# 실습 디렉토리 준비
mkdir -p /tmp/docker/part5/exam_26 && cd /tmp/docker/part5/exam_26

# 안티패턴: latest만 사용
docker push myapp:latest  # 이전 버전으로 돌아갈 방법 없음

# 권장 패턴 1: git SHA 기반 (추적 가능성 최대)
docker push myapp:a1b2c3d4

# 권장 패턴 2: 브랜치 + SHA 조합
docker push myapp:main-a1b2c3d4
docker push myapp:main-latest  # 브랜치의 최신 이미지

# 권장 패턴 3: semver (릴리스 이미지)
docker push myapp:1.2.3
docker push myapp:1.2
docker push myapp:1

# .github/workflows/docker-build.yml
name: Docker 이미지 빌드 및 Push

on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]

env:
  REGISTRY: ghcr.io
  IMAGE_NAME: ${{ github.repository }}  # owner/repo 형태

jobs:
  build-and-push:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      packages: write  # GHCR에 push하려면 packages 권한 필요

    steps:
      - name: 코드 체크아웃
        uses: actions/checkout@v4

      - name: Docker Buildx 설정
        uses: docker/setup-buildx-action@v3

      - name: GHCR 로그인
        uses: docker/login-action@v3
        with:
          registry: ${{ env.REGISTRY }}
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}  # 자동 제공되는 토큰

      - name: 이미지 메타데이터 추출 (태그 및 레이블 자동 생성)
        id: meta
        uses: docker/metadata-action@v5
        with:
          images: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}
          tags: |
            type=ref,event=branch
            type=ref,event=pr
            type=sha,prefix={{branch}}-
            type=semver,pattern={{version}}
            type=semver,pattern={{major}}.{{minor}}

      - name: 빌드 및 Push
        uses: docker/build-push-action@v5
        with:
          context: .
          push: ${{ github.event_name != 'pull_request' }}  # PR은 빌드만, push는 배포
          tags: ${{ steps.meta.outputs.tags }}
          labels: ${{ steps.meta.outputs.labels }}
          cache-from: type=registry,ref=${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:buildcache
          cache-to: type=registry,ref=${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:buildcache,mode=max

ghcr.io/myorg/myapp:main
ghcr.io/myorg/myapp:main-a1b2c3d

ghcr.io/myorg/myapp:1.2.3
ghcr.io/myorg/myapp:1.2
ghcr.io/myorg/myapp:1

      - name: QEMU 설정 (크로스 플랫폼 빌드용)
        uses: docker/setup-qemu-action@v3

      - name: Docker Buildx 설정
        uses: docker/setup-buildx-action@v3

      - name: 멀티 아키텍처 빌드 및 Push
        uses: docker/build-push-action@v5
        with:
          context: .
          platforms: linux/amd64,linux/arm64
          push: true
          tags: ${{ steps.meta.outputs.tags }}
          cache-from: type=registry,ref=${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:buildcache
          cache-to: type=registry,ref=${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:buildcache,mode=max

# .gitlab-ci.yml
stages:
  - build
  - test
  - push
  - deploy

variables:
  DOCKER_DRIVER: overlay2
  DOCKER_TLS_CERTDIR: "/certs"
  IMAGE_TAG: $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
  IMAGE_BRANCH: $CI_REGISTRY_IMAGE:$CI_COMMIT_REF_SLUG

# 빌드 스테이지: 이미지 빌드 및 임시 저장
build-image:
  stage: build
  image: docker:24-dind
  services:
    - docker:24-dind
  before_script:
    - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY
  script:
    # 레지스트리 캐시에서 이전 레이어 가져오기
    - docker pull $IMAGE_BRANCH || true
    - docker build
        --cache-from $IMAGE_BRANCH
        --tag $IMAGE_TAG
        --tag $IMAGE_BRANCH
        --label "git-commit=$CI_COMMIT_SHA"
        --label "git-branch=$CI_COMMIT_REF_NAME"
        .
    # 테스트용 임시 태그로 push
    - docker push $IMAGE_TAG
    - docker push $IMAGE_BRANCH
  only:
    - branches
    - merge_requests

# 테스트 스테이지: 빌드된 이미지로 테스트 실행
test-unit:
  stage: test
  image: $IMAGE_TAG
  script:
    - npm test
  dependencies:
    - build-image

test-integration:
  stage: test
  image: $IMAGE_TAG
  services:
    - postgres:15-alpine
    - redis:7-alpine
  variables:
    DATABASE_URL: "postgresql://postgres:postgres@postgres:5432/testdb"
    REDIS_URL: "redis://redis:6379"
    POSTGRES_PASSWORD: "postgres"
    POSTGRES_DB: "testdb"
  script:
    - npm run test:integration
  dependencies:
    - build-image

# push 스테이지: main 브랜치 머지 시 프로덕션 태그 push
push-production:
  stage: push
  image: docker:24-dind
  services:
    - docker:24-dind
  before_script:
    - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY
  script:
    - docker pull $IMAGE_TAG
    - docker tag $IMAGE_TAG $CI_REGISTRY_IMAGE:latest
    - docker push $CI_REGISTRY_IMAGE:latest
  only:
    - main

# semver 태그 릴리스 (v* 태그 push 시 자동 실행)
push-release:
  stage: push
  image: docker:24-dind
  services:
    - docker:24-dind
  before_script:
    - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY
  script:
    - docker pull $IMAGE_TAG
    - docker tag $IMAGE_TAG $CI_REGISTRY_IMAGE:$CI_COMMIT_TAG
    - docker push $CI_REGISTRY_IMAGE:$CI_COMMIT_TAG
  only:
    - /^v\d+\.\d+\.\d+$/  # v1.2.3 형식 태그에만 실행
  except:
    - branches

캐시 없음:
  FROM node:20-alpine      → 다운로드 30초
  COPY package*.json ./    → 1초
  RUN npm ci               → 2분 30초  ← 매번 재실행
  COPY . .                 → 1초
  RUN npm run build        → 30초
  총: ~3분 30초

레지스트리 캐시 사용:
  FROM node:20-alpine      → 캐시 HIT
  COPY package*.json ./    → 캐시 HIT (package.json 변경 없음)
  RUN npm ci               → 캐시 HIT ← 이 레이어 재사용!
  COPY . .                 → 캐시 MISS (코드 변경)
  RUN npm run build        → 30초
  총: ~35초

# 방법 1: inline 캐시 (이미지에 캐시 메타데이터 포함)
# 장점: 별도 캐시 이미지 불필요
# 단점: 프로덕션 이미지 크기 증가, mode=max 미지원
- name: 빌드 (inline 캐시)
  uses: docker/build-push-action@v5
  with:
    cache-from: type=registry,ref=ghcr.io/org/app:latest
    cache-to: type=inline

# 방법 2: registry 캐시 (별도 캐시 태그 사용) — 권장
# 장점: 프로덕션 이미지와 분리, mode=max로 모든 중간 레이어 캐싱
# 단점: 별도 캐시 이미지 태그 관리 필요
- name: 빌드 (registry 캐시)
  uses: docker/build-push-action@v5
  with:
    cache-from: type=registry,ref=ghcr.io/org/app:buildcache
    cache-to: type=registry,ref=ghcr.io/org/app:buildcache,mode=max

# 방법 3: GitHub Actions 캐시 (actions/cache 연동)
- name: 빌드 (gha 캐시)
  uses: docker/build-push-action@v5
  with:
    cache-from: type=gha
    cache-to: type=gha,mode=max

# CI 최적화 Dockerfile
FROM node:20-alpine AS deps

WORKDIR /app

# 1단계: 의존성 파일만 먼저 복사 (자주 변경 안 됨)
COPY package.json package-lock.json ./

# 2단계: 의존성 설치 (package.json 변경 시에만 레이어 무효화)
RUN npm ci --only=production

# ─────────────────────────────
FROM node:20-alpine AS builder

WORKDIR /app

COPY package.json package-lock.json ./
RUN npm ci

# 3단계: 소스코드 복사 (자주 변경됨 — 최대한 뒤에 배치)
COPY . .
RUN npm run build

# ─────────────────────────────
FROM node:20-alpine AS runtime

WORKDIR /app

# 프로덕션 의존성만 복사
COPY --from=deps /app/node_modules ./node_modules
COPY --from=builder /app/dist ./dist

EXPOSE 3000
CMD ["node", "dist/server.js"]

┌─────────────────────────────────────────────────────┐
│  방법 1: Docker-in-Docker (DinD)                    │
│                                                     │
│  CI Runner 컨테이너                                  │
│  ┌─────────────────────────────┐                    │
│  │  docker:dind 서비스          │                    │
│  │  (독립 Docker 데몬 실행)      │                    │
│  │  ┌──────────────────────┐   │                    │
│  │  │ 빌드된 이미지/컨테이너 │   │                    │
│  │  └──────────────────────┘   │                    │
│  └─────────────────────────────┘                    │
│  특징: 완전 격리, --privileged 필요                   │
└─────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────┐
│  방법 2: Docker Socket 마운트                        │
│                                                     │
│  호스트                                              │
│  /var/run/docker.sock ←─────────────────────┐      │
│                          CI Runner 컨테이너   │      │
│  호스트 Docker 데몬       ┌───────────────────┘      │
│  ┌──────────────────┐    │ -v /var/run/docker.sock  │
│  │ 모든 컨테이너     │◄───┘   :/var/run/docker.sock │
│  └──────────────────┘                              │
│  특징: 빠름, 호스트 Docker에 직접 접근 (보안 위험)    │
└─────────────────────────────────────────────────────┘

# GitLab CI에서 DinD 설정 (권장)
build-dind:
  image: docker:24-cli
  services:
    - name: docker:24-dind
      alias: docker
  variables:
    DOCKER_HOST: tcp://docker:2376
    DOCKER_TLS_CERTDIR: "/certs"
    DOCKER_CERT_PATH: "/certs/client"
    DOCKER_TLS_VERIFY: "1"
  script:
    - docker build -t myapp:latest .

# Docker socket 마운트 (빠르지만 보안 위험 있음)
# gitlab-runner config.toml에서 설정:
# [[runners.docker.volumes]]
# "/var/run/docker.sock:/var/run/docker.sock"