NotBigGhostandClaude Opus 4.8
b3db5a4047
- docker-compose.yml: слот туннеля параметризован (${VPS_TUNNEL_PORT:-9000}), VPS_TUNNEL_HOST
стал обязательным (${...:?}), лимиты ресурсов из .env (APP_MEM_LIMIT/APP_CPUS),
stop_grace_period 30s (чек-пойнт WAL SQLite), security_opt no-new-privileges на обоих сервисах;
healthcheck/логирование/тома сохранены (имена томов не менялись — данные не осиротеют).
- .env.example: VPS_TUNNEL_PORT по умолчанию НЕ задаётся (каждый контур берёт свой слот:
dev→9001, prod→9000, test→9001); добавлены ADMIN_NICKNAME, DEV/PROD_ACHIEVEMENTS_DIR,
APP_MEM_LIMIT/APP_CPUS.
- deploy/pi/README: чек-лист .env для Pi; запуск одним `docker compose up -d --build`.
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
95 lines
7.2 KiB
Bash
95 lines
7.2 KiB
Bash
# ═══════════════════════════════════════════════════════════════════════════
|
||
# Forbidden Stars — единый .env (dev / test / prod)
|
||
# Скопируйте в .env, заполните секреты. Реальный .env в git НЕ идёт.
|
||
# Окружение — строкой APP_ENV (ниже); публикация локалки наружу — LOCAL_PUBLIC.
|
||
# ═══════════════════════════════════════════════════════════════════════════
|
||
|
||
# ─── ГЛАВНЫЙ ПЕРЕКЛЮЧАТЕЛЬ ────────────────────────────────────────────────────
|
||
# Этот параметр читает ЛАУНЧЕР (run.ps1 / run.sh) и решает, что запускать:
|
||
# development — нативно: uvicorn --reload + vite, БД в ./data/dev/, вход TG+ник
|
||
# test — прод-клон в Docker локально (порт 8080), вход только TG
|
||
# production — НЕ запускается лаунчером; деплой на Pi отдельно (docker compose up -d).
|
||
# Прод-контейнер ИГНОРИРУЕТ это значение и всегда production.
|
||
APP_ENV=development
|
||
|
||
# ─── ПУБЛИКАЦИЯ ЧЕРЕЗ ДОМЕН (VPS-туннель) ─────────────────────────────────────
|
||
# LOCAL_PUBLIC — только для DEV на твоём ПК: local = приложение лишь на localhost;
|
||
# vps = лаунчер (run.ps1) дополнительно поднимает SSH-туннель → дев на forbidden-stars.ru.
|
||
# TEST и PROD выставляют себя сами через туннель-КОНТЕЙНЕР (docker-compose*.yml) — им
|
||
# LOCAL_PUBLIC не нужен, но VPS_TUNNEL_HOST/USER ниже они тоже читают.
|
||
LOCAL_PUBLIC=local
|
||
# Параметры VPS: их читают и dev-туннель (run.ps1), и туннель-контейнер test/prod.
|
||
# Ключ туннеля — в deploy/tunnel/id_tunnel (в git не идёт); pubkey → authorized_keys у tunnel@VPS.
|
||
VPS_TUNNEL_HOST=186.246.51.17
|
||
VPS_TUNNEL_USER=tunnel
|
||
# VPS_TUNNEL_PORT обычно НЕ задают — каждый контур берёт свой слот по умолчанию:
|
||
# dev (run.ps1) → 9001, прод-контейнер → 9000, test-контейнер → 9001.
|
||
# Раскомментируй и переопредели, только если нужен нестандартный слот.
|
||
#VPS_TUNNEL_PORT=9001
|
||
|
||
# ─── АДМИНИСТРАТОР (вход по логину/паролю, отдельно от Telegram) ──────────────
|
||
ADMIN_USERNAME=admin
|
||
ADMIN_PASSWORD=change-me-admin-password
|
||
ADMIN_NICKNAME=Администратор
|
||
ADMIN_BOOTSTRAP_ENABLED=true
|
||
|
||
# ─── АУТЕНТИФИКАЦИЯ ИГРОКОВ ───────────────────────────────────────────────────
|
||
# Методы входа задаёт APP_ENV: dev → Telegram + stub (вход по нику), prod → только
|
||
# Telegram. Для Telegram нужны токен и юзернейм бота (@BotFather). /setdomain у
|
||
# BotFather укажи на ОБА домена, где открывается виджет: forbiddenstars.ru (prod)
|
||
# и forbidden-stars.ru (dev/test).
|
||
TELEGRAM_BOT_TOKEN=
|
||
TELEGRAM_BOT_USERNAME=
|
||
# Внешний адрес (зарезервировано): prod https://forbiddenstars.ru; dev/test https://forbidden-stars.ru.
|
||
PUBLIC_BASE_URL=
|
||
|
||
# ─── БЕЗОПАСНОСТЬ / СЕССИИ ────────────────────────────────────────────────────
|
||
# Сгенерировать: python -c "import secrets;print(secrets.token_urlsafe(48))"
|
||
# ВАЖНО: в секретах НЕ используйте символ '$' — docker compose трактует его как
|
||
# подстановку переменной (token_urlsafe даёт только [A-Za-z0-9_-], это безопасно).
|
||
SECRET_KEY=change-me-dev-secret-not-for-production
|
||
JWT_ALGORITHM=HS256
|
||
JWT_USER_TTL_MINUTES=10080
|
||
JWT_ADMIN_TTL_MINUTES=480
|
||
# COOKIE_SECURE задаётся АВТОМАТИЧЕСКИ по окружению (HTTPS-домен ⇒ Secure-cookie):
|
||
# dev+localhost → false; dev через VPS, test, prod → true. Вручную задавать НЕ нужно.
|
||
COOKIE_DOMAIN=
|
||
|
||
# ─── БАЗА ДАННЫХ (структура общая, файлы РАЗНЫЕ; выбор по APP_ENV) ────────────
|
||
# dev → DEV_DATABASE_URL (файл в ./data/dev/); test и prod → PROD_DATABASE_URL
|
||
# (том /data; у test и prod это РАЗНЫЕ тома контейнера, см. docker-compose*.yml).
|
||
DEV_DATABASE_URL=sqlite:///./data/dev/forbidden_stars.db
|
||
PROD_DATABASE_URL=sqlite:////data/forbidden_stars.db
|
||
|
||
# Каталог загрузок (фото партий), раздельно для dev и prod.
|
||
DEV_UPLOAD_DIR=./data/dev/uploads
|
||
PROD_UPLOAD_DIR=/data/uploads
|
||
|
||
# Каталог определений титулов (файлы: meta.json, condition.py, icon.*), раздельно.
|
||
DEV_ACHIEVEMENTS_DIR=./data/dev/achievements
|
||
PROD_ACHIEVEMENTS_DIR=/data/achievements
|
||
|
||
# ─── РЕСУРСЫ ПРОД-КОНТЕЙНЕРА (docker-compose.yml) ─────────────────────────────
|
||
# Лимиты под Raspberry Pi. Не заданы → дефолты compose (512m / 1.5 CPU).
|
||
# Подними, если у Pi больше RAM/ядер.
|
||
#APP_MEM_LIMIT=512m
|
||
#APP_CPUS=1.5
|
||
|
||
# ─── БЭКАП (оффсайт-копия на VPS; читает scripts/backup.sh на хосте Pi) ───────
|
||
# Полный бэкап (БД + uploads + achievements) кладётся локально в backups/, и — если задан
|
||
# BACKUP_VPS_HOST — копируется на VPS (Pi → VPS push, т.к. Pi за CGNAT). Пусто = только локально.
|
||
# Ключ бэкапа — deploy/backup/id_backup (в git НЕ идёт); его pubkey → authorized_keys у backup@VPS.
|
||
BACKUP_VPS_HOST=
|
||
BACKUP_VPS_USER=backup
|
||
BACKUP_VPS_DIR=/srv/fs-backups
|
||
BACKUP_VPS_KEY=deploy/backup/id_backup
|
||
BACKUP_KEEP_LOCAL=14
|
||
BACKUP_KEEP_REMOTE=30
|
||
|
||
# ─── ПРОЧЕЕ ───────────────────────────────────────────────────────────────────
|
||
# Часовой пояс приложения (фикс. смещение в часах; МСК = 3)
|
||
APP_TZ_OFFSET_HOURS=3
|
||
# CORS нужен только в dev (фронт и API на разных портах); в prod single-origin
|
||
CORS_ORIGINS=http://localhost:5173,http://127.0.0.1:5173
|
||
LOG_LEVEL=INFO
|