ci: add CD pipeline to GHCR with hardened Dockerfile

[torrid-fish]

目的

把原本 PR #53 (feat/local-unidic) 中與 UniDic 遷移無關、屬於通用 CI/CD 基建的 commit 拆出來成獨立 PR，先合進 main，讓 main 能跑出可運行的 production image，#53 的 diff 也能瘦身到只剩 accent pipeline 改動。

採 strict stacked PR：本 PR 合併前，PR #53 的 base 會暫時切到 ci/cd-ghcr；本 PR 進 main 後，#53 的 base 會切回 main，diff 自動清掉這 3 commit 的內容。

#53 仍會保留一個 UniDic-specific 的 Dockerfile patch（unidic download at build），因為它依賴 #53 才加入的 unidic pip dep，無法獨立到本 PR。

範圍（3 commits, base main）

1. ci: add CD workflow to build + push image to GHCR — .github/workflows/cd.yml
   • Triggers on push to main + v*.*.* tags + manual workflow_dispatch
   • 非預設分支只 tag <branch-name> + short SHA；dev 鎖在 default branch，stable 鎖在 version tag — 任何非 main push 不會動到 production tag
   • Image name: ghcr.io/sessatakuma/api-tools（lowercase hardcoded — github.repository 為混合大小寫 sessatakuma/API-tools，GHCR 要全小寫）
   • GHA cache 啟用（type=gha, mode=max）
2. ci: bump CD actions to Node 24 majors — actions/checkout@v6、docker/*-action@v4..v7
   • GitHub runners 將於 2026-06-02 強制下架 Node 20，先升級避免到期當天工作流壞掉
3. fix(docker): run container as non-root user (least privilege) — Dockerfile
   • 建立 appuser (uid 10001) 並 USER appuser，App 綁 8000 (>1024) 所以不需要 root；app 檔案保持 root-owned、對 process read-only

驗證

• docker build 在本分支成功（main 沒有 unidic dep，不會嘗試 unidic download — 這正是 feat(accent): local UniDic + POS-driven patches #53 才需要的 step）
• docker run 確認 process 以 uid=10001(appuser) 啟動（非 root）
• ⚠️ 跑起來的 image 啟動仍會要求 YAHOO_API_KEY env var — 這是 main 的既有行為（feat(docker): add docker compose setup for api-tools #46 docker compose 設定就已要求），本 PR 不改動 runtime config；feat(accent): local UniDic + POS-driven patches #53 合進來時 Yahoo MA 整段會被移除
• CD 工作流本身只 build + push，不執行 image，所以 secret 缺失不影響 CD 流水線

Out of scope

• 不重新引入 refactor(accent): split into api/accent/ package (no behavior change) #52 移除的 API-key/CORS/rate-limit security layer
• 不改 runtime config / env requirement
• 不動 accent pipeline、不改任何 Python 檔

🤖 Generated with Claude Code

[wade00754]

🔴 [blocking] 檔案結尾缺少換行符

.github/workflows/cd.yml 第 68 行末尾缺少換行符（\ No newline at end of file）。YAML 檔案應以換行結尾，否則可能被 yamllint 或部分工具標記。請在檔案最後加上一個換行。

---

🟡 [important] 缺少 PR 階段的 Docker build CI

CD workflow 只在 push 到 main（合併後）才觸發，但目前的 PR CI（main.yml）只有程式碼品質檢查，不包含 Docker build 驗證。若 Dockerfile 有語法錯誤或 build 失敗，會在合併後才被發現。

建議在 main.yml 或獨立 CI workflow 中加入 Docker build-only 步驟：

- name: Verify Docker build
  run: docker build -t test-image .

---

🟡 [important] latest 標籤在並行 CD 執行時可能有競態問題

concurrency 設了 cancel-in-progress: false，若短時間內有多個 push 到 main，多個 CD 執行會同時進行。此時 latest 標籤會被最後完成的（而非最晚 push 的）覆蓋，可能導致 latest 指向較舊的 commit。

兩個方案：

• 方案 A：改為 cancel-in-progress: true，取消舊的 CD（但可能中斷進行中的部署）
• 方案 B：保持不變，但確保部署目標使用 sha 或 semver 標籤拉取 image，latest 僅作為 convenience tag

如果部署目標已經用 sha 或 semver tag 拉取，這個問題影響不大，可以降級為 [suggestion]。

---

💡 [suggestion] 考慮加入 provenance 和 sbom

本 PR 強調 hardened Dockerfile，docker/build-push-action@v7 支援 provenance 和 sbom 屬性：

• Provenance（SLSA 來源證明）：加密簽名的 metadata，記錄 image 由哪個 commit、在哪個 CI runner 上建構的，讓消費者能驗證 image 未被篡改
• SBOM（軟體物料清單）：列出 image 內所有套件的版本與依賴關係，方便漏洞掃描與合規審計

設定方式：

provenance: true
sbom: true

目前專案規模尚小，不急著加，但既然主打 hardened 是個好時機順帶處理。

[torrid-fish]

檔案結尾缺少換行符

已修正

缺少 PR 階段的 Docker build CI

已測試 過此CI可以正常執行

latest 標籤在並行 CD 執行時可能有競態問題

已修改成 cancel-in-progress: true，如果之後發現有遇到短時間內多個CD在跑壓過彼此則再手動重啟即可。

考慮加入 provenance 和 sbom

已加入

[github-actions]

🛡️ PR Quality Check Summary

✅ PR Title: Passed (Length: 52/75, Format: OK). ci: add CD pipeline to GHCR with hardened Dockerfile
✅ Branch Name: Follows naming convention (ci/cd-ghcr)
✅ Commit Messages: All 5 commit(s) passed (Length, Format, Case)
✅ Conflicts: No merge conflict markers found
✅ Python Quality: All checks passed.

---

🎉 All checks passed!

[wade00754]

感謝快速修正！但關於 PR 階段 Docker build CI 這項，我的意思是現在這個 CD 只有在 push 到 main 的時候才會觸發，如果 Docker build 失敗的話 main 上的 image 會停留在舊版本，直到有人手動修復再重新 push。如果在 PR CI 中加一個 docker build 步驟（只 build 不 push），就能在合併前攔截這類問題。

可以開 issue 在未來解決

[torrid-fish]

喔喔你的意思是這樣。
但這個確實是CI的問題，應該是在PR開起來的時候要測試的項目。同意可以加個 action 和 PR Quality Check 之後檢查之類的。