name: CI

# Минимум прав для автодеплоя в прод ("зелёный CI = прод", см. AGENTS.md).
permissions:
  contents: read

concurrency:
  group: ci-${{ github.ref }}
  cancel-in-progress: true

on:
  push:
  pull_request:
  schedule:
    # Еженедельный прогон без единого пуша (аудит техдолга, 26 августа 2026):
    # requirements.txt зафиксирован через == (см. комментарий в самом файле) —
    # pip-audit сверяется с базой CVE на КАЖДЫЙ push/PR, но если пушей долго нет,
    # новая CVE в уже задеплоенной версии оставалась бы незамеченной до следующего
    # случайного пуша. Понедельник 06:00 UTC — произвольный, но стабильный слот.
    - cron: "0 6 * * 1"

jobs:
  test:
    runs-on: ubuntu-latest
    timeout-minutes: 30
    steps:
      # Пины по SHA (аудит 06.10.2026): теги двигаются, SHA нет. Коммит справа —
      # текущий Snapchat тега на дату пина.
      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7

      - uses: actions/setup-python@5fda3b95a4ea91299a34e894583c3862153e4b97 # v7
        with:
          python-version: "3.13"

      - run: pip install -r requirements.txt -r requirements-dev.txt

      # тот же самый гейт, что и раньше гонялся вручную (см. README) —
      # явный список плюс glob по каталогам, чтобы ловить кросс-файловые проблемы
      - run: pyflakes bot.py lumen_*.py system_prompt.py tests/*.py

      - run: pytest -q

      # Deno-тесты прокси (proxy/proxy_test.ts — без внешних импортов, офлайн).
      - uses: denoland/setup-deno@22d081ff2d3a40755e97629de92e3bcbfa7cf2ed # v2
        with:
          deno-version: v2.x

      - run: deno test proxy/proxy_test.ts

      # Типы и линт прокси: до этого в CI не проверялось ничего, кроме тестов,
      # поэтому @ts-ignore на duplex:"half" и опечатки в proxy.ts проходили молча
      # (аудит 26.09.2026). deno check ловит и типы, и неиспользуемые импорты.
      - run: deno check proxy/proxy.ts

      - run: deno lint proxy/proxy.ts

      # проверка requirements.txt на известные CVE в зафиксированных версиях —
      # requirements-dev.txt (pytest/pyflakes/pip-audit) не сканируем: это
      # dev-инструменты, не попадающие в рантайм-образ (см. Dockerfile/.dockerignore)
      - run: pip-audit -r requirements.txt