ci: add GitHub Actions auto-deploy pipeline

- verify job: pnpm install, typecheck, lint, build on push to main
- deploy job: ssh to production, run scripts/deploy.sh as service user
- deploy script: reset to origin/main, conditional install, build,
  systemd restart, health check with retries
- document deployment chain and required secrets

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

Author: study8677

.github/workflows/deploy.yml

@@ -0,0 +1,79 @@
+name: Deploy
+
+on:
+  push:
+    branches:
+      - main
+  workflow_dispatch:
+
+concurrency:
+  group: agentcode-production-deploy
+  cancel-in-progress: false
+
+jobs:
+  verify:
+    name: Verify
+    runs-on: ubuntu-latest
+
+    steps:
+      - name: Checkout
+        uses: actions/checkout@v4
+
+      - name: Setup pnpm
+        uses: pnpm/action-setup@v4
+        with:
+          version: 9
+
+      - name: Setup Node.js
+        uses: actions/setup-node@v4
+        with:
+          node-version: 22
+          cache: pnpm
+          cache-dependency-path: pnpm-lock.yaml
+
+      - name: Restore Next.js cache
+        uses: actions/cache@v4
+        with:
+          path: .next/cache
+          key: ${{ runner.os }}-next-${{ hashFiles('package.json', 'pnpm-lock.yaml') }}-${{ hashFiles('src/**/*', 'next.config.*', 'tsconfig.json') }}
+          restore-keys: |
+            ${{ runner.os }}-next-${{ hashFiles('package.json', 'pnpm-lock.yaml') }}-
+
+      - name: Install dependencies
+        run: pnpm install --frozen-lockfile
+
+      - name: Typecheck
+        run: npm run typecheck
+
+      - name: Lint
+        run: npm run lint
+
+      - name: Build
+        run: npm run build
+
+  deploy:
+    name: Deploy
+    runs-on: ubuntu-latest
+    needs: verify
+
+    steps:
+      - name: Configure SSH
+        shell: bash
+        run: |
+          set -euo pipefail
+          mkdir -p ~/.ssh
+          chmod 700 ~/.ssh
+          printf '%s\n' "${{ secrets.DEPLOY_SSH_KEY }}" > ~/.ssh/deploy_key
+          printf '%s\n' "${{ secrets.DEPLOY_KNOWN_HOSTS }}" > ~/.ssh/known_hosts
+          chmod 600 ~/.ssh/deploy_key ~/.ssh/known_hosts
+
+      - name: Run deployment
+        shell: bash
+        run: |
+          set -euo pipefail
+          ssh \
+            -i ~/.ssh/deploy_key \
+            -o IdentitiesOnly=yes \
+            -o StrictHostKeyChecking=yes \
+            "${{ secrets.DEPLOY_USER }}@${{ secrets.DEPLOY_HOST }}" \
+            "sudo -u agentcode /usr/bin/bash /opt/agentcode/scripts/deploy.sh"

docs/zh/deployment.md

@@ -0,0 +1,29 @@
+# 部署说明
+
+AgentCode 当前使用 GitHub Actions 触发生产部署：
+
+1. 推送代码到 `main` 分支，或在 GitHub Actions 页面手动触发 `workflow_dispatch`。
+2. `verify` job 在 GitHub 托管 runner 上执行 `npm ci`、`npm run typecheck`、`npm run lint` 和 `npm run build`。
+3. `deploy` job 在 `verify` 通过后，通过 SSH 登录生产服务器。
+4. 服务器执行 `/opt/agentcode/scripts/deploy.sh`，从 `origin/main` 更新 `/opt/agentcode`，按需安装依赖，执行 `npx next build`，再用 systemd 重启 `agentcode` 服务。
+5. 脚本用 `curl -sf http://127.0.0.1:3000/` 做本机健康检查；多次重试后仍失败会让部署 job 失败。
+
+## GitHub Secrets
+
+需要在仓库的 GitHub Actions secrets 中配置 4 个值：
+
+- `DEPLOY_SSH_KEY`：GitHub Actions 用来登录生产服务器的 SSH 私钥。
+- `DEPLOY_HOST`：生产服务器的 SSH 主机名或地址。
+- `DEPLOY_USER`：执行部署的服务器用户，例如专用的部署用户。
+- `DEPLOY_KNOWN_HOSTS`：生产服务器 SSH host key 对应的 `known_hosts` 内容，用于启用严格主机校验。
+
+不要把真实主机名、IP、私钥或 host key 写入仓库文件；只通过 GitHub Secrets 注入。
+
+## 服务器侧前提
+
+- 服务器上已经存在 `/opt/agentcode` 仓库，并且远端 `origin` 指向可拉取的 GitHub 仓库。
+- 部署用户可以通过 SSH 登录服务器，并有权限读取 `/opt/agentcode`。
+- `/opt/node-v22/bin` 中存在 Node.js 22、npm 和 npx；部署脚本会把它加入 `PATH`。
+- 服务器上的 `/opt/agentcode` 仓库配置了可拉取 `origin/main` 的 deploy key 或其他只读凭据。
+- systemd 中已经存在 `agentcode` 服务，并监听 `127.0.0.1:3000`。
+- sudoers 允许部署用户无交互执行 `/usr/bin/systemctl restart agentcode`。

scripts/deploy.sh

@@ -0,0 +1,38 @@
+#!/usr/bin/env bash
+set -euo pipefail
+
+export PATH="/opt/node-v22/bin:${PATH}"
+
+APP_DIR="/opt/agentcode"
+HEALTH_URL="http://127.0.0.1:3000/"
+
+cd "${APP_DIR}"
+
+git fetch origin
+git reset --hard origin/main
+
+should_install=1
+if git rev-parse --verify "HEAD@{1}" >/dev/null 2>&1; then
+  if git diff --quiet "HEAD@{1}" HEAD -- package.json pnpm-lock.yaml; then
+    should_install=0
+  fi
+fi
+
+if [[ "${should_install}" -eq 1 ]]; then
+  npm install --no-audit --no-fund
+fi
+
+npx next build
+
+sudo /usr/bin/systemctl restart agentcode
+
+for attempt in {1..10}; do
+  if curl -sf "${HEALTH_URL}" >/dev/null; then
+    exit 0
+  fi
+
+  sleep 3
+done
+
+echo "Health check failed: ${HEALTH_URL}" >&2
+exit 1