feat(ci): Пробный прогон релизного конвейера без публикации

[zeegin]

Закрывает #40.

Конвейер запускался только по пушу тега v*, а create-release публикует не-draft релиз сразу. Проверить сборку, не выпустив релиз, было нельзя — то есть первый прогон любых изменений в build-and-release.yml совпадал бы с первым релизом.

Долг накопился заметный. За последние правки туда ушло то, что больше нигде не выполняется: консольный вывод Windows-бинаря и smoke с проверкой кода возврата (#8), установка .deb в чистый Debian с lintian (#9), матрица macOS с ассертом lipo -archs (#27), сжатие .deb в xz (#29), разделение зависимостей и пины по SHA (#16). test.yml тут не помогает — он гоняет pytest и не собирает ни одного артефакта.

Что изменилось

workflow_dispatch с входом version. Версию приходится задавать явно: вне тега git describe даёт 1.2.11-17-g09a0942, а make check требует ^[0-9]+\.[0-9]+\.[0-9]+(\.[0-9]+)?$ для WiX — без этого Windows-сборка упала бы. Значение пробрасывается в make как VERSION=, который create-version уже honors первым же условием, так что Makefile не менялся.

На пуше тега вход пуст, [ -n "" ] ложно, версия по-прежнему берётся из git describe — прежнее поведение сохранено.

create-release не трогали. У него уже стоит if: startsWith(github.ref, 'refs/tags/'), и при запуске с ветки условие ложно — джоб пропускается, а не падает. Четыре smoke-job при этом выполняются как обычно, в них весь смысл прогона.

docs/BUILD.md — как запустить и где брать артефакты, с явным указанием, что релиз не публикуется.

Проверка

Проброс проверен настоящей сборкой, а не чтением Makefile — важно было убедиться, что переменная доходит сквозь $(MAKE) в подцели:

$ make build-macos VERSION=0.0.0
Built for arm64
dist/efd-unpacker-0.0.0-macos-arm64.dmg
версия в Info.plist: 0.0.0

Три ветки create-version:

VERSION=0.0.0  → 0.0.0                 проверка WiX пройдена
VERSION=       → 1.2.11-22-g9d70f08    как на пуше тега
не передан     → 1.2.11-22-g9d70f08    как раньше

YAML валиден, 9 job, timeout-minutes у всех, 0 uses: без SHA. pytest — 122 passed.

На что посмотреть ревьюеру

• Первый запуск и будет настоящей проверкой всего накопленного. Я проверил локально что мог — Linux в Docker, macOS нативно, — но Windows-половина Windows-сборка с --windowed глушит вывод CLI, а smoke-тест в CI этого не видит #8 и связка из четырёх smoke-job выполнятся только здесь. Вероятность, что что-то вылезет, я бы оценил как высокую: именно так на реальном .deb вылез hardening-no-pie, которого не было на stub.
• env.EFD_VERSION объявлен на уровне workflow и подставляется как ${{ inputs.version }}. На пуше тега inputs пуст, выражение даёт пустую строку — это ожидаемо и обработано, но выглядит непривычно.
• Права не расширялись. contents: read на уровне workflow остаётся; create-release со своим contents: write при dispatch не запускается вовсе.
• Запускать так: gh workflow run build-and-release.yml --ref <ветка> -f version=0.0.0. После мержа в main кнопка появится и в UI на вкладке Actions.

[chatgpt-codex-connector]

Codex Review Summary

This comment shows the latest Codex review activity on this pull request.

Review	Status	Commit	Review trigger
📝 Code Review	✅ Completed 2026-09-17T06:45:34.670053Z	9340755	PR opened

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review" or "@codex security review".

Codex reacts with 👀 while any review is running, comments if it has suggestions, and reacts with 👍 once all reviews finish with no findings.

[chatgpt-codex-connector]

💡 Codex Review

Here are some automated review suggestions for this pull request.

Reviewed commit: 9340755876

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review".

If Codex has suggestions, it will comment; otherwise it will react with 👍.

Codex can also answer questions or update the PR. Try commenting "@codex address that feedback".