Деплой Nuxt 4 приложения на VPS с GitLab CI/CD

# =============================================
# Stage 1: Dependencies
# Устанавливаем только production-зависимости
# =============================================
FROM node:22-alpine AS deps

WORKDIR /app

# Копируем файлы с зависимостями
COPY package*.json ./

# Устанавливаем только production-зависимости (без devDependencies)
RUN npm ci --omit=dev

# =============================================
# Stage 2: Build
# Собираем приложение со всеми зависимостями
# =============================================
FROM node:22-alpine AS builder

WORKDIR /app

COPY package*.json ./
# Устанавливаем ВСЕ зависимости (включая dev) для сборки
RUN npm ci

# Копируем исходный код
COPY . .

# Собираем Nuxt приложение
RUN npm run build

# =============================================
# Stage 3: Production Runtime
# Минимальный образ только для запуска
# =============================================
FROM node:22-alpine AS runner

WORKDIR /app

# Создаём непривилегированного пользователя для безопасности
RUN addgroup --system --gid 1001 nodejs && \
    adduser --system --uid 1001 nuxtjs

# Копируем только собранное приложение (папка .output)
COPY --from=builder /app/.output ./.output

# Создаём папку для загрузок и даём права
RUN mkdir -p /app/.output/public/uploads && \
    chown -R nuxtjs:nodejs /app/.output

# Запускаем от непривилегированного пользователя
USER nuxtjs

# Открываем порт 3000
EXPOSE 3000

# Переменные окружения
ENV HOST=0.0.0.0
ENV PORT=3000
ENV NODE_ENV=production

# Команда запуска приложения
CMD ["node", ".output/server/index.mjs"]

services:
  # =============================================
  # Nuxt Application
  # Ваше приложение
  # =============================================
  app:
    # Образ берётся из GitLab Container Registry
    image: ${CI_REGISTRY_IMAGE}:${CI_COMMIT_SHA:-latest}
    container_name: blog-app
    # Автоматический перезапуск при падении
    restart: unless-stopped
    environment:
      # Подключение к MongoDB (mongo — имя сервиса в этом файле)
      - NUXT_MONGODB_URI=mongodb://mongo:27017
      - NUXT_MONGO_DB_NAME=${MONGO_DB}
      # JWT секреты для аутентификации
      - NUXT_JWT_SECRET=${JWT_SECRET}
      - NUXT_JWT_REFRESH_SECRET=${JWT_REFRESH_SECRET}
      # URL сайта для генерации ссылок
      - NUXT_PUBLIC_SITE_URL=${SITE_URL}
      - HOST=0.0.0.0
      - PORT=3000
    volumes:
      # Папка для загруженных файлов (сохраняется между перезапусками)
      - uploads_data:/app/.output/public/uploads
    networks:
      - blog-network
    # Ждём пока MongoDB будет готова
    depends_on:
      mongo:
        condition: service_healthy
    # Проверка здоровья приложения
    healthcheck:
      test: ["CMD", "wget", "-q", "--spider", "http://localhost:3000/api/health"]
      interval: 30s
      timeout: 10s
      retries: 3
      start_period: 40s

  # =============================================
  # MongoDB
  # База данных
  # =============================================
  mongo:
    image: mongo:7
    container_name: blog-mongo
    restart: unless-stopped
    environment:
      - MONGO_INITDB_DATABASE=${MONGO_DB}
    volumes:
      # Данные базы сохраняются между перезапусками
      - mongo_data:/data/db
      - mongo_config:/data/configdb
    networks:
      - blog-network
    # Проверка здоровья MongoDB
    healthcheck:
      test: ["CMD", "mongosh", "--eval", "db.adminCommand('ping')"]
      interval: 30s
      timeout: 10s
      retries: 5
      start_period: 30s

  # =============================================
  # Nginx Reverse Proxy
  # Веб-сервер: принимает запросы и проксирует на приложение
  # =============================================
  nginx:
    image: nginx:alpine
    container_name: blog-nginx
    restart: unless-stopped
    ports:
      # Открываем порты для HTTP и HTTPS
      - "80:80"
      - "443:443"
    volumes:
      # Конфигурационные файлы nginx (только чтение)
      - ./nginx/nginx.conf:/etc/nginx/nginx.conf:ro
      - ./nginx/conf.d:/etc/nginx/conf.d:ro
      # SSL сертификаты от Let's Encrypt
      - ./certbot/conf:/etc/letsencrypt:ro
      - ./certbot/www:/var/www/certbot:ro
      # Папка с загрузками для раздачи напрямую
      - uploads_data:/var/www/uploads:ro
    networks:
      - blog-network
    depends_on:
      - app

  # =============================================
  # Certbot for SSL
  # Автоматическое обновление SSL сертификатов
  # =============================================
  certbot:
    image: certbot/certbot
    container_name: blog-certbot
    volumes:
      - ./certbot/conf:/etc/letsencrypt
      - ./certbot/www:/var/www/certbot
    # Бесконечный цикл проверки и обновления сертификатов каждые 12 часов
    entrypoint: "/bin/sh -c 'trap exit TERM; while :; do certbot renew; sleep 12h & wait $${!}; done;'"
    networks:
      - blog-network

# Внутренняя сеть для связи контейнеров
networks:
  blog-network:
    driver: bridge

# Именованные тома для сохранения данных
volumes:
  mongo_data:
    driver: local
  mongo_config:
    driver: local
  uploads_data:
    driver: local

# Этапы pipeline (выполняются последовательно)
stages:
  - build   # Сборка Docker-образа
  - deploy  # Деплой на VPS

# Глобальные переменные
variables:
  DOCKER_TLS_CERTDIR: "/certs"
  # Теги для Docker-образов
  IMAGE_TAG: $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA      # Уникальный тег по коммиту
  IMAGE_LATEST: $CI_REGISTRY_IMAGE:latest           # Тег "latest"

# =============================================
# Build Stage
# Сборка Docker-образа и загрузка в registry
# =============================================
build:
  stage: build
  # Используем Docker-in-Docker для сборки
  image: docker:24
  services:
    - docker:24-dind
  before_script:
    # Авторизуемся в GitLab Container Registry
    # CI_REGISTRY_USER и CI_REGISTRY_PASSWORD — встроенные переменные GitLab
    - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY
  script:
    - echo "Building Docker image..."
    # Собираем образ с двумя тегами
    - docker build -t $IMAGE_TAG -t $IMAGE_LATEST .
    - echo "Pushing to registry..."
    # Загружаем оба тега в registry
    - docker push $IMAGE_TAG
    - docker push $IMAGE_LATEST
  # Запускать только для ветки main
  only:
    - main

# =============================================
# Deploy Stage
# Подключение к VPS и обновление приложения
# =============================================
deploy:
  stage: deploy
  image: alpine:latest
  before_script:
    # Устанавливаем SSH клиент
    - apk add --no-cache openssh-client
    # Настраиваем SSH ключ из переменной GitLab
    - mkdir -p ~/.ssh
    - echo "$SSH_PRIVATE_KEY" | tr -d '\r' > ~/.ssh/id_rsa
    - chmod 600 ~/.ssh/id_rsa
    # Добавляем сервер в known_hosts (чтобы не было вопроса о подлинности)
    - ssh-keyscan -H $VPS_HOST >> ~/.ssh/known_hosts
  script:
    - echo "Deploying to VPS..."
    # Подключаемся к серверу и выполняем команды
    - |
      ssh $VPS_USER@$VPS_HOST << ENDSSH
        cd /opt/blog

        # Авторизуемся в GitLab Registry на сервере
        echo "$CI_REGISTRY_PASSWORD" | docker login -u "$CI_REGISTRY_USER" --password-stdin $CI_REGISTRY

        # Экспортируем переменные для docker-compose
        export CI_REGISTRY_IMAGE=$CI_REGISTRY_IMAGE
        export CI_COMMIT_SHA=$CI_COMMIT_SHA

        # Скачиваем новый образ
        docker-compose -f docker-compose.prod.yml pull app
        # Перезапускаем контейнеры
        docker-compose -f docker-compose.prod.yml up -d

        # Удаляем старые неиспользуемые образы
        docker image prune -f

        echo "Deploy completed!"
      ENDSSH
  # Информация об окружении для GitLab UI
  environment:
    name: production
    url: https://$SITE_DOMAIN
  only:
    - main
  # Раскомментируйте строку ниже для ручного деплоя (кнопка "Play" в GitLab)
  # when: manual

user nginx;
# Автоматически определяем количество воркеров по числу ядер CPU
worker_processes auto;
error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;

events {
    # Максимум соединений на воркер
    worker_connections 1024;
    # Принимать несколько соединений за раз
    multi_accept on;
}

http {
    # MIME-типы для правильной отдачи файлов
    include /etc/nginx/mime.types;
    default_type application/octet-stream;

    # Формат логов
    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$http_x_forwarded_for"';
    access_log /var/log/nginx/access.log main;

    # Оптимизация отдачи файлов
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 65;
    types_hash_max_size 2048;

    # Сжатие ответов (уменьшает трафик)
    gzip on;
    gzip_vary on;
    gzip_proxied any;
    gzip_comp_level 6;
    gzip_types text/plain text/css text/xml application/json application/javascript
               application/xml application/xml+rss text/javascript application/x-javascript
               image/svg+xml;
    gzip_min_length 1000;

    # Лимиты на размер запросов (важно для загрузки файлов)
    client_max_body_size 10M;
    client_body_buffer_size 10K;
    client_header_buffer_size 1k;
    large_client_header_buffers 4 32k;

    # Подключаем конфигурации сайтов
    include /etc/nginx/conf.d/*.conf;
}

# Upstream — группа серверов для проксирования
# app:3000 — это имя сервиса из docker-compose и его порт
upstream nuxt_app {
    server app:3000;
    # Поддерживать постоянные соединения для производительности
    keepalive 32;
}

# =============================================
# HTTP Server (порт 80)
# Перенаправляет все запросы на HTTPS
# =============================================
server {
    listen 80;
    listen [::]:80;
    server_name YOUR_DOMAIN www.YOUR_DOMAIN;

    # Путь для проверки Let's Encrypt (нужен для получения сертификата)
    location /.well-known/acme-challenge/ {
        root /var/www/certbot;
    }

    # Все остальные запросы перенаправляем на HTTPS
    location / {
        return 301 https://$host$request_uri;
    }
}

# =============================================
# HTTPS Server (порт 443)
# Основной сервер с SSL
# =============================================
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name YOUR_DOMAIN www.YOUR_DOMAIN;

    # SSL сертификаты от Let's Encrypt
    ssl_certificate /etc/letsencrypt/live/YOUR_DOMAIN/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/YOUR_DOMAIN/privkey.pem;

    # Настройки SSL сессий
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:50m;
    ssl_session_tickets off;

    # Современные протоколы и шифры
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;

    # Заголовки безопасности
    add_header Strict-Transport-Security "max-age=63072000" always;  # HSTS
    add_header X-Frame-Options "SAMEORIGIN" always;                   # Защита от clickjacking
    add_header X-Content-Type-Options "nosniff" always;               # Защита от MIME-sniffing
    add_header X-XSS-Protection "1; mode=block" always;               # Защита от XSS
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    # =============================================
    # Статические файлы (раздаём напрямую через Nginx)
    # =============================================

    # Загруженные пользователями файлы
    location /uploads/ {
        alias /var/www/uploads/;
        expires 30d;  # Кэширование на 30 дней
        add_header Cache-Control "public, immutable";
        access_log off;  # Не логируем запросы к статике
    }

    # Статика Nuxt (JS, CSS, шрифты)
    location /_nuxt/ {
        proxy_pass http://nuxt_app;
        proxy_http_version 1.1;
        proxy_set_header Connection "";
        expires 1y;  # Долгое кэширование (файлы имеют хэш в имени)
        add_header Cache-Control "public, immutable";
        access_log off;
    }

    # Служебные файлы
    location ~* ^/(favicon\.ico|robots\.txt|sitemap\.xml)$ {
        proxy_pass http://nuxt_app;
        expires 7d;
        add_header Cache-Control "public";
        access_log off;
    }

    # =============================================
    # API запросы
    # =============================================
    location /api/ {
        proxy_pass http://nuxt_app;
        proxy_http_version 1.1;
        # Заголовки для WebSocket (если используется)
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        # Передаём реальный IP клиента
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_cache_bypass $http_upgrade;
        # Таймауты
        proxy_connect_timeout 60s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
    }

    # =============================================
    # SSR страницы (все остальные запросы)
    # =============================================
    location / {
        proxy_pass http://nuxt_app;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_cache_bypass $http_upgrade;
        proxy_connect_timeout 60s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
    }

    # Запрещаем доступ к скрытым файлам (начинаются с точки)
    location ~ /\. {
        deny all;
        access_log off;
        log_not_found off;
    }
}

# Создайте или отредактируйте ~/.ssh/config
cat >> ~/.ssh/config << 'EOF'
Host SERVER_IP_ADDRESS
    IdentityFile ~/.ssh/gitlab_deploy
EOF

mkdir -p ~/.ssh
echo "ваш_публичный_ключ" >> ~/.ssh/authorized_keys
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

# Все команды выполняются из /opt/blog на VPS

# Посмотреть логи приложения (Ctrl+C для выхода)
docker-compose -f docker-compose.prod.yml logs -f app

# Посмотреть логи всех сервисов
docker-compose -f docker-compose.prod.yml logs -f

# Перезапустить только приложение
docker-compose -f docker-compose.prod.yml restart app

# Полный перезапуск всех сервисов
docker-compose -f docker-compose.prod.yml down
docker-compose -f docker-compose.prod.yml up -d

# Проверить статус контейнеров
docker-compose -f docker-compose.prod.yml ps

# Зайти внутрь контейнера приложения
docker-compose -f docker-compose.prod.yml exec app sh

# Зайти в MongoDB
docker-compose -f docker-compose.prod.yml exec mongo mongosh

# Создать бэкап
docker-compose -f docker-compose.prod.yml exec mongo mongodump --db=blog --archive=/tmp/backup.gz --gzip
docker cp blog-mongo:/tmp/backup.gz ./backup_$(date +%Y%m%d).gz

# Скачать бэкап на локальный компьютер
scp deploy@SERVER_IP_ADDRESS:/opt/blog/backup_*.gz ./

# Восстановить из бэкапа
docker cp backup.gz blog-mongo:/tmp/backup.gz
docker-compose -f docker-compose.prod.yml exec mongo mongorestore --archive=/tmp/backup.gz --gzip

docker-compose -f docker-compose.prod.yml run --rm certbot renew
docker-compose -f docker-compose.prod.yml exec nginx nginx -s reload

# Проверьте, что можете подключиться с локального компьютера
ssh -i ~/.ssh/gitlab_deploy deploy@SERVER_IP_ADDRESS

# Если не работает — проверьте:
# 1. Правильно ли скопирован публичный ключ на сервер
# 2. Правильные ли права на файлы (chmod 600, 700)

# Смотрим логи приложения
docker-compose -f docker-compose.prod.yml logs app

# Частые причины:
# - Не может подключиться к MongoDB (проверьте логи mongo)
# - Не заданы переменные окружения (проверьте .env)
# - Ошибка в коде приложения

# Проверяем логи MongoDB
docker-compose -f docker-compose.prod.yml logs mongo

# Проверяем, что MongoDB отвечает
docker-compose -f docker-compose.prod.yml exec mongo mongosh --eval "db.adminCommand('ping')"

# Проверьте, запущено ли приложение
docker-compose -f docker-compose.prod.yml ps

# Проверьте health endpoint
docker-compose -f docker-compose.prod.yml exec app wget -qO- http://localhost:3000/api/health

# Если app не запущен — смотрите его логи
docker-compose -f docker-compose.prod.yml logs app

# Проверьте, есть ли сертификаты
ls -la /opt/blog/certbot/conf/live/YOUR_DOMAIN/

# Если папки нет — сертификат не был получен
# Повторите шаг 2.6 (Получение SSL сертификата)

# Перевыпустить сертификат:
docker-compose -f docker-compose.prod.yml run --rm certbot certonly \
    --webroot -w /var/www/certbot \
    -d YOUR_DOMAIN -d www.YOUR_DOMAIN

# Посмотреть использование диска Docker
docker system df

# Удалить неиспользуемые данные (образы, контейнеры, volumes)
docker system prune -a

# ⚠️ Осторожно: это удалит ВСЕ неиспользуемые данные!