Cara Login SSH: Dasar Server Linux dan SSH Key untuk Pemula

      - name: Deploy over SSH
        uses: appleboy/ssh-action@v1.0.3
        with:
          host: ${{ secrets.VPS_SSH_HOST }}
          username: ${{ secrets.VPS_SSH_USER }}
          key: ${{ secrets.VPS_SSH_KEY }}
          port: ${{ vars.VPS_SSH_PORT || 22 }}
          script: |
            set -euo pipefail
            cd "${{ vars.DEPLOY_PATH }}"

Langkah SSH di job deploy. Host, user, dan private key diambil dari secret terenkripsi, dan port dari variable yang default-nya 22, jadi tidak ada alamat atau nama user yang tertulis di repository. set -euo pipefail menghentikan script di server pada perintah pertama yang gagal, jadi cd yang gagal tidak akan pernah membuat perintah berikutnya berjalan di folder yang salah.

            # Write runtime env from GitHub Secrets/Variables. Quoted heredoc so
            # shell does not expand anything in the (already-rendered) values.
            cat > .env <<'ENVEOF'
            GROQ_API_KEY=${{ secrets.GROQ_API_KEY }}
            RESEND_API_KEY=${{ secrets.RESEND_API_KEY }}
            CONTACT_FROM_EMAIL=${{ vars.CONTACT_FROM_EMAIL }}
            CONTACT_TO_EMAIL=${{ vars.CONTACT_TO_EMAIL }}
            IMAGE=${{ needs.build-and-push.outputs.image }}
            APP_PORT=${{ vars.APP_PORT || 3002 }}
            ENVEOF
            chmod 600 .env

Hal pertama yang dilakukan sesi SSH. Penanda heredoc yang diberi tanda kutip, <<'ENVEOF', mencegah shell di server mengekspansi apa pun di dalam nilai yang sudah diisi GitHub. chmod 600 lalu membuat file itu hanya bisa dibaca dan ditulis pemiliknya, mode yang sama dengan yang diminta SSH untuk authorized_keys.

RUN addgroup --system --gid 1001 nodejs && adduser --system --uid 1001 nextjs

COPY --from=builder /app/public ./public
COPY --from=builder --chown=nextjs:nodejs /app/.next/standalone ./
COPY --from=builder --chown=nextjs:nodejs /app/.next/static ./.next/static

USER nextjs

Prinsip hak akses minimum yang sama, di dalam container. Stage terakhir membuat system user dengan uid 1001, memberinya kepemilikan file aplikasi, lalu berpindah ke user itu dengan USER sebelum aplikasi berjalan, jadi proses Node tidak pernah berjalan sebagai root.