Dockerfile

# syntax=docker/dockerfile:1

# Tag flutuante: cada build usa o patch mais recente do Node 22 (correções de segurança incluídas).
# Para fixar uma versão: --build-arg NODE_IMAGE=node:22.x.y-bookworm-slim
ARG NODE_IMAGE=node:22-bookworm-slim
FROM ${NODE_IMAGE} AS base
WORKDIR /app
ENV NEXT_TELEMETRY_DISABLED=1

# ── Dependências (inclui geração dos clients Prisma no postinstall) ──
FROM base AS deps
RUN apt-get update && apt-get install -y --no-install-recommends python3 make g++ ca-certificates && rm -rf /var/lib/apt/lists/*
COPY package.json package-lock.json prisma.config.ts ./
COPY prisma ./prisma
COPY src/lib/env.ts ./src/lib/env.ts
RUN npm ci --no-audit --no-fund

# ── Build ──
FROM base AS builder
COPY --from=deps /app/node_modules ./node_modules
COPY --from=deps /app/src/generated ./src/generated
COPY . .
ENV DISABLE_SCHEDULER=true
RUN npm run build && npm prune --omit=dev --no-audit --no-fund

# ── Runtime ──
FROM base AS runner
# O banco é escolhido no assistente de primeira execução e gravado em /data/config.json.
# Defina DATABASE_URL para pular o assistente (ex.: docker-compose.postgres.yml).
ENV NODE_ENV=production \
    PORT=3000 \
    HOSTNAME=0.0.0.0 \
    OPENRSS_DATA_DIR=/data

# upgrade aplica patches de segurança do Debian publicados depois da imagem base.
RUN apt-get update && apt-get upgrade -y && apt-get install -y --no-install-recommends ca-certificates && rm -rf /var/lib/apt/lists/* \
  && mkdir -p /data && chown node:node /data

COPY --from=builder --chown=node:node /app/package.json /app/next.config.ts /app/prisma.config.ts ./
COPY --from=builder --chown=node:node /app/src/lib/env.ts ./src/lib/env.ts
COPY --from=builder --chown=node:node /app/node_modules ./node_modules
COPY --from=builder --chown=node:node /app/prisma ./prisma
COPY --from=builder --chown=node:node /app/.next ./.next
COPY --from=builder --chown=node:node /app/public ./public
COPY --chmod=755 scripts/openrss-entrypoint.sh /usr/local/bin/openrss-entrypoint.sh

# Começa como root só para ajustar o dono de /data; o entrypoint desce para PUID:PGID
# (padrão 1000:1000, o usuário "node"). Com --user/user:, o app já sobe sem root.
ENV PUID=1000 \
    PGID=1000
VOLUME ["/data"]
EXPOSE 3000
HEALTHCHECK --interval=30s --timeout=5s --start-period=30s \
  CMD node -e "fetch('http://127.0.0.1:3000/api/health').then(r=>process.exit(r.ok?0:1)).catch(()=>process.exit(1))"

# Migrations são aplicadas pelo próprio app na inicialização (src/instrumentation-node.ts).
ENTRYPOINT ["openrss-entrypoint.sh"]
CMD ["node", "node_modules/next/dist/bin/next", "start"]