aileron-canvas-publish

Aileron Canvas Publish

此 Skill 是可選的 Workspace 能力。Canvas 預覽不會自動發佈，也不需要 Aileron 平台提供 Publishing API。Skill 只透過目前 Workspace process environment 呼叫已由管理員準備好的 GitLab 與 Argo CD API。

信任與邊界

• 管理員預先建立一個空的 GitLab Project；Skill 只負責 bootstrap repository scaffold， 不建立 Project，也不建立 Argo CD AppProject、Kubernetes namespace 或 TLS/DNS 資源。
• 憑證只從 Workspace 的 AILERON_PUBLISH_* 環境變數讀取，不讀取 .env、平台全域設定檔或 Aileron Manager 設定。Token/password 不會寫入 Git、Result Envelope 或輸出。
• 初始 provider 組合是 gitlab + argocd。其他 Git provider 或直接 Helm deploy 必須以 新 provider script 實作，不改變本 Skill 的 provider-neutral Result Envelope。
• 每個 Workspace 使用一個 GitLab Project；每個站台使用 Skill 產生的 UUID siteId 與 長期存在的 sites/<siteId> branch。Git manifest 是站台 identity 的來源。
• 只接受 managed static 與 nextjs-standalone。Next.js 必須有 lockfile、 packageManager 與 output: 'standalone'。

操作順序

1. 檢查環境

先執行：

python3 scripts/bootstrap.py --check

這會檢查 Workspace 環境、GitLab Project、受限的 Argo CD AppProject、repository scaffold、 OCI image digest 與必要的固定資源。若 Project 不存在，回報 GITLAB_PROJECT_MISSING，請 使用者向平台管理員取得已建立的 Project；不要自行建立 Project。

2. 首次準備 repository

若檢查回報需要 bootstrap，執行：

python3 scripts/bootstrap.py --ensure

這會把本 Skill 內的固定 scaffold 推送到管理員建立的空 Project，並同步 Skill-owned 的 CI variables。OCI push password 只設定給 package environment，validate/build job 不會取得 artifact push credential。

3. 發佈目前 Canvas

python3 scripts/publish.py --workspace /workspace

Skill 會：

1. 讀取 /workspace/.aileron/canvas.json，將來源複製到 sites/<siteId> branch；
2. 套用固定的 symlink、credential-like file、.env、build output 與特殊檔案過濾；
3. 以 project identity + siteId + source commit 產生 deterministic pub-...；
4. 透過 GitLab API 觸發唯一允許的 AILERON_PUBLISH_TRIGGER=skill Pipeline；
5. 等待 image/chart Pipeline 成功，建立或更新一個 Argo CD Application，回傳 DEPLOYING；
6. 將來源 commit、Publication ID 與 deployment action ID 寫入本地 pointer，方便後續查詢。

Pipeline 產物是 immutable site image 與 immutable OCI Helm chart；Argo CD 以 chart targetRevision 部署，不直接從 Git 讀取 Kubernetes manifest。