xuyue/OJ2 - OJ2 - Gitea: Git with a cup of tea

xuyue/OJ2

Fork 0

Commit Graph

Author	SHA1	Message	Date
yuetsh	eb849ca5ab	fix(镜像): apt 换清华源、去掉用不上的 ca-certificates；补部署脚本 ## apt-get update 在服务器上卡死不是慢，是挂住不返回 —— 本机构建从来没事，所以演练没暴露。换清华源。两个细节： - trixie 的源是 deb822 格式，在 `/etc/apt/sources.list.d/debian.sources`，老的 `sources.list` 在这个基底里是空文件，改它没有任何效果。 - 只能换主机名、必须保持 http。 https 源会在这一步失败，因为镜像里还没有根证书。 `ARG APT_MIRROR` 可覆盖。 ## ca-certificates 是多余的原注释写「给 AI 接口的 https 出站用」，不成立：Bun 和 Node 一样内嵌了一份根证书，走自己那份，不读系统的 /etc/ssl/certs。实测：把探针二进制丢进裸 debian:trixie-slim（没有 ca-certificates）请求 api.deepseek.com，握手正常、返回 401（没带 key），和装了的镜像行为一致。去掉之后重新构建，clang-format / ruff 都在，https 出站照旧，487MB → 483MB。哪天镜像里加了用 OpenSSL 做 TLS 的东西（curl、wget 之类），这条要重新考虑，注释里写了。 ## docker/deploy.sh 没有 git remote 时的部署路径：本机 rsync 推代码 → 服务器上构建 → 起栈 → 冒烟。默认不推 docker/.env（两边不是一回事，覆盖掉是静默故障），要同步显式 --env。起栈前两道守卫，就是今天在服务器上真撞到的那两种失败：DATA_DIR 没生效（卷指向 OJ2/data）、DB_HOST 没生效（DATABASE_URL 还指着试跑形态下并不存在的 oj-postgres）。两道守卫都用当天那份坏 env 正反跑过：齐全时放行，抹掉这两个变量时都触发。两半的语法也都 `bash -n` 过（远端那半是 heredoc，单独渲染后再查的）。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-16 09:30:50 -06:00
yuetsh	f6bc42f534	docs: 给 OJ2 补一份自己的 CLAUDE.md；Dockerfile 拷上 bunfig.toml ## bunfig.toml 没拷进容器，才是那批「本地能过、容器过不了」的根因 bunfig.toml 里设了 `linker = "hoisted"`，但 Dockerfile 只拷了 package.json 和 bun.lock，于是容器里用的是默认的 isolated 布局（包都在 node_modules/.bun/ 下），本地靠"提升"才解析得到的包在容器里一律 Could not resolve —— 而本地构建始终是好的，只有镜像构建才炸。之前是一个一个补直接依赖补过去的（那是对的、该保留），这里让两边布局一致，是第二道保险。带上之后装 622 个包（isolated 是 1238），镜像重建通过，二进制在容器里 serve + healthcheck 正常。顺手补了 main.ts 帮助文本里漏掉的 healthcheck 子命令（compose 里把 command 写错时，看到的就是这行）。 ## OJ2/CLAUDE.md OJ2 是独立仓库，之前没有自己的项目指引。写了一份，重点是几条「不知道就会踩」的： - 本机 Docker 可用，整套依赖和上线演练都能在本机跑 —— 别沿用上一代 "本机跑不起来后端"的旧假设 - 单二进制不能依赖 node_modules，`.node` 资源导入 dev 和编译两种形态行为不同，改完两种形态都要跑 - SQL 判题 spawn 的是二进制自己，入口必须有 argv 分发，那道递归闸不能删 - 判题状态码三处同步、raw_password 要保留、比赛只有 ACM、前端要兼容老 Chrome - 不写迁移：新旧后端跑同一套表结构，这是回滚能成立的前提 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-08 03:37:45 -06:00
yuetsh	ea521e7b0a	feat(阶段5): 镜像、三套 compose，前端切回 /api 与 /ws ## 镜像一个 Dockerfile 两个 target：api（单二进制）和 web（Caddy + 前端产物）。旧后端是一个容器里用 supervisord 跑 caddy+gunicorn+dramatiq，这里拆成 oj-web / oj-api / oj-worker 三个容器 —— Docker 本身就是进程管理器，拆开之后 worker 挂了能单独重启、日志也分得开，少一层 supervisord 要维护。同一个镜像换个子命令就是 worker，镜像里只有一份运行时。新增 healthcheck 子命令：运行镜像是 debian-slim，没有 curl/wget，让二进制自己打 /health（只打 /health 不碰库 —— 库挂了该由库的 healthcheck 报，不该让 api 跟着被判不健康然后被重启）。数据目录照抄旧后端（test_case、public/upload、public/avatar）。不是审美问题：切换那天不用搬动任何文件，回滚时旧后端立刻能找到自己的数据。少一次几十 GB 的 mv，就少一个在停机窗口里出错的机会。构建路上踩到三个坑，都是「本地能过、容器里过不了」那一类： - 构建上下文吸进了 data/，judge_server/run 是判题沙箱用别的 uid 建的， docker 连 stat 都做不了，构建直接失败 → 补 .dockerignore - mermaid@9.4.3（机房老 Chrome 的 legacy 依赖，不能砍）从容器里连 registry.npmjs.com 稳定失败，主机上没问题 → 换 npmmirror，并重试两次 - 容器里 bun 用 isolated 布局，本地是扁平的。靠「提升」才能解析到的包在容器里一律解析不到：@node-rs/jieba-linux-x64-gnu（编译要 import 它的 .node）、以及前端的 @codemirror/{language,state,view} 和 @lezer/highlight。这些本来就是代码直接 import 的，补成直接依赖。顺手写了个脚本扫全仓，确认只有这 4 个。 ## 前端切回 /api、/ws 迁移期用 /api2、/ws2 指新后端，/api、/ws 还指着 Django。端点已全部搬完，临时前缀去掉。改动只有三处（api2.ts 的 baseURL、websocket.ts 的两个 URL）， `api2` 那些 import 是模块名不是路径，不动。vite 代理同步收敛成三条。 ## compose - debian：全套（含 postgres，对外开 5445 给机房连） - school：没有 postgres，连服务器的库；本地 Redis + 本地判题沙箱 - 两边共用一个库但各有各的队列和 WS 推送，和旧后端的 Dramatiq/Channels 拓扑一致密钥一律走 env 且带 `:?`，没设置就直接报错退出，不静默用弱默认值。 COOKIE_SECURE 在机房必须是 false（http 直连 IP，带 Secure 的 Cookie 发不回来，表现是「登录成功但立刻又变未登录」）。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-07 23:41:20 -06:00

Author

SHA1

Message

Date

yuetsh

eb849ca5ab

fix(镜像): apt 换清华源、去掉用不上的 ca-certificates；补部署脚本

## apt-get update 在服务器上卡死

不是慢，是挂住不返回 —— 本机构建从来没事，所以演练没暴露。换清华源。两个细节：

- trixie 的源是 deb822 格式，在 `/etc/apt/sources.list.d/debian.sources`，
  老的 `sources.list` 在这个基底里是**空文件**，改它没有任何效果。
- **只能换主机名、必须保持 http。** https 源会在这一步失败，因为镜像里还没有根证书。

`ARG APT_MIRROR` 可覆盖。

## ca-certificates 是多余的

原注释写「给 AI 接口的 https 出站用」，不成立：Bun 和 Node 一样内嵌了一份根证书，
走自己那份，不读系统的 /etc/ssl/certs。

实测：把探针二进制丢进裸 debian:trixie-slim（没有 ca-certificates）请求
api.deepseek.com，握手正常、返回 401（没带 key），和装了的镜像行为一致。
去掉之后重新构建，clang-format / ruff 都在，https 出站照旧，487MB → 483MB。

哪天镜像里加了用 OpenSSL 做 TLS 的东西（curl、wget 之类），这条要重新考虑，
注释里写了。

## docker/deploy.sh

没有 git remote 时的部署路径：本机 rsync 推代码 → 服务器上构建 → 起栈 → 冒烟。
默认不推 docker/.env（两边不是一回事，覆盖掉是静默故障），要同步显式 --env。

起栈前两道守卫，就是今天在服务器上真撞到的那两种失败：DATA_DIR 没生效（卷指向
OJ2/data）、DB_HOST 没生效（DATABASE_URL 还指着试跑形态下并不存在的 oj-postgres）。
两道守卫都用当天那份坏 env 正反跑过：齐全时放行，抹掉这两个变量时都触发。
两半的语法也都 `bash -n` 过（远端那半是 heredoc，单独渲染后再查的）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-16 09:30:50 -06:00

yuetsh

f6bc42f534

docs: 给 OJ2 补一份自己的 CLAUDE.md；Dockerfile 拷上 bunfig.toml

## bunfig.toml 没拷进容器，才是那批「本地能过、容器过不了」的根因

bunfig.toml 里设了 `linker = "hoisted"`，但 Dockerfile 只拷了 package.json 和
bun.lock，于是容器里用的是默认的 isolated 布局（包都在 node_modules/.bun/ 下），
本地靠"提升"才解析得到的包在容器里一律 Could not resolve —— 而本地构建始终是好的，
只有镜像构建才炸。之前是一个一个补直接依赖补过去的（那是对的、该保留），
这里让两边布局一致，是第二道保险。

带上之后装 622 个包（isolated 是 1238），镜像重建通过，二进制在容器里
serve + healthcheck 正常。

顺手补了 main.ts 帮助文本里漏掉的 healthcheck 子命令（compose 里把 command
写错时，看到的就是这行）。

## OJ2/CLAUDE.md

OJ2 是独立仓库，之前没有自己的项目指引。写了一份，重点是几条「不知道就会踩」的：

- **本机 Docker 可用**，整套依赖和上线演练都能在本机跑 —— 别沿用上一代
  "本机跑不起来后端"的旧假设
- 单二进制不能依赖 node_modules，`.node` 资源导入 dev 和编译两种形态行为不同，
  **改完两种形态都要跑**
- SQL 判题 spawn 的是二进制自己，入口必须有 argv 分发，那道递归闸不能删
- 判题状态码三处同步、raw_password 要保留、比赛只有 ACM、前端要兼容老 Chrome
- 不写迁移：新旧后端跑同一套表结构，这是回滚能成立的前提

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-08 03:37:45 -06:00

yuetsh

ea521e7b0a

feat(阶段5): 镜像、三套 compose，前端切回 /api 与 /ws

## 镜像

一个 Dockerfile 两个 target：api（单二进制）和 web（Caddy + 前端产物）。
旧后端是一个容器里用 supervisord 跑 caddy+gunicorn+dramatiq，这里拆成
oj-web / oj-api / oj-worker 三个容器 —— Docker 本身就是进程管理器，
拆开之后 worker 挂了能单独重启、日志也分得开，少一层 supervisord 要维护。

同一个镜像换个子命令就是 worker，镜像里只有一份运行时。
新增 healthcheck 子命令：运行镜像是 debian-slim，没有 curl/wget，
让二进制自己打 /health（只打 /health 不碰库 —— 库挂了该由库的 healthcheck 报，
不该让 api 跟着被判不健康然后被重启）。

**数据目录照抄旧后端**（test_case、public/upload、public/avatar）。
不是审美问题：切换那天不用搬动任何文件，回滚时旧后端立刻能找到自己的数据。
少一次几十 GB 的 mv，就少一个在停机窗口里出错的机会。

构建路上踩到三个坑，都是「本地能过、容器里过不了」那一类：

- 构建上下文吸进了 data/，judge_server/run 是判题沙箱用别的 uid 建的，
  docker 连 stat 都做不了，构建直接失败 → 补 .dockerignore
- mermaid@9.4.3（机房老 Chrome 的 legacy 依赖，不能砍）从容器里连
  registry.npmjs.com 稳定失败，主机上没问题 → 换 npmmirror，并重试两次
- 容器里 bun 用 isolated 布局，本地是扁平的。靠「提升」才能解析到的包
  在容器里一律解析不到：@node-rs/jieba-linux-x64-gnu（编译要 import 它的 .node）、
  以及前端的 @codemirror/{language,state,view} 和 @lezer/highlight。
  这些本来就是代码直接 import 的，补成直接依赖。顺手写了个脚本扫全仓，
  确认只有这 4 个。

## 前端切回 /api、/ws

迁移期用 /api2、/ws2 指新后端，/api、/ws 还指着 Django。端点已全部搬完，
临时前缀去掉。改动只有三处（api2.ts 的 baseURL、websocket.ts 的两个 URL），
`api2` 那些 import 是模块名不是路径，不动。vite 代理同步收敛成三条。

## compose

- debian：全套（含 postgres，对外开 5445 给机房连）
- school：**没有 postgres**，连服务器的库；本地 Redis + 本地判题沙箱
- 两边共用一个库但各有各的队列和 WS 推送，和旧后端的 Dramatiq/Channels 拓扑一致

密钥一律走 env 且带 `:?`，没设置就直接报错退出，不静默用弱默认值。
COOKIE_SECURE 在机房必须是 false（http 直连 IP，带 Secure 的 Cookie 发不回来，
表现是「登录成功但立刻又变未登录」）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-07 23:41:20 -06:00

3 Commits