create-ssnode-cli 0.2.5 → 0.2.7

package/templates/backend/package.json

@@ -1,6 +1,6 @@
 {
   "name": "backend",
-  "version": "1.0.21",
+  "version": "1.0.48",
   "description": "全栈模板 - 后台服务(NestJS + SQLite + TypeORM)",
   "private": true,
   "engines": {
@@ -10,6 +10,8 @@
     "build": "node scripts/build.cjs build",
     "buildops": "node scripts/build.cjs buildops",
     "publish": "node scripts/publish.cjs",
+    "pulldocker": "node scripts/pulldocker.cjs",
+    "pushdocker": "node scripts/pushdocker.cjs",
     "rollback": "node scripts/rollback.cjs",
     "dev": "nest start --watch",
     "start": "node dist/main.js",

package/templates/backend/scripts/build.cjs

@@ -22,8 +22,12 @@
  *
  * buildops 产物(backend/release/<name>-<时间戳>/):
  *   ├── install.sh start.sh stop.sh versionswitch.sh status.sh  (顶层薄封装,从 ops/ 提到包根)
- *   ├── ops/        (mode dispatch:docker/pm2/systemd/sqlite + 运维文档.html;顶层脚本不重复进 ops/)
- *   └── releases/<version>-<ts>/   (打完的包内容:dist/ + package.json + package-lock.json + Dockerfile + .dockerignore + docker-compose.yml + config/config.prod.yaml + .build-ts;子目录带 ts,同 version 多次打包不冲突)
+ *   ├── config/     (随行配置:config.base.yaml + 全部环境 overlay + 自动生成的
+ *   │                .prod.docker.env;install.sh 部署时播种/刷新 APP_ROOT/config、env 文件
+ *   │                移入 APP_ROOT 根,包内原件随移删除。敏感值明文随包传输,服务器首部署
+ *   │                选「开启加密」时本地化为 ENC(...) 密文,见 ops/ensure-encrypt.cjs)
+ *   ├── ops/        (mode dispatch:docker/pm2/systemd;顶层脚本不重复进 ops/)
+ *   └── releases/<version>-<ts>/   (打完的包内容:dist/ + package.json + package-lock.json + Dockerfile + .dockerignore + docker-compose.yml + config/(base+prod 兜底) + .build-ts;子目录带 ts,同 version 多次打包不冲突)
  *
  * 产物目录名 = <name>-<时间戳>(仅本地产物目录命名,不替代 version);version 仍用于内层
  * releases/<version>-<ts>/ 子目录与 docker 镜像 tag。publish.cjs 经 release/.last-build manifest 定位产物。
@@ -189,10 +193,20 @@ async function bumpVersion() {
 // nest build (tsc) → dist/ 目录树(入口仍 dist/main.js,与 webpack 时代兼容)
 function runNestBuild() {
   console.log('📦 nest build (tsc,含类型检查) src/ → dist/ ...');
-  const r = require('child_process').spawnSync('npx', ['nest', 'build'], {
+  // 不走 npx:pnpm workspace monorepo 里,npm 的 npx 会经 root/node_modules/@scope/<pkg>
+  // 符号链接路由 bin(@iscp/backend → backend),pnpm shim 内的相对路径(../../../.pnpm/...)
+  // 随之错位 → MODULE_NOT_FOUND。改为 require.resolve 直取 @nestjs/cli/bin/nest.js 真实
+  // 路径(symlink 布局下即 .pnpm store 真身,node 默认 realpath),node 直接起进程,与
+  // npm/pnpm/monorepo 三种布局解耦。
+  let nestCliBin;
+  try {
+    nestCliBin = require.resolve('@nestjs/cli/bin/nest.js', { paths: [BACKEND] });
+  } catch {
+    throw new Error('未找到 @nestjs/cli —— 请先安装 backend 依赖(根目录 pnpm i / npm i)后重跑');
+  }
+  const r = require('child_process').spawnSync(process.execPath, [nestCliBin, 'build'], {
     cwd: BACKEND,
-    stdio: 'inherit',
-    shell: true
+    stdio: 'inherit'
   });
   if (r.status !== 0) throw new Error('nest build 失败(退出码 ' + r.status + ')');
   const out = path.join(BACKEND, 'dist', 'main.js');
@@ -350,6 +364,52 @@ function validateLockfile() {
   }
 }
 
+// 深合并 base + prod overlay(与 configuration.ts 同语义),读合并后的 app.port。
+// 仅用于自动生成 .prod.docker.env 的 PORT 缺省;overlay 未覆盖则回落 base。
+function mergedProdPort() {
+  const cfgDir = path.join(BACKEND, 'config');
+  const load = (f) => {
+    const p = path.join(cfgDir, f);
+    if (!fs.existsSync(p)) return {};
+    try {
+      return require('js-yaml').load(fs.readFileSync(p, 'utf8')) || {};
+    } catch {
+      return {};
+    }
+  };
+  const base = load('config.base.yaml');
+  const prod = load('config.prod.yaml');
+  const port = (prod.app && prod.app.port) || (base.app && base.app.port) || 3001;
+  return Number.isFinite(port) ? port : 3001;
+}
+
+// 自动生成 docker 部署 env(纯部署件,buildops 产物;勿手工维护):
+// 业务配置(密钥/密码/阈值等)一律走 APP_ROOT/config/config.yaml(部署位 overlay,挂载/CONFIG_DIR
+// 注入),env 文件只剩部署拓扑项 —— 固定集合,永不随业务配置增长,这是「自动生成」能稳定成立的
+// 前提。PORT 缺省 = base+prod 合并的 app.port(docker 权威,运维可改);IMAGE/TAG/DATA_DIR/
+// CONTAINER_NAME 由 ops/docker/install.sh 每次部署按包 name/环境现场对齐(此处写模板缺省)。
+function genDockerEnv() {
+  const pkg = readPkg();
+  // 与 ops/lib.sh::pkg_name 同口径:剥 @scope 取 basename
+  const image = pkg.name.split('/').pop();
+  return [
+    '# docker 部署 env(纯部署件)—— buildops 自动生成,勿手工添加业务配置/密码!',
+    '# 业务配置(密钥/密码/限流阈值等)一律在 APP_ROOT/config/config.yaml(部署位 overlay,',
+    '# install.sh 首部署从包内环境 overlay 播种;改它 + ./start.sh 即生效)。',
+    '# 本文件只含部署拓扑项,其中 IMAGE/TAG/DATA_DIR/CONTAINER_NAME 由 ops/docker/install.sh',
+    '# 每次部署现场对齐(勿手改);PORT 为运行端口权威(docker 模式),运维可改,改后 ./start.sh 生效。',
+    '',
+    `IMAGE=${image}`,
+    'TAG=',
+    `CONTAINER_NAME=${image}`,
+    `PORT=${mergedProdPort()}`,
+    'DATA_DIR=',
+    'LOGS_DIR=',
+    'NODE_ENV=prod',
+    ''
+  ].join('\n');
+}
+
 // 组装运维包
 function buildOps(version) {
   ensureLockfile();
@@ -368,7 +428,9 @@ function buildOps(version) {
 
   const TOP_SCRIPTS = ['install.sh', 'start.sh', 'stop.sh', 'versionswitch.sh', 'status.sh'];
 
-  // 1) 内层 releases/<version>-<ts>/:dist + package.json + Dockerfile + .dockerignore + docker-compose.yml + config/config.prod.yaml
+  // 1) 内层 releases/<version>-<ts>/:dist + package.json + Dockerfile + .dockerignore + docker-compose.yml + config/(base+prod 兜底)
+  //    内层 config/ 只作镜像内兜底(容器无部署位挂载时回退 base+prod;正常部署经 run-container.sh
+  //    挂载 APP_ROOT/config 覆盖之)。systemd/pm2 的运行时配置走 CONFIG_DIR=APP_ROOT/config,不消费内层 config。
   //    docker-compose.yml 与 Dockerfile 同级(compose 备选部署方式,install.sh 默认用 raw docker run 不走 compose);
   //    .dockerignore 排除 docker-compose.yml,使其不进镜像 build context(image 不含 compose 文件)。
   //    (子目录名带时间戳:同一 version 可能多次打包,加 ts 避免覆盖/混淆)
@@ -405,14 +467,18 @@ function buildOps(version) {
   fs.copyFileSync(path.join(BACKEND, '.dockerignore'), path.join(appDir, '.dockerignore'));
   fs.copyFileSync(path.join(BACKEND, 'docker-compose.yml'), path.join(appDir, 'docker-compose.yml'));
   fs.mkdirSync(path.join(appDir, 'config'), { recursive: true });
+  fs.copyFileSync(
+    path.join(BACKEND, 'config', 'config.base.yaml'),
+    path.join(appDir, 'config', 'config.base.yaml')
+  );
   fs.copyFileSync(
     path.join(BACKEND, 'config', 'config.prod.yaml'),
     path.join(appDir, 'config', 'config.prod.yaml')
   );
-  // .build-ts:供 docker config.sh::read_tag 拼 <version>-<ts> tag(与 systemd/pm2 releases/<ver>-<ts> 同口径)。
+  // .build-ts:记录构建时间戳(溯源用)。docker 镜像 tag 已改纯 version(见 ops/docker/config.sh::read_tag),不消费此文件。
   fs.writeFileSync(path.join(appDir, '.build-ts'), ts + '\n', 'utf8');
 
-  // 2) ops/ 模块:mode dispatch(docker/pm2/systemd/sqlite + 运维文档.html),排除顶层脚本(已提到包根,不在 ops/ 重复)
+  // 2) ops/ 模块:mode dispatch(docker/pm2/systemd),排除顶层脚本(已提到包根,不在 ops/ 重复)
   const opsSrc = path.join(BACKEND, 'ops');
   const opsDst = path.join(outDir, 'ops');
   fs.mkdirSync(opsDst, { recursive: true });
@@ -427,6 +493,33 @@ function buildOps(version) {
     if (fs.existsSync(src)) fs.copyFileSync(src, path.join(outDir, s));
   }
 
+  // 3b) 随行配置 → 包根 config/(install.sh 部署时播种部署位 APP_ROOT/config + 移件入 APP_ROOT 根):
+  //     config.base.yaml    全量默认(每次发布刷新部署位副本,新增键/注释随发布到位)
+  //     config.<env>.yaml   全部环境 overlay(首部署选定一份播种为部署位 config.yaml;
+  //                         每个部署点一个环境 → 一次构建可发多个环境)
+  //     .prod.docker.env    自动生成的纯部署件(genDockerEnv,不含任何业务配置/密码)
+  //     密钥不随包:根密钥改由服务器首部署选「开启加密」时在部署机生成(ops/lib-encrypt.sh),
+  //     敏感值在包内明文、落地即加密(部署位 config.yaml),见 docs/config-encryption.md。
+  const pkgCfgDir = path.join(outDir, 'config');
+  fs.mkdirSync(pkgCfgDir, { recursive: true });
+  const cfgSrcDir = path.join(BACKEND, 'config');
+  // overlay = config.<name>.yaml(排除 base);base 必在,overlay 至少一份(prod),缺失即拦
+  const baseYaml = path.join(cfgSrcDir, 'config.base.yaml');
+  if (!fs.existsSync(baseYaml)) {
+    throw new Error(`缺 backend/config/config.base.yaml(全量默认配置,包不完整)`);
+  }
+  fs.copyFileSync(baseYaml, path.join(pkgCfgDir, 'config.base.yaml'));
+  const overlays = fs
+    .readdirSync(cfgSrcDir)
+    .filter((n) => /^config\.[A-Za-z0-9_-]+\.yaml$/.test(n) && n !== 'config.base.yaml');
+  if (!overlays.includes('config.prod.yaml')) {
+    throw new Error(`缺 backend/config/config.prod.yaml(生产 overlay,包不完整)`);
+  }
+  for (const name of overlays) {
+    fs.copyFileSync(path.join(cfgSrcDir, name), path.join(pkgCfgDir, name));
+  }
+  fs.writeFileSync(path.join(pkgCfgDir, '.prod.docker.env'), genDockerEnv());
+
   // 4) 清理 macOS AppleDouble/.DS_Store(防御性兜底;根因在打包侧 COPYFILE_DISABLE)
   const junk = cleanAppleDoubles(outDir);
   if (junk) console.log(`  🧹 清理 macOS AppleDouble/.DS_Store 垃圾文件 ${junk} 个`);
@@ -436,8 +529,9 @@ function buildOps(version) {
 
   console.log(`\n✓ 运维包: ${path.relative(BACKEND, outDir)}  (v${version}, 总 ${fmtSize(dirSize(outDir))})`);
   console.log('  ├── install.sh start.sh stop.sh versionswitch.sh status.sh  (顶层薄封装,包根)');
-  console.log('  ├── ops/        (docker/pm2/systemd/sqlite + 运维文档.html)');
-  console.log('  └── releases/<version>-<ts>/  (dist + package.json + package-lock.json + Dockerfile + .dockerignore + docker-compose.yml + config/config.prod.yaml + .build-ts)');
+  console.log(`  ├── config/     (config.base.yaml + ${overlays.length} 份环境 overlay + .prod.docker.env[自动生成];密钥不随包,服务器首部署生成)`);
+  console.log('  ├── ops/        (docker/pm2/systemd)');
+  console.log('  └── releases/<version>-<ts>/  (dist + package.json + package-lock.json + Dockerfile + .dockerignore + docker-compose.yml + config/[base+prod 兜底] + .build-ts)');
 }
 
 async function main() {

package/templates/backend/scripts/config-crypt.cjs

@@ -0,0 +1,108 @@
+#!/usr/bin/env node
+/*
+ * config-crypt —— 配置密文(jasypt 式)运维工具
+ *
+ * 用法:
+ *   node scripts/config-crypt.cjs genkey                                 生成新密钥(base64 32 字节,注入 CONFIG_SECRET_KEY)
+ *   node scripts/config-crypt.cjs encrypt "<明文>" [key]                加密 → 输出 ENC(...) 贴进环境 overlay yaml(部署位 config.yaml 同位)
+ *   node scripts/config-crypt.cjs decrypt "ENC(...)" [key]       解密 → 校验/排障
+ *
+ * 密钥来源优先级:[key] 参数 > process.env.CONFIG_SECRET_KEY。
+ *   根密钥在服务器首部署选「开启配置加密」时生成(ops/lib-encrypt.sh),只存服务器
+ *   APP_ROOT/.prod.secrets(600;三模式注入:systemd=EnvironmentFile / pm2=读入 ecosystem env /
+ *   docker=run-container.sh 读取后 run -e)。仓库/开发机零密钥 —— dev 明文运行不涉及本工具。
+ *   日常轮换不需要手工用它:改部署位 config.yaml 明文 → 重跑 ./install.sh 自动重新加密。
+ *
+ * 密文格式:ENC(<b64(iv)>.<b64(authTag)>.<b64(ciphertext)>),AES-256-GCM,与
+ *   backend/src/common/config-crypto.ts 运行时解密同源(每次加密 IV 随机,同明文密文不同)。
+ *
+ * 安全提示:本工具只在你本地/运维机使用;密钥与明文不要写进任何会被提交的文件。
+ */
+'use strict';
+const crypto = require('crypto');
+
+const KEY_BYTES = 32;
+
+function fail(msg, code = 1) {
+  console.error(`✗ ${msg}`);
+  process.exit(code);
+}
+
+function getKey(argKey) {
+  const raw = argKey || process.env.CONFIG_SECRET_KEY;
+  if (!raw) {
+    fail('缺少密钥:请传 [key] 参数,或设 CONFIG_SECRET_KEY 环境变量(用 genkey 生成)');
+  }
+  let buf;
+  try {
+    buf = Buffer.from(raw, 'base64');
+  } catch {
+    fail('密钥不是合法 base64');
+  }
+  if (buf.length !== KEY_BYTES) {
+    fail(`密钥解密后为 ${buf.length} 字节,期望 ${KEY_BYTES} 字节(AES-256),请用 genkey 重新生成`);
+  }
+  return buf;
+}
+
+function genkey() {
+  const key = crypto.randomBytes(KEY_BYTES).toString('base64');
+  console.log(key);
+  console.error('\n# 用法:');
+  console.error('#   服务器首部署选「开启配置加密」时会自动生成根密钥(APP_ROOT/.prod.secrets,600);');
+  console.error('#   手动使用:写入 APP_ROOT/.prod.secrets 的 CONFIG_SECRET_KEY=,并保存到密码管理器');
+  console.error('#   加密: node scripts/config-crypt.cjs encrypt "<明文>" ' + key);
+}
+
+function encrypt(plain, key) {
+  const iv = crypto.randomBytes(12);
+  const cipher = crypto.createCipheriv('aes-256-gcm', key, iv);
+  const enc = Buffer.concat([cipher.update(plain, 'utf8'), cipher.final()]);
+  const tag = cipher.getAuthTag();
+  const out = `ENC(${iv.toString('base64')}.${tag.toString('base64')}.${enc.toString('base64')})`;
+  console.log(out);
+}
+
+function decrypt(value, key) {
+  const m = /^ENC\((.*)\)$/.exec(value.trim());
+  if (!m) fail('不是 ENC(...) 格式的密文');
+  const parts = m[1].split('.');
+  if (parts.length !== 3) fail(`密文格式非法:期望三段,实得 ${parts.length}`);
+  const [ivB64, tagB64, cipherB64] = parts;
+  try {
+    const iv = Buffer.from(ivB64, 'base64');
+    const tag = Buffer.from(tagB64, 'base64');
+    const ciphertext = Buffer.from(cipherB64, 'base64');
+    const decipher = crypto.createDecipheriv('aes-256-gcm', key, iv, { authTagLength: 16 });
+    decipher.setAuthTag(tag);
+    const dec = Buffer.concat([decipher.update(ciphertext), decipher.final()]);
+    console.log(dec.toString('utf8'));
+  } catch {
+    fail('解密失败(密钥不匹配或密文已损坏)');
+  }
+}
+
+function main() {
+  const [, , cmd, ...rest] = process.argv;
+  if (cmd === 'genkey') return genkey();
+  if (cmd === 'encrypt') {
+    const [plain, key] = rest;
+    if (plain === undefined) fail('用法: encrypt "<明文>" [key]');
+    return encrypt(plain, getKey(key));
+  }
+  if (cmd === 'decrypt') {
+    const [value, key] = rest;
+    if (value === undefined) fail('用法: decrypt "ENC(...)" [key]');
+    return decrypt(value, getKey(key));
+  }
+  console.error(`config-crypt —— 配置密文(jasypt 式)运维工具
+
+  genkey                          生成新密钥(base64 32 字节)
+  encrypt "<明文>" [key]           加密 → 输出 ENC(...)
+  decrypt "ENC(...)" [key]         解密 → 明文
+
+  密钥:[key] 参数 > CONFIG_SECRET_KEY env`);
+  process.exit(cmd ? 1 : 0);
+}
+
+main();

package/templates/backend/scripts/lib/ssh.cjs

@@ -1,15 +1,17 @@
 /**
  * backend 发布/回滚共享的 SSH helper —— 薄传输+触发用。
  * - connect:用 server.config.cjs 的 server{} 建连。
+ * - takeEnvName/resolveTarget:多服务器目标解析(--env <名> 选 server.config.cjs targets[名])。
+ * - pickTarget:目标选择入口(--env 直选;未传且配了 targets → 编号交互列选,非 TTY 回落首个)。
  * - sshExec:非交互远端命令(返回 stdout,失败抛错)。
  * - sshInteractive:分配 pty + 透传 stdin/stdout,供远端 install.sh / versionswitch.sh 的
  *   read -rp 交互(首次部署选模式、回滚选版本)直接在本终端操作。
  */
 const fs = require('fs');
 const os = require('os');
-let NodeSSH;
-try { ({ NodeSSH } = require('node-ssh')); } catch (e) { fatal('缺少 node-ssh: pnpm i -w node-ssh'); }
+const readline = require('readline');
 
+// 色彩/日志先于 node-ssh 兜底声明:依赖缺失时 fatal 才能干净输出(C 未初始化会 ReferenceError)
 const C = { reset: '\x1b[0m', red: '\x1b[31m', green: '\x1b[32m', cyan: '\x1b[36m', yellow: '\x1b[33m', gray: '\x1b[90m' };
 const log = {
   info: (m) => console.log(`${C.cyan}▶${C.reset} ${m}`),
@@ -20,6 +22,73 @@ const log = {
 function fatal(m) { console.error(`${C.red}✗${C.reset} ${m}`); process.exit(1); }
 const shq = (s) => `'${String(s).replace(/'/g, `'\\''`)}'`;
 
+let NodeSSH;
+try { ({ NodeSSH } = require('node-ssh')); } catch (e) { fatal('缺少 node-ssh: pnpm i -w node-ssh'); }
+
+// 解析 --env <名>(多服务器目标名)。值缺失/未知绝不静默回落默认机,fail-fast 防发错机器。
+function takeEnvName() {
+  const i = process.argv.indexOf('--env');
+  if (i === -1) return null;
+  const v = process.argv[i + 1];
+  if (!v) fatal('--env 缺少值: --env <目标名>(server.config.cjs targets 的 key)');
+  return v;
+}
+
+// 目标解析:--env 选中 server.config.cjs 的 targets[名];未传 --env 用顶层单服务器形态
+// (老配置零改动,顶层即默认目标)。目标 = { server, backendServiceDir }。
+// 建议与 web/scripts/server.config.json 的 key 同名:根命令 pnpm publish -- --env <名> 即 web+backend 同发一台。
+function resolveTarget(cfg, envName) {
+  if (!envName) return cfg;
+  const t = cfg.targets && cfg.targets[envName];
+  if (!t || !t.server || !t.backendServiceDir) {
+    const names = cfg.targets ? Object.keys(cfg.targets).join(', ') : '(未配置任何 targets)';
+    fatal(`server.config.cjs targets['${envName}'] 不存在或不完整(需 server + backendServiceDir)。可用目标: ${names}`);
+  }
+  return t;
+}
+
+// 交互提问(非 TTY(CI):不挂起,回落 def 并 warn —— 与 web 模板「非交互静默用首个目标」同语义)
+function ask(q, def) {
+  return new Promise((resolve) => {
+    if (!process.stdin.isTTY || !process.stdout.isTTY) {
+      log.warn(`非交互环境,${q.trim()} → 默认 ${def}`);
+      resolve(def);
+      return;
+    }
+    const rl = readline.createInterface({ input: process.stdin, output: process.stdout });
+    // 空输入(直接回车)回落 def —— 提示文案承诺了「回车=N」,不带 \|\| 的话回车得 '' → Number('')=0 → 无效序号死循环
+    rl.question(q, (ans) => { rl.close(); resolve(ans.trim() || def); });
+  });
+}
+
+// 目标选择(publish/rollback/pushdocker/pulldocker 共用):
+//   --env <名> 直选(fail-fast 校验);未传:
+//   · 配了 targets → 编号列选(回车=1;非 TTY 回落首个并 warn,CI 兼容)
+//   · 未配 targets → 顶层单服务器形态(老配置零改动,顶层即默认目标)
+// 返回 { name, target }:name 为目标名(顶层默认为 '')。
+// 建议与 web/scripts/server.config.json 的 key 同名:根命令 pnpm publish -- --env <名> 即 web+backend 同发一台。
+async function pickTarget(cfg) {
+  const envName = takeEnvName();
+  if (envName) return { name: envName, target: resolveTarget(cfg, envName) };
+  const names = cfg.targets ? Object.keys(cfg.targets) : [];
+  if (names.length === 0) {
+    if (!cfg.server || !cfg.server.host || !cfg.backendServiceDir) {
+      fatal('server.config.cjs 未配置:需顶层 server + backendServiceDir(单机)或 targets(多机),见 server.config.example.cjs');
+    }
+    return { name: '', target: cfg };
+  }
+  console.log(`\n选择目标服务器?(server.config.cjs targets)`);
+  names.forEach((n, i) => console.log(
+    `  ${C.gray}${String(i + 1).padStart(2)}.${C.reset} ${n}  ${C.gray}(${cfg.targets[n].server?.host || '?'} → ${cfg.targets[n].backendServiceDir || '?'})${C.reset}`));
+  const def = '1';
+  while (true) {
+    const ans = await ask(`选择序号 [1-${names.length},回车=${def}]: `, def);
+    const n = Number(ans);
+    if (Number.isInteger(n) && n >= 1 && n <= names.length) return { name: names[n - 1], target: resolveTarget(cfg, names[n - 1]) };
+    log.warn(`无效序号: ${ans}(1-${names.length} 或回车)`);
+  }
+}
+
 async function connect(cfg) {
   const s = cfg.server;
   if (!s || !s.host || !s.username) fatal('server.config.cjs server.host/username 未配置');
@@ -75,4 +144,4 @@ function sshInteractive(ssh, cmd, { cwd } = {}) {
   });
 }
 
-module.exports = { log, fatal, shq, connect, sshExec, sshInteractive };
+module.exports = { log, fatal, shq, connect, sshExec, sshInteractive, takeEnvName, resolveTarget, pickTarget };

package/templates/backend/scripts/publish.cjs

@@ -9,20 +9,24 @@
  *       `APP_ROOT_HINT=<dir> bash install.sh` —— install.sh 引导(选部署模式交互;
  *       APP_ROOT 由 hint 给定无需手输)→ 建结构、占位阻断、软链 current、派发 mode install。
  *     · 远端 APP_ROOT/install.sh 已存在(二次部署):跑 `bash APP_ROOT/install.sh <tar>`
- *       —— APP_ROOT/MODE 已 baked,无交互(停旧 → 轮转 → 改链 → 重派发)。
+ *       —— APP_ROOT/.mode 已就位(顶层脚本自定位),无交互(停旧 → 轮转 → 改链 → 重派发)。
  *   成功后清理远端 tar 包与 .bootstrap 临时目录。
  *
- * 不外传 --mode:首次部署的部署方式由服务器 install.sh 交互确认;二次部署用服务器已 baked 的 MODE。
- * 密钥不由开发机注入:systemd/pm2 直读 release 自带 config/config.prod.yaml(真值已入库,
- * 改 current/config/config.prod.yaml + 重启即轮换);docker 用服务器侧 APP_ROOT/.env
- * (首次从 .env.example 种子化、空值阻断、运维手填)。开发机只持 SSH 登录凭证。
+ * 不外传 --mode:首次部署的部署方式由服务器 install.sh 交互确认;二次部署用服务器 .mode 里的 MODE。
+ * 配置随包走:包内 config/ 随行 base + 全部环境 overlay + 自动生成的 .prod.docker.env
+ * (纯部署件,密钥不随包);install.sh 部署时播种部署位 APP_ROOT/config(config.yaml =
+ * 选定 overlay 副本,此后发布不覆盖,运维/开发维护该环境真值)、刷新 base、env 文件
+ * 移入 APP_ROOT 根(原件随移删除)。敏感值明文随包传输,服务器首部署选「开启加密」时
+ * 在部署机生成根密钥并就地加密(此后每次部署自动加密新明文,见 ops/lib-encrypt.sh)。
+ * 改部署位 config.yaml + 重启即轮换(三模式一致)。开发机只持 SSH 登录凭证、零密钥。
  *
- * 用法: pnpm publish [--skip-build]
+ * 用法: pnpm publish [--skip-build] [--env <名>]
+ *   多服务器:--env 选 server.config.cjs targets[名](各机独立实例);不传:配了 targets 交互列选,否则顶层默认目标。
  */
 const fs = require('fs');
 const path = require('path');
 const { spawn } = require('child_process');
-const { log, fatal, shq, connect, sshExec, sshInteractive } = require('./lib/ssh.cjs');
+const { log, fatal, shq, connect, sshExec, sshInteractive, pickTarget } = require('./lib/ssh.cjs');
 
 const BACKEND = path.resolve(__dirname, '..');
 const cfg = require('./server.config.cjs');
@@ -85,17 +89,21 @@ async function main() {
   const { dir: releaseDir, version, safeName } = getReleaseDir();
   log.ok(`运维包: release/${safeName}-${version} (v${version})`);
 
+  // 多服务器目标:--env <名> > targets 交互列选 > 顶层默认(server.config.cjs)
+  const { name: targetName, target } = await pickTarget(cfg);
+  log.info(`目标: ${targetName || '顶层默认'} (${target.server.host})`);
+
   // 2) tar
   log.info('打包 tar ...');
   const tarPath = await makeTar(releaseDir, safeName, version);
   const tarName = path.basename(tarPath);
   log.ok(`tar: ${tarName}`);
 
-  const appRoot = cfg.backendServiceDir;
+  const appRoot = target.backendServiceDir;
   const remoteTar = `${appRoot}/${tarName}`;
 
   // 3) SSH + 上传 + 触发
-  const ssh = await connect(cfg);
+  const ssh = await connect(target);
   try {
     await sshExec(ssh, `mkdir -p ${shq(appRoot)}`);
     log.info(`上传 ${tarName} → ${appRoot} ...`);