fix: add deployment key fingerprint diagnostic mode

.gitea/workflows/ci.yml

@@ -6,6 +6,11 @@ on:
   pull_request:
     branches: [main]
   workflow_dispatch:
+    inputs:
+      diagnostic_only:
+        description: 'Print deployment key fingerprint without contacting VPS'
+        type: boolean
+        default: true
 
 jobs:
   test:
@@ -34,6 +39,7 @@ jobs:
       group: production-deploy
       cancel-in-progress: false
     env:
+      DIAGNOSTIC_ONLY: ${{ github.event_name == 'workflow_dispatch' && github.event.inputs.diagnostic_only != 'false' }}
       PROD_PATH: /srv/miem_workers
       RELEASE_NAME: miem-workers-release-${{ github.run_id }}.tar
     steps:
@@ -42,6 +48,7 @@ jobs:
         id: prepare
         shell: bash
         run: |
+          set +x
           set -euo pipefail
           backend_version="$(sed -n 's/^BACKEND_VERSION = "\(.*\)"$/\1/p' app/version.py)"
           case "$backend_version" in
@@ -55,7 +62,16 @@ jobs:
         env:
           PROD_SSH_KEY: ${{ secrets.PROD_SSH_KEY }}
           PROD_KNOWN_HOSTS: ${{ secrets.PROD_KNOWN_HOSTS }}
+      - name: Deployment key fingerprint
+        if: env.DIAGNOSTIC_ONLY == 'true'
+        shell: bash
+        run: |
+          set +x
+          set -euo pipefail
+          trap 'rm -f "$RUNNER_TEMP/deploy_key" "$RUNNER_TEMP/known_hosts"' EXIT
+          ssh-keygen -y -P '' -f "$RUNNER_TEMP/deploy_key" | ssh-keygen -lf - -E sha256 | awk '{print $2}'
       - name: Upload release
+        if: env.DIAGNOSTIC_ONLY != 'true'
         shell: bash
         run: |
           set -euo pipefail
@@ -68,6 +84,7 @@ jobs:
           PROD_HOST: ${{ secrets.PROD_HOST }}
           PROD_USER: ${{ secrets.PROD_USER }}
       - name: Deploy and verify
+        if: env.DIAGNOSTIC_ONLY != 'true'
         shell: bash
         run: |
           set -euo pipefail

README.md

@@ -130,6 +130,8 @@ docker compose down
 
 Production deploy выполняется job `deploy` workflow `CI` после успешного `test` на push в `main` или вручную. Для него нужны Actions secrets `PROD_HOST`, `PROD_USER`, `PROD_SSH_KEY` и `PROD_KNOWN_HOSTS`; `.env` и ключи в репозиторий не добавляются. PostgreSQL backup выполняется на VPS раз в неделю user cron deploy-пользователя через `infra/postgres-backup.sh`: `pg_dumpall` сохраняет весь кластер в `~/backups/postgres/postgres-latest.sql`. Новый dump сначала создаётся во временный файл и заменяет старый только после успешного завершения; предыдущие dump-файлы `miem_workers` удаляются после успешного создания нового. Одновременно выполняется только один production deploy.
 
+Ручной запуск `CI` по умолчанию использует `diagnostic_only=true`: выводит только SHA256 fingerprint ключа `PROD_SSH_KEY` и пропускает Upload release и Deploy and verify, без подключения к VPS. Публичный ключ передаётся через pipe, не сохраняется в файл или artifacts; shell tracing отключён. Для штатного deployment при ручном запуске нужно явно выбрать `diagnostic_only=false`. Deployment при push в `main` сохраняется.
+
 ## Проверки
 
 После установки зависимостей из `requirements.txt` выполните:
@@ -141,7 +143,7 @@ node --check app/static/admin.js
 
 Тесты с данными используют временную SQLite; отдельные API smoke-тесты запускают приложение с его текущей конфигурацией. Браузерная проверка: `pip install playwright`, `python -m playwright install chromium`, затем `python tests/browser_admin.py`. Она проверяет реальный рендеринг страниц, клавиатуру, диалог, фильтры и восстановление прогресса после ошибки. Скриншоты сохраняются во временную папку; путь выводится в конце.
 
-Версия сервиса: `0.10.4`. Админка всегда показывает версии backend и frontend в footer.
+Версия сервиса: `0.10.5`. Админка всегда показывает версии backend и frontend в footer.
 
 ## Разовый импорт публикаций
 

app/version.py

@@ -1,3 +1,3 @@
-APP_VERSION = "0.10.4"
-FRONTEND_VERSION = "0.10.4"
-BACKEND_VERSION = "0.10.4"
+APP_VERSION = "0.10.5"
+FRONTEND_VERSION = "0.10.5"
+BACKEND_VERSION = "0.10.5"

pyproject.toml

@@ -1,6 +1,6 @@
 [project]
 name = "miem-workers"
-version = "0.10.4"
+version = "0.10.5"
 description = "MIEM employees parser, admin API, and web admin"
 requires-python = ">=3.11"
 dependencies = [

tests/test_api.py

@@ -18,7 +18,7 @@ def test_health_returns_versions():
     response = TestClient(app).get("/api/health")
 
     assert response.status_code == 200
-    assert response.json()["backend_version"] == "0.10.4"
+    assert response.json()["backend_version"] == "0.10.5"
 
 
 def test_api_employees_and_stats_require_admin_session():

tests/test_deploy_diagnostic.py

@@ -0,0 +1,48 @@
+import os
+from pathlib import Path
+import subprocess
+import textwrap
+
+import pytest
+
+
+WORKFLOW = (Path(__file__).parents[1] / ".gitea/workflows/ci.yml").read_text()
+
+
+@pytest.mark.parametrize("keygen_exit", [0, 1])
+def test_fingerprint_output_and_cleanup(tmp_path, keygen_exit):
+    step = WORKFLOW.split("      - name: Deployment key fingerprint\n", 1)[1]
+    step = step.split("      - name:", 1)[0]
+    script = textwrap.dedent(step.split("        run: |\n", 1)[1])
+    keygen = tmp_path / "ssh-keygen"
+    keygen.write_text(
+        "#!/bin/sh\n"
+        'case "$1" in\n'
+        '-y) printf "PUBLIC_MATERIAL\\n"; exit "$KEYGEN_EXIT" ;;\n'
+        '-lf) cat >/dev/null; printf "256 SHA256:test comment (ED25519)\\n" ;;\n'
+        '*) exit 99 ;;\n'
+        "esac\n"
+    )
+    keygen.chmod(0o700)
+    (tmp_path / "deploy_key").write_text("PRIVATE_MATERIAL")
+    (tmp_path / "known_hosts").write_text("HOST_MATERIAL")
+    result = subprocess.run(
+        ["bash", "-x", "-c", script], capture_output=True, text=True,
+        env={**os.environ, "RUNNER_TEMP": str(tmp_path),
+             "PATH": f"{tmp_path}:{os.environ['PATH']}",
+             "KEYGEN_EXIT": str(keygen_exit)},
+    )
+    assert (result.returncode == 0) == (keygen_exit == 0)
+    if keygen_exit == 0:
+        assert result.stdout == "SHA256:test\n"
+    assert "MATERIAL" not in result.stdout + result.stderr
+    assert "comment" not in result.stdout + result.stderr
+    assert not (tmp_path / "deploy_key").exists()
+    assert not (tmp_path / "known_hosts").exists()
+
+
+def test_both_vps_steps_are_guarded():
+    assert "github.event.inputs.diagnostic_only != 'false'" in WORKFLOW
+    for name in ("Upload release", "Deploy and verify"):
+        step = WORKFLOW.split(f"      - name: {name}\n", 1)[1]
+        assert step.startswith("        if: env.DIAGNOSTIC_ONLY != 'true'\n")