verdande/.github/workflows/release.yml

name: Release

# Tagging is the release trigger: semver tags only, so a stray tag does not publish.
on:
  push:
    tags: ["v[0-9]+.[0-9]+.[0-9]+*"]

permissions:
  # write rather than read: the job creates the GitHub Release the update notice
  # reads. packages: write is for pushing the image.
  contents: write
  packages: write

jobs:
  image:
    name: Build and publish image
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          # Taggen selv, ikke kun den commit den peger på: udgivelsesteksten
          # nedenfor står i tagbeskeden, og en overfladisk checkout henter
          # commit'en uden den.
          fetch-depth: 0

      - uses: docker/setup-qemu-action@v3
      - uses: docker/setup-buildx-action@v3

      - uses: docker/login-action@v3
        with:
          registry: ghcr.io
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}

      - id: meta
        uses: docker/metadata-action@v5
        with:
          images: ghcr.io/${{ github.repository }}
          # v1.4.2 publishes 1.4.2, 1.4 and 1 — so a Rune pinned to :1 gets
          # patches without ever crossing a major version.
          tags: |
            type=semver,pattern={{version}}
            type=semver,pattern={{major}}.{{minor}}
            type=semver,pattern={{major}}
            type=raw,value=latest

      # arm64 is not optional: a homelab is as likely to be a Raspberry Pi or an
      # Apple silicon VM as it is to be an x86 box.
      - uses: docker/build-push-action@v6
        with:
          context: .
          platforms: linux/amd64,linux/arm64
          push: true
          tags: ${{ steps.meta.outputs.tags }}
          labels: ${{ steps.meta.outputs.labels }}
          build-args: |
            VERSION=${{ github.ref_name }}
          cache-from: type=gha
          cache-to: type=gha,mode=max

      # A tag is not a release. The in-app update notice reads GitHub's
      # releases/latest, which answers 404 for a repository that only has tags —
      # so without this step the check can never find anything, however correctly
      # it is switched on.
      #
      # Created after the image, so a release never announces a version that
      # failed to build.
      # Tagbeskeden ER annonceringen. Den skrives, når der tagges, på produktets
      # eget sprog og til dem, der bruger det — og indtil nu nåede den aldrig
      # frem: udgivelsen på GitHub blev fyldt med en autogenereret liste over
      # commit-overskrifter, som er skrevet til dem, der læser koden.
      #
      # Den sidste linje er et link til udgivelsen selv, og den tages af: en
      # side, der linker til sig selv, hjælper ingen.
      #
      # Og `fetch-depth: 0` er ikke nok, hvilket kostede to udgivelser at opdage.
      # actions/checkout henter først alle tags korrekt — og overskriver derefter
      # netop den ene, der udløste kørslen:
      #
      #   git rev-parse refs/tags/v0.46.0
      #   git fetch --no-tags origin +0dc4c2f9b8…:refs/tags/v0.46.0
      #
      # Den henter commit-SHA'en ind i tag-refen, så den annoterede tag bliver til
      # en letvægtstag, der peger direkte på commit'en. `%(contents)` giver så
      # commitbeskeden, og det var flettecommittens overskrift, der stod som
      # udgivelsestekst på v0.45.0 og v0.46.0 — uden at noget fejlede.
      #
      # Derfor hentes tagget som *ref* igen her, før det læses.
      - id: notes
        run: |
          git fetch --force origin \
            "refs/tags/${GITHUB_REF_NAME}:refs/tags/${GITHUB_REF_NAME}"

          body=$(git tag -l --format='%(contents)' "${GITHUB_REF_NAME}" \
            | sed '\#^https://github.com/.*/releases/tag/#d' \
            | sed -e :a -e '/^\n*$/{$d;N;ba' -e '}')

          # Hver tagbesked begynder med sin egen version. Holder det ikke, læser vi
          # noget andet end tagget — og en forkert udgivelsestekst skal fejle her
          # frem for at blive opdaget på siden bagefter.
          case "$body" in
            "${GITHUB_REF_NAME}"*) ;;
            *)
              echo "::error::Tagbeskeden begynder ikke med ${GITHUB_REF_NAME}." \
                   "Læste vi en letvægtstag? Første linje: $(printf '%s' "$body" | head -1)"
              exit 1
              ;;
          esac

          {
            echo 'body<<VERDANDE_EOF'
            printf '%s\n' "$body"
            echo VERDANDE_EOF
          } >> "$GITHUB_OUTPUT"

      - uses: softprops/action-gh-release@v2
        with:
          body: ${{ steps.notes.outputs.body }}
          # Stadig sat: den autogenererede liste lægges *under* teksten ovenfor,
          # så både den, der vil vide hvad der er nyt, og den, der vil se hvilke
          # ændringer det var, kan læse det samme sted.
          generate_release_notes: true
          make_latest: true