deploy.yml

name: 'Snack25 Backend Deploy' # 워크플로우 이름

on:
  push:
    branches:
      - main # 메인 브랜치에 push가 되면 deploy jobs 트리거(실행)

jobs:
  deploy-to-ec2-whenever-push-to-main:
    name: 'main 브랜치에 push가 되면 EC2로 배포하는 작업'
    runs-on: ubuntu-latest # 우분투(24.04.2) 환경에서 deploy jobs 실행

    steps:
      - name: Checkout Repository # 1. 레포지토리를 체크아웃
        uses: actions/checkout@v4 # actions/checkout 레포지토리의 v4 버전 사용

      - name: Setup Node.js
        uses: actions/setup-node@v4
        with:
          node-version: '22'

      - name: Setup pnpm
        uses: pnpm/action-setup@v4
        with:
          version: '10'
          run_install: false

      - name: Install dependencies # 의존성 설치(dev 의존성 제외, pre/post 스크립트 실행 제외)
        run: pnpm install --ignore-scripts

      - name: Set SHELL environment variable # SHELL 환경 변수 설정
        run: |
          echo "SHELL=/bin/bash" >> $GITHUB_ENV # bash 사용

      - name: Cache dependencies # 의존성 캐싱
        uses: actions/cache@v4 # actions/cache 레포지토리의 v4 버전 사용
        with:
          path: |
            ~/.pnpm-store
            node_modules
            .pnpm-store  # pnpm store 디렉토리 추가
          key: ${{ runner.os }}-pnpm-${{ hashFiles('**/pnpm-lock.yaml') }} # 캐시 키 설정
          restore-keys: |
            ${{ runner.os }}-pnpm- # 캐시 키 복원

      - name: Generate Prisma Client
        run: pnpm prisma:generate:prod
        env:
          DATABASE_URL: ${{ secrets.DATABASE_URL }}

      - name: Build Project # NestJS 빌드
        run: pnpm build # pnpm을 사용하여 빌드
        env:
          NODE_ENV: ${{ secrets.NODE_ENV }} # 환경 변수 설정
          CI: ${{ secrets.CI }} # CI 환경 변수 설정

      - name: Upload Build Artifact # 빌드 결과물 업로드
        uses: actions/upload-artifact@v4 # actions/upload-artifact 레포지토리의 v4 버전 사용
        with:
          name: build # 업로드할 파일 이름
          path: |
            dist
            package.json
            pnpm-lock.yaml
            prisma
            node_modules/.prisma/client

      - name: Configure SSH # SSH 설정
        run: |
          mkdir -p ~/.ssh/
          echo "${{ secrets.EC2_SSH_KEY }}" > ~/.ssh/id_${{ secrets.EC2_KEY_PAIR_TYPE }}
          chmod 600 ~/.ssh/id_${{ secrets.EC2_KEY_PAIR_TYPE }}
          ssh-keyscan -H ${{ secrets.EC2_HOST }} >> ~/.ssh/known_hosts

      - name: Validate Environment Variables
        run: |
          if [ -z "${{ secrets.NODE_ENV }}" ]; then
            echo "NODE_ENV is not set"
            exit 1
          fi
          if [ -z "${{ secrets.DATABASE_URL }}" ]; then
            echo "DATABASE_URL is not set"
            exit 1
          fi
          if [ -z "${{ secrets.EC2_SSH_KEY }}" ]; then
            echo "EC2_SSH_KEY is not set"
            exit 1
          fi
          if [ -z "${{ secrets.EC2_KEY_PAIR_TYPE }}" ]; then
            echo "EC2_KEY_PAIR_TYPE is not set"
            exit 1
          fi
          if [ -z "${{ secrets.EC2_USERNAME }}" ]; then
            echo "EC2_USERNAME is not set"
            exit 1
          fi
          if [ -z "${{ secrets.EC2_HOST }}" ]; then
            echo "EC2_HOST is not set"
            exit 1
          fi
          if [ -z "${{ secrets.DEPLOY_VERIFY_KEY }}" ]; then
            echo "DEPLOY_VERIFY_KEY is not set"
            exit 1
          fi
          if [ -z "${{ secrets.AWS_ACCESS_KEY_ID }}" ]; then
            echo "AWS_ACCESS_KEY_ID is not set"
            exit 1
          fi
          if [ -z "${{ secrets.AWS_SECRET_ACCESS_KEY }}" ]; then
            echo "AWS_SECRET_ACCESS_KEY is not set"
            exit 1
          fi
          if [ -z "${{ secrets.AWS_S3_REGION }}" ]; then
            echo "AWS_S3_REGION is not set"
            exit 1
          fi
          if [ -z "${{ secrets.AWS_S3_BUCKET_NAME }}" ]; then
            echo "AWS_S3_BUCKET_NAME is not set"
            exit 1
          fi
          if [ -z "${{ secrets.JWT_SECRET }}" ]; then
            echo "JWT_SECRET is not set"
            exit 1
          fi
          if [ -z "${{ secrets.JWT_EXPIRES_IN }}" ]; then
            echo "JWT_EXPIRES_IN is not set"
            exit 1
          fi
          if [ -z "${{ secrets.JWT_REFRESH_SECRET }}" ]; then
            echo "JWT_REFRESH_SECRET is not set"
            exit 1
          fi
          if [ -z "${{ secrets.JWT_REFRESH_EXPIRES_IN }}" ]; then
            echo "JWT_REFRESH_EXPIRES_IN is not set"
            exit 1
          fi
          if [ -z "${{ secrets.NODE_MAILER_ID }}" ]; then
            echo "NODE_MAILER_ID is not set"
            exit 1
          fi
          if [ -z "${{ secrets.NODE_MAILER_PW }}" ]; then
            echo "NODE_MAILER_PW is not set"
            exit 1
          fi
          if [ -z "${{ secrets.FRONTEND_HOST }}" ]; then
            echo "FRONTEND_HOST is not set"
            exit 1
          fi
          if [ -z "${{ secrets.SEED_USER_HASHED_PASSWORD }}" ]; then
            echo "SEED_USER_HASHED_PASSWORD is not set"
            exit 1
          fi
          if [ -z "${{ secrets.GPG_PASSPHRASE }}" ]; then
            echo "GPG_PASSPHRASE is not set"
            exit 1
          fi
          if [ -z "${{ github.sha }}" ]; then
            echo "GIT_COMMIT_SHA is not set"
            exit 1
          fi

      - name: Create and mask env file # .env 파일 생성, 마스킹 및 전송
        env:
          NODE_ENV: ${{ secrets.NODE_ENV }}
          DATABASE_URL: ${{ secrets.DATABASE_URL }}
          EC2_KEY_PAIR_TYPE: ${{ secrets.EC2_KEY_PAIR_TYPE }}
          EC2_USERNAME: ${{ secrets.EC2_USERNAME }}
          EC2_HOST: ${{ secrets.EC2_HOST }}
          DEPLOY_VERIFY_KEY: ${{ secrets.DEPLOY_VERIFY_KEY }}
          AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
          AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
          AWS_S3_REGION: ${{ secrets.AWS_S3_REGION }}
          AWS_S3_BUCKET_NAME: ${{ secrets.AWS_S3_BUCKET_NAME }}
          JWT_SECRET: ${{ secrets.JWT_SECRET }}
          JWT_EXPIRES_IN: ${{ secrets.JWT_EXPIRES_IN }}
          JWT_REFRESH_SECRET: ${{ secrets.JWT_REFRESH_SECRET }}
          JWT_REFRESH_EXPIRES_IN: ${{ secrets.JWT_REFRESH_EXPIRES_IN }}
          NODE_MAILER_ID: ${{ secrets.NODE_MAILER_ID }}
          NODE_MAILER_PW: ${{ secrets.NODE_MAILER_PW }}
          FRONTEND_HOST: ${{ secrets.FRONTEND_HOST }}
          SEED_USER_HASHED_PASSWORD: ${{ secrets.SEED_USER_HASHED_PASSWORD }}
          GPG_PASSPHRASE: ${{ secrets.GPG_PASSPHRASE }}
          GIT_COMMIT_SHA: ${{ github.sha }}
        run: |
          # 환경 변수와 "키=값" 형태 모두 마스킹
          echo "::add-mask::${NODE_ENV}"
          echo "::add-mask::NODE_ENV=${NODE_ENV}"
          echo "::add-mask::${DATABASE_URL}"
          echo "::add-mask::DATABASE_URL=${DATABASE_URL}"
          echo "::add-mask::${EC2_KEY_PAIR_TYPE}"
          echo "::add-mask::EC2_KEY_PAIR_TYPE=${EC2_KEY_PAIR_TYPE}"
          echo "::add-mask::${EC2_USERNAME}"
          echo "::add-mask::EC2_USERNAME=${EC2_USERNAME}"
          echo "::add-mask::${EC2_HOST}"
          echo "::add-mask::EC2_HOST=${EC2_HOST}"
          echo "::add-mask::${DEPLOY_VERIFY_KEY}"
          echo "::add-mask::DEPLOY_VERIFY_KEY=${DEPLOY_VERIFY_KEY}"
          echo "::add-mask::${AWS_ACCESS_KEY_ID}"
          echo "::add-mask::AWS_ACCESS_KEY_ID=${AWS_ACCESS_KEY_ID}"
          echo "::add-mask::${AWS_SECRET_ACCESS_KEY}"
          echo "::add-mask::AWS_SECRET_ACCESS_KEY=${AWS_SECRET_ACCESS_KEY}"
          echo "::add-mask::${AWS_S3_REGION}"
          echo "::add-mask::AWS_S3_REGION=${AWS_S3_REGION}"
          echo "::add-mask::${AWS_S3_BUCKET_NAME}"
          echo "::add-mask::AWS_S3_BUCKET_NAME=${AWS_S3_BUCKET_NAME}"
          echo "::add-mask::${JWT_SECRET}"
          echo "::add-mask::JWT_SECRET=${JWT_SECRET}"
          echo "::add-mask::${JWT_EXPIRES_IN}"
          echo "::add-mask::JWT_EXPIRES_IN=${JWT_EXPIRES_IN}"
          echo "::add-mask::${JWT_REFRESH_SECRET}"
          echo "::add-mask::JWT_REFRESH_SECRET=${JWT_REFRESH_SECRET}"
          echo "::add-mask::${JWT_REFRESH_EXPIRES_IN}"
          echo "::add-mask::JWT_REFRESH_EXPIRES_IN=${JWT_REFRESH_EXPIRES_IN}"
          echo "::add-mask::${NODE_MAILER_ID}"
          echo "::add-mask::NODE_MAILER_ID=${NODE_MAILER_ID}"
          echo "::add-mask::${NODE_MAILER_PW}"
          echo "::add-mask::NODE_MAILER_PW=${NODE_MAILER_PW}"
          echo "::add-mask::${FRONTEND_HOST}"
          echo "::add-mask::FRONTEND_HOST=${FRONTEND_HOST}"
          echo "::add-mask::${SEED_USER_HASHED_PASSWORD}"
          echo "::add-mask::SEED_USER_HASHED_PASSWORD=${SEED_USER_HASHED_PASSWORD}"
          echo "::add-mask::${GPG_PASSPHRASE}"
          echo "::add-mask::GPG_PASSPHRASE=${GPG_PASSPHRASE}"

          # .env 파일 생성
          echo "NODE_ENV=${NODE_ENV}" > .env
          echo "DATABASE_URL=${DATABASE_URL}" >> .env
          echo "NODE_MAILER_ID=${NODE_MAILER_ID}" >> .env
          echo "NODE_MAILER_PW=${NODE_MAILER_PW}" >> .env
          echo "FRONTEND_HOST=${FRONTEND_HOST}" >> .env
          echo "AWS_ACCESS_KEY_ID=${AWS_ACCESS_KEY_ID}" >> .env
          echo "AWS_SECRET_ACCESS_KEY=${AWS_SECRET_ACCESS_KEY}" >> .env
          echo "AWS_S3_REGION=${AWS_S3_REGION}" >> .env
          echo "AWS_S3_BUCKET_NAME=${AWS_S3_BUCKET_NAME}" >> .env
          echo "JWT_SECRET=${JWT_SECRET}" >> .env
          echo "JWT_EXPIRES_IN=${JWT_EXPIRES_IN}" >> .env
          echo "JWT_REFRESH_SECRET=${JWT_REFRESH_SECRET}" >> .env
          echo "JWT_REFRESH_EXPIRES_IN=${JWT_REFRESH_EXPIRES_IN}" >> .env
          echo "DEPLOY_VERIFY_KEY=${DEPLOY_VERIFY_KEY}" >> .env
          echo "GIT_COMMIT_SHA=${GIT_COMMIT_SHA}" >> .env
          echo "SEED_USER_HASHED_PASSWORD=${SEED_USER_HASHED_PASSWORD}" >> .env
          # 파일 암호화 및 전송
          cat .env | gpg --symmetric --batch --passphrase "${{ secrets.GPG_PASSPHRASE }}" > .env.gpg
          scp -i ~/.ssh/id_${{ secrets.EC2_KEY_PAIR_TYPE }} .env.gpg ${{ secrets.EC2_USERNAME }}@${{ secrets.EC2_HOST }}:~/backend/

      - name: Setup PM2 Config # PM2 설정 및 전송
        run: |
          echo "module.exports = {
            apps: [{
              name: 'snack25-be',
              script: 'dist/main.js',
              instances: 'max',
              autorestart: true,
              watch: false,
              max_memory_restart: '1G',
              env: {
                NODE_ENV: 'production'
              },
              output: 'logs/out.log',
              error: 'logs/error.log',
              log_date_format: 'YYYY-MM-DD HH:mm:ss Z',
              merge_logs: true,
              log_type: 'json'
            }]
          }" > ecosystem.config.js
          scp -i ~/.ssh/id_${{ secrets.EC2_KEY_PAIR_TYPE }} ecosystem.config.js ${{ secrets.EC2_USERNAME }}@${{ secrets.EC2_HOST }}:~/backend/

      - name: Backup current deployment
        run: |
          ssh -i ~/.ssh/id_${EC2_KEY_PAIR_TYPE} ${{ secrets.EC2_USERNAME }}@${{ secrets.EC2_HOST }} 'cd ~/backend && \
          if [ -d dist ] || [ -d node_modules ]; then \
            backup_file="backup-$(date +%Y%m%d_%H%M%S).tar.gz" && \
            echo "Creating backup: $backup_file" && \
            tar -czf "$backup_file" dist node_modules && \
            echo "최신 백업 파일을 제외한 모든 backup-*.tar.gz 파일을 삭제합니다." && \
            find . -name "backup-*.tar.gz" -type f -not -name "$backup_file" -delete; \
          else \
            echo "처음 배포하셨군요! 백업할 파일이 없습니다."; \
          fi'


      - name: Deploy to EC2 # EC2로 배포
        timeout-minutes: 5 # 타임아웃 시간 설정
        env:
          EC2_KEY_PAIR_TYPE: ${{ secrets.EC2_KEY_PAIR_TYPE }}
          EC2_USERNAME: ${{ secrets.EC2_USERNAME }}
          EC2_HOST: ${{ secrets.EC2_HOST }}
          EC2_SSH_KEY: ${{ secrets.EC2_SSH_KEY }}
          DATABASE_URL: ${{ secrets.DATABASE_URL }}
          DEPLOY_VERIFY_KEY: ${{ secrets.DEPLOY_VERIFY_KEY }}
          GIT_COMMIT_SHA: ${{ github.sha }}
          GPG_PASSPHRASE: ${{ secrets.GPG_PASSPHRASE }}
          FRONTEND_HOST: ${{ secrets.FRONTEND_HOST }}
          AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
          AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
          AWS_S3_REGION: ${{ secrets.AWS_S3_REGION }}
          AWS_S3_BUCKET_NAME: ${{ secrets.AWS_S3_BUCKET_NAME }}
          JWT_SECRET: ${{ secrets.JWT_SECRET }}
          JWT_EXPIRES_IN: ${{ secrets.JWT_EXPIRES_IN }}
          JWT_REFRESH_SECRET: ${{ secrets.JWT_REFRESH_SECRET }}
          JWT_REFRESH_EXPIRES_IN: ${{ secrets.JWT_REFRESH_EXPIRES_IN }}
          NODE_MAILER_ID: ${{ secrets.NODE_MAILER_ID }}
          NODE_MAILER_PW: ${{ secrets.NODE_MAILER_PW }}
          SEED_USER_HASHED_PASSWORD: ${{ secrets.SEED_USER_HASHED_PASSWORD }}
        run: |
          # 민감한 정보 마스킹
          echo "::add-mask::${EC2_KEY_PAIR_TYPE}"
          echo "::add-mask::${EC2_USERNAME}"
          echo "::add-mask::${EC2_HOST}"
          echo "::add-mask::${EC2_SSH_KEY}"
          echo "::add-mask::${DATABASE_URL}"
          echo "::add-mask::${DEPLOY_VERIFY_KEY}"
          echo "::add-mask::${GPG_PASSPHRASE}"
          echo "::add-mask::${FRONTEND_HOST}"
          echo "::add-mask::${AWS_ACCESS_KEY_ID}"
          echo "::add-mask::${AWS_SECRET_ACCESS_KEY}"
          echo "::add-mask::${AWS_S3_REGION}"
          echo "::add-mask::${AWS_S3_BUCKET_NAME}"
          echo "::add-mask::${JWT_SECRET}"
          echo "::add-mask::${JWT_EXPIRES_IN}"
          echo "::add-mask::${JWT_REFRESH_SECRET}"
          echo "::add-mask::${JWT_REFRESH_EXPIRES_IN}"
          echo "::add-mask::${NODE_MAILER_ID}"
          echo "::add-mask::${NODE_MAILER_PW}"
          echo "::add-mask::${SEED_USER_HASHED_PASSWORD}"
          echo "EC2로 배포 시작"

          # SSH 옵션 설정
          SSH_OPTS="-o ConnectTimeout=10 -o StrictHostKeyChecking=yes -o ServerAliveInterval=60"

          # 파일 전송
          echo "파일 전송 중..."
          scp $SSH_OPTS -i ~/.ssh/id_${{ secrets.EC2_KEY_PAIR_TYPE }} -r dist package.json pnpm-lock.yaml prisma ${{ secrets.EC2_USERNAME }}@${{ secrets.EC2_HOST }}:~/backend/ || {
            echo "❌ 파일 전송 실패"
            exit 1
          }

          scp $SSH_OPTS -i ~/.ssh/id_${{ secrets.EC2_KEY_PAIR_TYPE }} ecosystem.config.js ${{ secrets.EC2_USERNAME }}@${{ secrets.EC2_HOST }}:~/backend/ || {
            echo "❌ PM2 설정 파일 전송 실패"
            exit 1
          }

          # 배포 스크립트 생성
          cat << 'EOF' > deploy_script.sh
          #!/bin/bash
          set -e  # 에러 발생 시 즉시 종료

          cd ~/backend || {
            echo "❌ 백엔드 디렉토리 진입 실패"
            exit 1
          }

          # Node.js 환경 설정
          export NVM_DIR="$HOME/.nvm"
          [ -s "$NVM_DIR/nvm.sh" ] && \. "$NVM_DIR/nvm.sh"
          nvm use 22 || {
            echo "❌ Node.js 버전 설정 실패"
            exit 1
          }

          export PNPM_HOME="$HOME/.pnpm-global"
          export PATH="$HOME/.pnpm-global/bin:$PATH"

          # 기존 pnpm 환경변수 로드
          if [ -f ~/.bashrc ]; then
            source ~/.bashrc
          fi

          # pnpm 설치 확인
          if ! command -v pnpm &> /dev/null; then
            echo "[INFO] Installing pnpm..."
            curl -fsSL https://get.pnpm.io/install.sh | sh || {
              echo "❌ pnpm 설치 실패"
              exit 1
            }
          fi

          # PNPM_HOME이 설정되어 있지 않은 경우에만 setup 실행
          if [ -z "$PNPM_HOME" ]; then
            echo "[INFO] Running pnpm setup with force option..."
            pnpm setup --force || {
              echo "❌ pnpm setup 실패"
              exit 1
            }
            source ~/.bashrc
          else
            echo "[INFO] PNPM_HOME이 이미 설정되어 있습니다: $PNPM_HOME"
          fi

          # PATH에 pnpm 경로가 없는 경우에만 추가
          if [[ ":$PATH:" != *":$PNPM_HOME:"* ]]; then
            export PATH="$PNPM_HOME:$PATH"
          fi

          # PM2 설치 및 경로 설정
          echo "[INFO] Installing PM2..."
          if ! pnpm install -g pm2; then
            echo "❌ PM2 설치 실패"
            exit 1
          fi

          # PM2 경로 설정 및 검증
          PM2=$(which pm2)
          if [ ! -f "$PM2" ]; then
            echo "❌ PM2 실행 파일을 찾을 수 없습니다: $PM2"
            exit 1
          fi

          # GPG 복호화
          if ! gpg --decrypt --batch --passphrase "${GPG_PASSPHRASE}" .env.gpg > .env.tmp; then
            echo "❌ 환경 변수 파일 복호화 실패"
            exit 1
          fi

          mv .env.tmp .env.production
          chmod 600 .env.production

          # PM2 프로세스 정리
          if ! "$PM2" stop all 2>/dev/null; then
            echo "No running PM2 processes to stop or PM2 stop failed"
          fi
          if ! "$PM2" delete all 2>/dev/null; then
            echo "No PM2 processes to delete or PM2 delete failed"
          fi

          # PM2 시작 전 환경 검증
          echo "[INFO] Starting PM2..."
          if [ ! -f "ecosystem.config.js" ]; then
            echo "❌ ecosystem.config.js 파일을 찾을 수 없습니다"
            exit 1
          fi

          # 로그 디렉토리 설정
          mkdir -p logs
          # 기존 로그 파일 백업 (있는 경우)
          if [ -f logs/error.log ]; then
            mv logs/error.log logs/error.log.$(date +%Y%m%d_%H%M%S).bak
          fi
          if [ -f logs/out.log ]; then
            mv logs/out.log logs/out.log.$(date +%Y%m%d_%H%M%S).bak
          fi
          # 새 로그 파일 생성
          touch logs/error.log logs/out.log
          # 로그 파일 권한 설정
          chmod 644 logs/error.log logs/out.log

          # 의존성 설치
          echo "[INFO] Installing dependencies..."
          if ! pnpm install --prod --ignore-scripts; then
            echo "❌ 의존성 설치 실패"
            exit 1
          fi

          # Prisma 클라이언트 생성
          echo "[INFO] Generating Prisma client..."
          if ! PRISMA_CLIENT_ENGINE_TYPE=binary pnpm prisma:generate:prod; then
            echo "❌ Prisma 클라이언트 생성 실패"
            exit 1
          fi

          # Prisma 스키마 배포 - 로그 출력 제한 및 필터링
          echo "[INFO] Deploying Prisma schema..."
          if ! (pnpm prisma:deploy:prod 2>&1 | grep -v -E "DATABASE_URL|connection string" > prisma_deploy.log); then
            echo "❌ Prisma 스키마 배포 실패"
            echo "자세한 내용은 prisma_deploy.log를 확인하세요"
            exit 1
          else
            echo "✅ Prisma 스키마 배포 성공"
          fi

          # Prisma Seeding 실행 (조건부)
          echo "[INFO] Checking if seeding is needed..."
          if ! (pnpm prisma db seed --preview-feature 2>&1 | grep -q "No seed file found"); then
            echo "[INFO] Running Prisma seeding..."
            if ! (pnpm prisma:seed:prod 2>&1 | grep -v -E "DATABASE_URL|connection string" > prisma_seed.log); then
              echo "❌ Prisma seeding 실패"
              echo "자세한 내용은 prisma_seed.log를 확인하세요"
              exit 1
            else
              echo "✅ Prisma seeding 성공"
            fi
          else
            echo "✅ Seeding이 필요하지 않습니다"
          fi

          # PM2 시작
          echo "[INFO] Starting PM2..."
          if ! "$PM2" start ecosystem.config.js --env production; then
            echo "❌ PM2 시작 실패"
            exit 1
          fi

          # PM2 상태 저장
          if ! "$PM2" save; then
            echo "❌ PM2 상태 저장 실패"
            exit 1
          fi

          echo "✅ 배포 완료"
          EOF

          # 스크립트 파일 권한 설정
          chmod +x deploy_script.sh || {
            echo "❌ 스크립트 권한 설정 실패"
            exit 1
          }

          # 배포 스크립트 전송
          echo "배포 스크립트 전송 중..."
          scp $SSH_OPTS deploy_script.sh ${{ secrets.EC2_USERNAME }}@${{ secrets.EC2_HOST }}:~/backend/ || {
            echo "❌ 배포 스크립트 전송 실패"
            exit 1
          }

          # 배포 스크립트 실행
          echo "배포 스크립트 실행 중..."
          ssh $SSH_OPTS -i ~/.ssh/id_${{ secrets.EC2_KEY_PAIR_TYPE }} ${{ secrets.EC2_USERNAME }}@${{ secrets.EC2_HOST }} \
            "cd ~/backend && GPG_PASSPHRASE=\"$GPG_PASSPHRASE\" ./deploy_script.sh" 2>&1 | tee deploy.log || {
            echo "❌ 배포 스크립트 실행 실패"
            exit 1
          }

          # deploy.log에서 민감한 정보 제거
          sed -i.bak "s|$(echo "${{ secrets.DATABASE_URL }}" | sed 's/[\/&]/\\&/g')|[MASKED_DATABASE_URL]|g" deploy.log
          sed -i.bak "s|$(echo "${{ secrets.DEPLOY_VERIFY_KEY }}" | sed 's/[\/&]/\\&/g')|[MASKED_DEPLOY_KEY]|g" deploy.log
          sed -i.bak "s|$(echo "${{ secrets.GPG_PASSPHRASE }}" | sed 's/[\/&]/\\&/g')|[MASKED_GPG_PASSPHRASE]|g" deploy.log
          rm -f deploy.log.bak
          rm -f deploy_script.sh

          echo "Deploy to EC2 작업 완료"

      - name: Rollback on Failure
        if: failure()
        run: |
          ssh -i ~/.ssh/id_${{ secrets.EC2_KEY_PAIR_TYPE }} ${{ secrets.EC2_USERNAME }}@${{ secrets.EC2_HOST }} 'cd ~/backend && {
            PM2=$(which pm2)
            if [ -z "$PM2" ]; then
              PM2="$HOME/.local/share/pnpm/pm2"
            fi

            if ls backup-*.tar.gz 1> /dev/null 2>&1; then
              echo "Backup found, restoring..."
              "$PM2" stop all || true && "$PM2" delete all || true
              tar -xzf backup-*.tar.gz

              # 데이터베이스 롤백
              if [ -f "prisma/migrations" ]; then
                echo "Rolling back database..."
                pnpm prisma migrate reset --force
              fi

              "$PM2" start ecosystem.config.js --env production
              echo "Rollback complete."
            else
              echo "No backup found, cannot rollback."
            fi
          }'

      - name: Verify Deployment
        env:
          EC2_KEY_PAIR_TYPE: ${{ secrets.EC2_KEY_PAIR_TYPE }}
          EC2_USERNAME: ${{ secrets.EC2_USERNAME }}
          EC2_HOST: ${{ secrets.EC2_HOST }}
          DEPLOY_VERIFY_KEY: ${{ secrets.DEPLOY_VERIFY_KEY }}
          GIT_COMMIT_SHA: ${{ github.sha }}
        run: |
          echo "배포 검증을 시작합니다..."

          # SSH 옵션 설정
          SSH_OPTS="-o ConnectTimeout=10 -o StrictHostKeyChecking=yes -o ServerAliveInterval=60"

          # 검증 대기 시간
          echo "서버 시작 대기 중... (15초)"
          sleep 15

          # 건강 검사
          echo "서버 상태 확인 (EC2 내부에서)..."
          VERIFY_RESULT=$(ssh $SSH_OPTS -i ~/.ssh/id_${{ secrets.EC2_KEY_PAIR_TYPE }} ${{ secrets.EC2_USERNAME }}@${{ secrets.EC2_HOST }} "
            cd ~/backend

            MAX_RETRIES=5
            RETRY_COUNT=0
            WAIT_TIME=10

            while [ \$RETRY_COUNT -lt \$MAX_RETRIES ]; do
              echo \"시도 \$((RETRY_COUNT+1))/\$MAX_RETRIES...\"

              # 로컬에서 curl 실행 (localhost 사용)
              RESPONSE=\$(curl -s -w \"\\n%{http_code}\" \\
                -H \"X-Deploy-Key: ${DEPLOY_VERIFY_KEY}\" \\
                --connect-timeout 5 \\
                --max-time 10 \\
                http://localhost:4000/api/health 2>&1)

              CURL_EXIT_CODE=\$?

              if [ \$CURL_EXIT_CODE -eq 0 ]; then
                HTTP_STATUS=\$(echo \"\$RESPONSE\" | tail -n1)
                RESPONSE_BODY=\$(echo \"\$RESPONSE\" | sed '\$ d')

                echo \"HTTP 상태 코드: \${HTTP_STATUS}\"

                if [ \"\$HTTP_STATUS\" -eq 200 ]; then
                  if echo \"\$RESPONSE_BODY\" | grep -q '\"status\":\"ok\"'; then
                    echo \"✅ 검증 성공: 서버가 정상적으로 실행 중입니다\"
                    echo \"\$RESPONSE_BODY\"
                    exit 0
                  else
                    echo \"❌ 검증 실패: 응답 형식이 올바르지 않습니다\"
                    echo \"\$RESPONSE_BODY\"
                  fi
                else
                  echo \"❌ 검증 실패: 상태 코드가 200이 아닙니다: \${HTTP_STATUS}\"
                fi
              else
                echo \"❌ curl 요청 실패 (종료 코드: \$CURL_EXIT_CODE)\"
              fi

              RETRY_COUNT=\$((RETRY_COUNT + 1))

              if [ \$RETRY_COUNT -lt \$MAX_RETRIES ]; then
                echo \"재시도 대기 중... (\$WAIT_TIME초)\"
                sleep \$WAIT_TIME
              else
                echo \"❌ 최대 재시도 횟수 초과\"
                exit 1
              fi
            done

            exit 1
          ")

          VERIFY_EXIT_CODE=$?

          echo "$VERIFY_RESULT"

          if [ $VERIFY_EXIT_CODE -ne 0 ]; then
            echo "❌ 배포 검증 실패"

            echo "=== 표준 출력 로그 ==="
            ssh $SSH_OPTS -i ~/.ssh/id_${{ secrets.EC2_KEY_PAIR_TYPE }} ${{ secrets.EC2_USERNAME }}@${{ secrets.EC2_HOST }} 'source ~/.nvm/nvm.sh && cd ~/backend && cat logs/out.log | tail -n 50' || true

            echo "=== 에러 로그 ==="
            ssh $SSH_OPTS -i ~/.ssh/id_${{ secrets.EC2_KEY_PAIR_TYPE }} ${{ secrets.EC2_USERNAME }}@${{ secrets.EC2_HOST }} 'source ~/.nvm/nvm.sh && cd ~/backend && cat logs/error.log | tail -n 50' || true

            echo "=== 방화벽 상태 확인 ==="
            ssh $SSH_OPTS -i ~/.ssh/id_${{ secrets.EC2_KEY_PAIR_TYPE }} ${{ secrets.EC2_USERNAME }}@${{ secrets.EC2_HOST }} 'sudo iptables -L | grep 4000 || echo "4000번 포트에 관한 방화벽 규칙이 없습니다"' || true

            exit 1
          else
            echo "✅ 배포 검증 성공"
          fi

permissions:
  contents: read # 레포지토리 내용 읽기 권한
  deployments: write # 배포 권한
  id-token: write # OIDC 인증을 위해 추가 필요

concurrency:
  group: production_environment # 동시성 그룹 설정
  cancel-in-progress: false # 진행 중인 작업 취소 여부