는 건 같지만,
          # 최소한 이번 실행 안에서는 호스트키가 고정된다. 중간자 공격까지 막으려면
          # PRODUCTION_SSH_KNOWN_HOSTS 에 호스트키를 넣어 고정해야 한다.
          echo "::warning::PRODUCTION_SSH_KNOWN_HOSTS 가 없어 ssh-keyscan 으로 대체합니다."
          ssh-keyscan -H "$DEPLOY_HOST" > ~/.ssh/known_hosts 2>/dev/null
        fi
        chmod 600 ~/.ssh/known_hosts

    # 토큰은 stdin 으로 흘려보낸다. ssh 인자로 넘기면 서버의 프로세스 목록에 그대로 보인다.
    - name: Log in to registry on the server
      if: steps.secrets.outputs.configured == 'true'
      env:
        DEPLOY_HOST: ${{ secrets.PRODUCTION_DEPLOY_HOST }}
        DEPLOY_USER: ${{ secrets.PRODUCTION_DEPLOY_USER }}
        GHCR_TOKEN: ${{ secrets.GITHUB_TOKEN }}
      run: |
        printf '%s' "$GHCR_TOKEN" | ssh -i ~/.ssh/deploy_key "$DEPLOY_USER@$DEPLOY_HOST" \
          "docker login ${{ env.REGISTRY }} -u '${{ github.actor }}' --password-stdin"

    - name: Deploy
      if: steps.secrets.outputs.configured == 'true'
      env:
        DEPLOY_HOST: ${{ secrets.PRODUCTION_DEPLOY_HOST }}
        DEPLOY_USER: ${{ secrets.PRODUCTION_DEPLOY_USER }}
        IMAGE: ${{ needs.build-docker.outputs.image-tag }}
      run: |
        ssh -i ~/.ssh/deploy_key "$DEPLOY_USER@$DEPLOY_HOST" "IMAGE='$IMAGE' bash -s" <<'REMOTE'
        set -euo pipefail

        APP=carecode
        PORT=8082
        ENV_FILE=/opt/carecode/.env

        # 컨테이너 메모리 한도. 없으면 JVM 이 호스트 전체를 기준으로 힙을 잡아(측정: 858MB)
        # 같은 머신의 MariaDB·Redis 가 쓸 메모리를 먹는다. 1GB 인스턴스 기준 기본값이며,
        # 서버 .env 에 APP_MEMORY 를 두면 그 값을 쓴다(여유 있는 인스턴스에서 올리면 된다).
        APP_MEMORY="$(grep -E '^APP_MEMORY=' "$ENV_FILE" 2>/dev/null | tail -1 | cut -d= -f2)"
        APP_MEMORY="${APP_MEMORY:-640m}"

        if [ ! -f "$ENV_FILE" ]; then
          echo "$ENV_FILE 이 없습니다."
          exit 1
        fi

        # 되돌릴 대상. 지금 돌고 있는 컨테이너가 쓰는 이미지 ID 를 먼저 붙잡아 둔다.
        # 태그가 아니라 ID 를 쓰는 이유: 같은 태그가 새 이미지로 덮여도 예전 것을 가리키게 하기 위해서다.
        PREV_IMAGE="$(docker inspect -f '{{.Image}}' "$APP" 2>/dev/null || true)"

        echo "===== pull $IMAGE ====="
        docker pull "$IMAGE"

        # 업로드물은 컨테이너 밖에 둔다. 볼륨이 없으면 교체할 때마다 /app/uploads 가 컨테이너와
        # 함께 사라진다 — 사용자가 올린 진단서·프로필 이미지가 배포마다 전부 날아간다는 뜻이다.
        # (STORAGE_TYPE=s3 로 MinIO·S3 를 쓰면 이 볼륨은 쓰이지 않지만, 되돌릴 때를 위해 둔다.)
        UPLOADS_DIR=/opt/carecode/uploads
        mkdir -p "$UPLOADS_DIR"

        # 오브젝트 스토리지(MinIO)를 쓰는 배포라면 그 컨테이너는 앱과 생애주기가 다르다.
        # 앱만 교체하고 MinIO 는 건드리지 않는다 — 데이터가 그 안에 있다.
        #
        # 서버 .env 에 STORAGE_TYPE=s3 와 MINIO_ROOT_USER/PASSWORD 를 두면 아래가 한 번
        # 띄우고, 이미 떠 있으면 그대로 둔다. 실측 메모리는 유휴 54MB, 100MB 업로드 후 66MB 다.
        # 엔드포인트가 이 호스트를 가리킬 때만 MinIO 를 띄운다. 외부 S3·원격 MinIO 를 쓰는
        # 배포에서는 띄우지 않는다. (grep -E 는 부정 전방탐색을 지원하지 않아 case 로 쓴다.)
        S3_ENDPOINT="$(grep -E '^STORAGE_S3_ENDPOINT=' "$ENV_FILE" 2>/dev/null | tail -1 | cut -d= -f2-)"
        LOCAL_OBJECT_STORE=no
        if grep -qE '^STORAGE_TYPE=s3$' "$ENV_FILE" 2>/dev/null; then
          case "$S3_ENDPOINT" in
            ""|*127.0.0.1*|*localhost*|*host.docker.internal*) LOCAL_OBJECT_STORE=yes ;;
          esac
        fi

        if [ "$LOCAL_OBJECT_STORE" = yes ]; then
          MINIO_MEMORY="$(grep -E '^MINIO_MEMORY=' "$ENV_FILE" 2>/dev/null | tail -1 | cut -d= -f2)"
          MINIO_MEMORY="${MINIO_MEMORY:-192m}"

          if ! docker ps --format '{{.Names}}' | grep -qx carecode-minio; then
            echo "===== MinIO 기동 (메모리 $MINIO_MEMORY) ====="
            mkdir -p /opt/carecode/minio
            # 127.0.0.1 에만 바인딩한다. 오브젝트 스토리지를 외부에 열 이유가 없고,
            # 앱은 같은 호스트에서 붙는다.
            docker run -d --name carecode-minio --restart unless-stopped               --memory="$MINIO_MEMORY" --memory-swap="$MINIO_MEMORY"               -p 127.0.0.1:9000:9000               --env-file "$ENV_FILE"               -v /opt/carecode/minio:/data               minio/minio:RELEASE.2024-08-29T01-40-52Z server /data || {
                echo "::error::MinIO 기동 실패. STORAGE_TYPE=s3 인데 저장소가 없으면 업로드가 전부 실패합니다."
                exit 1
              }
          else
            echo "MinIO 가 이미 떠 있습니다 (앱만 교체합니다)."
          fi
        fi

        # host.docker.internal 을 호스트로 매핑한다.
        #
        # 앱은 브리지 네트워크에서 돌고, MariaDB·Redis·MinIO 는 호스트의 127.0.0.1 에 묶여 있다.
        # 컨테이너 안에서 127.0.0.1 은 "그 컨테이너 자신" 이라 그 주소로는 닿지 않는다.
        # 그래서 서버 .env 의 접속 주소는 host.docker.internal 이어야 한다
        # (예: jdbc:mariadb://host.docker.internal:3306/carecode).
        run_app() {
          docker run -d --name "$APP" --restart unless-stopped             --memory="$APP_MEMORY" --memory-swap="$APP_MEMORY"             --add-host=host.docker.internal:host-gateway             -v "$UPLOADS_DIR:/app/uploads"             -p "$PORT:8082" --env-file "$ENV_FILE" "$1" >/dev/null
        }

        wait_healthy() {
          for _ in $(seq 1 48); do
            if curl -fsS "http://127.0.0.1:$PORT/actuator/health" 2>/dev/null | grep -q '"status":"UP"'; then
              return 0
            fi
            # 컨테이너가 이미 죽었으면 더 기다릴 이유가 없다 (OOM 이면 여기서 잡힌다).
            if [ -z "$(docker ps -q -f name="^${APP}$")" ]; then
              return 1
            fi
            sleep 5
          done
          return 1
        }

        # 교체. 1GB 인스턴스에서는 새 컨테이너를 미리 띄워 검증할 메모리가 없다
        # (JVM 두 개 = 측정 기준 1.3GB). 그래서 짧은 순단을 받아들이고, 실패하면 되돌린다.
        echo "===== 교체 ($APP_MEMORY) ====="
        for name in "$APP" carecode-probe carecode-blue carecode-green; do
          docker rm -f "$name" >/dev/null 2>&1 || true
        done

        run_app "$IMAGE"

        if wait_healthy; then
          echo "===== 교체 완료 ====="
          docker image prune -f >/dev/null 2>&1 || true
          exit 0
        fi

        echo "새 이미지가 기동하지 못했습니다."
        echo "----- 컨테이너 로그 (마지막 100줄) -----"
        docker logs --tail 100 "$APP" 2>&1 || true

        if [ -z "$PREV_IMAGE" ]; then
          echo "::error::되돌릴 이전 이미지가 없습니다(첫 배포로 보입니다). 서비스가 내려간 상태입니다."
          exit 1
        fi

        echo "===== 이전 이미지로 되돌립니다 ($PREV_IMAGE) ====="
        docker rm -f "$APP" >/dev/null 2>&1 || true
        run_app "$PREV_IMAGE"

        if wait_healthy; then
          echo "::error::새 이미지 기동 실패. 이전 이미지로 되돌렸고 서비스는 살아 있습니다."
          exit 1
        fi

        echo "::error::되돌린 이미지도 기동하지 못했습니다. 서비스가 내려간 상태입니다 — 서버를 직접 확인하세요."
        docker logs --tail 100 "$APP" 2>&1 || true
        exit 1
        REMOTE

    - name: Verify from outside
      if: steps.secrets.outputs.configured == 'true'
      env:
        HEALTH_URL: ${{ secrets.PRODUCTION_HEALTH_URL }}
      run: |
        # 서버 안에서는 UP 인데 밖에서 안 보이면 프록시/보안그룹 문제다. 구분해서 알려준다.
        for _ in $(seq 1 12); do
          if curl -fsS "$HEALTH_URL/actuator/health" | grep -q '"status":"UP"'; then
            echo "외부 확인 완료"
            exit 0
          fi
          sleep 5
        done
        echo "::error::컨테이너는 떴지만 외부 헬스 URL 로 보이지 않습니다. 리버스 프록시 설정을 확인하세요."
        exit 1

    # 예전에는 echo 만 있어서 배포가 실패해도 아무에게도 닿지 않았다.
    # OPS_SLACK_WEBHOOK_URL 이 없으면 잡 요약에만 남긴다.
    - name: Notify deployment status
      if: always()
      env:
        SLACK_WEBHOOK_URL: ${{ secrets.OPS_SLACK_WEBHOOK_URL }}
        STATUS: ${{ job.status }}
      run: |
        if [ "${{ steps.secrets.outputs.configured }}" != "true" ]; then
          echo "[production] 배포 건너뜀 (시크릿 미설정)" >> "$GITHUB_STEP_SUMMARY"
          exit 0
        fi
        line="[production] 배포 $STATUS - ${{ github.repository }}@${GITHUB_SHA:0:7} (${{ github.run_id }})"
        echo "$line" >> "$GITHUB_STEP_SUMMARY"
        if [ "$STATUS" != "success" ]; then echo "::error::$line"; fi
        if [ -n "$SLACK_WEBHOOK_URL" ]; then
          curl -fsS -X POST "$SLACK_WEBHOOK_URL" \
            -H 'Content-Type: application/json' \
            -d "$(jq -n --arg t "$line" '{text:$t}')" || echo "::warning::슬랙 알림 전송 실패"
        fi

  # ===========================================
  # Cleanup Job
  # ===========================================
  cleanup:
    name: Cleanup
    runs-on: ubuntu-latest
    needs: [deploy-staging, deploy-production]
    if: always()
    
    steps:
    - name: Cleanup old images
      run: |
        echo "Cleaning up old Docker images"
        # 오래된 Docker 이미지 정리
        
    - name: Cleanup old deployments
      run: |
        echo "Cleaning up old deployments"
        # 오래된 배포 정리