From 2c3c67b949bd1317110028f021f4d4f2937c39fd Mon Sep 17 00:00:00 2001 From: Michael SCHAL Date: Sun, 9 Aug 2026 14:22:05 +0200 Subject: [PATCH] =?UTF-8?q?Provisionner=20le=20r=C3=B4le=20applicatif=20?= =?UTF-8?q?=C3=A0=20chaque=20docker=20compose=20up?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Le rôle planflow_app n etait créé qu à la première initialisation du volume : une base existante au rôle absent (ou au mot de passe changé) bloquait l app en échec P1000 sans remède automatique. Ajouter un service db-init, idempotent, qui rejoue docker/init-app-role.sh à chaque up — branche ELSE re-synchronisant le mot de passe — avant que l app ne démarre. --- README.md | 4 +++- docker-compose.yml | 26 ++++++++++++++++++++++++++ docker/init-app-role.sh | 18 +++++++++++++++--- 3 files changed, 44 insertions(+), 4 deletions(-) diff --git a/README.md b/README.md index 2e4b206..15ee6dc 100644 --- a/README.md +++ b/README.md @@ -148,7 +148,9 @@ pnpm test:e2e # build, serveur standalone, tests de bout en bout **L'application ne doit pas se connecter en superutilisateur PostgreSQL.** -En docker-compose c'est déjà réglé : `docker/init-app-role.sh` crée au premier démarrage un rôle `planflow_app`, `NOSUPERUSER NOBYPASSRLS`, propriétaire de la base — il lui faut ce droit pour appliquer les migrations, et les politiques sont déclarées en `FORCE` précisément pour s'appliquer aussi au propriétaire. +En docker-compose c'est déjà réglé : d'abord `docker/init-app-role.sh` au premier démarrage, puis le service `db-init` qui le rejoue **à chaque `docker compose up`** — et seulement ensuite l'application. Le rôle `planflow_app`, `NOSUPERUSER NOBYPASSRLS`, propriétaire de la base — il lui faut ce droit pour appliquer les migrations, et les politiques sont déclarées en `FORCE` précisément pour s'appliquer aussi au propriétaire. + +L'idempotence n'est pas un luxe : une base déjà en place dont le rôle manque (ou dont le mot de passe a changé) ne doit pas exiger de SQL à la main. Le service `db-init` corrige les deux cas à chaque relance, et l'application n'est démarrée qu'une fois sa tâche terminée. Le script ne s'exécute qu'à la **première** initialisation du volume. Sur une installation déjà en place, jouer le même SQL à la main puis basculer `DATABASE_URL` sur ce rôle. diff --git a/docker-compose.yml b/docker-compose.yml index cc786da..9d64739 100644 --- a/docker-compose.yml +++ b/docker-compose.yml @@ -41,6 +41,30 @@ services: ports: - '${POSTGRES_PORT:-55432}:5432' + # Provisionne le rôle applicatif à chaude occurrence de `up`, pas seulement à + # la première initialisation du volume : inversement, une base existante dont + # le rôle est absent (ou dont le mot de passe a changé) laisserait l'app en + # échec d'authentification P1000 sans recours autre que du SQL à la main. + # Idempotent : rejouable autant de fois que nécessaire. + db-init: + image: postgres:16-alpine + restart: 'no' + depends_on: + db: + condition: service_healthy + environment: + POSTGRES_USER: ${POSTGRES_USER:-planflow} + PGPASSWORD: ${POSTGRES_PASSWORD:-planflow-interne} + POSTGRES_DB: ${POSTGRES_DB:-planflow} + APP_DB_USER: ${APP_DB_USER:-planflow_app} + APP_DB_PASSWORD: ${APP_DB_PASSWORD:-planflow-app-interne} + PGHOST: db + volumes: + - ./docker/init-app-role.sh:/docker-entrypoint-initdb.d/10-init-app-role.sh:ro + command: ['sh', '/docker-entrypoint-initdb.d/10-init-app-role.sh'] + networks: + - interne + app: build: context: . @@ -48,6 +72,8 @@ services: depends_on: db: condition: service_healthy + db-init: + condition: service_completed_successfully environment: NODE_ENV: production # Le compte applicatif, **pas** le superutilisateur d'amorçage : un diff --git a/docker/init-app-role.sh b/docker/init-app-role.sh index c7ec82f..7a67bd5 100755 --- a/docker/init-app-role.sh +++ b/docker/init-app-role.sh @@ -14,18 +14,30 @@ set -eu # ni superutilisateur ni BYPASSRLS. C'est précisément pourquoi les politiques # sont déclarées en FORCE : elles s'appliquent aussi au propriétaire. # -# Ce script ne s'exécute qu'à la **première** initialisation du volume. Pour une -# installation déjà en place, jouer le même SQL à la main (voir README). +# Playé par le conteneur db à la **première** initialisation du volume, puis par +# le service `db-init` à chaque `docker compose up`. Idempotent : la branche +# `ELSE` re-synchronise le mot de passe d'une base déjà en place. APP_ROLE="${APP_DB_USER:-planflow_app}" APP_PASSWORD="${APP_DB_PASSWORD:-planflow-app-interne}" -psql -v ON_ERROR_STOP=1 --username "$POSTGRES_USER" --dbname "$POSTGRES_DB" <