vendoo/docs/RELEASE_1_34_0_GITHUB_ZERO_EDIT.md

Vendoo 1.34.0 – GitHub CI/CD & Zero-Edit Installation Foundation

Ziel

Version 1.34.0 verbindet die vorhandene Multiplatform-Grundlage mit einer produktionsnahen GitHub- und Release-Struktur und beseitigt manuelle Konfigurationsschritte aus der Installation.

Architektur

Installation

• Windows: WinForms-Assistent über setup-gui.ps1.
• Windows-Konsole: bestehendes Setup-Menü plus geführter Konfigurationspunkt.
• Linux/macOS/NAS/VPS: POSIX-kompatibler Dialogassistent über setup.sh.
• VPS: separater Compose-Stack mit Caddy und automatischem HTTPS.

Konfiguration

• Deployment-Werte werden durch Installer in .env geschrieben.
• App-Eingabemasken schreiben veränderliche Schlüssel in einen persistenten Runtime-Overlay-Speicher.
• bootstrap.mjs lädt zuerst die Installationskonfiguration und danach den Runtime-Overlay.
• Docker verwendet ein eigenes Volume vendoo_config.
• Das Container-Root-Dateisystem bleibt read-only.

GitHub

• CI auf Push und Pull Request.
• Release-Automation auf veröffentlichte GitHub Releases.
• GHCR-Images für AMD64 und ARM64 mit Digest-basierter Provenienz-Attestierung.
• Dependabot für npm, GitHub Actions und Docker.
• CODEOWNERS und Pull-Request-Checkliste.
• kontrollierter Erstimport über Release-Branch.

Sicherheitsentscheidungen

• Kein direkter Push des unkontrollierten Projektordners nach main.
• Keine automatische VPS-Ferninstallation über gespeicherte SSH-Zugangsdaten.
• Kein latest-Deployment ohne Release-Freigabe.
• Kein Speichern von Secrets in GitHub-Workflowdateien.
• Kein Aufweichen des read-only Containers für die Einstellungsmaske.
• Keine automatische Aufnahme des Runtime-Secret-Stores in normale Backups.

Bewusst offen

Ein echtes Production-CD mit SSH oder selbst gehostetem Runner ist nicht aktiviert. Es folgt erst nach praktischer NAS-/VPS-Abnahme mit Backup, Restore und Rollback.