GitHubにPushされたタイミングで、サーバ側でPullを実行する方法について

Question

サーバ側のソースとリモートリポジトリのソースを同期したいと思い、下記の手順で試しましたがことごくうまくいかず、知恵をお貸しいただけると助かります。

環境: EC2 (AMI: Kusanagi)

1. GithubにソースがPushされたタイミングでサーバにWebHookを飛ばすようにし、デプロイ処理が動作するようにように設定しました。WebHookが受信できていることは確認しております。

補足：サーバのドメインはxxxx.comとなっており、xxxx.com/deploy.php にWebHookを飛ばすようにGithub側で設定しました。

1. deploy.phpのコードはこのようになっています。（簡略して書いています）

<?php
・・・中略
//deploy.shはdeploy.phpと同階層にあります。
exec('sh ./deploy.sh');
?>

deploy.sh

#!/bin/sh

#デプロイしたいリポジトリのフォルダ
cd git.test

#デプロイ
GIT_WORK_TREE=/home/kusanagi/xxx.com/DocumentRoot/dist /bin/git checkout -f master

# httpdと出る
# whoami

# /bin/git --versionは正常に動作する。

実行ユーザが違っていたり、鍵周りで準備不足なところがあるのではないか思っております。

また、今までサーバ側でgit pull する際にはパスフレーズ付きの秘密鍵を使っておりました。
自動デプロイを行う際に用いる鍵も同じものを使用したいと考えています。
恐縮ですが、ご教示いただけると幸いです。

Answer 1

Twitter でも回答したのでメモ書き程度に雑回答失礼します。

• 要点としては，そもそもパスフレーズつきの鍵を使う場合， macOS 以外で恒久的に自動化するのは不可能。パスフレーズ無しの鍵を使うべき。

他に気になる点としては，

• deploy.sh は public 階層よりも上に置くべき（セキュリティ的に危険）
• deploy.php ももっと分かりにくい名前にするか，GitHub からの IP レンジに制限すべき（両方やってもいい）

IPレンジを制限する場合は https://api.github.com/meta に都度アクセスして判定。

Laravel のミドルウェアっぽく書く実装例↓

<?php

declare(strict_types=1);

namespace App\Http\Middleware;

use Closure;
use GuzzleHttp\Client as Guzzle;
use GuzzleHttp\Exception\GuzzleException;
use Illuminate\Http\Request;
use Symfony\Component\HttpKernel\Exception\AccessDeniedHttpException;

class AcceptOnlyGitHubHooksIpAddrs
{
    /**
     * @param Guzzle
     */
    protected $guzzle;

    /**
     * AcceptOnlyGitHubIpAddrs constructor.
     */
    public function __construct(Guzzle $guzzle)
    {
        $this->guzzle = $guzzle;
    }

    /**
     * Handles request.
     * 
     * @param Request $request
     * @param Closure $next
     * @return mixed
     * @throws AccessDeniedHttpException
     */
    public function handle(Request $request, Closure $next)
    {
        if (!$this->ipInRanges((string)$request->ip(), $this->possibleIpRanges())) {
            throw new AccessDeniedHttpException();
        }
        return $next($request);
    }

    /**
     * Fetch possible IP ranges from GitHub API.
     *
     * @return string[]
     * @throws GuzzleException
     */
    protected function possibleIpRanges(): array
    {
        return json_decode((string)$this->guzzle->get('https://api.github.com/meta')->getBody())->hooks ?? [];
    }

    /**
     * Check if a given ip is in networks.
     *
     * @param  string   $ip
     * @param  string[] $ranges
     * @return bool
     */
    protected function ipInRanges(string $ip, array $ranges): bool
    {
        foreach ($ranges as $range) {
            if ($this->ipInRange($ip, $range)) {
                return true;
            }
        }
        return false;
    }

    /**
     * Check if a given ip is in a network.
     *
     * @param  string $ip    IP to check in IPV4 format eg. 127.0.0.1
     * @param  string $range IP/CIDR netmask eg. 127.0.0.0/24, also 127.0.0.1 is accepted and /32 assumed
     * @return bool   true if the ip is in this range / false if not.
     */
    protected function ipInRange(string $ip, string $range): bool
    {
        if (strpos($range, '/') === false) {
            $range .= '/32';
        }

        [$range, $netmask] = explode('/', $range, 2);

        $ipDecimal = ip2long($ip);
        $rangeDecimal = ip2long($range);

        return $ipDecimal !== false && $rangeDecimal !== false && ctype_digit($netmask)
            ? $this->ipInRangeDecimal($ipDecimal, $rangeDecimal, (int)$netmask)
            : false;
    }

    /**
     * @param  int  $ip
     * @param  int  $range
     * @param  int  $netmask
     * @return bool
     */
    protected function ipInRangeDecimal(int $ip, int $range, int $netmask): bool
    {
        $netmask = ~(2 ** (32 - $netmask) - 1);
        return ($ip & $netmask) === ($range & $netmask);
    }
}

Comments

[mpyw]

IPv6 には対応していないので，将来 GitHub がそうなることも考慮して万全を期しておくのであれば対応頑張ってくださいｗ

[mpyw]

もう1点。何かの事情で master に force push する事があった場合 pull に失敗してしまうので，

git fetch && git reset --hard origin/master

を実行させたほうが無難です。こっちだと確実に成功します。
この後に composer install も一緒に実行かな？