# 실습 디렉토리 준비
mkdir -p /tmp/docker/part5/exam_26 && cd /tmp/docker/part5/exam_26

# 안티패턴: latest만 사용
docker push myapp:latest  # 이전 버전으로 돌아갈 방법 없음

# 권장 패턴 1: git SHA 기반 (추적 가능성 최대)
docker push myapp:a1b2c3d4

# 권장 패턴 2: 브랜치 + SHA 조합
docker push myapp:main-a1b2c3d4
docker push myapp:main-latest  # 브랜치의 최신 이미지

# 권장 패턴 3: semver (릴리스 이미지)
docker push myapp:1.2.3
docker push myapp:1.2
docker push myapp:1

git push (main / v1.2.3 태그)
   │
   ① 트리거           (on: push — 워크플로우/파이프라인 기동)
   │
   ② 빌드             (docker build — 레이어 캐시 재사용, 이미지 생성)
   │
   ③ 테스트·스캔      (그 이미지로 단위테스트 + trivy 취약점 스캔)
   │
   ④ 태그 부여        (git SHA=불변 추적, 브랜치/semver=사람 식별)
   │
   ⑤ 레지스트리 push  (ghcr.io/org/app:sha-a1b2c3d 업로드)
   │
   ⑥ 배포 대상 pull   (서버·쿠버네티스가 그 태그를 내려받음)
   │
   ⑦ 재시작·헬스체크  (새 이미지로 컨테이너 교체 → /health 통과)
   ▼
같은 이미지가 빌드→테스트→프로덕션을 관통

# .github/workflows/docker-build.yml
name: Docker 이미지 빌드 및 Push

on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]

env:
  REGISTRY: ghcr.io
  IMAGE_NAME: ${{ github.repository }}  # owner/repo 형태

jobs:
  build-and-push:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      packages: write  # GHCR에 push하려면 packages 권한 필요

    steps:
      - name: 코드 체크아웃
        uses: actions/checkout@v4

      - name: Docker Buildx 설정
        uses: docker/setup-buildx-action@v3

      - name: GHCR 로그인
        uses: docker/login-action@v3
        with:
          registry: ${{ env.REGISTRY }}
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}  # 자동 제공되는 토큰

      - name: 이미지 메타데이터 추출 (태그 및 레이블 자동 생성)
        id: meta
        uses: docker/metadata-action@v5
        with:
          images: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}
          tags: |
            type=ref,event=branch
            type=ref,event=pr
            type=sha,prefix={{branch}}-
            type=semver,pattern={{version}}
            type=semver,pattern={{major}}.{{minor}}

      - name: 빌드 및 Push
        uses: docker/build-push-action@v5
        with:
          context: .
          push: ${{ github.event_name != 'pull_request' }}  # PR은 빌드만, push는 배포
          tags: ${{ steps.meta.outputs.tags }}
          labels: ${{ steps.meta.outputs.labels }}
          cache-from: type=registry,ref=${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:buildcache
          cache-to: type=registry,ref=${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:buildcache,mode=max

ghcr.io/myorg/myapp:main
ghcr.io/myorg/myapp:main-a1b2c3d

ghcr.io/myorg/myapp:1.2.3
ghcr.io/myorg/myapp:1.2
ghcr.io/myorg/myapp:1

      - name: QEMU 설정 (크로스 플랫폼 빌드용)
        uses: docker/setup-qemu-action@v3

      - name: Docker Buildx 설정
        uses: docker/setup-buildx-action@v3

      - name: 멀티 아키텍처 빌드 및 Push
        uses: docker/build-push-action@v5
        with:
          context: .
          platforms: linux/amd64,linux/arm64
          push: true
          tags: ${{ steps.meta.outputs.tags }}
          cache-from: type=registry,ref=${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:buildcache
          cache-to: type=registry,ref=${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:buildcache,mode=max

# .gitlab-ci.yml
stages:
  - build
  - test
  - push
  - deploy

variables:
  DOCKER_DRIVER: overlay2
  DOCKER_TLS_CERTDIR: "/certs"
  IMAGE_TAG: $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
  IMAGE_BRANCH: $CI_REGISTRY_IMAGE:$CI_COMMIT_REF_SLUG

# 빌드 스테이지: 이미지 빌드 및 임시 저장
build-image:
  stage: build
  image: docker:24-dind
  services:
    - docker:24-dind
  before_script:
    - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY
  script:
    # 레지스트리 캐시에서 이전 레이어 가져오기
    - docker pull $IMAGE_BRANCH || true
    - docker build
        --cache-from $IMAGE_BRANCH
        --tag $IMAGE_TAG
        --tag $IMAGE_BRANCH
        --label "git-commit=$CI_COMMIT_SHA"
        --label "git-branch=$CI_COMMIT_REF_NAME"
        .
    # 테스트용 임시 태그로 push
    - docker push $IMAGE_TAG
    - docker push $IMAGE_BRANCH
  only:
    - branches
    - merge_requests

# 테스트 스테이지: 빌드된 이미지로 테스트 실행
test-unit:
  stage: test
  image: $IMAGE_TAG
  script:
    - npm test
  dependencies:
    - build-image

test-integration:
  stage: test
  image: $IMAGE_TAG
  services:
    - postgres:15-alpine
    - redis:7-alpine
  variables:
    DATABASE_URL: "postgresql://postgres:postgres@postgres:5432/testdb"
    REDIS_URL: "redis://redis:6379"
    POSTGRES_PASSWORD: "postgres"
    POSTGRES_DB: "testdb"
  script:
    - npm run test:integration
  dependencies:
    - build-image

# push 스테이지: main 브랜치 머지 시 프로덕션 태그 push
push-production:
  stage: push
  image: docker:24-dind
  services:
    - docker:24-dind
  before_script:
    - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY
  script:
    - docker pull $IMAGE_TAG
    - docker tag $IMAGE_TAG $CI_REGISTRY_IMAGE:latest
    - docker push $CI_REGISTRY_IMAGE:latest
  only:
    - main

# semver 태그 릴리스 (v* 태그 push 시 자동 실행)
push-release:
  stage: push
  image: docker:24-dind
  services:
    - docker:24-dind
  before_script:
    - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY
  script:
    - docker pull $IMAGE_TAG
    - docker tag $IMAGE_TAG $CI_REGISTRY_IMAGE:$CI_COMMIT_TAG
    - docker push $CI_REGISTRY_IMAGE:$CI_COMMIT_TAG
  only:
    - /^v\d+\.\d+\.\d+$/  # v1.2.3 형식 태그에만 실행
  except:
    - branches

캐시 없음:
  FROM node:20-alpine      → 다운로드 30초
  COPY package*.json ./    → 1초
  RUN npm ci               → 2분 30초  ← 매번 재실행
  COPY . .                 → 1초
  RUN npm run build        → 30초
  총: ~3분 30초

레지스트리 캐시 사용:
  FROM node:20-alpine      → 캐시 HIT
  COPY package*.json ./    → 캐시 HIT (package.json 변경 없음)
  RUN npm ci               → 캐시 HIT ← 이 레이어 재사용!
  COPY . .                 → 캐시 MISS (코드 변경)
  RUN npm run build        → 30초
  총: ~35초

# 방법 1: inline 캐시 (이미지에 캐시 메타데이터 포함)
# 장점: 별도 캐시 이미지 불필요
# 단점: 프로덕션 이미지 크기 증가, mode=max 미지원
- name: 빌드 (inline 캐시)
  uses: docker/build-push-action@v5
  with:
    cache-from: type=registry,ref=ghcr.io/org/app:latest
    cache-to: type=inline

# 방법 2: registry 캐시 (별도 캐시 태그 사용) — 권장
# 장점: 프로덕션 이미지와 분리, mode=max로 모든 중간 레이어 캐싱
# 단점: 별도 캐시 이미지 태그 관리 필요
- name: 빌드 (registry 캐시)
  uses: docker/build-push-action@v5
  with:
    cache-from: type=registry,ref=ghcr.io/org/app:buildcache
    cache-to: type=registry,ref=ghcr.io/org/app:buildcache,mode=max

# 방법 3: GitHub Actions 캐시 (actions/cache 연동)
- name: 빌드 (gha 캐시)
  uses: docker/build-push-action@v5
  with:
    cache-from: type=gha
    cache-to: type=gha,mode=max

# CI 최적화 Dockerfile
FROM node:20-alpine AS deps

WORKDIR /app

# 1단계: 의존성 파일만 먼저 복사 (자주 변경 안 됨)
COPY package.json package-lock.json ./

# 2단계: 의존성 설치 (package.json 변경 시에만 레이어 무효화)
RUN npm ci --only=production

# --
FROM node:20-alpine AS builder

WORKDIR /app

COPY package.json package-lock.json ./
RUN npm ci

# 3단계: 소스코드 복사 (자주 변경됨 — 최대한 뒤에 배치)
COPY . .
RUN npm run build

# --
FROM node:20-alpine AS runtime

WORKDIR /app

# 프로덕션 의존성만 복사
COPY --from=deps /app/node_modules ./node_modules
COPY --from=builder /app/dist ./dist

EXPOSE 3000
CMD ["node", "dist/server.js"]

# GitLab CI에서 DinD 설정 (권장)
build-dind:
  image: docker:24-cli
  services:
    - name: docker:24-dind
      alias: docker
  variables:
    DOCKER_HOST: tcp://docker:2376
    DOCKER_TLS_CERTDIR: "/certs"
    DOCKER_CERT_PATH: "/certs/client"
    DOCKER_TLS_VERIFY: "1"
  script:
    - docker build -t myapp:latest .

# Docker socket 마운트 (빠르지만 보안 위험 있음)
# gitlab-runner config.toml에서 설정:
# [[runners.docker.volumes]]
# "/var/run/docker.sock:/var/run/docker.sock"