15.2. Тесты внутри container

FROM python:3.13-slim AS base
WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt
COPY src/ ./src/

FROM base AS test
RUN pip install --no-cache-dir pytest==9.1.1
COPY tests/ ./tests/
RUN python -m pytest tests/ -q          # ← тесты здесь

FROM base AS production
CMD ["python", "-m", "src.main"]

docker build -t app:1.0 .

НЕВЕРНО                          ВЕРНО

    base                             base
   /    \                              |
test    production               production
                                       |
   тестируется НЕ то,               test
   что собирается                     |
                                 тестируется РОВНО то,
                                 что поедет

FROM base AS production
COPY src/ ./src/
USER app
CMD ["python", "-m", "src.main"]

FROM production AS test
USER root
RUN pip install --no-cache-dir -r requirements-dev.txt
COPY tests/ ./tests/
RUN python -m pytest tests/ -q

requirements.txt          → production-образ
requirements-dev.txt      → только стадия test

docker run --rm app:1.0 python -c "import pytest" 2>&1 | grep ModuleNotFoundError

FROM test AS report
RUN python -m pytest tests/ --cov=src --cov-report=xml:/out/coverage.xml -q

FROM scratch AS export
COPY --from=report /out /

docker build --target export --output type=local,dest=./reports .

[tool.coverage.paths]
source = [
    "src/",
    "/app/src/",
]

docker build --target test -t app:test .
docker run --rm -v "$PWD/src:/app/src:ro" -v "$PWD/tests:/app/tests:ro" \
    app:test python -m pytest tests/ -q

RUN python -m pytest tests/ -q                    # верно
RUN python -m pytest tests/ -q || true            # тесты не остановят сборку
RUN python -m pytest tests/ -q | tee /tmp/log     # код возврата от tee, не от pytest

SHELL ["/bin/bash", "-o", "pipefail", "-c"]
RUN python -m pytest tests/ -q | tee /tmp/pytest.log

mkdir -p /tmp/incontainer && cd /tmp/incontainer
mkdir -p src tests

cat > requirements.txt <<'EOF'
click==8.3.0
EOF
cat > requirements-dev.txt <<'EOF'
pytest==9.1.1
pytest-cov==7.1.0
EOF

cat > src/__init__.py <<'PY'
PY
cat > src/calc.py <<'PY'
"""Простой модуль для демонстрации."""
from __future__ import annotations


def total(price: float, quantity: int, discount: float = 0.0) -> float:
    """Сумма заказа со скидкой."""
    if price < 0 or quantity < 0:
        raise ValueError("отрицательные значения недопустимы")
    if not 0.0 <= discount <= 1.0:
        raise ValueError("скидка вне диапазона 0..1")
    return round(price * quantity * (1 - discount), 2)
PY

cat > tests/test_calc.py <<'PY'
import pytest

from src.calc import total


def test_simple():
    assert total(100.0, 3) == 300.0


def test_with_discount():
    assert total(100.0, 2, 0.1) == 180.0


@pytest.mark.parametrize("price,qty", [(-1, 1), (1, -1)])
def test_negative_rejected(price, qty):
    with pytest.raises(ValueError):
        total(price, qty)


def test_bad_discount():
    with pytest.raises(ValueError):
        total(100.0, 1, 1.5)
PY

cat > Dockerfile.unreachable <<'EOF'
# syntax=docker/dockerfile:1
FROM python:3.13-slim AS base
WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt
COPY src/ ./src/

# Стадия test существует, но НИКТО на неё не ссылается
FROM base AS test
COPY requirements-dev.txt .
RUN pip install --no-cache-dir -r requirements-dev.txt
COPY tests/ ./tests/
RUN echo "=== ТЕСТЫ ВЫПОЛНЯЮТСЯ ===" && python -m pytest tests/ -q

FROM base AS production
CMD ["python", "-c", "from src.calc import total; print(total(10, 2))"]
EOF

echo "═══ обычная сборка ═══"
docker build -f Dockerfile.unreachable -t reach:demo . 2>&1 | tail -6 | sed 's/^/  /'

echo "═══ выполнялись ли тесты? ═══"
if docker build -f Dockerfile.unreachable -t reach:demo --no-cache . 2>&1 \
   | grep -q 'ТЕСТЫ ВЫПОЛНЯЮТСЯ'; then
    echo "  ДА — строка из стадии test найдена в выводе"
else
    echo "  НЕТ — стадия test пропущена, её вывода в сборке нет"
fi

echo "═══ явная цель ═══"
docker build -f Dockerfile.unreachable --target test -t reach:test --no-cache . 2>&1 \
    | grep -E 'ТЕСТЫ ВЫПОЛНЯЮТСЯ|passed|DONE' | head -3 | sed 's/^/  /'

═══ обычная сборка ═══
   => [production 1/1] ...
   => exporting to image
   => => naming to docker.io/library/reach:demo
═══ выполнялись ли тесты? ═══
  НЕТ — стадия test пропущена, её вывода в сборке нет
═══ явная цель ═══
  #12 0.412 === ТЕСТЫ ВЫПОЛНЯЮТСЯ ===
  #12 0.688 5 passed in 0.03s
  #12 DONE 0.7s

cd /tmp/incontainer
cat > Dockerfile.enforced <<'EOF'
# syntax=docker/dockerfile:1
FROM python:3.13-slim AS base
WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

# Production-образ: то, что поедет
FROM base AS production
COPY src/ ./src/
RUN useradd --create-home --uid 10001 app && chown -R app:app /app
USER app
CMD ["python", "-c", "from src.calc import total; print(total(10, 2))"]

# Тесты НАСЛЕДУЮТ production: проверяется ровно то, что отгружается
FROM production AS test
USER root
COPY requirements-dev.txt .
RUN pip install --no-cache-dir -r requirements-dev.txt
COPY tests/ ./tests/
RUN echo "=== ТЕСТЫ ВЫПОЛНЯЮТСЯ ===" \
    && python -m pytest tests/ -q \
    && mkdir -p /out && echo "тесты пройдены" > /out/tests-passed.txt

# Финальная стадия ЗАВИСИТ от test — без прохождения тестов сборки не будет
FROM production AS final
COPY --from=test /out/tests-passed.txt /app/.tests-passed
EOF

echo "═══ сборка без указания цели ═══"
docker build -f Dockerfile.enforced -t enforced:1 --no-cache . 2>&1 \
    | grep -E 'ТЕСТЫ ВЫПОЛНЯЮТСЯ|passed|naming' | sed 's/^/  /'

echo "═══ проверка: тесты выполнились ═══"
docker run --rm enforced:1 cat /app/.tests-passed 2>/dev/null | sed 's/^/  /'

echo "═══ ломаем тест и пробуем собрать ═══"
cat >> tests/test_calc.py <<'PY'


def test_заведомо_ломающий():
    assert total(1.0, 1) == 999.0
PY
build_rc=0
docker build -f Dockerfile.enforced -t enforced:2 --no-cache . > broken.log 2>&1 || build_rc=$?
printf '  код возврата сборки: %s\n' "$build_rc"
grep -E 'assert|failed' broken.log | head -3 | sed 's/^/  /'

echo "═══ создался ли образ ═══"
if docker image inspect enforced:2 > /dev/null 2>&1; then
    echo "  образ enforced:2 СОЗДАН — тесты не остановили сборку"
else
    echo "  образ enforced:2 НЕ создан — сборка остановлена падением теста"
fi

# Убираем сломанный тест
python3 - <<'PY'
from pathlib import Path
p = Path("tests/test_calc.py")
text = p.read_text()
marker = "\n\ndef test_заведомо_ломающий():"
if marker in text:
    p.write_text(text[:text.index(marker)] + "\n")
    print("  сломанный тест удалён")
PY

═══ сборка без указания цели ═══
  #14 0.401 === ТЕСТЫ ВЫПОЛНЯЮТСЯ ===
  #14 0.702 5 passed in 0.03s
   => => naming to docker.io/library/enforced:1
═══ проверка: тесты выполнились ═══
  тесты пройдены
═══ ломаем тест и пробуем собрать ═══
  код возврата сборки: 1
  E       assert 1.0 == 999.0
  1 failed, 5 passed in 0.04s
═══ создался ли образ ═══
  образ enforced:2 НЕ создан — сборка остановлена падением теста
  сломанный тест удалён

cd /tmp/incontainer
echo "═══ от какого пользователя работает production ═══"
docker run --rm enforced:1 sh -c 'id -u; id -un' 2>/dev/null | sed 's/^/  /'

echo "═══ от какого пользователя выполнялись тесты ═══"
docker build -f Dockerfile.enforced --target test -t enforced:test . > /dev/null 2>&1
docker run --rm enforced:test sh -c 'id -u; id -un' 2>/dev/null | sed 's/^/  /'

echo "═══ разбор ═══"
cat <<'TXT'
  Стадия test наследует production и переключается на root
  только для установки пакетов. Сам production-образ остаётся
  с USER app.

  Если бы test и production были независимыми ветвями от base,
  тесты могли бы проходить в окружении, отличном от отгружаемого:
  другой пользователь, другой набор файлов, другой рабочий каталог.

  Проверка того, что тесты видят production-окружение:
    docker build --target test -t app:test .
    docker run --rm app:test ls -la /app
TXT
docker run --rm enforced:test sh -c 'ls /app | tr "\n" " "' 2>/dev/null | sed 's/^/  файлы в test: /'
docker run --rm enforced:1 sh -c 'ls /app | tr "\n" " "' 2>/dev/null | sed 's/^/  файлы в prod: /'

═══ от какого пользователя работает production ═══
  10001
  app
═══ от какого пользователя выполнялись тесты ═══
  0
  root
═══ разбор ═══
  Стадия test наследует production и переключается на root
  только для установки пакетов. Сам production-образ остаётся
  с USER app.
  ...
  файлы в test: requirements.txt requirements-dev.txt src tests
  файлы в prod: requirements.txt src

cd /tmp/incontainer
cat > check-deps.sh <<'SH'
#!/usr/bin/env bash
# Проверяет, что test-зависимости не попали в production-образ.
set -uo pipefail

IMAGE="${1:?укажите образ}"
DEV_PACKAGES="${2:-pytest pytest-cov coverage ruff mypy ipython pdbpp}"

found=0
printf '\n  Проверка образа: %s\n\n' "$IMAGE"

for pkg in $DEV_PACKAGES; do
    module="${pkg//-/_}"
    if docker run --rm --entrypoint python "$IMAGE" -c "import $module" > /dev/null 2>&1; then
        printf '  ⚠ %-14s ПРИСУТСТВУЕТ в production-образе\n' "$pkg"
        found=$((found + 1))
    else
        printf '  ✓ %-14s отсутствует\n' "$pkg"
    fi
done

# Файлы, которых в production быть не должно
printf '\n'
for path in /app/tests /app/requirements-dev.txt /app/.pytest_cache /app/conftest.py; do
    if docker run --rm --entrypoint sh "$IMAGE" -c "test -e $path" 2>/dev/null; then
        printf '  ⚠ %-26s присутствует\n' "$path"
        found=$((found + 1))
    else
        printf '  ✓ %-26s отсутствует\n' "$path"
    fi
done

printf '\n  нарушений разделения: %s\n\n' "$found"
[ "$found" -gt 0 ] && exit 1
exit 0
SH
chmod +x check-deps.sh

echo "═══ production-образ ═══"
./check-deps.sh enforced:1 || true

echo "═══ тестовый образ (для сравнения) ═══"
./check-deps.sh enforced:test 2>&1 | tail -4 || true

═══ production-образ ═══

  Проверка образа: enforced:1

  ✓ pytest         отсутствует
  ✓ pytest-cov     отсутствует
  ✓ coverage       отсутствует
  ✓ ruff           отсутствует
  ✓ mypy           отсутствует
  ✓ ipython        отсутствует
  ✓ pdbpp          отсутствует

  ✓ /app/tests                   отсутствует
  ✓ /app/requirements-dev.txt    отсутствует
  ✓ /app/.pytest_cache           отсутствует
  ✓ /app/conftest.py             отсутствует

  нарушений разделения: 0

═══ тестовый образ (для сравнения) ═══
  ⚠ /app/requirements-dev.txt    присутствует

  нарушений разделения: 3

cd /tmp/incontainer
cat > pyproject.toml <<'EOF'
[tool.coverage.run]
source = ["src"]
branch = true

[tool.coverage.paths]
# Один и тот же исходник под разными путями: в container и на машине
source = ["src/", "/app/src/"]

[tool.coverage.report]
show_missing = true
skip_covered = false
EOF

cat > Dockerfile.report <<'EOF'
# syntax=docker/dockerfile:1
FROM python:3.13-slim AS base
WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

FROM base AS production
COPY src/ ./src/
CMD ["python", "-c", "from src.calc import total; print(total(10, 2))"]

FROM production AS test
COPY requirements-dev.txt pyproject.toml ./
RUN pip install --no-cache-dir -r requirements-dev.txt
COPY tests/ ./tests/
RUN mkdir -p /out && python -m pytest tests/ -q \
        --cov=src \
        --cov-report=term \
        --cov-report=xml:/out/coverage.xml \
        --junit-xml=/out/junit.xml

# Стадия, содержащая ТОЛЬКО отчёты
FROM scratch AS export
COPY --from=test /out/ /
EOF

echo "═══ сборка с выгрузкой отчётов ═══"
rm -rf reports && mkdir -p reports
docker build -f Dockerfile.report --target export \
    --output "type=local,dest=./reports" --no-cache . 2>&1 \
    | grep -E 'TOTAL|passed|DONE.*export' | head -4 | sed 's/^/  /'

echo "═══ что выгрузилось ═══"
ls -la reports/ 2>/dev/null | tail -3 | sed 's/^/  /'

echo "═══ содержимое отчёта о покрытии ═══"
python3 - <<'PY'
import xml.etree.ElementTree as ET
from pathlib import Path

path = Path("reports/coverage.xml")
if not path.exists():
    print("  coverage.xml не выгружен")
else:
    root = ET.parse(path).getroot()
    rate = float(root.get("line-rate", 0)) * 100
    print(f"  покрытие строк: {rate:.0f} %")
    for cls in root.iter("class"):
        name = cls.get("filename")
        cls_rate = float(cls.get("line-rate", 0)) * 100
        print(f"    {name:<24} {cls_rate:.0f} %")
PY

echo "═══ почему нужен раздел paths ═══"
cat <<'TXT'
  Внутри container исходники лежат в /app/src, на машине — в ./src.
  Отчёт содержит пути из container'а.

  Без раздела [tool.coverage.paths] инструмент на машине
  не найдёт файлы и покажет 0 % или ошибку.

  С разделом:
    [tool.coverage.paths]
    source = ["src/", "/app/src/"]

  Оба пути считаются одним исходником. Это же нужно
  при объединении отчётов из нескольких прогонов.
TXT

═══ сборка с выгрузкой отчётов ═══
  #16 0.712 5 passed in 0.09s
  #16 0.712 TOTAL                       8      0      2      0   100%
  #18 DONE 0.1s
═══ что выгрузилось ═══
  -rw-r--r-- 1 evg evg  1284 июл 31 12:04 coverage.xml
  -rw-r--r-- 1 evg evg  1902 июл 31 12:04 junit.xml
═══ содержимое отчёта о покрытии ═══
  покрытие строк: 100 %
    src/calc.py              100 %
═══ почему нужен раздел paths ═══
  Внутри container исходники лежат в /app/src, на машине — в ./src.
  Отчёт содержит пути из container'а.
  ...

cd /tmp/incontainer
cat > Dockerfile.pipe <<'EOF'
# syntax=docker/dockerfile:1
FROM python:3.13-slim
WORKDIR /app
RUN pip install --no-cache-dir pytest==9.1.1
COPY src/ ./src/
COPY tests/ ./tests/
RUN echo "def test_упадёт(): assert False" > tests/test_broken.py

# ЛОВУШКА: код возврата берётся от tee, а не от pytest
RUN python -m pytest tests/ -q | tee /tmp/pytest.log
EOF

echo "═══ сборка с конвейером без pipefail ═══"
pipe_rc=0
docker build -f Dockerfile.pipe -t pipe:trap --no-cache . > pipe.log 2>&1 || pipe_rc=$?
printf '  код возврата сборки: %s\n' "$pipe_rc"
grep -E 'failed|passed' pipe.log | tail -1 | sed 's/^/  в логе: /'
if docker image inspect pipe:trap > /dev/null 2>&1; then
    echo "  образ СОЗДАН несмотря на упавший тест"
else
    echo "  образ не создан"
fi

echo "═══ исправление: pipefail ═══"
cat > Dockerfile.pipefail <<'EOF'
# syntax=docker/dockerfile:1
FROM python:3.13-slim
SHELL ["/bin/bash", "-o", "pipefail", "-c"]
WORKDIR /app
RUN pip install --no-cache-dir pytest==9.1.1
COPY src/ ./src/
COPY tests/ ./tests/
RUN echo "def test_упадёт(): assert False" > tests/test_broken.py
RUN python -m pytest tests/ -q | tee /tmp/pytest.log
EOF

fix_rc=0
docker build -f Dockerfile.pipefail -t pipe:fixed --no-cache . > pipefix.log 2>&1 || fix_rc=$?
printf '  код возврата сборки: %s\n' "$fix_rc"
if docker image inspect pipe:fixed > /dev/null 2>&1; then
    echo "  образ создан — исправление не сработало"
else
    echo "  образ НЕ создан — сборка остановлена, как и должно быть"
fi

echo "═══ три способа потерять код возврата ═══"
cat <<'TXT'
  RUN pytest tests/ || true              намеренно проглочен
  RUN pytest tests/ ; echo готово        код от echo
  RUN pytest tests/ | tee /tmp/log       код от tee

  Первый вариант иногда пишут «чтобы посмотреть логи» и забывают убрать.
  Третий выглядит безобидно и встречается чаще всего.

  Исправление для третьего:
    SHELL ["/bin/bash", "-o", "pipefail", "-c"]

  Проверка: сломайте один тест и убедитесь, что сборка падает.
  Механизм, который никто не проверял, обычно не работает.
TXT

docker rmi -f pipe:trap pipe:fixed reach:demo reach:test enforced:1 enforced:test > /dev/null 2>&1

═══ сборка с конвейером без pipefail ═══
  код возврата сборки: 0
  в логе: 1 failed, 5 passed in 0.05s
  образ СОЗДАН несмотря на упавший тест
═══ исправление: pipefail ═══
  код возврата сборки: 1
  образ НЕ создан — сборка остановлена, как и должно быть
═══ три способа потерять код возврата ═══
  RUN pytest tests/ || true              намеренно проглочен
  RUN pytest tests/ ; echo готово        код от echo
  RUN pytest tests/ | tee /tmp/log       код от tee
  ...

cd /tmp/incontainer
docker build -f Dockerfile.report --target test -t iter:test . > /dev/null 2>&1

echo "═══ прогон с монтированием кода ═══"
docker run --rm \
    -v "$PWD/src:/app/src:ro" \
    -v "$PWD/tests:/app/tests:ro" \
    iter:test python -m pytest tests/ -q 2>&1 | tail -2 | sed 's/^/  /'

echo "═══ меняем код без пересборки ═══"
cp src/calc.py src/calc.py.bak
python3 - <<'PY'
from pathlib import Path
p = Path("src/calc.py")
p.write_text(p.read_text().replace("return round(price * quantity", "return round(0 * price * quantity"))
print("  внесена ошибка в src/calc.py")
PY

docker run --rm \
    -v "$PWD/src:/app/src:ro" \
    -v "$PWD/tests:/app/tests:ro" \
    iter:test python -m pytest tests/ -q 2>&1 | tail -2 | sed 's/^/  /'
mv src/calc.py.bak src/calc.py
echo "  код восстановлен"

echo "═══ ограничение подхода ═══"
cat <<'TXT'
  Монтирование даёт быстрый цикл, но проверяет КОД, а не ОБРАЗ.

  Что оно скрывает:
    файл не скопирован в образ инструкцией COPY
    файл исключён .dockerignore
    зависимость не установлена в образ
    права на файл в образе не те

  Поэтому перед публикацией — полный прогон в собранном образе:
    docker build --target test -t app:test . && docker run --rm app:test pytest
TXT

cd /tmp && rm -rf /tmp/incontainer
docker rmi -f iter:test > /dev/null 2>&1

═══ прогон с монтированием кода ═══
  .....                                                                [100%]
  5 passed in 0.04s
═══ меняем код без пересборки ═══
  внесена ошибка в src/calc.py
  FF...                                                                [100%]
  2 failed, 3 passed in 0.05s
  код восстановлен
═══ ограничение подхода ═══
  Монтирование даёт быстрый цикл, но проверяет КОД, а не ОБРАЗ.

  Что оно скрывает:
    файл не скопирован в образ инструкцией COPY
    файл исключён .dockerignore
    зависимость не установлена в образ
    права на файл в образе не те

  Поэтому перед публикацией — полный прогон в собранном образе:
    docker build --target test -t app:test . && docker run --rm app:test pytest

docker build --no-cache . 2>&1 | grep -c 'passed'
docker build --target test -t app:test . && docker run --rm app:test python -m pytest -q
docker run --rm --entrypoint python ОБРАЗ -c "import pytest" 2>&1 | tail -1
docker build --target export --output type=local,dest=./reports .