katalon-cli 0.3.5__tar.gz → 0.5.0__tar.gz

{katalon_cli-0.3.5 → katalon_cli-0.5.0}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.3
 Name: katalon-cli
-Version: 0.3.5
+Version: 0.5.0
 Summary: Installer & Updater CLI für Katalon Production-Instanzen
 Author: Karl Krägelin
 Author-email: Karl Krägelin <karlkraegelin@gmail.com>
@@ -66,6 +66,27 @@ katalon start
 katalon status
 ```
 
+## Images der Fremdservices
+
+Welche Images Postgres, Redis, Elasticsearch, Cantaloupe, nginx und Caddy nutzen, legt das
+Katalon-Release fest (`images` in `katalon-release.json`), nicht die CLI. `install` und `update`
+schreiben sie in `compose.yaml`, `update` pullt sie mit. Releases ohne `images` (bis Katalon
+1.46.0) bekommen die Images, die bis katalon-cli 0.3.5 fest im Template standen.
+
+Vor einem Update vergleicht `katalon update` die wirksamen Images (inklusive
+`compose.override.yaml`) vor und nach dem Update, zeigt jeden Wechsel an und bricht ab, bevor
+etwas geändert wird, wenn
+
+- Postgres oder Elasticsearch die Major-Version wechseln würden (Postgres braucht dafür
+  Dump/Restore, Elasticsearch ein neues Datenverzeichnis und einen Reindex), oder
+- ein Postgres- oder Elasticsearch-Image die Anforderung des Releases (`requires`, z. B.
+  `>=8.13,<9`) nicht erfüllt, etwa ein eigenes Image aus `compose.override.yaml`. `requires`
+  gilt erst ab Releases mit `images`; ältere Releases nannten dort Werte, die nie geprüft wurden.
+
+`installation.json` merkt sich die Images je Version. `rollback` nimmt die der vorigen Version,
+behält aber ein neueres Elasticsearch derselben Major-Version, weil Elasticsearch ein
+Datenverzeichnis nicht mit einer älteren Version öffnet.
+
 ## API-Adresse
 
 Die REST-API liegt direkt unter der Base-URL, ohne `/api`-Präfix: `<KATALON_BASE_URL>/v1/...`
@@ -159,13 +180,14 @@ uv run pytest
   nach (`--yes` bricht dann ab), tragen neue optionale Variablen auskommentiert in `.env` ein und
   warnen vor veralteten Variablen, die noch in der `.env` stehen.
 - `core/compose_gen.py` + `templates/compose.yaml.j2` + `templates/nginx.conf.j2` — rendert `compose.yaml`
-  + `nginx.conf` und bei `tls_mode=caddy` das `Caddyfile` aus Version + TLS-Modus;
+  + `nginx.conf` und bei `tls_mode=caddy` das `Caddyfile` aus Version, Images + TLS-Modus;
   erzeugt bei `tls_mode=standalone` ein selbstsigniertes
   Zertifikat unter `<dir>/certs/` (eigenes Zertifikat dort ablegen, um es zu ersetzen).
   `install` fragt zusätzlich `MEDIA_ROOT` ab und legt `<dir>/compose.override.yaml.example` an
   (instanzspezifische Overrides — umbenennen zu `compose.override.yaml`, wird automatisch eingebunden
   und bei Updates nicht angefasst). Optionale Env-Vars (Admin-Login, SMTP, Geonames, …) landet
   auskommentiert in `.env`.
+- `core/images.py` — prüft die Images der Fremdservices vor einem Update (siehe „Images der Fremdservices“).
 - `core/backup.py` — `pg_dump` vor jedem Update; Rollback restauriert Dump statt `alembic downgrade`.
 - `core/docker.py` — dünner `docker compose`-Subprocess-Wrapper.
 - `main.py` — Typer-Commands, interaktive Teile über `rich.prompt`/`rich.progress`.

{katalon_cli-0.3.5 → katalon_cli-0.5.0}/README.md

@@ -52,6 +52,27 @@ katalon start
 katalon status
 ```
 
+## Images der Fremdservices
+
+Welche Images Postgres, Redis, Elasticsearch, Cantaloupe, nginx und Caddy nutzen, legt das
+Katalon-Release fest (`images` in `katalon-release.json`), nicht die CLI. `install` und `update`
+schreiben sie in `compose.yaml`, `update` pullt sie mit. Releases ohne `images` (bis Katalon
+1.46.0) bekommen die Images, die bis katalon-cli 0.3.5 fest im Template standen.
+
+Vor einem Update vergleicht `katalon update` die wirksamen Images (inklusive
+`compose.override.yaml`) vor und nach dem Update, zeigt jeden Wechsel an und bricht ab, bevor
+etwas geändert wird, wenn
+
+- Postgres oder Elasticsearch die Major-Version wechseln würden (Postgres braucht dafür
+  Dump/Restore, Elasticsearch ein neues Datenverzeichnis und einen Reindex), oder
+- ein Postgres- oder Elasticsearch-Image die Anforderung des Releases (`requires`, z. B.
+  `>=8.13,<9`) nicht erfüllt, etwa ein eigenes Image aus `compose.override.yaml`. `requires`
+  gilt erst ab Releases mit `images`; ältere Releases nannten dort Werte, die nie geprüft wurden.
+
+`installation.json` merkt sich die Images je Version. `rollback` nimmt die der vorigen Version,
+behält aber ein neueres Elasticsearch derselben Major-Version, weil Elasticsearch ein
+Datenverzeichnis nicht mit einer älteren Version öffnet.
+
 ## API-Adresse
 
 Die REST-API liegt direkt unter der Base-URL, ohne `/api`-Präfix: `<KATALON_BASE_URL>/v1/...`
@@ -145,13 +166,14 @@ uv run pytest
   nach (`--yes` bricht dann ab), tragen neue optionale Variablen auskommentiert in `.env` ein und
   warnen vor veralteten Variablen, die noch in der `.env` stehen.
 - `core/compose_gen.py` + `templates/compose.yaml.j2` + `templates/nginx.conf.j2` — rendert `compose.yaml`
-  + `nginx.conf` und bei `tls_mode=caddy` das `Caddyfile` aus Version + TLS-Modus;
+  + `nginx.conf` und bei `tls_mode=caddy` das `Caddyfile` aus Version, Images + TLS-Modus;
   erzeugt bei `tls_mode=standalone` ein selbstsigniertes
   Zertifikat unter `<dir>/certs/` (eigenes Zertifikat dort ablegen, um es zu ersetzen).
   `install` fragt zusätzlich `MEDIA_ROOT` ab und legt `<dir>/compose.override.yaml.example` an
   (instanzspezifische Overrides — umbenennen zu `compose.override.yaml`, wird automatisch eingebunden
   und bei Updates nicht angefasst). Optionale Env-Vars (Admin-Login, SMTP, Geonames, …) landet
   auskommentiert in `.env`.
+- `core/images.py` — prüft die Images der Fremdservices vor einem Update (siehe „Images der Fremdservices“).
 - `core/backup.py` — `pg_dump` vor jedem Update; Rollback restauriert Dump statt `alembic downgrade`.
 - `core/docker.py` — dünner `docker compose`-Subprocess-Wrapper.
 - `main.py` — Typer-Commands, interaktive Teile über `rich.prompt`/`rich.progress`.

{katalon_cli-0.3.5 → katalon_cli-0.5.0}/pyproject.toml

@@ -1,6 +1,6 @@
 [project]
 name = "katalon-cli"
-version = "0.3.5"
+version = "0.5.0"
 description = "Installer & Updater CLI für Katalon Production-Instanzen"
 readme = "README.md"
 requires-python = ">=3.12"

{katalon_cli-0.3.5 → katalon_cli-0.5.0}/pyproject.toml.orig

@@ -1,6 +1,6 @@
 [project]
 name = "katalon-cli"
-version = "0.3.5"
+version = "0.5.0"
 description = "Installer & Updater CLI für Katalon Production-Instanzen"
 readme = "README.md"
 authors = [

{katalon_cli-0.3.5 → katalon_cli-0.5.0}/src/katalon_cli/core/compose_gen.py

@@ -1,4 +1,4 @@
-"""Rendert compose.yaml + nginx.conf aus Template + Release-Version + TLS-Modus."""
+"""Rendert compose.yaml + nginx.conf aus Template + Release (Version, Images) + TLS-Modus."""
 
 from __future__ import annotations
 
@@ -10,6 +10,8 @@ from urllib.parse import urlparse
 
 from jinja2 import Environment, PackageLoader, select_autoescape
 
+from .release import ReleaseImages
+
 _env = Environment(
     loader=PackageLoader("katalon_cli", "templates"),
     autoescape=select_autoescape(disabled_extensions=(".yaml", ".j2", ".conf")),
@@ -23,6 +25,7 @@ def render_compose(
     version: str,
     base_url: str,
     tls_mode: str,
+    images: ReleaseImages | None = None,
     registry: str = "ghcr.io/katalon-collections/katalon",
 ) -> str:
     if tls_mode == "caddy":
@@ -34,6 +37,7 @@ def render_compose(
         base_url=base_url,
         tls_mode=tls_mode,
         registry=registry,
+        images=images or ReleaseImages(),
         port=parsed_port,
     )
 

{katalon_cli-0.3.5 → katalon_cli-0.5.0}/src/katalon_cli/core/docker.py

@@ -2,6 +2,7 @@
 
 from __future__ import annotations
 
+import json
 import shutil
 import subprocess
 import time
@@ -45,6 +46,23 @@ def compose(
     )
 
 
+def config_images(instance_dir: Path, compose_file: Path | None = None) -> dict[str, str]:
+    """Images je Service, wie Compose sie startet (inkl. compose.override.yaml)."""
+    files = ["-f", str(compose_file or instance_dir / "compose.yaml")]
+    override = instance_dir / "compose.override.yaml"
+    if override.exists():
+        files += ["-f", str(override)]
+    result = subprocess.run(
+        [*compose_command(), "--project-directory", str(instance_dir), *files, "config", "--format", "json"],
+        cwd=instance_dir,
+        check=True,
+        text=True,
+        capture_output=True,
+    )
+    services = json.loads(result.stdout).get("services", {})
+    return {name: svc["image"] for name, svc in services.items() if svc.get("image")}
+
+
 def reload_nginx(instance_dir: Path) -> None:
     """`up -d` erstellt nginx nicht neu, wenn nur die gemountete nginx.conf sich ändert."""
     compose(instance_dir, "exec", "-T", "nginx", "nginx", "-t")

katalon_cli-0.5.0/src/katalon_cli/core/images.py

@@ -0,0 +1,72 @@
+"""Prüft die Fremdservice-Images eines Updates: Major-Wechsel und `requires` des Releases."""
+
+from __future__ import annotations
+
+import operator
+import re
+
+from .release import ReleaseImages, ReleaseRequirements
+
+# Compose-Service → Rolle in ReleaseImages/ReleaseRequirements, für die ein Major-Wechsel
+# nicht per Image-Tausch geht: Postgres braucht Dump/Restore, Elasticsearch öffnet ein
+# Datenverzeichnis einer anderen Major-Version nicht (Rückweg gar nicht).
+DATA_SERVICES = {"db": "postgres", "elasticsearch": "elasticsearch"}
+
+_OPS = {">=": operator.ge, "<=": operator.le, "==": operator.eq, ">": operator.gt, "<": operator.lt}
+
+
+def image_version(image: str) -> tuple[int, ...] | None:
+    """Version aus dem Tag (`postgis/postgis:16-3.4` → (16,), `…:8.13.4` → (8, 13, 4))."""
+    name = image.rsplit("/", 1)[-1]
+    if ":" not in name:
+        return None
+    match = re.match(r"\d+(?:\.\d+)*", name.split(":", 1)[1])
+    return tuple(int(part) for part in match.group(0).split(".")) if match else None
+
+
+def satisfies(version: tuple[int, ...], spec: str) -> bool:
+    """Minimaler Specifier-Vergleich für `requires` (z. B. ">=8.13,<9")."""
+    for clause in spec.split(","):
+        match = re.fullmatch(r"\s*(>=|<=|==|>|<)\s*(\d+(?:\.\d+)*)\s*", clause)
+        if not match:
+            raise ValueError(f"Ungültige Versionsanforderung: {spec}")
+        bound = tuple(int(part) for part in match.group(2).split("."))
+        if not _OPS[match.group(1)](version[: len(bound)], bound):
+            return False
+    return True
+
+
+def update_problems(
+    current: dict[str, str], target: dict[str, str], requires: ReleaseRequirements
+) -> tuple[list[str], list[str]]:
+    """(Fehler, Hinweise) für den Wechsel der wirksamen Images `current` → `target`."""
+    errors: list[str] = []
+    notes: list[str] = []
+    for service, role in DATA_SERVICES.items():
+        old, new = current.get(service), target.get(service)
+        if not new:
+            continue
+        new_version = image_version(new)
+        spec = getattr(requires, role)
+        if spec and new_version and not satisfies(new_version, spec):
+            errors.append(f"{service}: {new} erfüllt die Anforderung des Releases nicht ({role} {spec}).")
+        elif spec and not new_version:
+            notes.append(f"{service}: Version von {new} nicht erkennbar, Anforderung {spec} ungeprüft.")
+        old_version = image_version(old) if old else None
+        if old_version and new_version and old_version[0] != new_version[0]:
+            errors.append(
+                f"{service}: Major-Wechsel {old} → {new} geht nicht per Image-Tausch "
+                "(Postgres: Dump/Restore, Elasticsearch: neues Datenverzeichnis und Reindex)."
+            )
+    return errors, notes
+
+
+def rollback_images(current: ReleaseImages, previous: ReleaseImages) -> ReleaseImages:
+    """Images für den Rollback: die des vorigen Releases, außer einem neueren Elasticsearch.
+
+    Elasticsearch öffnet ein Datenverzeichnis nicht mehr mit einer älteren Version; die
+    Katalon-Version davor läuft mit dem neueren Minor-Release derselben Major-Version."""
+    cur, prev = image_version(current.elasticsearch), image_version(previous.elasticsearch)
+    if cur and prev and cur[0] == prev[0] and cur > prev:
+        return previous.model_copy(update={"elasticsearch": current.elasticsearch})
+    return previous

{katalon_cli-0.3.5 → katalon_cli-0.5.0}/src/katalon_cli/core/release.py

@@ -13,6 +13,20 @@ class ReleaseRequirements(BaseModel):
     elasticsearch: str | None = None
 
 
+class ReleaseImages(BaseModel):
+    """Images der Fremdservices, die das Katalon-Release festlegt (`images` in katalon-release.json).
+
+    Die Defaults sind der Stand der Releases vor diesem Feld (bis Katalon 1.46.0) und
+    bleiben deshalb unverändert; neue Versionen kommen über das Release, nicht hierher."""
+
+    postgres: str = "postgis/postgis:16-3.4"
+    redis: str = "redis:7-alpine"
+    elasticsearch: str = "docker.elastic.co/elasticsearch/elasticsearch:8.13.4"
+    cantaloupe: str = "islandora/cantaloupe:7.0.22"
+    nginx: str = "nginx:alpine"
+    caddy: str = "caddy:2-alpine"
+
+
 class ReleaseEnvVar(BaseModel):
     """Neu hinzugekommene Umgebungsvariable eines Releases (katalon-release.json)."""
 
@@ -38,10 +52,22 @@ class ReleaseMetadata(BaseModel):
     reindex_required: bool = False
     breaking: bool
     compose_revision: int
+    # Fehlt bei Releases bis Katalon 1.46.0; dort galten die Images des Templates.
+    images: ReleaseImages | None = None
     requires: ReleaseRequirements = ReleaseRequirements()
     env_vars: list[ReleaseEnvVar] = Field(default_factory=list)
     deprecated_env_vars: list[DeprecatedEnvVar] = Field(default_factory=list)
 
+    @property
+    def service_images(self) -> ReleaseImages:
+        return self.images or ReleaseImages()
+
+    @property
+    def checked_requires(self) -> ReleaseRequirements:
+        """`requires` gilt erst ab Releases mit `images`; davor prüfte es niemand, und der
+        Wert war nicht verlässlich (1.46.0 nennt Elasticsearch >=8.15, läuft aber mit 8.13.4)."""
+        return self.requires if self.images else ReleaseRequirements()
+
 
 def _fetch_release_asset(tag: str | None) -> dict:
     """Lädt katalon-release.json vom GitHub-Release (tag=None → latest)."""

{katalon_cli-0.3.5 → katalon_cli-0.5.0}/src/katalon_cli/core/state.py

@@ -18,6 +18,8 @@ class HistoryEntry(BaseModel):
     compose_revision: int
     action: str  # "install" | "update" | "rollback"
     at: datetime
+    # Images der Fremdservices aus dem Release (Rolle → Image); fehlt bei Einträgen vor katalon-cli 0.4.0.
+    images: dict[str, str] = Field(default_factory=dict)
 
 
 class InstallationState(BaseModel):
@@ -41,13 +43,16 @@ class InstallationState(BaseModel):
         path = instance_dir / STATE_FILENAME
         path.write_text(self.model_dump_json(indent=2))
 
-    def record(self, version: str, compose_revision: int, action: str) -> None:
+    def record(
+        self, version: str, compose_revision: int, action: str, images: dict[str, str] | None = None
+    ) -> None:
         self.history.append(
             HistoryEntry(
                 version=version,
                 compose_revision=compose_revision,
                 action=action,
                 at=datetime.now(timezone.utc),
+                images=images or {},
             )
         )
         self.version = version

{katalon_cli-0.3.5 → katalon_cli-0.5.0}/src/katalon_cli/main.py

@@ -29,8 +29,9 @@ from rich.table import Table
 
 from .core import backup as backup_mod
 from .core import checks, docker, permissions, release, selfupdate
+from .core import images as images_mod
 from .core import reindex as reindex_mod
-from .core.compose_gen import caddy_host, write_compose
+from .core.compose_gen import caddy_host, render_compose, write_compose
 from .core.paths import default_instance_dir, save_instance_dir
 from .core.state import InstallationState, instance_dir_or_raise
 
@@ -76,6 +77,7 @@ OPTIONAL_ENV_BLOCK = f"""
 # SMTP_FROM=
 # CORS_ORIGINS=["http://localhost"]
 # MAX_UPLOAD_SIZE_MB=200
+# ATTACHMENT_MAX_UPLOAD_MB=200
 """
 
 
@@ -369,7 +371,7 @@ def install(
         progress.add_task("Schreibe compose.yaml + .env …", total=None)
         dir.mkdir(parents=True, exist_ok=True)
         Path(media_root).mkdir(parents=True, exist_ok=True)
-        write_compose(dir, version=meta.version, base_url=base_url, tls_mode=tls_mode)
+        write_compose(dir, version=meta.version, base_url=base_url, tls_mode=tls_mode, images=meta.service_images)
 
         _ensure_env_vars(dir, base_url, media_root=media_root, release_env_vars=meta.env_vars, provided=provided)
         _write_override_example(dir)
@@ -381,7 +383,7 @@ def install(
             tls_mode=tls_mode,
             installed_at=datetime.now(timezone.utc),
         )
-        state.record(meta.version, meta.compose_revision, "install")
+        state.record(meta.version, meta.compose_revision, "install", images=meta.service_images.model_dump())
         state.save(dir)
 
     save_instance_dir(dir)
@@ -456,6 +458,40 @@ def _media_root(dir: Path) -> str:
     return str(path if path.is_absolute() else dir / path)
 
 
+def _check_update_images(dir: Path, state: InstallationState, meta: release.ReleaseMetadata) -> None:
+    """Zeigt, welche Fremdservice-Images das Update wechselt, und bricht ab, wenn eins nicht passt.
+
+    Verglichen werden die wirksamen Images (inkl. compose.override.yaml) vor und nach dem
+    Update, damit auch ein eigenes Image aus dem Override gegen `requires` geprüft wird."""
+    preview = dir / "compose.yaml.next"
+    try:
+        preview.write_text(
+            render_compose(
+                version=meta.version, base_url=state.base_url, tls_mode=state.tls_mode, images=meta.service_images
+            )
+        )
+        current = docker.config_images(dir)
+        target = docker.config_images(dir, preview)
+    except (docker.DockerError, subprocess.CalledProcessError, ValueError) as exc:
+        console.print(f"[yellow]⚠ Images der Fremdservices nicht prüfbar: {exc}[/]")
+        return
+    finally:
+        preview.unlink(missing_ok=True)
+
+    for service in sorted(target):
+        old, new = current.get(service), target[service]
+        if old and old != new and "katalon-collections/katalon-" not in new:
+            console.print(f"[yellow]⚠ {service}: {old} → {new}[/]")
+    errors, notes = images_mod.update_problems(current, target, meta.checked_requires)
+    for note in notes:
+        console.print(f"[yellow]⚠ {note}[/]")
+    if errors:
+        for error in errors:
+            console.print(f"[red]✖ {error}[/]")
+        console.print("[red]Update abgebrochen, nichts geändert.[/]")
+        raise typer.Exit(1)
+
+
 def _require_installer_version(minimum: str) -> None:
     """Bricht ab, wenn das Release eine neuere CLI braucht (z. B. neues Compose-Template).
 
@@ -730,6 +766,8 @@ def update(
             f"(Revision {state.compose_revision} → {meta.compose_revision})[/]"
         )
 
+    _check_update_images(dir, state, meta)
+
     env_existing = _parse_env_file((dir / ".env").read_text() if (dir / ".env").exists() else "")
     _print_new_env_vars(env_existing, env_vars)
     _print_deprecated_env_vars(env_existing, deprecated_env_vars)
@@ -749,7 +787,9 @@ def update(
         ),
         (
             "compose.yaml rendern",
-            lambda: write_compose(dir, version=meta.version, base_url=state.base_url, tls_mode=state.tls_mode),
+            lambda: write_compose(
+                dir, version=meta.version, base_url=state.base_url, tls_mode=state.tls_mode, images=meta.service_images
+            ),
         ),
         ("Images pullen", lambda: docker.compose(dir, "pull")),
         ("Medienrechte prüfen", lambda: _ensure_media_permissions(dir)),
@@ -782,7 +822,7 @@ def update(
         console.print("[red]✖ Healthcheck fehlgeschlagen — `katalon rollback` erwägen.[/]")
         raise typer.Exit(1)
 
-    state.record(meta.version, meta.compose_revision, "update")
+    state.record(meta.version, meta.compose_revision, "update", images=meta.service_images.model_dump())
     state.save(dir)
     console.print(f"[green]✔[/] Update auf {meta.version} abgeschlossen.")
 
@@ -840,7 +880,12 @@ def rollback(
         )
 
     if previous:
-        write_compose(dir, version=previous.version, base_url=state.base_url, tls_mode=state.tls_mode)
+        images = images_mod.rollback_images(
+            release.ReleaseImages(**state.history[-1].images), release.ReleaseImages(**previous.images)
+        )
+        write_compose(
+            dir, version=previous.version, base_url=state.base_url, tls_mode=state.tls_mode, images=images
+        )
         docker.compose(dir, "pull")
 
     _ensure_media_permissions(dir)

{katalon_cli-0.3.5 → katalon_cli-0.5.0}/src/katalon_cli/templates/compose.yaml.j2

@@ -1,6 +1,6 @@
 services:
   db:
-    image: postgis/postgis:16-3.4
+    image: {{ images.postgres }}
     platform: linux/amd64
     restart: unless-stopped
     environment:
@@ -16,7 +16,7 @@ services:
       retries: 10
 
   redis:
-    image: redis:7-alpine
+    image: {{ images.redis }}
     restart: unless-stopped
     healthcheck:
       test: ["CMD", "redis-cli", "ping"]
@@ -25,7 +25,7 @@ services:
       retries: 10
 
   elasticsearch:
-    image: docker.elastic.co/elasticsearch/elasticsearch:8.13.4
+    image: {{ images.elasticsearch }}
     restart: unless-stopped
     environment:
       discovery.type: single-node
@@ -42,7 +42,7 @@ services:
   # Legt den Derivat-Cache an und übergibt ihn dem Cantaloupe-User des Images.
   # Ändert nur Einträge mit falschem Eigentümer (idempotent, schnell bei vollem Cache).
   cantaloupe-cache-init:
-    image: islandora/cantaloupe:7.0.22
+    image: {{ images.cantaloupe }}
     user: "0:0"
     entrypoint: ["sh", "-c", "mkdir -p /data/cache && find /data ! -user cantaloupe -exec chown cantaloupe:cantaloupe {} +"]
     volumes:
@@ -50,7 +50,7 @@ services:
     restart: "no"
 
   cantaloupe:
-    image: islandora/cantaloupe:7.0.22
+    image: {{ images.cantaloupe }}
     restart: unless-stopped
     volumes:
       - ${MEDIA_ROOT:-./media}:/var/lib/cantaloupe/images:ro
@@ -109,6 +109,7 @@ services:
       CANTALOUPE_URL: ${CANTALOUPE_URL:-http://cantaloupe:8182}
       CANTALOUPE_PUBLIC_URL: ${CANTALOUPE_PUBLIC_URL:-http://localhost}
       MEDIA_ROOT: /var/lib/katalon/media
+      ATTACHMENT_MAX_UPLOAD_MB: ${ATTACHMENT_MAX_UPLOAD_MB:-200}
       FIRST_RUN_CREDENTIALS_PATH: ${FIRST_RUN_CREDENTIALS_PATH:-/var/lib/katalon/first-run-credentials.txt}
       DEBUG: "false"
     volumes:
@@ -136,6 +137,7 @@ services:
       CANTALOUPE_URL: ${CANTALOUPE_URL:-http://cantaloupe:8182}
       CANTALOUPE_PUBLIC_URL: ${CANTALOUPE_PUBLIC_URL:-http://localhost}
       MEDIA_ROOT: /var/lib/katalon/media
+      ATTACHMENT_MAX_UPLOAD_MB: ${ATTACHMENT_MAX_UPLOAD_MB:-200}
     volumes:
       - ${MEDIA_ROOT:-./media}:/var/lib/katalon/media
     depends_on:
@@ -185,7 +187,7 @@ services:
       api: { condition: service_healthy }
 
   nginx:
-    image: nginx:alpine
+    image: {{ images.nginx }}
     restart: unless-stopped
     volumes:
       - ./nginx.conf:/etc/nginx/conf.d/default.conf:ro
@@ -210,7 +212,7 @@ services:
 
 {% if tls_mode == "caddy" %}
   caddy:
-    image: caddy:2-alpine
+    image: {{ images.caddy }}
     restart: unless-stopped
     ports:
       - "80:80"

{katalon_cli-0.3.5 → katalon_cli-0.5.0}/src/katalon_cli/templates/nginx.conf.j2

@@ -38,6 +38,25 @@ server {
         proxy_set_header X-Forwarded-Proto {{ '$http_x_forwarded_proto' if tls_mode == 'caddy' else '$scheme' }};
     }
 
+    # Attachment and media files bring their own CSP per content type from the API (sandbox for image/audio/video,
+    # PDF-capable for PDF). The server-level page CSP (object-src 'none') blocks the browser PDF viewer,
+    # so this location omits CSP and X-Content-Type-Options, which the API sets itself.
+    # An add_header here drops the server-level ones: the remaining headers are repeated.
+    location ~ "^/(portal/)?v1/(attachments/[0-9a-fA-F-]{36}/(file|stream)|objects/[0-9a-fA-F-]{36}/media/[0-9a-fA-F-]{36}/(file|stream)|media/[0-9a-fA-F-]{36}/(file|download))$" {
+        set $upstream_api api:8000;
+        proxy_pass http://$upstream_api;
+        proxy_set_header Host $host;
+        proxy_set_header X-Real-IP $remote_addr;
+        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+        proxy_set_header X-Forwarded-Proto {{ '$http_x_forwarded_proto' if tls_mode == 'caddy' else '$scheme' }};
+        add_header Referrer-Policy "strict-origin-when-cross-origin" always;
+        add_header X-Frame-Options "SAMEORIGIN" always;
+        add_header Permissions-Policy "camera=(), geolocation=(), microphone=()" always;
+        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
+        add_header Cross-Origin-Opener-Policy "same-origin" always;
+        add_header Cross-Origin-Resource-Policy "same-origin" always;
+    }
+
     location /v1/ {
         set $upstream_api api:8000;
         proxy_pass http://$upstream_api;