Façade Rust loki-rs : proxy devant le Go et mise à jour au démarrage

Premier lot de la migration vers Rust. Le binaire loki-rs :

- serve : prend le port public (8090), lance `loki web 8091` en écoute
  locale et lui relaie tout — HTTP, flux SSE trame par trame, WebSocket.
  Les en-têtes de bout en bout passent intacts (Host, Authorization,
  Origin, Sec-Fetch-*, X-Forwarded-Proto : le Go en tire ses contrôles
  d'accès) ; X-Loki-Via entrant est effacé, un client ne doit jamais
  pouvoir se faire passer pour le tunnel. Go mort : relancé avec attente
  croissante, 502 lisible entre-temps.
- self-update : lit la release « rolling », installe loki et loki-rs dans
  $LOKI_HOME/bin/<build>/ après vérification SHA-256, bascule par
  réécriture atomique de release.json. Les versions s'ordonnent par numéro
  de run CI ; une ABI d'image différente n'est jamais installée. Toute
  erreur laisse l'état précédent, le démarrage n'est jamais bloqué.
  Le HTTPS passe par curl (présent dans l'image) : pas de pile TLS ici.
- which-bin : dossier d'où l'entrypoint prend les deux binaires, toujours
  ensemble.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

rust/loki-rs/src/child.rs

@@ -0,0 +1,158 @@
+//! Supervision du serveur Go (`loki web`) lancé derrière la façade.
+//!
+//! Le Go reste propriétaire de presque tout au lot 1 : s'il meurt, la façade
+//! le relance (attente croissante 1 s → 30 s, remise à 1 s après une minute
+//! de vie) et répond 502 entre-temps au lieu de tomber avec lui.
+
+use std::path::{Path, PathBuf};
+use std::process::Stdio;
+use std::time::{Duration, Instant};
+use tokio::process::{Child, Command};
+use tokio::sync::oneshot;
+
+const MIN_DELAY: Duration = Duration::from_secs(1);
+const MAX_DELAY: Duration = Duration::from_secs(30);
+const STABLE_AFTER: Duration = Duration::from_secs(60);
+
+/// Attente avant la relance suivante, connaissant la précédente et la durée
+/// de vie du processus qui vient de mourir.
+pub fn next_delay(prev: Duration, lived: Duration) -> Duration {
+    if lived >= STABLE_AFTER {
+        MIN_DELAY
+    } else {
+        (prev * 2).clamp(MIN_DELAY, MAX_DELAY)
+    }
+}
+
+/// Binaire Go à lancer : `LOKI_GO_BIN`, sinon `loki` à côté de l'exécutable
+/// courant (les deux viennent toujours du même dossier, cf. `which-bin`).
+pub fn go_bin(env_value: Option<String>, exe: &Path) -> PathBuf {
+    if let Some(p) = env_value.filter(|v| !v.trim().is_empty()) {
+        return PathBuf::from(p);
+    }
+    let name = if cfg!(windows) { "loki.exe" } else { "loki" };
+    exe.parent().unwrap_or(Path::new(".")).join(name)
+}
+
+pub struct Supervisor {
+    stop: Option<oneshot::Sender<Duration>>,
+    done: tokio::task::JoinHandle<()>,
+}
+
+impl Supervisor {
+    /// Lance `<go_bin> web <port>` en écoute locale et le maintient en vie.
+    pub fn spawn(go_bin: PathBuf, port: u16) -> Supervisor {
+        let (tx, mut rx) = oneshot::channel::<Duration>();
+        let done = tokio::spawn(async move {
+            let mut delay = Duration::ZERO;
+            loop {
+                let started = Instant::now();
+                let mut child = match launch(&go_bin, port) {
+                    Ok(c) => c,
+                    Err(e) => {
+                        eprintln!(
+                            "[loki-rs] lancement de {} impossible : {e}",
+                            go_bin.display()
+                        );
+                        delay = next_delay(delay, Duration::ZERO);
+                        tokio::select! {
+                            _ = tokio::time::sleep(delay) => continue,
+                            _ = &mut rx => return,
+                        }
+                    }
+                };
+                tokio::select! {
+                    status = child.wait() => {
+                        let lived = started.elapsed();
+                        delay = next_delay(delay, lived);
+                        let status = match status {
+                            Ok(s) => s.to_string(),
+                            Err(e) => e.to_string(),
+                        };
+                        eprintln!(
+                            "[loki-rs] serveur Go arrêté ({status}) après {lived:?} — relance dans {delay:?}"
+                        );
+                        tokio::select! {
+                            _ = tokio::time::sleep(delay) => {}
+                            _ = &mut rx => return,
+                        }
+                    }
+                    grace = &mut rx => {
+                        stop_child(&mut child, grace.unwrap_or(MIN_DELAY)).await;
+                        return;
+                    }
+                }
+            }
+        });
+        Supervisor {
+            stop: Some(tx),
+            done,
+        }
+    }
+
+    /// Arrête le Go : SIGTERM, puis SIGKILL passé `grace`.
+    pub async fn shutdown(mut self, grace: Duration) {
+        if let Some(tx) = self.stop.take() {
+            let _ = tx.send(grace);
+        }
+        let _ = (&mut self.done).await;
+    }
+}
+
+fn launch(go_bin: &Path, port: u16) -> std::io::Result<Child> {
+    Command::new(go_bin)
+        .arg("web")
+        .arg(port.to_string())
+        .env("LOKI_WEB_BIND", "127.0.0.1")
+        // stdin fermé : `loki web` ne doit jamais attendre une réponse au
+        // clavier (résolution de conflit de port).
+        .stdin(Stdio::null())
+        .stdout(Stdio::inherit())
+        .stderr(Stdio::inherit())
+        .kill_on_drop(true)
+        .spawn()
+}
+
+async fn stop_child(child: &mut Child, grace: Duration) {
+    #[cfg(unix)]
+    if let Some(pid) = child.id() {
+        // SAFETY: kill(2) sur le PID de notre propre enfant, pas encore récolté.
+        unsafe {
+            libc::kill(pid as libc::pid_t, libc::SIGTERM);
+        }
+        if tokio::time::timeout(grace, child.wait()).await.is_ok() {
+            return;
+        }
+    }
+    #[cfg(not(unix))]
+    let _ = grace;
+    let _ = child.kill().await;
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+
+    #[test]
+    fn attente_croissante_puis_remise_a_zero() {
+        let s = Duration::from_secs;
+        assert_eq!(next_delay(Duration::ZERO, s(0)), s(1));
+        assert_eq!(next_delay(s(1), s(2)), s(2));
+        assert_eq!(next_delay(s(16), s(2)), s(30));
+        assert_eq!(next_delay(s(30), s(2)), s(30));
+        assert_eq!(next_delay(s(30), s(61)), s(1));
+    }
+
+    #[test]
+    fn binaire_go_par_defaut_a_cote_de_l_exe() {
+        let exe = Path::new("/usr/local/bin/loki-rs");
+        let name = if cfg!(windows) { "loki.exe" } else { "loki" };
+        let dir = Path::new("/usr/local/bin");
+        assert_eq!(go_bin(None, exe), dir.join(name));
+        assert_eq!(go_bin(Some(" ".into()), exe), dir.join(name));
+        assert_eq!(
+            go_bin(Some("/x/loki".into()), exe),
+            PathBuf::from("/x/loki")
+        );
+    }
+}

rust/loki-rs/src/lib.rs

@@ -0,0 +1,9 @@
+//! loki-rs — façade Rust de Loki (lot 1 de la migration Go → Rust).
+//!
+//! - `proxy` : façade HTTP/SSE/WebSocket devant le serveur Go ;
+//! - `child` : supervision du processus `loki web` (Go) ;
+//! - `update` : mise à jour des binaires au démarrage du conteneur.
+
+pub mod child;
+pub mod proxy;
+pub mod update;

rust/loki-rs/src/main.rs

@@ -0,0 +1,151 @@
+//! loki-rs — façade Rust de Loki.
+//!
+//! ```text
+//! loki-rs serve         façade sur LOKI_WEB_PORT (8090), Go sur 127.0.0.1:LOKI_GO_PORT (8091)
+//! loki-rs self-update   met à jour les binaires dans $LOKI_HOME/bin (jamais bloquant)
+//! loki-rs which-bin     dossier d'où prendre loki et loki-rs
+//! loki-rs version
+//! ```
+
+use loki_rs::{child, proxy, update};
+use std::net::SocketAddr;
+use std::path::PathBuf;
+use std::process::ExitCode;
+use std::time::{Duration, Instant};
+
+fn main() -> ExitCode {
+    let cmd = std::env::args().nth(1).unwrap_or_default();
+    match cmd.as_str() {
+        "serve" => serve(),
+        "self-update" => {
+            let outcome = update::run(&update::UpdateConfig::from_env());
+            eprintln!("[loki-rs update] {}", outcome.message());
+            ExitCode::SUCCESS
+        }
+        "which-bin" => {
+            let cfg = update::UpdateConfig::from_env();
+            let dir = update::state::select_dir(
+                &cfg.data_bin,
+                &image_dir(),
+                cfg.image_build,
+                cfg.image_abi,
+            );
+            println!("{}", dir.display());
+            ExitCode::SUCCESS
+        }
+        "version" | "--version" | "-V" => {
+            let cfg = update::UpdateConfig::from_env();
+            println!(
+                "loki-rs {} (build image {}, ABI {})",
+                env!("CARGO_PKG_VERSION"),
+                cfg.image_build,
+                cfg.image_abi
+            );
+            ExitCode::SUCCESS
+        }
+        _ => {
+            eprintln!("usage : loki-rs serve | self-update | which-bin | version");
+            ExitCode::from(2)
+        }
+    }
+}
+
+fn exe() -> PathBuf {
+    std::env::current_exe().unwrap_or_else(|_| PathBuf::from("loki-rs"))
+}
+
+fn image_dir() -> PathBuf {
+    exe()
+        .parent()
+        .map(PathBuf::from)
+        .unwrap_or_else(|| PathBuf::from("."))
+}
+
+fn env_port(key: &str, default: u16) -> u16 {
+    std::env::var(key)
+        .ok()
+        .and_then(|v| v.trim().parse().ok())
+        .unwrap_or(default)
+}
+
+fn serve() -> ExitCode {
+    let rt = match tokio::runtime::Builder::new_multi_thread()
+        .enable_all()
+        .build()
+    {
+        Ok(rt) => rt,
+        Err(e) => {
+            eprintln!("[loki-rs] runtime : {e}");
+            return ExitCode::FAILURE;
+        }
+    };
+    rt.block_on(async {
+        let web_port = env_port("LOKI_WEB_PORT", 8090);
+        let go_port = env_port("LOKI_GO_PORT", 8091);
+        let go_bin = child::go_bin(std::env::var("LOKI_GO_BIN").ok(), &exe());
+        let backend = SocketAddr::from(([127, 0, 0, 1], go_port));
+
+        eprintln!(
+            "[loki-rs] serveur Go : {} web {go_port} (local)",
+            go_bin.display()
+        );
+        let sup = child::Supervisor::spawn(go_bin, go_port);
+        wait_for(backend, Duration::from_secs(30)).await;
+
+        let addr = SocketAddr::from(([0, 0, 0, 0], web_port));
+        let listener = match tokio::net::TcpListener::bind(addr).await {
+            Ok(l) => l,
+            Err(e) => {
+                eprintln!("[loki-rs] écoute sur {addr} impossible : {e}");
+                sup.shutdown(Duration::from_secs(10)).await;
+                return ExitCode::FAILURE;
+            }
+        };
+        eprintln!("[loki-rs] façade : http://{addr} → {backend}");
+        let res = proxy::serve(listener, backend, shutdown_signal()).await;
+        eprintln!("[loki-rs] arrêt demandé — arrêt du serveur Go");
+        sup.shutdown(Duration::from_secs(10)).await;
+        match res {
+            Ok(()) => ExitCode::SUCCESS,
+            Err(e) => {
+                eprintln!("[loki-rs] {e}");
+                ExitCode::FAILURE
+            }
+        }
+    })
+}
+
+/// Attend que le Go accepte les connexions, sans bloquer au-delà de `max` :
+/// la façade ouvre quand même et répond 502 en attendant.
+async fn wait_for(addr: SocketAddr, max: Duration) {
+    let t0 = Instant::now();
+    while t0.elapsed() < max {
+        if tokio::net::TcpStream::connect(addr).await.is_ok() {
+            return;
+        }
+        tokio::time::sleep(Duration::from_millis(200)).await;
+    }
+    eprintln!("[loki-rs] le serveur Go ne répond pas encore — façade ouverte quand même");
+}
+
+async fn shutdown_signal() {
+    #[cfg(unix)]
+    {
+        use tokio::signal::unix::{SignalKind, signal};
+        match signal(SignalKind::terminate()) {
+            Ok(mut term) => {
+                tokio::select! {
+                    _ = term.recv() => {}
+                    _ = tokio::signal::ctrl_c() => {}
+                }
+            }
+            Err(_) => {
+                let _ = tokio::signal::ctrl_c().await;
+            }
+        }
+    }
+    #[cfg(not(unix))]
+    {
+        let _ = tokio::signal::ctrl_c().await;
+    }
+}

rust/loki-rs/src/proxy.rs

@@ -0,0 +1,229 @@
+//! Façade HTTP : reçoit tout le trafic public et le relaie au serveur Go
+//! (`loki web` sur 127.0.0.1). Les lots suivants de la migration y brancheront
+//! les routes réécrites en Rust ; au lot 1, tout est relayé.
+//!
+//! Règles, héritées de `web_server.go` :
+//! - aucun tampon : un flux SSE (chat, `/v1` en streaming) part trame par trame ;
+//! - aucun délai d'écriture : un flux reste ouvert tant que la page l'écoute ;
+//! - en-têtes de bout en bout transmis intacts (`Host`, `Authorization`,
+//!   `Origin`, `Sec-Fetch-*`, `X-Forwarded-Proto`…) : le Go s'en sert pour ses
+//!   contrôles d'accès ; seuls les en-têtes hop-by-hop sont retirés ;
+//! - `X-Loki-Via` entrant effacé : il marque le trafic du tunnel du relais et
+//!   dispense du contrôle d'hôte anti-DNS-rebinding — un client ne doit jamais
+//!   pouvoir le poser lui-même.
+
+use bytes::Bytes;
+use http_body_util::{BodyExt, Full, combinators::BoxBody};
+use hyper::body::Incoming;
+use hyper::header::{self, HeaderMap, HeaderName, HeaderValue};
+use hyper::service::service_fn;
+use hyper::{Request, Response, StatusCode, Uri};
+use hyper_util::client::legacy::{Client, connect::HttpConnector};
+use hyper_util::rt::{TokioExecutor, TokioIo};
+use std::convert::Infallible;
+use std::future::Future;
+use std::net::SocketAddr;
+use std::sync::Arc;
+use std::time::Duration;
+use tokio::net::TcpListener;
+
+pub type Body = BoxBody<Bytes, hyper::Error>;
+
+/// En-tête posé par le tunnel du relais côté Go (`viaTunnelHeader`).
+pub const VIA_TUNNEL: &str = "x-loki-via";
+
+const HOP_BY_HOP: [&str; 8] = [
+    "connection",
+    "keep-alive",
+    "proxy-connection",
+    "proxy-authenticate",
+    "te",
+    "trailer",
+    "transfer-encoding",
+    "upgrade",
+];
+
+struct Proxy {
+    client: Client<HttpConnector, Incoming>,
+    backend: SocketAddr,
+}
+
+/// Sert la façade sur `listener` jusqu'à ce que `shutdown` se termine.
+pub async fn serve(
+    listener: TcpListener,
+    backend: SocketAddr,
+    shutdown: impl Future<Output = ()>,
+) -> std::io::Result<()> {
+    let client = Client::builder(TokioExecutor::new()).build_http();
+    let proxy = Arc::new(Proxy { client, backend });
+    tokio::pin!(shutdown);
+    loop {
+        tokio::select! {
+            _ = &mut shutdown => return Ok(()),
+            res = listener.accept() => {
+                let stream = match res {
+                    Ok((s, _)) => s,
+                    Err(e) => {
+                        // EMFILE & co : on ne lâche pas l'écoute pour autant.
+                        eprintln!("[loki-rs] accept : {e}");
+                        tokio::time::sleep(Duration::from_millis(50)).await;
+                        continue;
+                    }
+                };
+                let _ = stream.set_nodelay(true);
+                let p = proxy.clone();
+                tokio::spawn(async move {
+                    let svc = service_fn(move |req| {
+                        let p = p.clone();
+                        async move { Ok::<_, Infallible>(p.handle(req).await) }
+                    });
+                    let _ = hyper::server::conn::http1::Builder::new()
+                        .timer(hyper_util::rt::TokioTimer::new())
+                        .header_read_timeout(Duration::from_secs(10))
+                        .serve_connection(TokioIo::new(stream), svc)
+                        .with_upgrades()
+                        .await;
+                });
+            }
+        }
+    }
+}
+
+impl Proxy {
+    async fn handle(&self, mut req: Request<Incoming>) -> Response<Body> {
+        let upgrade = upgrade_protocol(req.headers());
+        strip_hop_by_hop(req.headers_mut());
+        req.headers_mut().remove(VIA_TUNNEL);
+        let client_upgrade = upgrade.as_ref().map(|proto| {
+            let h = req.headers_mut();
+            h.insert(header::CONNECTION, HeaderValue::from_static("upgrade"));
+            h.insert(header::UPGRADE, proto.clone());
+            hyper::upgrade::on(&mut req)
+        });
+
+        let pq = req
+            .uri()
+            .path_and_query()
+            .map(|p| p.as_str())
+            .unwrap_or("/");
+        let uri: Uri = match format!("http://{}{}", self.backend, pq).parse() {
+            Ok(u) => u,
+            Err(_) => return plain(StatusCode::BAD_REQUEST, "URI invalide"),
+        };
+        *req.uri_mut() = uri;
+
+        let mut resp = match self.client.request(req).await {
+            Ok(r) => r,
+            Err(e) => {
+                eprintln!("[loki-rs] backend Go injoignable : {e}");
+                return plain(
+                    StatusCode::BAD_GATEWAY,
+                    "Loki (serveur Go) redémarre — réessaie dans un instant.",
+                );
+            }
+        };
+
+        if let Some(client_upgrade) = client_upgrade
+            && resp.status() == StatusCode::SWITCHING_PROTOCOLS
+        {
+            let backend_upgrade = hyper::upgrade::on(&mut resp);
+            tokio::spawn(async move {
+                match (client_upgrade.await, backend_upgrade.await) {
+                    (Ok(a), Ok(b)) => {
+                        let (mut a, mut b) = (TokioIo::new(a), TokioIo::new(b));
+                        let _ = tokio::io::copy_bidirectional(&mut a, &mut b).await;
+                    }
+                    (Err(e), _) | (_, Err(e)) => eprintln!("[loki-rs] upgrade : {e}"),
+                }
+            });
+            // 101 : Connection/Upgrade font partie de la poignée de main.
+            return resp.map(BodyExt::boxed);
+        }
+        strip_hop_by_hop(resp.headers_mut());
+        resp.map(BodyExt::boxed)
+    }
+}
+
+/// Protocole demandé si la requête est une demande d'upgrade (WebSocket).
+fn upgrade_protocol(h: &HeaderMap) -> Option<HeaderValue> {
+    let wants = h
+        .get_all(header::CONNECTION)
+        .iter()
+        .filter_map(|v| v.to_str().ok())
+        .flat_map(|s| s.split(','))
+        .any(|t| t.trim().eq_ignore_ascii_case("upgrade"));
+    if wants {
+        h.get(header::UPGRADE).cloned()
+    } else {
+        None
+    }
+}
+
+/// Retire les en-têtes propres à une connexion (RFC 9110 §7.6.1), y compris
+/// ceux que `Connection` désigne.
+pub fn strip_hop_by_hop(h: &mut HeaderMap) {
+    let listed: Vec<HeaderName> = h
+        .get_all(header::CONNECTION)
+        .iter()
+        .filter_map(|v| v.to_str().ok())
+        .flat_map(|s| s.split(','))
+        .filter_map(|t| HeaderName::from_bytes(t.trim().as_bytes()).ok())
+        .collect();
+    for n in listed {
+        h.remove(n);
+    }
+    for n in HOP_BY_HOP {
+        h.remove(n);
+    }
+}
+
+fn plain(status: StatusCode, msg: &'static str) -> Response<Body> {
+    let mut r = Response::new(
+        Full::new(Bytes::from_static(msg.as_bytes()))
+            .map_err(|n| match n {})
+            .boxed(),
+    );
+    *r.status_mut() = status;
+    r.headers_mut().insert(
+        header::CONTENT_TYPE,
+        HeaderValue::from_static("text/plain; charset=utf-8"),
+    );
+    r
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+
+    #[test]
+    fn retire_les_hop_by_hop_et_ceux_listes() {
+        let mut h = HeaderMap::new();
+        h.insert(
+            "connection",
+            HeaderValue::from_static("keep-alive, x-perso"),
+        );
+        h.insert("keep-alive", HeaderValue::from_static("timeout=5"));
+        h.insert("x-perso", HeaderValue::from_static("1"));
+        h.insert("transfer-encoding", HeaderValue::from_static("chunked"));
+        h.insert("authorization", HeaderValue::from_static("Bearer k"));
+        strip_hop_by_hop(&mut h);
+        assert_eq!(h.len(), 1);
+        assert!(h.contains_key("authorization"));
+    }
+
+    #[test]
+    fn detecte_l_upgrade() {
+        let mut h = HeaderMap::new();
+        h.insert(
+            "connection",
+            HeaderValue::from_static("keep-alive, Upgrade"),
+        );
+        h.insert("upgrade", HeaderValue::from_static("websocket"));
+        assert_eq!(
+            upgrade_protocol(&h),
+            Some(HeaderValue::from_static("websocket"))
+        );
+        h.insert("connection", HeaderValue::from_static("keep-alive"));
+        assert_eq!(upgrade_protocol(&h), None);
+    }
+}

rust/loki-rs/src/update/mod.rs

@@ -0,0 +1,258 @@
+//! Mise à jour des binaires Loki au démarrage du conteneur.
+//!
+//! La CI publie à chaque push sur `main` une release GitHub `rolling` :
+//! `loki-linux`, `loki-rs-linux`, `SHA256SUMS` puis `manifest.json` (en
+//! dernier). Au boot, [`run`] compare le manifeste au build en service et, si
+//! besoin, installe les deux binaires dans `<LOKI_HOME>/bin/<build>/` (voir
+//! [`state`]). Rien ici ne doit bloquer le démarrage : toute erreur se solde
+//! par [`Outcome::Failed`] et l'ancien état reste en place.
+//!
+//! Le transfert HTTPS passe par `curl` (présent dans l'image) : le binaire
+//! n'embarque ainsi aucune pile TLS.
+
+pub mod state;
+pub mod sums;
+
+use sha2::{Digest, Sha256};
+use std::fs;
+use std::io::Read;
+use std::path::{Path, PathBuf};
+use std::process::Command;
+use std::time::Duration;
+
+use state::{Decision, Manifest};
+
+pub const DEFAULT_URL: &str = "https://github.com/R0m1k3/Loki/releases/download/rolling";
+pub const IMAGE_ABI_FILE: &str = "/etc/loki/IMAGE_ABI";
+
+/// Nom de l'asset publié → nom du binaire installé.
+pub const ASSETS: [(&str, &str); 2] = [
+    ("loki-linux", state::GO_BIN),
+    ("loki-rs-linux", state::RS_BIN),
+];
+
+const TMP_DIR: &str = ".tmp-download";
+
+#[derive(Debug, Clone)]
+pub struct UpdateConfig {
+    pub enabled: bool,
+    pub base_url: String,
+    pub data_bin: PathBuf,
+    pub image_build: u64,
+    pub image_abi: u32,
+    /// Durée maximale du téléchargement du manifeste et des sommes.
+    pub small_timeout: Duration,
+    /// Durée maximale de chaque binaire (un transfert figé est coupé bien
+    /// avant, cf. `--speed-limit`).
+    pub big_timeout: Duration,
+}
+
+impl UpdateConfig {
+    pub fn from_env() -> Self {
+        let env = |k: &str| std::env::var(k).ok().filter(|v| !v.trim().is_empty());
+        let home = env("LOKI_HOME").unwrap_or_else(|| "/data".into());
+        let image_abi = fs::read_to_string(IMAGE_ABI_FILE)
+            .ok()
+            .or_else(|| env("LOKI_IMAGE_ABI"))
+            .and_then(|s| s.trim().parse().ok())
+            .unwrap_or(0);
+        UpdateConfig {
+            enabled: !matches!(
+                env("LOKI_AUTO_UPDATE").as_deref().map(str::trim),
+                Some("0" | "false" | "off" | "no")
+            ),
+            base_url: env("LOKI_UPDATE_URL").unwrap_or_else(|| DEFAULT_URL.into()),
+            data_bin: Path::new(&home).join("bin"),
+            image_build: env("LOKI_BUILD")
+                .and_then(|s| s.trim().parse().ok())
+                .unwrap_or(0),
+            image_abi,
+            small_timeout: Duration::from_secs(20),
+            big_timeout: Duration::from_secs(600),
+        }
+    }
+}
+
+#[derive(Debug, Clone, PartialEq, Eq)]
+pub enum Outcome {
+    Disabled,
+    UpToDate(u64),
+    /// Version publiée incompatible avec l'image : il faut tirer l'image.
+    AbiMismatch {
+        remote_abi: u32,
+        image_abi: u32,
+    },
+    Installed(u64),
+    Failed(String),
+}
+
+impl Outcome {
+    /// Ligne de journal pour l'entrypoint.
+    pub fn message(&self) -> String {
+        match self {
+            Outcome::Disabled => "mise à jour au démarrage désactivée (LOKI_AUTO_UPDATE=0)".into(),
+            Outcome::UpToDate(b) => format!("binaires à jour (build {b})"),
+            Outcome::AbiMismatch {
+                remote_abi,
+                image_abi,
+            } => format!(
+                "nouvelle version disponible mais elle exige une nouvelle image \
+                 (ABI {remote_abi}, image {image_abi}) : docker compose pull"
+            ),
+            Outcome::Installed(b) => format!("build {b} installé — actif dès ce démarrage"),
+            Outcome::Failed(e) => {
+                format!("mise à jour impossible ({e}) — binaires actuels conservés")
+            }
+        }
+    }
+}
+
+pub fn run(cfg: &UpdateConfig) -> Outcome {
+    if !cfg.enabled {
+        return Outcome::Disabled;
+    }
+    if let Err(e) = fs::create_dir_all(&cfg.data_bin) {
+        return Outcome::Failed(format!("{}: {e}", cfg.data_bin.display()));
+    }
+    let tmp = cfg.data_bin.join(TMP_DIR);
+    let _ = fs::remove_dir_all(&tmp);
+    let res = fs::create_dir_all(&tmp)
+        .map_err(|e| format!("{}: {e}", tmp.display()))
+        .and_then(|_| run_in(cfg, &tmp));
+    let _ = fs::remove_dir_all(&tmp);
+    res.unwrap_or_else(Outcome::Failed)
+}
+
+fn run_in(cfg: &UpdateConfig, tmp: &Path) -> Result<Outcome, String> {
+    let current = state::current(&cfg.data_bin, cfg.image_build, cfg.image_abi)
+        .map(|(m, _)| m.build)
+        .unwrap_or(cfg.image_build);
+
+    let man_path = tmp.join("manifest.json");
+    fetch(&cfg.base_url, "manifest.json", &man_path, cfg.small_timeout)?;
+    let remote = state::read_manifest(&man_path).ok_or("manifest.json illisible")?;
+
+    match state::decide(&remote, current, cfg.image_abi) {
+        Decision::AbiMismatch => {
+            return Ok(Outcome::AbiMismatch {
+                remote_abi: remote.abi,
+                image_abi: cfg.image_abi,
+            });
+        }
+        Decision::UpToDate => {
+            prune(&cfg.data_bin, current);
+            return Ok(Outcome::UpToDate(current));
+        }
+        Decision::Install => {}
+    }
+
+    let sums_path = tmp.join("SHA256SUMS");
+    fetch(&cfg.base_url, "SHA256SUMS", &sums_path, cfg.small_timeout)?;
+    let sums_text = fs::read_to_string(&sums_path).map_err(|e| format!("SHA256SUMS: {e}"))?;
+    let sums = sums::parse(&sums_text);
+
+    let stage = tmp.join("stage");
+    fs::create_dir_all(&stage).map_err(|e| e.to_string())?;
+    for (asset, local) in ASSETS {
+        let want = sums
+            .get(asset)
+            .ok_or(format!("SHA256SUMS sans entrée pour {asset}"))?;
+        let dst = stage.join(local);
+        fetch(&cfg.base_url, asset, &dst, cfg.big_timeout)?;
+        let got = sha256_file(&dst).map_err(|e| format!("{asset}: {e}"))?;
+        if &got != want {
+            return Err(format!("empreinte de {asset} invalide"));
+        }
+        make_executable(&dst).map_err(|e| format!("{asset}: {e}"))?;
+    }
+    write_manifest(&stage.join(state::RELEASE_FILE), &remote)?;
+
+    let dest = cfg.data_bin.join(remote.build.to_string());
+    let _ = fs::remove_dir_all(&dest);
+    fs::rename(&stage, &dest).map_err(|e| format!("{}: {e}", dest.display()))?;
+
+    // Bascule : release.json réécrit en dernier, par renommage atomique.
+    let pointer = cfg.data_bin.join(state::RELEASE_FILE);
+    let pointer_tmp = cfg.data_bin.join("release.json.tmp");
+    write_manifest(&pointer_tmp, &remote)?;
+    fs::rename(&pointer_tmp, &pointer).map_err(|e| format!("{}: {e}", pointer.display()))?;
+
+    prune(&cfg.data_bin, remote.build);
+    Ok(Outcome::Installed(remote.build))
+}
+
+/// Télécharge `<base>/<name>` dans `dst` via curl. `--speed-limit` coupe un
+/// transfert figé (moins de 10 Ko/s pendant 20 s) bien avant `timeout`.
+fn fetch(base: &str, name: &str, dst: &Path, timeout: Duration) -> Result<(), String> {
+    let url = format!("{}/{}", base.trim_end_matches('/'), name);
+    let out = Command::new("curl")
+        .args([
+            "-fsSL",
+            "--connect-timeout",
+            "10",
+            "--speed-limit",
+            "10240",
+            "--speed-time",
+            "20",
+        ])
+        .arg("--max-time")
+        .arg(timeout.as_secs().max(1).to_string())
+        .arg("-o")
+        .arg(dst)
+        .arg(&url)
+        .output()
+        .map_err(|e| format!("curl introuvable : {e}"))?;
+    if !out.status.success() {
+        let err = String::from_utf8_lossy(&out.stderr);
+        return Err(format!("{name} : {}", err.trim()));
+    }
+    Ok(())
+}
+
+pub fn sha256_file(path: &Path) -> std::io::Result<String> {
+    let mut f = fs::File::open(path)?;
+    let mut h = Sha256::new();
+    let mut buf = [0u8; 64 * 1024];
+    loop {
+        let n = f.read(&mut buf)?;
+        if n == 0 {
+            break;
+        }
+        h.update(&buf[..n]);
+    }
+    Ok(hex::encode(h.finalize()))
+}
+
+fn write_manifest(path: &Path, m: &Manifest) -> Result<(), String> {
+    let text = serde_json::to_string(m).map_err(|e| e.to_string())?;
+    fs::write(path, text).map_err(|e| format!("{}: {e}", path.display()))
+}
+
+#[cfg(unix)]
+fn make_executable(path: &Path) -> std::io::Result<()> {
+    use std::os::unix::fs::PermissionsExt;
+    fs::set_permissions(path, fs::Permissions::from_mode(0o755))
+}
+
+#[cfg(not(unix))]
+fn make_executable(_: &Path) -> std::io::Result<()> {
+    Ok(())
+}
+
+/// Supprime les builds autres que `keep` (un seul build est gardé : celui en
+/// service). Ne touche qu'aux dossiers au nom purement numérique.
+fn prune(data_bin: &Path, keep: u64) {
+    let Ok(rd) = fs::read_dir(data_bin) else {
+        return;
+    };
+    for e in rd.flatten() {
+        let name = e.file_name();
+        let Some(name) = name.to_str() else { continue };
+        if let Ok(n) = name.parse::<u64>()
+            && n != keep
+            && e.path().is_dir()
+        {
+            let _ = fs::remove_dir_all(e.path());
+        }
+    }
+}

rust/loki-rs/src/update/state.rs

@@ -0,0 +1,151 @@
+//! État d'installation des binaires mis à jour, sous `<LOKI_HOME>/bin` :
+//!
+//! ```text
+//! bin/release.json        manifeste du build actif (écrit en DERNIER)
+//! bin/<build>/loki        binaire Go
+//! bin/<build>/loki-rs     binaire Rust
+//! ```
+//!
+//! La bascule d'une version à l'autre se résume à réécrire `release.json` :
+//! un arrêt brutal pendant une mise à jour laisse l'ancien build intact.
+
+use serde::{Deserialize, Serialize};
+use std::path::{Path, PathBuf};
+
+pub const RELEASE_FILE: &str = "release.json";
+pub const GO_BIN: &str = "loki";
+pub const RS_BIN: &str = "loki-rs";
+
+/// Contenu de `manifest.json` (release) et de `release.json` (installé).
+///
+/// `build` est le numéro de run de la CI : il ne fait que croître, c'est lui
+/// qui ordonne les versions (un commit ne s'ordonne pas). `abi` est l'ABI
+/// d'image exigée par ces binaires.
+#[derive(Debug, Clone, PartialEq, Eq, Serialize, Deserialize)]
+pub struct Manifest {
+    pub build: u64,
+    pub abi: u32,
+    #[serde(default)]
+    pub commit: String,
+}
+
+#[derive(Debug, Clone, Copy, PartialEq, Eq)]
+pub enum Decision {
+    Install,
+    UpToDate,
+    AbiMismatch,
+}
+
+pub fn read_manifest(path: &Path) -> Option<Manifest> {
+    let text = std::fs::read_to_string(path).ok()?;
+    serde_json::from_str(&text).ok()
+}
+
+/// Build installé dans `data_bin` et utilisable avec cette image : même ABI,
+/// plus récent que les binaires de l'image, et les deux binaires présents.
+pub fn current(data_bin: &Path, image_build: u64, image_abi: u32) -> Option<(Manifest, PathBuf)> {
+    let m = read_manifest(&data_bin.join(RELEASE_FILE))?;
+    if m.abi != image_abi || m.build <= image_build {
+        return None;
+    }
+    let dir = data_bin.join(m.build.to_string());
+    if !dir.join(GO_BIN).is_file() || !dir.join(RS_BIN).is_file() {
+        return None;
+    }
+    Some((m, dir))
+}
+
+/// Dossier dont l'entrypoint doit prendre `loki` et `loki-rs` : toujours les
+/// deux du même endroit, jamais un Go d'une version avec un Rust d'une autre.
+pub fn select_dir(data_bin: &Path, image_dir: &Path, image_build: u64, image_abi: u32) -> PathBuf {
+    match current(data_bin, image_build, image_abi) {
+        Some((_, dir)) => dir,
+        None => image_dir.to_path_buf(),
+    }
+}
+
+/// Faut-il installer `remote`, sachant que le build en service est `current_build` ?
+pub fn decide(remote: &Manifest, current_build: u64, image_abi: u32) -> Decision {
+    if remote.abi != image_abi {
+        Decision::AbiMismatch
+    } else if remote.build <= current_build {
+        Decision::UpToDate
+    } else {
+        Decision::Install
+    }
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+
+    fn m(build: u64, abi: u32) -> Manifest {
+        Manifest {
+            build,
+            abi,
+            commit: "abc".into(),
+        }
+    }
+
+    fn install(data_bin: &Path, man: &Manifest, bins: &[&str]) {
+        let dir = data_bin.join(man.build.to_string());
+        std::fs::create_dir_all(&dir).unwrap();
+        for b in bins {
+            std::fs::write(dir.join(b), b"x").unwrap();
+        }
+        std::fs::write(
+            data_bin.join(RELEASE_FILE),
+            serde_json::to_string(man).unwrap(),
+        )
+        .unwrap();
+    }
+
+    #[test]
+    fn decision() {
+        assert_eq!(decide(&m(10, 2), 5, 1), Decision::AbiMismatch);
+        assert_eq!(decide(&m(5, 1), 5, 1), Decision::UpToDate);
+        assert_eq!(decide(&m(4, 1), 5, 1), Decision::UpToDate);
+        assert_eq!(decide(&m(6, 1), 5, 1), Decision::Install);
+    }
+
+    #[test]
+    fn selection_sans_installation() {
+        let t = tempfile::tempdir().unwrap();
+        let img = Path::new("/usr/local/bin");
+        assert_eq!(select_dir(t.path(), img, 3, 1), img);
+    }
+
+    #[test]
+    fn selection_installation_valide() {
+        let t = tempfile::tempdir().unwrap();
+        install(t.path(), &m(7, 1), &[GO_BIN, RS_BIN]);
+        let img = Path::new("/usr/local/bin");
+        assert_eq!(select_dir(t.path(), img, 3, 1), t.path().join("7"));
+    }
+
+    #[test]
+    fn selection_refuse_abi_differente() {
+        let t = tempfile::tempdir().unwrap();
+        install(t.path(), &m(7, 2), &[GO_BIN, RS_BIN]);
+        let img = Path::new("/img");
+        assert_eq!(select_dir(t.path(), img, 3, 1), img);
+    }
+
+    #[test]
+    fn selection_refuse_plus_ancien_que_l_image() {
+        // Image tirée à la main plus récente que /data/bin : l'image gagne.
+        let t = tempfile::tempdir().unwrap();
+        install(t.path(), &m(7, 1), &[GO_BIN, RS_BIN]);
+        let img = Path::new("/img");
+        assert_eq!(select_dir(t.path(), img, 7, 1), img);
+        assert_eq!(select_dir(t.path(), img, 9, 1), img);
+    }
+
+    #[test]
+    fn selection_refuse_binaire_manquant() {
+        let t = tempfile::tempdir().unwrap();
+        install(t.path(), &m(7, 1), &[GO_BIN]);
+        let img = Path::new("/img");
+        assert_eq!(select_dir(t.path(), img, 3, 1), img);
+    }
+}

rust/loki-rs/src/update/sums.rs

@@ -0,0 +1,49 @@
+//! Lecture du fichier SHA256SUMS publié avec chaque release (format
+//! `sha256sum` : "<hex>  <nom>", ou "<hex> *<nom>" en mode binaire).
+
+use std::collections::HashMap;
+
+/// Associe chaque nom de fichier à son empreinte SHA-256 en hexadécimal
+/// minuscule. Les lignes vides ou mal formées sont ignorées : une entrée
+/// manquante fera échouer la vérification du fichier concerné, pas la lecture.
+pub fn parse(text: &str) -> HashMap<String, String> {
+    let mut out = HashMap::new();
+    for line in text.lines() {
+        let mut it = line.split_whitespace();
+        let (Some(hash), Some(name), None) = (it.next(), it.next(), it.next()) else {
+            continue;
+        };
+        if hash.len() != 64 || !hash.bytes().all(|b| b.is_ascii_hexdigit()) {
+            continue;
+        }
+        out.insert(
+            name.trim_start_matches('*').to_string(),
+            hash.to_ascii_lowercase(),
+        );
+    }
+    out
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+
+    const A: &str = "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa";
+
+    #[test]
+    fn lit_les_deux_formats() {
+        let up = A.to_ascii_uppercase();
+        let text = format!("{A}  loki-linux\n{up} *loki-rs-linux\n");
+        let m = parse(&text);
+        assert_eq!(m.get("loki-linux").map(String::as_str), Some(A));
+        assert_eq!(m.get("loki-rs-linux").map(String::as_str), Some(A));
+    }
+
+    #[test]
+    fn ignore_les_lignes_cassees() {
+        let text = format!("\nzz  loki-linux\n{A}\n{A}  a  b\n{A}  ok\n");
+        let m = parse(&text);
+        assert_eq!(m.len(), 1);
+        assert!(m.contains_key("ok"));
+    }
+}