Раздел 7. Практические задания

docker compose up -d
sleep 12
echo "═══ где на самом деле данные ═══"
docker compose exec -T db sh -c 'echo "PGDATA=$PGDATA"; ls -d /var/lib/postgresql/data/*/ 2>/dev/null | head -3'
echo "═══ что в смонтированном каталоге ═══"
docker compose exec -T db ls -A /var/lib/postgresql/data/pgdata | head -3

═══ где на самом деле данные ═══
PGDATA=/var/lib/postgresql/data
/var/lib/postgresql/data/base/
/var/lib/postgresql/data/global/
/var/lib/postgresql/data/pg_wal/
═══ что в смонтированном каталоге ═══

ls -ldn ./db-data 2>/dev/null
docker compose exec -T db id

drwxr-xr-x 2 1000 1000 4096 Jul 30 13:30 ./db-data
uid=70(postgres) gid=70(postgres) groups=70(postgres)

docker compose exec -T db psql -U postgres -d appdb -q \
    -c 'CREATE TABLE t (id int); INSERT INTO t VALUES (1),(2),(3);'
printf 'записей до down: %s\n' \
    "$(docker compose exec -T db psql -U postgres -d appdb -tAc 'SELECT count(*) FROM t' | tr -d ' \r')"

docker compose down > /dev/null
docker compose up -d > /dev/null
sleep 12
docker compose exec -T db psql -U postgres -d appdb -tAc 'SELECT count(*) FROM t' 2>&1 | tail -1

записей до down: 3
ERROR:  relation "t" does not exist

services:
  db:
    image: postgres:17-alpine
    environment:
      POSTGRES_PASSWORD: secret
      POSTGRES_DB: appdb
    volumes:
      # Named volume на тот путь, который PostgreSQL реально использует
      - db-data:/var/lib/postgresql/data
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U postgres -d appdb"]
      interval: 5s
      retries: 10

volumes:
  db-data:

docker compose up -d > /dev/null
sleep 12
docker compose exec -T db psql -U postgres -d appdb -q \
    -c 'CREATE TABLE t (id int); INSERT INTO t VALUES (1),(2),(3);'
docker compose down > /dev/null
docker compose up -d > /dev/null
sleep 12
printf 'записей после down/up: %s\n' \
    "$(docker compose exec -T db psql -U postgres -d appdb -tAc 'SELECT count(*) FROM t' | tr -d ' \r')"
docker compose down -v > /dev/null

записей после down/up: 3

volumes:
  db-data:
    driver: local
    driver_opts:
      type: none
      device: /srv/postgres-data
      o: bind

mkdir -p ~/docker-course/07-storage/devenv/{src/app,config,output}
cd ~/docker-course/07-storage/devenv

cat > src/app/__init__.py <<'PY'
"""Приложение окружения разработки."""
PY

cat > src/app/main.py <<'PY'
"""Пишет отчёт, кэш и читает конфигурацию — как обычное приложение."""
from __future__ import annotations

import configparser
import os
import sys
from pathlib import Path

VERSION = "1"          # правится на host для проверки требования 1

OUTPUT = Path(os.environ.get("OUTPUT_DIR", "/output"))
CONFIG = Path(os.environ.get("CONFIG_FILE", "/app/config/app.ini"))
CACHE = Path(os.environ.get("APP_CACHE", "/app/.cache"))


def main() -> int:
    # Требование 2: пакет из образа должен быть доступен
    try:
        import click
        pkg = f"click {click.__version__}"
    except ModuleNotFoundError as exc:
        print(f"  пакет:   ОШИБКА — {exc}")
        return 1

    # Требование 6: конфигурация читается с host
    parser = configparser.ConfigParser()
    if not CONFIG.exists():
        print(f"  конфиг:  ОТСУТСТВУЕТ {CONFIG}")
        return 1
    parser.read(CONFIG)
    setting = parser.get("app", "setting", fallback="?")

    # Требование 7: кэш пишется, но не в репозиторий host
    CACHE.mkdir(parents=True, exist_ok=True)
    (CACHE / "state.txt").write_text("кэш\n", encoding="utf-8")

    # Требование 4: файлы приложения в смонтированном каталоге
    OUTPUT.mkdir(parents=True, exist_ok=True)
    (OUTPUT / "report.txt").write_text(f"версия {VERSION}\n", encoding="utf-8")
    nested = OUTPUT / "nested"
    nested.mkdir(exist_ok=True)
    (nested / "deep.txt").write_text("вложенный файл\n", encoding="utf-8")

    print(f"  версия:  {VERSION}")
    print(f"  UID:     {os.getuid()}:{os.getgid()}")
    print(f"  HOME:    {os.environ.get('HOME', '(не задан)')}")
    print(f"  пакет:   {pkg}")
    print(f"  конфиг:  setting={setting}")
    print(f"  вывод:   {OUTPUT}/report.txt, {nested}/deep.txt")
    return 0


if __name__ == "__main__":
    sys.exit(main())
PY

cat > config/app.ini <<'EOF'
[app]
setting = исходное
EOF

cat > requirements.txt <<'EOF'
click==8.3.0
EOF

cat > .dockerignore <<'EOF'
.git
.venv
__pycache__
*.py[cod]
output
.cache
.env
EOF

cat > .gitignore <<'EOF'
.env
output/
.cache/
EOF

cat > Dockerfile <<'EOF'
# syntax=docker/dockerfile:1

FROM python:3.13-slim AS base
ENV PYTHONUNBUFFERED=1 \
    PYTHONDONTWRITEBYTECODE=1 \
    PYTHONPATH=/app/src \
    PATH="/opt/venv/bin:$PATH"

# Требование 2: окружение ВНЕ /app, монтирование его не скроет
RUN python -m venv /opt/venv
WORKDIR /app
COPY requirements.txt .
RUN --mount=type=cache,target=/root/.cache/pip pip install -r requirements.txt
COPY src/ ./src/

# ── production: фиксированный UID ──
FROM base AS runtime
RUN groupadd -g 10001 app && useradd -u 10001 -g 10001 -m -d /home/app app && \
    mkdir -p /output /app/.cache && chown -R 10001:10001 /output /app/.cache
ENV HOME=/home/app
USER 10001:10001
CMD ["python", "-m", "app.main"]

# ── разработка: UID приходит снаружи (требование 8) ──
FROM base AS dev
ARG UID=1000
ARG GID=1000
# Пользователь или группа с таким номером могут уже быть в базовом образе
RUN groupadd -g ${GID} dev 2>/dev/null || true; \
    useradd -u ${UID} -g ${GID} -m -d /home/dev dev 2>/dev/null || true; \
    mkdir -p /home/dev /app/.cache && \
    chown -R ${UID}:${GID} /home/dev /app/.cache
ENV HOME=/home/dev
USER ${UID}:${GID}
CMD ["python", "-m", "app.main"]
EOF

# Требование 8: UID вычисляется локально, в репозиторий не попадает
printf 'UID=%s\nGID=%s\n' "$(id -u)" "$(id -g)" > .env

cat > compose.yaml <<'EOF'
services:
  dev:
    build:
      context: .
      target: dev
      args:
        UID: ${UID:-1000}
        GID: ${GID:-1000}
    environment:
      OUTPUT_DIR: /output
      CONFIG_FILE: /app/config/app.ini
      APP_CACHE: /app/.cache
    volumes:
      # Требование 1: код с host
      - ./src:/app/src
      # Требование 4: вывод приложения виден на host
      - ./output:/output
      # Требование 6: КАТАЛОГ, не файл — правка редактором видна
      - ./config:/app/config:ro
      # Требование 7: кэш в volume, на host не попадает
      - dev-cache:/app/.cache

  prod:
    build:
      context: .
      target: runtime
    environment:
      OUTPUT_DIR: /output
    volumes:
      - prod-output:/output

volumes:
  dev-cache:
  prod-output:
EOF

cat > check.sh <<'SH'
#!/usr/bin/env bash
# Проверка всех восьми требований. Ненулевой код при любом провале.
set -uo pipefail
fail=0
ok()  { printf '  ✓ %s\n' "$1"; }
bad() { printf '  ✗ %s\n' "$1"; fail=1; }

run() { docker compose run --rm -T dev "$@" 2>/dev/null; }

printf '\n═══ Сборка ═══\n'
docker compose build dev > /dev/null 2>&1 && ok "образ собран" || { bad "сборка"; exit 1; }

printf '\n═══ Требования 2, 3, 6: базовый запуск ═══\n'
out="$(docker compose run --rm -T dev 2>/dev/null)"
echo "$out" | sed 's/^/  /'
echo "$out" | grep -q "click" && ok "пакет доступен (требование 2)" || bad "пакет скрыт монтированием"
uid="$(run id -u | tr -d '\r')"
[ "$uid" != "0" ] && ok "работает не от root: UID=$uid (требование 3)" || bad "работает от root"

printf '\n═══ Требование 1: правка кода без пересборки ═══\n'
sed -i 's/^VERSION = "1"/VERSION = "2-ПРАВКА"/' src/app/main.py
docker compose run --rm -T dev 2>/dev/null | grep версия | sed 's/^/  /'
docker compose run --rm -T dev 2>/dev/null | grep -q "2-ПРАВКА" \
    && ok "правка видна без пересборки" || bad "правка не видна"

printf '\n═══ Требование 4: владельцы файлов приложения ═══\n'
mine="$(id -u):$(id -g)"
bad_owner=0
while read -r p; do
    owner="$(stat -c '%u:%g' "$p")"
    printf '    %-26s %s\n' "$p" "$owner"
    [ "$owner" = "$mine" ] || bad_owner=1
done < <(find output -mindepth 1 | sort)
[ "$bad_owner" -eq 0 ] && ok "все файлы принадлежат $mine" || bad "есть файлы с чужим владельцем"

printf '\n═══ Требование 5: удаление без sudo ═══\n'
rm -rf output/report.txt output/nested 2>/dev/null \
    && ok "удалено без sudo" || bad "потребовался sudo"

printf '\n═══ Требование 6: правка конфигурации редактором ═══\n'
before="$(stat -c '%i' config/app.ini)"
sed -i 's/setting = .*/setting = ИЗМЕНЕНО/' config/app.ini
after="$(stat -c '%i' config/app.ini)"
printf '    inode: %s → %s\n' "$before" "$after"
docker compose run --rm -T dev 2>/dev/null | grep -q "setting=ИЗМЕНЕНО" \
    && ok "новое значение видно (inode менялся: $([ "$before" != "$after" ] && echo да || echo нет))" \
    || bad "конфигурация не обновилась"
docker compose run --rm -T dev sh -c 'echo x > /app/config/app.ini' 2>&1 | grep -qi "read-only" \
    && ok "конфигурация недоступна на запись" || bad "конфигурацию можно перезаписать"

printf '\n═══ Требование 7: кэш не в репозитории ═══\n'
run sh -c 'ls /app/.cache' | grep -q state.txt && ok "кэш пишется в container" || bad "кэш не пишется"
[ ! -d .cache ] && ok "каталога .cache на host нет" || bad "кэш просочился на host"

printf '\n═══ Требование 8: другой UID ═══\n'
UID=4242 GID=4242 docker compose build dev > /dev/null 2>&1
other="$(UID=4242 GID=4242 docker compose run --rm -T dev id -u 2>/dev/null | tr -d '\r')"
[ "$other" = "4242" ] && ok "собралось под UID 4242 без правки репозитория" || bad "UID не подставился (получено '$other')"
git_tracked_uid="$(grep -rl "UID=$(id -u)" --include='*.yaml' --include='*.yml' --include='Dockerfile' . 2>/dev/null | wc -l)"
[ "$git_tracked_uid" -eq 0 ] && ok "UID не записан в файлы репозитория" || bad "UID зашит в конфигурацию"

# Возвращаем исходное состояние
sed -i 's/^VERSION = "2-ПРАВКА"/VERSION = "1"/' src/app/main.py
sed -i 's/setting = ИЗМЕНЕНО/setting = исходное/' config/app.ini
UID="$(id -u)" GID="$(id -g)" docker compose build dev > /dev/null 2>&1

printf '\n═══ ИТОГ ═══\n'
[ "$fail" -eq 0 ] && echo "  все восемь требований выполнены" || echo "  ЕСТЬ ПРОВАЛЕННЫЕ ПРОВЕРКИ"
exit "$fail"
SH
chmod +x check.sh

./check.sh
echo "КОД: $?"
docker compose down -v > /dev/null 2>&1

═══ Сборка ═══
  ✓ образ собран

═══ Требования 2, 3, 6: базовый запуск ═══
    версия:  1
    UID:     1000:1000
    HOME:    /home/dev
    пакет:   click 8.3.0
    конфиг:  setting=исходное
    вывод:   /output/report.txt, /output/nested/deep.txt
  ✓ пакет доступен (требование 2)
  ✓ работает не от root: UID=1000 (требование 3)

═══ Требование 1: правка кода без пересборки ═══
    версия:  2-ПРАВКА
  ✓ правка видна без пересборки

═══ Требование 4: владельцы файлов приложения ═══
    output/nested              1000:1000
    output/nested/deep.txt     1000:1000
    output/report.txt          1000:1000
  ✓ все файлы принадлежат 1000:1000

═══ Требование 5: удаление без sudo ═══
  ✓ удалено без sudo

═══ Требование 6: правка конфигурации редактором ═══
    inode: 1443521 → 1443907
  ✓ новое значение видно (inode менялся: да)
  ✓ конфигурация недоступна на запись

═══ Требование 7: кэш не в репозитории ═══
  ✓ кэш пишется в container
  ✓ каталога .cache на host нет

═══ Требование 8: другой UID ═══
  ✓ собралось под UID 4242 без правки репозитория
  ✓ UID не записан в файлы репозитория

═══ ИТОГ ═══
  все восемь требований выполнены
КОД: 0