ci: imagem construída do código, esteira para os runners do Gitea e changelog

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

scripts/plano-imagem.sh

@@ -0,0 +1,21 @@
+#!/usr/bin/env bash
+# Uso: scripts/plano-imagem.sh <registro> <repositório>
+# Imprime inputs=, image= e reuse= (para $GITHUB_OUTPUT). O hash cobre só os
+# arquivos que entram no build da imagem, não a documentação nem a configuração
+# de ferramentas. reuse=true quando o registro já tem inputs-<hash>.
+set -euo pipefail
+registry=$1; ns=${2,,}
+
+inputs=$(git ls-tree -r HEAD \
+  | awk -F'\t' '$2 !~ /^(\.gitea|\.github|\.claude|\.wolf|\.superset|docs)\// && $2 !~ /^(README.*|CONTRIBUTING\.md|CHANGELOG\.md|CITATION\.cff|LICENSE|paper\.md|references\.bib|\.gitignore|\.gitattributes|scripts\/release-notes\.sh)$/' \
+  | sha256sum | cut -c1-16)
+token=$(curl -fsS "https://$registry/v2/token?service=container_registry&scope=repository:$ns:pull" | jq -r .token)
+code=$(curl -s -o /dev/null -w '%{http_code}' -I \
+  -H "Authorization: Bearer $token" \
+  -H 'Accept: application/vnd.oci.image.index.v1+json,application/vnd.docker.distribution.manifest.list.v2+json,application/vnd.oci.image.manifest.v1+json' \
+  "https://$registry/v2/$ns/manifests/inputs-$inputs")
+echo "inputs-$inputs -> HTTP $code" >&2
+reuse=false; [ "$code" = 200 ] && reuse=true
+echo "inputs=$inputs"
+echo "image=$registry/$ns"
+echo "reuse=$reuse"

scripts/release-notes.sh

@@ -0,0 +1,39 @@
+#!/usr/bin/env bash
+# Imprime as notas de uma release: a imagem publicada (quando houver) e a seção
+# do CHANGELOG.md daquela versão (ou o log de commits desde a tag anterior, se
+# não houver seção).
+#
+#   scripts/release-notes.sh v1.2.3 [git.exemplo.com/dono/projeto]
+set -euo pipefail
+
+tag=${1:?uso: release-notes.sh <tag> [imagem]}
+image=${2:-}
+version=${tag#v}
+
+if [ -n "$image" ]; then
+  echo "## Imagem"
+  echo
+  echo '```'
+  echo "$image:$version"
+  echo '```'
+  echo
+fi
+
+section=""
+if [ -f CHANGELOG.md ]; then
+  section=$(awk -v head="## [$version]" '
+    index($0, head) == 1 { found = 1; next }
+    found && /^## \[/ { exit }
+    found && /^\[[^]]+\]: / { next }
+    found { print }
+  ' CHANGELOG.md)
+fi
+
+if [ -n "$(printf '%s' "$section" | tr -d '[:space:]')" ]; then
+  printf '%s\n' "$section"
+else
+  previous=$(git describe --tags --abbrev=0 "$tag^" 2>/dev/null || true)
+  echo "## Mudanças${previous:+ desde $previous}"
+  echo
+  git log --no-merges --format='- %s (%h)' "${previous:+$previous..}$tag"
+fi

scripts/smoke-imagem.sh

@@ -0,0 +1,33 @@
+#!/usr/bin/env bash
+# Teste de fumaça da imagem: a SPA serve o index, cai no index em rotas internas
+# e entrega os assets com cache longo.
+#
+#   scripts/smoke-imagem.sh http://127.0.0.1:3998
+#
+# Cada falha é impressa e o script sai com 1 no fim, para mostrar tudo de uma vez.
+set -uo pipefail
+
+base=${1:?uso: smoke-imagem.sh <url-base>}
+falhas=0
+falhou() { echo "FALHOU $1"; falhas=$((falhas + 1)); }
+
+# O nginx leva um instante para subir.
+for _ in $(seq 1 30); do curl -fsS -o /dev/null "$base/" 2>/dev/null && break; sleep 1; done
+
+index=$(curl -fsS "$base/") || { echo "FALHOU /: sem resposta"; exit 1; }
+grep -q 'id="root"' <<< "$index" || falhou "/: o index não tem o #root"
+
+# Rota interna da SPA devolve o mesmo index (try_files), não 404.
+[ "$(curl -s -o /dev/null -w '%{http_code}' "$base/qualquer/rota")" = 200 ] || falhou "/qualquer/rota: esperado 200"
+
+# Todo asset que o index referencia existe e tem cache imutável.
+assets=$(grep -oE '(src|href)="/assets/[^"]+"' <<< "$index" | cut -d'"' -f2)
+[ -n "$assets" ] || falhou "o index não referencia nenhum /assets/"
+for a in $assets; do
+  head=$(curl -sI "$base$a")
+  grep -q '^HTTP/[0-9.]* 200' <<< "$head" || falhou "$a: esperado 200"
+  grep -qi 'cache-control:.*immutable' <<< "$head" || falhou "$a: sem cache imutável"
+done
+
+[ "$falhas" = 0 ] && echo "ok: $(wc -w <<< "$assets") assets e rotas conferidos"
+[ "$falhas" = 0 ]