kdep 0.5.0 → 0.6.0

checksums.yaml

@@ -1,7 +1,7 @@
 ---
 SHA256:
-  metadata.gz: 6e1f1a30cdbd53c887f8cb3596553d8cadfd8c40a69654e233effb307d405bde
-  data.tar.gz: de0c60773483b9b9203463d807cd61af12a4aacdee78f71c834522ef38538116
+  metadata.gz: 0f5fd6a62da416ea9cdccd6d6370050509846001fec09b066b63ac8c79918106
+  data.tar.gz: a792a173492ad869938ad623743af357e1a1ee6a8d7c85d2f591bcde7511d378
 SHA512:
-  metadata.gz: 057d0b80e63baaae39146d5045ff33a1a152dcea0809aa27e59bf2e9e1bb08db846ef8146df7ce512b679612c05abf9777abd8c377156bee9cc2615d23000190
-  data.tar.gz: 32378759cf7fec1f2f81f3d4896059fba2383e2c095e500adafeee43be6270a756a1d787ec89a3395ba66127de6e22afbe5dbd1d3d7d0d4de134bf498556f58e
+  metadata.gz: 4640ab8f5039e3e5b4a9135a11afe42738659bf41376f38f0db463f13d1086317dc9c9631b2fb378157f86a1a255d7a29a58cdf816fcc0fe1d045c6b537d1d4a
+  data.tar.gz: bae5c85f87d19d2320cccbc169a0b08bb5f4b56b565dd81a1002c904c5e5a9d4ac570c053fc88ee6163534051809b72931a0395ff4cc0882127c32ad7126a068

data/lib/kdep/commands/apply.rb

@@ -71,6 +71,7 @@ module Kdep
         writer = Kdep::Writer.new(output_dir)
         writer.clean
         renderer = Kdep::Renderer.new(config, deploy_dir, env: env)
+        Kdep::Renderer.preflight_secrets!(@ui, renderer, resources)
         validator = Kdep::Validator.new
         validation_errors = []
 
@@ -78,6 +79,10 @@ module Kdep
           index = idx + 1
           begin
             content = renderer.render_resource(resource_name)
+          rescue Kdep::Renderer::MissingSecretsError => e
+            @ui.error("#{resource_name}: #{e.message}")
+            @ui.error("nada foi aplicado")
+            exit 1
           rescue => e
             @ui.error("#{resource_name}: #{e.message}")
             next

data/lib/kdep/commands/bump.rb

@@ -121,6 +121,12 @@ module Kdep
         registry_url = config["registry"]
         repo_root = File.dirname(kdep_dir)
 
+        # O Secret é conferido ANTES do docker build/push: falha aqui não empurra imagem nem aplica nada.
+        unless @command_options[:"skip-apply"]
+          Kdep::Renderer.preflight_secrets!(@ui, Kdep::Renderer.new(config, deploy_dir, env: env),
+                                            Kdep::Preset.new(config["preset"], deploy_dir).resources)
+        end
+
         begin
           # Step 4: Increment minor version.
           parsed = Kdep::VersionTagger.parse(current_tag)
@@ -233,6 +239,10 @@ module Kdep
             end
           end
 
+        rescue Kdep::Renderer::MissingSecretsError => e
+          @ui.error(e.message)
+          @ui.error("nada foi aplicado (a imagem pode já ter sido enviada ao registry)")
+          exit 1
         rescue Kdep::Docker::Error => e
           @ui.error(e.message)
           exit 1
@@ -301,6 +311,7 @@ module Kdep
         writer.clean
         renderer = Kdep::Renderer.new(config, deploy_dir, env: env)
         preset_resources = Kdep::Preset.new(config["preset"], deploy_dir).resources
+        Kdep::Renderer.preflight_secrets!(@ui, renderer, preset_resources)
 
         preset_resources.each_with_index do |resource, idx|
           content = renderer.render_resource(resource)

data/lib/kdep/commands/helm_install.rb

@@ -73,6 +73,10 @@ module Kdep
           exit 1
         end
 
+        # O Secret extra (preset helm: secret + ingress) é conferido ANTES do helm upgrade.
+        Kdep::Renderer.preflight_secrets!(@ui, Kdep::Renderer.new(config, @deploy_dir, env: @env),
+                                          Kdep::Preset.new("helm", @deploy_dir).resources)
+
         # Load secrets for --set interpolation
         @secrets = load_secrets(@deploy_dir)
 
@@ -277,6 +281,9 @@ module Kdep
           index = next_index
           begin
             content = renderer.render_resource(resource_name)
+          rescue Kdep::Renderer::MissingSecretsError => e
+            @ui.error("#{resource_name}: #{e.message}")
+            exit 1
           rescue => e
             render_errors << "#{resource_name}: #{e.message}"
             next

data/lib/kdep/renderer.rb

@@ -3,6 +3,22 @@ require "yaml"
 
 module Kdep
   class Renderer
+    # O app declara env_from para o Secret que o kdep renderiza, mas não há secrets.yml (ou está vazio):
+    # aplicar esse Secret sem `data` apagaria todas as chaves dele no cluster (incidente de 12/11/2026).
+    class MissingSecretsError < StandardError; end
+
+    # Preflight comum a bump/apply/helm: roda ANTES de qualquer build, helm upgrade ou apply.
+    # Erro -> mensagem + exit 1, nada aplicado. :skip -> aviso (o Secret do cluster fica intocado).
+    def self.preflight_secrets!(ui, renderer, resources)
+      return unless resources.include?("secret")
+
+      ui.warn(renderer.secret_skip_message) if renderer.check_secrets! == :skip
+    rescue MissingSecretsError => e
+      ui.error(e.message)
+      ui.error("nada foi aplicado")
+      exit 1
+    end
+
     # Convention: Infisical project slug = K8s namespace stripped of -stage/-dev
     # suffix; envSlug = stage/dev/prod derived from the same suffix.
     NS_ENV_SUFFIXES = { "-stage" => "stage", "-staging" => "stage", "-dev" => "dev" }.freeze
@@ -39,6 +55,7 @@ module Kdep
         return nil if secret_keys_for_env.empty?
         effective_config = @config.merge("infisical" => infisical_render_context)
       when "secret"
+        return nil if check_secrets! == :skip
         secrets = legacy_load_secrets
       end
 
@@ -179,5 +196,59 @@ module Kdep
       content = File.read(secrets_path)
       YAML.safe_load(content) || {}
     end
+
+    public
+
+    # Decide o que fazer com o Secret nativo (kdep/<deploy>/secrets.yml). Nunca aplica um Secret que apague chaves:
+    #   - secrets.yml com chaves, todas com valor        -> :render
+    #   - secrets.yml ausente ou vazio, env_from padrão  -> :skip (não renderiza; o Secret do cluster fica intocado)
+    #   - secrets.yml ausente ou vazio, env_from EXPLÍCITO para este Secret -> MissingSecretsError
+    #   - alguma chave com valor nil ou ""               -> MissingSecretsError (apagaria o valor no cluster)
+    # Incidente de 12/11/2026: o secret-mcp-leadfy-bi foi aplicado sem data e perdeu todas as chaves.
+    def check_secrets!
+      return :render if env_spec
+
+      secrets = legacy_load_secrets
+      unless secrets.is_a?(Hash)
+        raise MissingSecretsError, "#{secrets_path} não é um mapa CHAVE: valor"
+      end
+
+      if secrets.empty?
+        return :skip unless explicit_secret_ref?
+
+        state = File.exist?(secrets_path) ? "está vazio" : "não existe"
+        raise MissingSecretsError,
+              "#{secrets_path} #{state}, mas o app.yml tem env_from secret/#{secret_name}: " \
+              "aplicar o Secret sem data apagaria todas as chaves de #{secret_name} no cluster. " \
+              "Crie o secrets.yml com as chaves (ou tire o secret do env_from) antes de render/apply/bump."
+      end
+
+      vazias = secrets.select { |_k, v| v.nil? || v.to_s.empty? }.keys
+      unless vazias.empty?
+        raise MissingSecretsError,
+              "#{secrets_path}: chave(s) sem valor (#{vazias.join(", ")}). Aplicar assim apagaria o valor " \
+              "delas em #{secret_name} no cluster. Preencha ou remova antes de render/apply/bump."
+      end
+      :render
+    end
+
+    def secret_skip_message
+      "#{secrets_path} não existe (ou está vazio): o Secret #{secret_name} não é renderizado nem aplicado; " \
+        "o que estiver no cluster fica intocado (se ele não existir, o pod falha ao subir)."
+    end
+
+    private
+
+    def secret_name
+      @config["secret_name"] || "secret-#{@config["name"]}"
+    end
+
+    def secrets_path
+      File.join(@deploy_dir, "secrets.yml")
+    end
+
+    def explicit_secret_ref?
+      Array(@config["env_from"]).map(&:to_s).include?("secret/#{secret_name}")
+    end
   end
 end

data/lib/kdep/version.rb

@@ -1,3 +1,3 @@
 module Kdep
-  VERSION = "0.5.0"
+  VERSION = "0.6.0"
 end

metadata

@@ -1,14 +1,14 @@
 --- !ruby/object:Gem::Specification
 name: kdep
 version: !ruby/object:Gem::Version
-  version: 0.5.0
+  version: 0.6.0
 platform: ruby
 authors:
 - Leadfy
 autorequire:
 bindir: exe
 cert_chain: []
-date: 2026-10-10 00:00:00.000000000 Z
+date: 2026-11-12 00:00:00.000000000 Z
 dependencies:
 - !ruby/object:Gem::Dependency
   name: envspec