От разработки до прода

Путь кода до продакшена

1локально -> ветка -> PR -> CI (тесты) -> ревью -> main -> сборка -> staging -> prod

Git здесь — единый источник правды: что лежит в main, то готово к выкату, а тег фиксирует, что именно выехало.

Локальные проверки: Git hooks

Хуки — скрипты, которые Git запускает на определенных событиях. Лежат в .git/hooks, но туда не попадают в репозиторий. Чтобы хуки были общими, храните их в папке проекта:

1mkdir .githooks2git config core.hooksPath .githooks

.githooks/pre-commit:

1#!/bin/sh2./gradlew spotlessCheck || exit 1

1chmod +x .githooks/pre-commit

Основные хуки:

Хуки можно обойти (--no-verify), поэтому настоящие проверки должны дублироваться в CI.

CI: непрерывная интеграция

CI автоматически собирает проект и запускает тесты на каждый push и Pull Request. Пример для GitHub Actions: .github/workflows/ci.yml:

 1name: CI 2 3on: 4  push: 5    branches: [main] 6  pull_request: 7    branches: [main] 8 9jobs:10  test:11    runs-on: ubuntu-latest12    steps:13      - uses: actions/checkout@v414      - uses: actions/setup-java@v415        with:16          distribution: temurin17          java-version: 2118          cache: gradle19      - run: ./gradlew build

В Branch protection сделайте задачу test обязательной: PR с красными тестами нельзя будет слить.

CD: непрерывная доставка

После слияния в main выкладываем автоматически. Пример деплоя по SSH на VPS: .github/workflows/deploy.yml:

 1name: Deploy 2 3on: 4  push: 5    branches: [main] 6 7jobs: 8  deploy: 9    runs-on: ubuntu-latest10    environment: production11    steps:12      - uses: actions/checkout@v413      - name: Prepare SSH14        run: |15          mkdir -p ~/.ssh16          echo "${{ secrets.DEPLOY_KEY }}" > ~/.ssh/id_ed2551917          chmod 600 ~/.ssh/id_ed2551918          ssh-keyscan -H ${{ secrets.DEPLOY_HOST }} >> ~/.ssh/known_hosts19      - name: Upload20        run: rsync -az --delete --exclude .git ./ ${{ secrets.DEPLOY_USER }}@${{ secrets.DEPLOY_HOST }}:/var/www/app/21      - name: Restart22        run: ssh ${{ secrets.DEPLOY_USER }}@${{ secrets.DEPLOY_HOST }} "sudo systemctl restart app"

Секреты задаются в GitHub: Settings → Secrets and variables → Actions. В репозитории их хранить нельзя.

Параметр environment: production позволяет включить ручное подтверждение деплоя и отдельные секреты для окружения.

Окружения

Настройки окружений (адреса баз, ключи) задаются через переменные окружения, а не коммитятся в код.

Релизы и версии

Релиз помечается тегом:

1git switch main2git pull3git tag -a v1.4.0 -m "Release 1.4.0"4git push origin v1.4.0

Пример workflow, который собирает релиз по тегу:

 1name: Release 2 3on: 4  push: 5    tags: ['v*'] 6 7jobs: 8  release: 9    runs-on: ubuntu-latest10    permissions:11      contents: write12    steps:13      - uses: actions/checkout@v414      - run: ./gradlew build15      - uses: softprops/action-gh-release@v216        with:17          files: build/libs/*.jar18          generate_release_notes: true

Через GitHub CLI:

1gh release create v1.4.0 --generate-notes

Версии выбирайте по семантическому версионированию. Changelog можно генерировать из Conventional Commits.

Релизные ветки

Если нужно поддерживать старую версию, делайте ветку от тега:

1git switch -c release/1.3 v1.3.02git push -u origin release/1.3

Исправления сначала вливаются в main, затем переносятся в релизную ветку через cherry-pick.

Hotfix: срочное исправление

Критичная ошибка на проде:

1git switch main2git pull3git switch -c hotfix/payment-timeout4git add .5git commit -m "fix(payment): increase gateway timeout"6git push -u origin hotfix/payment-timeout

Дальше: PR в main с ускоренным ревью, зеленый CI, слияние, выкат, тег v1.4.1. Если используется Git Flow, hotfix вливается и в main, и в develop.

Не правьте код прямо на сервере: исправление потеряется при следующем деплое, а история не сохранится.

Откат

Если релиз сломал прод, есть два пути.

1. Выкатить предыдущий тег. Самый быстрый и надежный способ:

1git switch --detach v1.3.0

В CD обычно запускают деплой старого тега или артефакта через кнопку или команду.

2. Revert сломанных изменений:

1git switch main2git pull3git revert -m 1 хэш-слияния4git push

После push CI выкатит исправленное состояние. Историю main не переписывайте (reset --hard и push --force запрещены).

После отката разберитесь в причине и вернитесь к исправлению в отдельной ветке.

Секреты

• Не коммитьте пароли, токены, приватные ключи, .env.
• Храните секреты в GitHub Secrets, Vault, менеджере секретов облака.
• Для локальной разработки используйте .env в .gitignore и .env.example в репозитории.
• Включите Secret scanning и Push protection на GitHub.
• Если секрет попал в репозиторий: сразу замените его, затем чистите историю.

Безопасность репозитория

• Включите двухфакторную аутентификацию.
• Используйте SSH-ключи или токены с минимальными правами.
• Подписывайте коммиты (git config --global commit.gpgsign true) там, где это требуется.
• Следите за обновлениями зависимостей: Dependabot.
• Ограничьте, кто может пушить в main и создавать теги релизов.

Чек-лист перед продом

• Тесты и линтеры зеленые в CI.
• PR прошел ревью, ветка актуальна.
• Миграции базы проверены и обратимы.
• Секреты и настройки окружения заданы.
• Известно, как откатить релиз.
• Релиз помечен тегом, есть описание изменений.
• После выката проверены логи и метрики.