CI wydania + instalacja przez Homebrew (cask)

[mbeczynski]

Co

• release.yml: tag vX.Y.Z buduje i wypuszcza wydanie, krok po kroku:
  1. sprawdza, czy tag zgadza się z mac-app/VERSION;
  2. uruchamia swift test;
  3. buduje uniwersalny CloudMachine.app (arm64 + x86_64);
  4. podpisuje go stałym certyfikatem;
  5. publikuje DMG z plikiem .sha256 w GitHub Release;
  6. generuje cask i wypycha go do RenaCode/homebrew-tap.
• PR, który dotyka budowania, przechodzi ten sam potok na sucho: podpis ad-hoc, bez wydania i bez tapu. DMG i cask są do pobrania jako artefakty przebiegu.
• packaging/homebrew/cloudmachine.rb.in: szablon caska.
• packaging/README.md: jednorazowa konfiguracja (certyfikat, tap, token) i procedura wydania.
• build-app --universal.

Poprawione błędy znalezione po drodze

• Agent wołany z PATH nie znał swojej ścieżki. Wynik cd /tmp && cloudmachine-agent version był taki: Build z drzewa roboczego. Przez pełną ścieżkę ta sama binarka pokazywała 1.2.0 (110). install-launchd wywołany z PATH wpisałby agentom nieistniejącą binarkę /tmp/cloudmachine-agent. Po poprawce wywołanie przez dowiązanie z PATH zwraca 1.2.0 (110) 00db9ac.
• setup-signing-cert padał na każdym Macu. /usr/bin/openssl to LibreSSL 3.3.6, a ten nie zna flagi -legacy (sprawdzone: exit 1).

Celowe decyzje w casku

• Brak uninstall launchctl:. Homebrew wykonuje uninstall także przy brew upgrade, a zatrzymanie gdrive-buffer zrywa montowanie na ok. 20 minut.
• Brak przeładowania agentów po upgradzie. Kroki caska w Homebrew 7 działają w sandboxie bez dostępu do ~/Library/LaunchAgents. Upgrade podmienia bundle na nowe pliki, a to jest procedura, po której agenci startują poprawnie.
• zap nie rusza ~/.cloudmachine, bo tam leży bufor niewysłanych kopii.
• Kwarantanna zdejmowana w postflight_steps. Aplikacja nie jest notaryzowana.
• Wydanie bez certyfikatu się nie zbuduje. Podpis ad-hoc cofałby Pełny dostęp do dysku po każdym upgradzie.

Sprawdzone lokalnie

• swift test: 295 testów, 0 błędów; swift format lint --strict przechodzi.
• build-app --universal: binarki x86_64 arm64, codesign --verify --deep --strict przechodzi; make-dmg działa.
• Cask: brew style --cask i brew audit --cask --strict bez uwag (Homebrew 7.0.8).
• brew install / uninstall testowej kopii caska z lokalnego DMG do katalogu tymczasowego: aplikacja instaluje się i odpowiada, odinstalowanie sprząta.

Niesprawdzone, wyjdzie przy pierwszym tagu

• Import certyfikatu i podpis na runnerze.
• Wypchnięcie do tapu.
• Zdjęcie kwarantanny przy pobraniu z GitHuba.

Wymaga sekretów CM_SIGNING_P12_* i HOMEBREW_TAP_TOKEN oraz repozytorium RenaCode/homebrew-tap. Szczegóły w packaging/README.md.

🤖 Generated with Claude Code