name: Integració contínua

on:
  push:
    branches: [main]
  pull_request:

# Sense secrets de llarga vida: id-token permet demanar un token OIDC
# efímer per autenticar-se contra el núvol i signar amb Cosign.
permissions:
  contents: read
  packages: write
  id-token: write
  pull-requests: write

env:
  REGISTRE: registry.rutasnorte.example
  IMATGE: rutasnorte/api-reserves

# Cancel·la execucions antigues de la mateixa branca: no gastem corredors
# validant commits que ja han quedat obsolets.
concurrency:
  group: ci-${{ github.ref }}
  cancel-in-progress: true

jobs:

  # ---------------------------------------------------------------
  # 1. Proves unitàries: ràpides, sense xarxa, sense base de dades real.
  # ---------------------------------------------------------------
  proves:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - uses: actions/setup-node@v4
        with:
          node-version: '22'
          cache: npm

      - name: Instal·lar dependències exactes
        # npm ci respecta el fitxer de bloqueig: reproduïble, a diferència de npm install.
        run: npm ci

      - name: Anàlisi estàtica
        run: npm run lint

      - name: Proves unitàries amb cobertura
        run: npm test -- --coverage --coverageThreshold='{"global":{"lines":80}}'

      - name: Auditoria de dependències
        run: npm audit --audit-level=high

  # ---------------------------------------------------------------
  # 2-6. Construcció, escaneig, publicació i signatura.
  # ---------------------------------------------------------------
  imatge:
    needs: proves
    runs-on: ubuntu-latest
    outputs:
      # El digest és la sortida que consumeixen els treballs següents
      # i, finalment, el repositori de manifests.
      digest: ${{ steps.construir.outputs.digest }}
      etiqueta: ${{ steps.meta.outputs.etiqueta }}
    steps:
      - uses: actions/checkout@v4

      - name: Calcular etiqueta a partir del commit
        id: meta
        run: |
          # SHA curt: identificador únic, traçable i ordenable.
          ETIQUETA="$(git rev-parse --short=12 HEAD)"
          echo "etiqueta=${ETIQUETA}" >> "$GITHUB_OUTPUT"

      - uses: docker/setup-buildx-action@v3

      - name: Autenticar-se al registre per OIDC
        uses: docker/login-action@v3
        with:
          registry: ${{ env.REGISTRE }}
          username: ${{ github.actor }}
          # Token efímer de la mateixa execució, no una credencial desada.
          password: ${{ secrets.GITHUB_TOKEN }}

      - name: Construir imatge multietapa
        id: construir
        uses: docker/build-push-action@v6
        with:
          context: .
          push: true
          tags: ${{ env.REGISTRE }}/${{ env.IMATGE }}:${{ steps.meta.outputs.etiqueta }}
          # Memòria cau de capes al mateix registre: una construcció típica
          # baixa de 4 min a uns 50 s reutilitzant node_modules.
          cache-from: type=registry,ref=${{ env.REGISTRE }}/${{ env.IMATGE }}:cache
          cache-to: type=registry,ref=${{ env.REGISTRE }}/${{ env.IMATGE }}:cache,mode=max
          provenance: true    # atestació de procedència SLSA
          sbom: true          # inventari de components

      - name: Escaneig amb Trivy
        uses: aquasecurity/[email protected]
        with:
          image-ref: ${{ env.REGISTRE }}/${{ env.IMATGE }}@${{ steps.construir.outputs.digest }}
          format: table
          # Trenca la construcció només amb CRITICAL. Les HIGH es registren
          # i es revisen setmanalment: si trenques amb HIGH, l'equip aprèn
          # a saltar-se el control en lloc d'arreglar-lo.
          severity: CRITICAL
          exit-code: '1'
          ignore-unfixed: true    # sense pedaç disponible no hi ha res a fer avui

      - name: Instal·lar Cosign
        uses: sigstore/cosign-installer@v3

      - name: Signar sense claus amb la identitat del flux de treball
        # No hi ha clau privada enlloc: Cosign obté un certificat
        # efímer de Fulcio a partir del token OIDC d'aquesta execució i
        # registra la signatura al log públic Rekor. La identitat signant és
        # el mateix flux de treball, verificable a la política d'admissió.
        run: |
          cosign sign --yes \
            "${REGISTRE}/${IMATGE}@${{ steps.construir.outputs.digest }}"

      - name: Resum de l'execució
        run: |
          {
            echo "### Imatge publicada"
            echo "- Etiqueta: \`${{ steps.meta.outputs.etiqueta }}\`"
            echo "- Digest: \`${{ steps.construir.outputs.digest }}\`"
            echo "- Signada per: \`${{ github.workflow_ref }}\`"
          } >> "$GITHUB_STEP_SUMMARY"

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: exigir-signatura-rutasnorte
spec:
  validationFailureAction: Enforce
  rules:
    - name: verificar-signatura
      match:
        any:
          - resources:
              kinds: [Pod]
              namespaces: ["rutas-norte-*"]
      verifyImages:
        - imageReferences: ["registry.rutasnorte.example/rutasnorte/*"]
          attestors:
            - entries:
                - keyless:
                    subject: "https://github.com/rutasnorte/*/.github/workflows/integracio.yml@refs/heads/main"
                    issuer: "https://token.actions.githubusercontent.com"

# syntax=docker/dockerfile:1.7

# --- Etapa 1: dependències --------------------------------------
FROM node:22-bookworm-slim AS deps
WORKDIR /app
COPY package.json package-lock.json ./
# La memòria cau d'npm es munta, no es copia: no engreixa cap capa.
RUN --mount=type=cache,target=/root/.npm npm ci --omit=dev

# --- Etapa 2: construcció ---------------------------------------
FROM node:22-bookworm-slim AS build
WORKDIR /app
COPY package.json package-lock.json ./
RUN --mount=type=cache,target=/root/.npm npm ci
COPY . .
RUN npm run build

# --- Etapa 3: imatge final --------------------------------------
FROM gcr.io/distroless/nodejs22-debian12:nonroot
WORKDIR /app
# Només l'imprescindible: sense compiladors, sense shell, sense gestor de paquets.
COPY --from=deps  /app/node_modules ./node_modules
COPY --from=build /app/dist ./dist
COPY package.json ./
USER 10001:10001
EXPOSE 8080 9090
CMD ["dist/server.js"]

  integracio:
    needs: imatge
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Aixecar clúster kind
        uses: helm/kind-action@v1
        with:
          cluster_name: ci-rutasnorte
          # Un node n'hi ha prou: provem funcionament correcte, no alta disponibilitat.
          config: .github/kind/cluster.yaml
          wait: 120s

      - name: Desplegar dependències reals
        # PostgreSQL i Redis de debò, no simuladors: volem detectar
        # errors d'SQL i de connexió, que és on fallen aquestes coses.
        run: |
          helm repo add bitnami https://charts.bitnami.com/bitnami
          helm install pg bitnami/postgresql \
            --set auth.database=reserves \
            --set auth.username=app_reserves \
            --set auth.password=proves \
            --set primary.persistence.enabled=false \
            --wait --timeout 5m
          helm install redis bitnami/redis \
            --set auth.enabled=false \
            --set master.persistence.enabled=false \
            --wait --timeout 5m

      - name: Carregar la imatge acabada de construir a kind
        run: |
          IMG="${REGISTRE}/${IMATGE}@${{ needs.imatge.outputs.digest }}"
          docker pull "$IMG"
          kind load docker-image "$IMG" --name ci-rutasnorte

      - name: Desplegar el chart de Rutas Norte
        run: |
          helm upgrade --install api-reserves ./chart \
            --values ./chart/valors-ci.yaml \
            --set image.digest='${{ needs.imatge.outputs.digest }}' \
            --set postgres.host=pg-postgresql \
            --set redis.url=redis://redis-master:6379 \
            --wait --timeout 5m

      - name: Migracions d'esquema
        run: kubectl wait --for=condition=complete job/api-reserves-migracions --timeout=3m

      - name: Proves de fum
        run: |
          kubectl port-forward svc/api-reserves 8080:80 &
          sleep 5
          npm run proves:fum -- --base-url http://localhost:8080

      - name: Diagnòstic si alguna cosa falla
        if: failure()
        run: |
          kubectl get pods -o wide
          kubectl describe pods -l app.kubernetes.io/name=api-reserves
          kubectl logs -l app.kubernetes.io/name=api-reserves --tail=200 --all-containers
          kubectl get events --sort-by=.lastTimestamp | tail -40

// proves/fum.spec.js — s'executen a kind i també després de cada desplegament real
describe('fum api-reserves', () => {
  test('respon a la sonda de preparació', async () => {
    const r = await fetch(`${base}/preparat`);
    expect(r.status).toBe(200);
  });

  test('exposa mètriques en format Prometheus', async () => {
    const t = await (await fetch(`${base}/metriques`)).text();
    expect(t).toMatch(/^api_reserves_peticions_total/m);
  });

  test('consulta horaris contra la base de dades real', async () => {
    const r = await fetch(`${base}/horaris?linia=BIL-SAN&data=2026-08-14`);
    expect(r.status).toBe(200);
    expect(Array.isArray((await r.json()).sortides)).toBe(true);
  });

  test('crea una reserva i és idempotent', async () => {
    const cos = { linia: 'BIL-SAN', data: '2026-08-14', places: 2 };
    const cap = { 'Idempotency-Key': 'prova-fum-001', 'Content-Type': 'application/json' };
    const r1 = await fetch(`${base}/reserves`, { method: 'POST', headers: cap, body: JSON.stringify(cos) });
    const r2 = await fetch(`${base}/reserves`, { method: 'POST', headers: cap, body: JSON.stringify(cos) });
    expect(r1.status).toBe(201);
    expect((await r2.json()).id).toBe((await r1.json()).id);  // no duplica
  });
});

  actualitzar-manifests:
    needs: [imatge, integracio]
    if: github.ref == 'refs/heads/main'
    runs-on: ubuntu-latest
    steps:
      - name: Clonar el repositori de manifests
        uses: actions/checkout@v4
        with:
          repository: rutasnorte/manifests
          # Token d'una app de GitHub limitada a aquest repositori,
          # no un token personal amb accés a tota l'organització.
          token: ${{ secrets.TOKEN_MANIFESTS }}

      - name: Escriure el nou digest a la superposició de dev
        run: |
          cd overlays/dev
          kustomize edit set image \
            "api-reserves=${REGISTRE}/${IMATGE}@${{ needs.imatge.outputs.digest }}"

      - name: Obrir petició de canvi i fusionar-la automàticament
        uses: peter-evans/create-pull-request@v7
        with:
          token: ${{ secrets.TOKEN_MANIFESTS }}
          branch: auto/api-reserves-${{ needs.imatge.outputs.etiqueta }}
          commit-message: "dev: api-reserves ${{ needs.imatge.outputs.etiqueta }}"
          title: "dev: api-reserves ${{ needs.imatge.outputs.etiqueta }}"
          body: |
            Actualització automàtica des de `rutasnorte/api-reserves`.

            - Commit: ${{ github.sha }}
            - Digest: `${{ needs.imatge.outputs.digest }}`
            - Trivy: sense vulnerabilitats crítiques
            - Signatura: verificada (sense claus)
            - Proves d'integració a kind: correctes
          labels: automatic,dev

# Executat per una persona (o per un botó que fa això mateix)
cd manifests
DIGEST=$(yq '.images[] | select(.name=="api-reserves") | .digest' overlays/dev/kustomization.yaml)
git switch -c promocio/api-reserves-pre
cd overlays/pre
kustomize edit set image "api-reserves=registry.rutasnorte.example/rutasnorte/api-reserves@${DIGEST}"
git commit -am "pre: promocionar api-reserves ${DIGEST:0:19}"
gh pr create --title "pre: promocionar api-reserves" --body-file ../.github/plantilles/promocio.md

## Promoció a producció — api-reserves

- **Digest:** `sha256:...`
- **Canvis inclosos:** (enllaços a les peticions de canvi de codi)
- **Inclou migració d'esquema?** Sí / No — si sí, és compatible cap enrere?
- **Resultat de k6 a pre:** p95 = ___ ms (llindar 300 ms), errors = ___ % (llindar 0,1 %)
- **Risc estimat:** baix / mitjà / alt — justificació:
- **Pla de reversió:** `git revert <sha>` + temps estimat ___ min
- **Finestra:** hi ha congelació activa? Sí / No
- **Aprovacions:** plataforma @____ · producte @____

  entorn-efimer:
    if: github.event_name == 'pull_request'
    needs: imatge
    runs-on: ubuntu-latest
    environment:
      name: pr-${{ github.event.number }}
      url: https://pr-${{ github.event.number }}.dev.rutasnorte.example
    steps:
      - uses: actions/checkout@v4

      - name: Autenticar-se al clúster de desenvolupament per OIDC
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::111122223333:role/ci-rutasnorte-efimers
          aws-region: eu-west-1
      - run: aws eks update-kubeconfig --name rutasnorte-dev

      - name: Desplegar l'entorn
        env:
          NS: rutas-norte-pr-${{ github.event.number }}
        run: |
          kubectl create namespace "$NS" --dry-run=client -o yaml | kubectl apply -f -
          # Etiquetes que governen quotes, polítiques i neteja automàtica.
          kubectl label namespace "$NS" --overwrite \
            rutasnorte.example/efimer=true \
            rutasnorte.example/pr=${{ github.event.number }} \
            rutasnorte.example/creat=$(date +%Y-%m-%d) \
            pod-security.kubernetes.io/enforce=restricted
          helm upgrade --install api-reserves ./chart \
            --namespace "$NS" \
            --values ./chart/valors-efimer.yaml \
            --set image.digest='${{ needs.imatge.outputs.digest }}' \
            --set ingress.host=pr-${{ github.event.number }}.dev.rutasnorte.example \
            --wait --timeout 8m

      - name: Comentar la URL a la petició de canvi
        uses: peter-evans/create-or-update-comment@v4
        with:
          issue-number: ${{ github.event.number }}
          body: |
            Entorn de proves a punt: https://pr-${{ github.event.number }}.dev.rutasnorte.example
            Namespace: `rutas-norte-pr-${{ github.event.number }}`

  netejar-efimer:
    if: github.event.action == 'closed'
    runs-on: ubuntu-latest
    steps:
      - run: kubectl delete namespace "rutas-norte-pr-${{ github.event.number }}" --ignore-not-found

apiVersion: batch/v1
kind: CronJob
metadata:
  name: netejar-namespaces-efimers
  namespace: plataforma
spec:
  schedule: "0 2 * * *"
  jobTemplate:
    spec:
      template:
        spec:
          serviceAccountName: netejador-efimers
          restartPolicy: OnFailure
          containers:
            - name: netejar
              image: registry.rutasnorte.example/utils/kubectl:1.30
              command:
                - /bin/sh
                - -c
                - |
                  LIMIT=$(date -d '7 days ago' +%Y-%m-%d)
                  kubectl get ns -l rutasnorte.example/efimer=true \
                    -o jsonpath='{range .items[*]}{.metadata.name} {.metadata.labels.rutasnorte\.example/creat}{"\n"}{end}' |
                  while read -r NS CREAT; do
                    [ "$CREAT" \< "$LIMIT" ] && kubectl delete ns "$NS"
                  done

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "Federated": "arn:aws:iam::111122223333:oidc-provider/token.actions.githubusercontent.com" },
    "Action": "sts:AssumeRoleWithWebIdentity",
    "Condition": {
      "StringEquals": { "token.actions.githubusercontent.com:aud": "sts.amazonaws.com" },
      "StringLike": {
        "token.actions.githubusercontent.com:sub": "repo:rutasnorte/api-reserves:pull_request"
      }
    }
  }]
}

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: ci-efimers
rules:
  # Pot crear i esborrar namespaces (necessari per als efímers)...
  - apiGroups: [""]
    resources: [namespaces]
    verbs: [get, list, create, delete, patch]
  # ...i gestionar càrregues dins d'ells.
  - apiGroups: ["", apps, networking.k8s.io, batch, autoscaling]
    resources: ["*"]
    verbs: [get, list, create, update, patch, delete]
  # Explícitament NO: nodes, clusterroles, clusterrolebindings,
  # persistentvolumes ni secrets d'altres namespaces.

# Hook de sincronització d'Argo CD: s'executa DESPRÉS de sincronitzar.
apiVersion: batch/v1
kind: Job
metadata:
  name: fum-api-reserves
  namespace: rutas-norte-pro
  annotations:
    argocd.argoproj.io/hook: PostSync
    argocd.argoproj.io/hook-delete-policy: BeforeHookCreation
spec:
  backoffLimit: 2
  activeDeadlineSeconds: 300
  template:
    spec:
      restartPolicy: Never
      containers:
        - name: fum
          image: registry.rutasnorte.example/rutasnorte/proves-fum@sha256:e5f60718293a4b5c6d7e8f90a1b2c3d4e5f60718293a4b5c6d7e8f90a1b2c3d4
          env:
            - name: BASE_URL
              value: https://api.rutasnorte.example
            - name: MODE
              value: nomes-lectura      # a pro no creem reserves reals

apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: api-reserves-pro
  namespace: argocd
spec:
  source:
    repoURL: https://github.com/rutasnorte/manifests
    path: overlays/pro
    targetRevision: main
  destination:
    server: https://kubernetes.default.svc
    namespace: rutas-norte-pro
  syncPolicy:
    automated:
      prune: true
      selfHeal: true
    retry:
      limit: 2
      backoff: { duration: 30s, factor: 2, maxDuration: 3m }
  revisionHistoryLimit: 20

# El flux de reversió automàtica, en essència
gh workflow run revertir.yml -f entorn=pro -f motiu="fum PostSync fallit"
# ...que fa:
git revert --no-edit "$(git log -1 --format=%H -- overlays/pro)"
git push origin main
argocd app sync api-reserves-pro --prune
argocd app wait api-reserves-pro --health --timeout 300

# Freqüència de desplegament a pro en els últims 30 dies
git log --since='30 days ago' --oneline -- overlays/pro | wc -l

# Termini de lliurament: diferència entre el commit de codi i el de promoció
git log --since='30 days ago' --format='%H %ct' -- overlays/pro

on: [push]
permissions: write-all
jobs:
  desplegar:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: docker build -t registry.rutasnorte.example/rutasnorte/promos:latest .
      - run: docker push registry.rutasnorte.example/rutasnorte/promos:latest
      - run: echo "${{ secrets.KUBECONFIG_PRO }}" > /tmp/kc
      - run: KUBECONFIG=/tmp/kc kubectl -n rutas-norte-pro apply -f k8s/
      - run: KUBECONFIG=/tmp/kc kubectl -n rutas-norte-pro rollout restart deploy/promos