# Sanctum Release-Prozess & CI/CD Dokumentation

Dieses Dokument beschreibt den Release-Workflow von **Sanctum**, die Absicherung der Build-Pipeline (SA-02, SA-03, SA-04) und die unterstützten Veröffentlichungswege.

---

## 1. Automatisierter CI/CD-Workflow (Primärer Release-Pfad)

Der CI-Workflow unter [`.gitea/workflows/release.yaml`](.gitea/workflows/release.yaml) bildet den gesamten Release-Prozess für alle Zielplattformen vollautomatisch auf dem `ubuntu-latest`-Runner (`farmersdog-runner`) ab:

### Pipeline-Architektur:
1. **Trigger**:
   - Push eines Git-Release-Tags nach dem Schema `v*` (z. B. `v0.9.6`).
2. **Build & Test Job** (`build`):
   - **Plattform**: `ubuntu-latest`.
   - **Toolchains**:
     - Rust Toolchain gepinnt (`1.85.0`).
     - Rust Targets: `x86_64-pc-windows-gnu` und `x86_64-unknown-linux-musl`.
     - `cargo-zigbuild` gepinnt auf `0.23.4` mit zwingender SHA-256-Integritätsprüfung (`9e3cf73485edbd45905c8aadbc0fdf869c7ddc3848f0c898229f2680db52e44b`).
     - `Zig` Compiler gepinnt auf `0.16.0` mit zwingender SHA-256-Integritätsprüfung (`70e49664a74374b48b51e6f3fdfbf437f6395d42509050588bd49abe52ba3d00`).
   - **Verifikation**:
     - Vollständige Ausführung der Testsuite (`cargo test --all --verbose`).
     - Kompilier-Verifikation aller Windows-spezifischen Tests (`cargo-zigbuild zigbuild --target x86_64-pc-windows-gnu --tests`).
   - **Kompilierung**:
     - Windows x86_64 Release-Build mit LTO und PE-Icon via `zig rc` (`cargo-zigbuild zigbuild --target x86_64-pc-windows-gnu --release`).
     - Statischer Linux musl Cross-Build (`cargo-zigbuild zigbuild --target x86_64-unknown-linux-musl --release`).
   - **Paketierung**:
     - Erstellung von `sanctum-v<Version>-windows-x86_64.zip` (inkl. `sanctum.exe`, Dokumentation und Assets).
     - Erstellung von `sanctum-v<Version>-linux-x86_64.tar.gz` (inkl. `sanctum` und Dokumentation).
     - Bereitstellung der eigenständigen Binärdateien `sanctum.exe` und `sanctum`.
     - Berechnung und Erstellung der vierzeiligen Prüfsummendatei `SHA256SUMS.txt`.
3. **Sign & Release Job** (`sign-and-release`):
   - **Geheimnis-Isolation (SA-02)**: Das Signiergeheimnis `MINISIGN_SECRET_KEY` ist ausschließlich in diesem isolierten Job verfügbar, nicht in der Build- oder Testumgebung.
   - **Signierung**:
     - Gepinntes `minisign` Binary (`0.11`, SHA-256 geprüft: `f0a0954413df8531befed169e447a66da6868d79052ed7e892e50a4291af7ae0`).
     - Signiert `SHA256SUMS.txt` mit `trusted comment: version:<Version>`.
   - **Gitea Release**:
     - Veröffentlicht das Release unter `https://gitea.pansi.eu/harald/sanctum/releases/tag/v<Version>` mit allen 6 Assets:
       - `sanctum-v<Version>-windows-x86_64.zip`
       - `sanctum.exe`
       - `sanctum-v<Version>-linux-x86_64.tar.gz`
       - `sanctum`
       - `SHA256SUMS.txt`
       - `SHA256SUMS.txt.minisig`

---

## 2. Lokaler Fallback-Prozess (Manuell)

Sollte die CI-Infrastruktur nicht verfügbar sein, kann der Release-Prozess lokal über PowerShell repliziert werden:

1. **Windows-Paket erstellen**:
   ```powershell
   powershell -ExecutionPolicy Bypass -File scripts/package-release.ps1
   ```
2. **Linux-Paket erstellen (Cross-Build)**:
   ```powershell
   powershell -ExecutionPolicy Bypass -File scripts/package-release-linux.ps1
   ```
3. **Auf Gitea veröffentlichen**:
   ```powershell
   powershell -ExecutionPolicy Bypass -File scripts/publish-release.ps1
   ```