Bash trong CI/CD: Tích hợp Pipeline tự động hóa an toàn cho DevOps

1
2

set -euo pipefail
IFS=$'\n\t'

1
2
3
4
5
6
7
8

# Đối với Debian / Ubuntu
export DEBIAN_FRONTEND=noninteractive
apt-get update && apt-get install -y --no-install-recommends curl jq

# Đối với Docker, Git, Terraform
docker login -u "$DOCKER_USER" --password-stdin <<< "$DOCKER_PASS"
git clone --depth 1 --branch "$BRANCH" "$REPO_URL"
terraform apply -auto-approve

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

# 1. Truyền biến môi trường sang các step tiếp theo ($GITHUB_ENV)
echo "APP_VERSION=v2.5.0" >> "$GITHUB_ENV"
echo "DEPLOY_ENV=staging" >> "$GITHUB_ENV"

# 2. Xuất output cho các step hoặc job khác sử dụng ($GITHUB_OUTPUT)
echo "image_tag=sha-abc1234" >> "$GITHUB_OUTPUT"

# 3. Xuất output nhiều dòng an toàn (Multiline Output)
{
  echo "release_notes<<EOF"
  git log -n 5 --oneline
  echo "EOF"
} >> "$GITHUB_OUTPUT"

# 4. Ghi bảng tóm tắt vào trang tổng quan của Workflow ($GITHUB_STEP_SUMMARY)
{
  echo "### Kết quả triển khai"
  echo "| Dịch vụ | Trạng thái | Phiên bản |"
  echo "| :--- | :--- | :--- |"
  echo "| API Gateway | Hoàn thành | v2.5.0 |"
  echo "| Worker | Hoàn thành | v2.5.0 |"
} >> "$GITHUB_STEP_SUMMARY"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

# .gitlab-ci.yml
build_job:
  stage: build
  script:
    - echo "APP_VERSION=1.4.2" > build.env
    - echo "IMAGE_TAG=registry.example.com/app:1.4.2" >> build.env
  artifacts:
    reports:
      dotenv: build.env

deploy_job:
  stage: deploy
  dependencies:
    - build_job
  script:
    - echo "Đang deploy phiên bản $APP_VERSION với image $IMAGE_TAG..."

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

pipeline {
    agent any
    stages {
        stage('Build & Test') {
            steps {
                sh '''#!/usr/bin/env bash
                    set -euo pipefail
                    echo "Bắt đầu kiểm thử..."
                    npm test
                '''
            }
        }
    }
}

1
2
3
4
5
6

# Tắt trace trước khi đọc secret
set +x
export DATABASE_PASSWORD="${SECRET_DB_PASSWORD}"
authenticate_vault "$SECRET_API_TOKEN"
# Bật lại trace sau khi xong (nếu cần thiết)
set -x

1
2
3
4

# NGUY HIỂM: Dễ bị tấn công Script/Command Injection
- name: Kiểm tra tiêu đề PR
  run: |
    echo "Tiêu đề PR là: ${{ github.event.pull_request.title }}"

1
2
3
4
5
6

# AN TOÀN: Truyền qua biến môi trường
- name: Kiểm tra tiêu đề PR an toàn
  env:
    PR_TITLE: ${{ github.event.pull_request.title }}
  run: |
    echo "Tiêu đề PR là: $PR_TITLE"

1
2
3
4

# Trên GitHub Actions
SESSION_TOKEN=$(curl -sS -X POST "https://auth.example.com/token" | jq -r .token)
echo "::add-mask::$SESSION_TOKEN"
echo "Xác thực với token thành công: $SESSION_TOKEN" # Sẽ hiển thị dưới dạng *** trong log

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

.
├── .github/
│   ├── workflows/
│   │   └── deployment.yml
│   └── scripts/
│       ├── build-image.sh
│       ├── run-migrations.sh
│       └── notify-slack.sh
├── src/
└── tests/

1
2
3
4

- name: Build và kiểm tra Image
  run: |
    chmod +x .github/scripts/build-image.sh
    ./.github/scripts/build-image.sh

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86

#!/usr/bin/env bash
# ==============================================================================
# Script : ci-build-and-deploy.sh
# Mục đích: Quy trình build, kiểm tra và triển khai an toàn trong CI/CD
# ==============================================================================

set -euo pipefail
IFS=$'\n\t'

readonly REGISTRY="registry.example.com"
readonly APP_NAME="order-service"
readonly COMMIT_SHA="${GITHUB_SHA:-$(git rev-parse --short HEAD)}"
readonly BUILD_TAG="${APP_NAME}:${COMMIT_SHA:0:7}"
readonly SUMMARY_FILE="${GITHUB_STEP_SUMMARY:-/dev/null}"

log_info()  { echo "[CI] [INFO]  $*"; }
log_error() { echo "[CI] [ERROR] $*" >&2; }

# Bẫy lỗi và ghi nhận trạng thái
cleanup() {
    local exit_code=$?
    if [[ $exit_code -ne 0 ]]; then
        log_error "Pipeline gặp sự cố tại bước xử lý! Mã thoát: $exit_code"
        echo "::error::Pipeline build thất bại với mã lỗi $exit_code"
    fi
}
trap cleanup EXIT

# 1. Kiểm tra biến môi trường bắt buộc
validate_environment() {
    log_info "Đang kiểm tra biến môi trường CI..."
    local required_vars=("DOCKER_REGISTRY_USER" "DOCKER_REGISTRY_PASSWORD")
    for var in "${required_vars[@]}"; do
        if [[ -z "${!var:-}" ]]; then
            log_error "Thiếu biến môi trường bắt buộc: $var"
            exit 1
        fi
    done
}

# 2. Chạy kiểm tra tĩnh và Unit Test
run_tests() {
    log_info "Đang chạy bộ kiểm thử tự động..."
    # Giả lập chạy test
    echo "Running unit tests: 42 passed, 0 failed."
}

# 3. Đóng gói Docker Image
build_container() {
    log_info "Đang đóng gói Docker image: $REGISTRY/$BUILD_TAG..."
    
    # Đăng nhập registry không để lộ secret ra stdout
    echo "$DOCKER_REGISTRY_PASSWORD" | docker login "$REGISTRY" -u "$DOCKER_REGISTRY_USER" --password-stdin > /dev/null 2>&1
    
    # Build image (mô phỏng)
    echo "Docker build completed successfully."
    
    # Xuất output cho GitHub Actions nếu đang chạy trong workflow
    if [[ -n "${GITHUB_OUTPUT:-}" ]]; then
        echo "image_uri=${REGISTRY}/${BUILD_TAG}" >> "$GITHUB_OUTPUT"
        echo "build_sha=${COMMIT_SHA}" >> "$GITHUB_OUTPUT"
    fi
}

# 4. Ghi nhận báo cáo trực quan
generate_summary() {
    if [[ -w "$SUMMARY_FILE" ]]; then
        {
            echo "## Báo cáo CI/CD Build"
            echo "- **Ứng dụng**: \`$APP_NAME\`"
            echo "- **Commit SHA**: \`$COMMIT_SHA\`"
            echo "- **Image Artifact**: \`$REGISTRY/$BUILD_TAG\`"
            echo "- **Trạng thái**: Hoàn thành xuất sắc"
        } >> "$SUMMARY_FILE"
    fi
}

main() {
    validate_environment
    run_tests
    build_container
    generate_summary
    log_info "Quy trình CI/CD hoàn tất thành công!"
}

main "$@"