name: CI

on:
  push:
    branches: [main]
    tags: ['v*']
  pull_request:
  workflow_dispatch:

permissions:
  contents: read

jobs:
  check:
    name: Линт и типы
    runs-on: windows-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with:
          node-version: 24
          cache: npm
      - run: npm ci
      - run: npm run lint
      - run: npm run typecheck
      - run: npm run format:check

  build:
    name: Сборка (Windows)
    needs: check
    runs-on: windows-latest
    # На тег vX.Y.Z нужен contents: write — electron-builder публикует релиз через GH_TOKEN.
    permissions:
      contents: write
    steps:
      - uses: actions/checkout@v4
        with:
          # fetch-depth: 0 — шагу «Описание релиза» ниже нужны вся история и теги,
          # чтобы найти предыдущий vX.Y.Z и собрать список коммитов после него.
          fetch-depth: 0
      - uses: actions/setup-node@v4
        with:
          node-version: 24
          cache: npm

      - run: npm ci

      # Без этого шага Windows-сборка уезжает без winws.exe: extraResources в
      # electron-builder.yml просто копирует resources/zapret, а он у чистого чекаута пуст.
      - run: node scripts/fetch-zapret.mjs

      # electron-builder заливает артефакты несколькими параллельными publisher'ами внутри
      # этой же джобы, а с приходом Linux-сборки (отдельная джоба ниже) к этому добавилась
      # ещё и гонка МЕЖДУ джобами: обе проверяют, есть ли релиз с этим тегом, обе видят «нет»
      # и обе лезут его создавать — вторая падает с 422 already_exists (на v0.5.0 так
      # потерялся сам .exe, когда конкурентами были два publisher'а внутри одной джобы).
      # `|| true` — проигравшая гонку джоба не должна из-за этого падать целиком: релиз
      # к моменту upload всё равно уже существует, просто создала его не она.
      - name: Заготовка релиза
        if: startsWith(github.ref, 'refs/tags/v')
        shell: bash
        run: |
          gh release view "$GITHUB_REF_NAME" >/dev/null 2>&1 ||
            gh release create "$GITHUB_REF_NAME" --title "${GITHUB_REF_NAME#v}" --notes '' || true
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

      # Подпись не настроена: артефакты неподписанные.
      # Чтобы подписывать — добавьте секреты CSC_LINK, CSC_KEY_PASSWORD и передайте их в env.
      #
      # На пуш тега vX.Y.Z (см. on.push.tags выше) electron-builder заливает .exe в релиз,
      # заготовленный шагом выше, используя repository из package.json.
      # На push в main/PR публикации нет — только упаковка и загрузка в Artifacts ниже.
      - name: Build
        run: npx --no-install electron-vite build && npx --no-install electron-builder --win --publish ${{ startsWith(github.ref, 'refs/tags/v') && 'always' || 'never' }}
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

      # differentialPackage: false и publishAutoUpdate: false в electron-builder.yml убирают
      # .blockmap и latest.yml из ассетов (electron-updater в приложении нет — они были бы
      # мёртвым грузом). В релизе должен остаться только .exe и контрольная сумма к нему.
      - name: Контрольная сумма
        if: startsWith(github.ref, 'refs/tags/v')
        shell: bash
        run: |
          set -euo pipefail
          exe="$(ls release/*.exe)"
          md5sum "$exe" | awk '{ print $1 }' > "$exe.md5"
          gh release upload "$GITHUB_REF_NAME" "$exe.md5" --clobber
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

      # Релиз создан с пустым описанием, поэтому список изменений дописываем сами:
      # коммиты между предыдущим тегом vX.Y.Z и текущим. Только в этой джобе — если то же
      # самое сделает ещё и Linux-сборка, они просто перезапишут результат друг друга.
      - name: Описание релиза
        if: startsWith(github.ref, 'refs/tags/v')
        shell: bash
        run: |
          set -euo pipefail
          TAG="$GITHUB_REF_NAME"
          # Предыдущий тег vX.Y.Z, начиная от родителя текущего. Пусто, если релиз первый.
          PREV="$(git describe --tags --abbrev=0 --match 'v*' "$TAG^" 2>/dev/null || true)"
          NOTES="$RUNNER_TEMP/release-notes.md"
          {
            if [ -n "$PREV" ]; then
              echo "## Изменения с $PREV"
              echo
              git log --no-merges --pretty=format:'- %s (%h)' "$PREV..$TAG"
              echo
              echo
              echo "**Полный diff:** https://github.com/$GITHUB_REPOSITORY/compare/$PREV...$TAG"
            else
              echo "## Изменения"
              echo
              git log --no-merges --pretty=format:'- %s (%h)' "$TAG"
              echo
            fi
          } > "$NOTES"
          gh release edit "$TAG" --notes-file "$NOTES"
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

      - uses: actions/upload-artifact@v4
        with:
          name: senboost-windows
          path: release/*.exe
          if-no-files-found: error
          retention-days: 7

  build-linux:
    name: Сборка (Linux)
    needs: check
    runs-on: ubuntu-latest
    # На тег vX.Y.Z нужен contents: write — electron-builder публикует релиз через GH_TOKEN.
    permissions:
      contents: write
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with:
          node-version: 24
          cache: npm

      - run: npm ci

      # Без этого шага сборка уезжает без nfqws: extraResources в electron-builder.yml
      # просто копирует resources/zapret, а он у чистого чекаута пуст.
      - run: node scripts/fetch-zapret.mjs

      # Та же гонка «кто первый создаст релиз», что и в джобе Windows выше — эта джоба
      # с ней конкурирует наравне (обе стартуют параллельно после check), отсюда и тот же
      # `|| true`. Комментарий с полным объяснением — в джобе Windows.
      - name: Заготовка релиза
        if: startsWith(github.ref, 'refs/tags/v')
        shell: bash
        run: |
          gh release view "$GITHUB_REF_NAME" >/dev/null 2>&1 ||
            gh release create "$GITHUB_REF_NAME" --title "${GITHUB_REF_NAME#v}" --notes '' || true
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

      # Подпись/нотаризация не при чём здесь — это Linux, .AppImage и .deb неподписанные
      # в любом случае. На push в main/PR публикации нет — только упаковка и Artifacts ниже.
      - name: Build
        run: npx --no-install electron-vite build && npx --no-install electron-builder --linux --publish ${{ startsWith(github.ref, 'refs/tags/v') && 'always' || 'never' }}
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

      # Тот же мотив, что у Windows-джобы: в релизе должны остаться только сами артефакты
      # и контрольная сумма к каждому — никаких .blockmap/latest-linux.yml.
      - name: Контрольная сумма
        if: startsWith(github.ref, 'refs/tags/v')
        shell: bash
        run: |
          set -euo pipefail
          shopt -s nullglob
          files=(release/*.AppImage release/*.deb)
          if [ "${#files[@]}" -eq 0 ]; then
            echo "не нашлось ни .AppImage, ни .deb в release/" >&2
            exit 1
          fi
          for file in "${files[@]}"; do
            md5sum "$file" | awk '{ print $1 }' > "$file.md5"
            gh release upload "$GITHUB_REF_NAME" "$file.md5" --clobber
          done
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

      - uses: actions/upload-artifact@v4
        with:
          name: senboost-linux
          path: |
            release/*.AppImage
            release/*.deb
          if-no-files-found: error
          retention-days: 7

  build-mac:
    name: Сборка (macOS)
    needs: check
    # macos-latest — arm64-раннер, но electron-builder собирает обе цели из
    # electron-builder.yml (dmg + zip, x64 и arm64): нужные бинарники Electron он качает
    # сам, а utunws в resources/zapret/darwin и так universal (x86_64 + arm64).
    runs-on: macos-latest
    # На тег vX.Y.Z нужен contents: write — electron-builder публикует релиз через GH_TOKEN.
    permissions:
      contents: write
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with:
          node-version: 24
          cache: npm

      - run: npm ci

      # Без этого шага сборка уезжает без utunws: extraResources в electron-builder.yml
      # просто копирует resources/zapret, а он у чистого чекаута пуст.
      - run: node scripts/fetch-zapret.mjs

      # Та же гонка «кто первый создаст релиз», что и в джобах Windows/Linux выше — эта
      # джоба конкурирует с ними наравне (все стартуют параллельно после check), отсюда и
      # тот же `|| true`. Комментарий с полным объяснением — в джобе Windows.
      - name: Заготовка релиза
        if: startsWith(github.ref, 'refs/tags/v')
        shell: bash
        run: |
          gh release view "$GITHUB_REF_NAME" >/dev/null 2>&1 ||
            gh release create "$GITHUB_REF_NAME" --title "${GITHUB_REF_NAME#v}" --notes '' || true
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

      # Подпись и нотаризация не настроены (notarize: false в electron-builder.yml, секретов
      # CSC_LINK/CSC_KEY_PASSWORD нет) — .dmg и .zip уезжают неподписанными, и Gatekeeper
      # будет ругаться на них у пользователя. Как включить — раздел «Подпись» в README.md.
      # На push в main/PR публикации нет — только упаковка и Artifacts ниже.
      - name: Build
        run: npx --no-install electron-vite build && npx --no-install electron-builder --mac --publish ${{ startsWith(github.ref, 'refs/tags/v') && 'always' || 'never' }}
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

      # Тот же мотив, что у Windows/Linux-джоб: в релизе должны остаться только сами
      # артефакты и контрольная сумма к каждому. `md5 -q`, а не `md5sum` из тех джоб: md5sum
      # на macOS появился лишь в свежих версиях (в 26 это хардлинк на тот же бинарник, что и
      # md5), а на 14/15 его нет вовсе — `md5 -q` есть везде и печатает голый хеш, ровно как
      # `md5sum | awk '{print $1}'` у соседних джоб.
      #
      # Заодно убираем из релиза `*-mac.zip.blockmap`: для dmg блокмап выключен
      # (writeUpdateInfo: false в electron-builder.yml), а для mac-zip выключателя нет —
      # electron-builder публикует его вместе с архивом, хотя electron-updater'а в
      # приложении нет и differential-обновления никому не нужны.
      - name: Контрольная сумма
        if: startsWith(github.ref, 'refs/tags/v')
        shell: bash
        run: |
          set -euo pipefail
          shopt -s nullglob
          for blockmap in release/*.blockmap; do
            gh release delete-asset "$GITHUB_REF_NAME" "$(basename "$blockmap")" --yes 2>/dev/null || true
          done
          files=(release/*.dmg release/*.zip)
          if [ "${#files[@]}" -eq 0 ]; then
            echo "не нашлось ни .dmg, ни .zip в release/" >&2
            exit 1
          fi
          for file in "${files[@]}"; do
            md5 -q "$file" > "$file.md5"
            gh release upload "$GITHUB_REF_NAME" "$file.md5" --clobber
          done
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

      # Шага «Описание релиза» здесь намеренно нет — он живёт только в джобе Windows,
      # иначе джобы перезаписывали бы описание релиза друг другу.
      - uses: actions/upload-artifact@v4
        with:
          name: senboost-macos
          path: |
            release/*.dmg
            release/*.zip
          if-no-files-found: error
          retention-days: 7