# ─────────────────────────────────────────────────────────────────────────────
#  ПРОД на Raspberry Pi (forbiddenstars.ru) — единый compose: приложение + туннель.
#  Все настройки и секреты — в корневом .env (см. .env.example). Этот файл их только
#  пробрасывает; ничего секретного тут нет.
#
#    Запуск/обновление:  docker compose up -d --build
#    Логи:               docker compose logs -f app    (или: ... tunnel)
#    Остановка:          docker compose down           (данные в томах сохраняются)
#    Бэкап/restore:      scripts/backup.sh / scripts/restore.sh
#
#  Контейнер ВСЕГДА production: APP_ENV форсится здесь и игнорирует значение из .env.
#  Порты на хост НЕ публикуются — наружу приложение выставляет только сервис tunnel
#  (SSH reverse-туннель к VPS). Из LAN/localhost оно недоступно.
# ─────────────────────────────────────────────────────────────────────────────
services:
  app:
    build: .
    # Образ из реестра (Gitea): собирается под arm64 на ПК (scripts/build-push.sh) и тянется
    # на Pi через `docker compose pull`. build: оставлен как локальный фолбэк (сборка на Pi).
    image: ${IMAGE_REGISTRY:-gitea.arseniev.info/notbigghost}/forbidden-stars:${IMAGE_TAG:-latest}
    restart: unless-stopped
    init: true                       # PID 1 пробрасывает сигналы → корректный SIGTERM
    stop_grace_period: 30s           # время на чек-пойнт WAL SQLite перед остановкой
    env_file:
      - .env                         # единый источник настроек/секретов всего приложения
    environment:
      APP_ENV: production            # прод обособлен: игнорируем APP_ENV из .env
    volumes:
      - db-data:/data                          # БД SQLite + WAL-сайдкары
      - uploads-data:/data/uploads             # медиа партий
      - achievements-data:/data/achievements   # определения титулов (файлы)
    healthcheck:
      test: ["CMD", "python", "-c", "import urllib.request; urllib.request.urlopen('http://localhost:8000/api/health')"]
      interval: 30s
      timeout: 5s
      retries: 3
      start_period: 40s
    mem_limit: ${APP_MEM_LIMIT:-512m}     # лимиты под Pi; переопределяются в .env
    cpus: ${APP_CPUS:-1.5}
    security_opt:
      - no-new-privileges:true
    logging:
      driver: json-file
      options:
        max-size: "10m"
        max-file: "5"

  # SSH reverse-туннель: VPS:${VPS_TUNNEL_PORT:-9000} → app:8000 (домен forbiddenstars.ru).
  # Ключ — ./deploy/tunnel/id_tunnel (в git не идёт); его pubkey в authorized_keys у tunnel@VPS.
  tunnel:
    build: ./deploy/tunnel
    image: ${IMAGE_REGISTRY:-gitea.arseniev.info/notbigghost}/forbidden-stars-tunnel:${IMAGE_TAG:-latest}
    restart: unless-stopped
    init: true
    depends_on:
      app:
        condition: service_healthy
    environment:
      VPS_TUNNEL_HOST: ${VPS_TUNNEL_HOST:?VPS_TUNNEL_HOST is required in .env}
      VPS_TUNNEL_USER: ${VPS_TUNNEL_USER:-tunnel}
      VPS_TUNNEL_PORT: ${VPS_TUNNEL_PORT:-9000}   # прод-слот (forbiddenstars.ru)
      UPSTREAM: app:8000
    volumes:
      - ./deploy/tunnel/id_tunnel:/key/id_tunnel:ro
    mem_limit: 64m
    security_opt:
      - no-new-privileges:true

volumes:
  db-data:
  uploads-data:
  achievements-data: