# Leichter Verifikations-Job, portiert aus .gitea/workflows/deploy-on-push.yml
# (Gitea-CI-Rueckbau, siehe Backlogs CFGMON-11). Deployt nichts - Flux reconciled
# weiterhin selbststaendig aus dem Gitea-Mirror. Repo-Topologie: git.lab ist
# kanonisch, rohana/Gitea ist Push-Mirror und Flux-Quelle.

verify:
  image: alpine:3.20
  rules:
    - if: $CI_COMMIT_BRANCH == "main"
      changes:
        - apps/**/*
        - clusters/**/*
        - .gitlab-ci.yml
  script:
    - apk add --no-cache git >/dev/null
    - |
      echo "YAML-Manifest-Check..."
      find apps clusters -name "*.yaml" -type f | while read f; do
        grep -q "^apiVersion:" "$f" || echo "WARN: $f enthaelt kein apiVersion - evtl. kein K8s-Manifest"
      done
    - |
      echo "SOPS-Check der in diesem Push geaenderten Secret-Dateien..."
      for f in $(git diff --name-only HEAD~1..HEAD -- '**/secret*.yaml' '**/credentials*.yaml' 2>/dev/null || true); do
        if grep -q "ENC\[" "$f"; then echo "OK: $f ist verschluesselt"; else echo "WARNUNG: $f ist moeglicherweise NICHT verschluesselt!"; fi
      done
    - echo "Flux reconciled die Aenderungen innerhalb ~1 Minute (Quelle Gitea-Mirror)."