# Repositório: rodrigoqbqb/automacao_renderiza
automacao_renderiza/
├── Dockerfile                        # ← imagem Docker (novo)
├── .github/
│   └── workflows/
│       ├── run_notebook.yml          # ← seu workflow atual (atualizado)
│       └── build-docker.yml          # ← build da imagem (novo)
├── render.py                         # ← seu script (inalterado)
└── requirements.txt                  # ← dependências pip (novo)

gspread
google-api-python-client
google-auth
google-auth-oauthlib
google-auth-httplib2
gdown
google-genai

# Base: Python 3.11 slim (Ubuntu 24.04 under the hood)
# Versão slim = sem extras desnecessários — reduz ~200MB vs python:3.11
FROM python:3.11-slim-bookworm

# Metadados da imagem
LABEL maintainer="@CanalQb"
LABEL description="Render engine: Python 3.11 + FFmpeg + Google APIs + SSH"

# Variáveis de ambiente: Python não cria .pyc e não bufferiza stdout
ENV PYTHONDONTWRITEBYTECODE=1 \
    PYTHONUNBUFFERED=1 \
    DEBIAN_FRONTEND=noninteractive

# Instala FFmpeg + OpenSSH (cliente e servidor) em uma única camada
# apt-get clean e rm -rf /var/lib/apt/lists/* reduzem o tamanho final
RUN apt-get update -qq && \
    apt-get install -y --no-install-recommends \
      ffmpeg \
      openssh-client \
      openssh-server \
      curl \
      git \
    && apt-get clean \
    && rm -rf /var/lib/apt/lists/*

# Configura SSH Server
# - Cria diretório de run (necessário para sshd)
# - Desativa PAM para funcionar em container
# - Permite login root com senha (apenas para debug — nunca em produção permanente)
RUN mkdir /var/run/sshd && \
    echo 'root:canalqb_debug' | chpasswd && \
    sed -i 's/#PermitRootLogin prohibit-password/PermitRootLogin yes/' /etc/ssh/sshd_config && \
    sed -i 's/#PasswordAuthentication yes/PasswordAuthentication yes/' /etc/ssh/sshd_config && \
    sed -i 's/UsePAM yes/UsePAM no/' /etc/ssh/sshd_config

# Instala dependências Python
# --no-cache-dir: não armazena cache do pip na imagem = menor tamanho
COPY requirements.txt /tmp/requirements.txt
RUN pip install --no-cache-dir --upgrade pip && \
    pip install --no-cache-dir -r /tmp/requirements.txt

# Diretório de trabalho padrão
WORKDIR /workspace

# Expõe porta SSH (apenas para uso manual/debug — o Actions não precisa disso)
EXPOSE 22

# CMD padrão: inicia o SSH server
# O GitHub Actions vai sobrescrever esse CMD com o comando do step
CMD ["/usr/sbin/sshd", "-D"]

name: Build e Publica Imagem Docker

on:
  push:
    paths:
      - 'Dockerfile'
      - 'requirements.txt'
  workflow_dispatch: # permite rodar manualmente pelo GitHub UI

jobs:
  build:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      packages: write  # necessário para publicar no ghcr.io

    steps:
      - name: Checkout do repositório
        uses: actions/checkout@v4

      - name: Login no GitHub Container Registry
        uses: docker/login-action@v3
        with:
          registry: ghcr.io
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}

      - name: Build e push da imagem
        uses: docker/build-push-action@v5
        with:
          context: .
          push: true
          tags: ghcr.io/rodrigoqbqb/render-engine:latest

name: motor

on:
  workflow_dispatch:
  schedule:
    - cron: '0 10 * * *'  # ajuste conforme sua necessidade

jobs:
  motor:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      packages: read  # lê a imagem do ghcr.io

    # ↓ TODA A MÁGICA ESTÁ AQUI — executa dentro do seu Docker
    container:
      image: ghcr.io/rodrigoqbqb/render-engine:latest
      credentials:
        username: ${{ github.actor }}
        password: ${{ secrets.GITHUB_TOKEN }}

    steps:
      - name: Checkout do repositório privado
        uses: actions/checkout@v4

      # Sem apt-get. Sem pip install. Apenas roda o script.
      - name: Executar render.py
        run: python render.py
        env:
          OAUTH_CLIENT_ID:     ${{ secrets.OAUTH_CLIENT_ID }}
          OAUTH_CLIENT_SECRET: ${{ secrets.OAUTH_CLIENT_SECRET }}
          OAUTH_REFRESH_TOKEN: ${{ secrets.OAUTH_REFRESH_TOKEN }}
          ID_PLANILHA_GOOGLE:  ${{ secrets.ID_PLANILHA_GOOGLE }}
          URL_DO_BLOG_BLOGGER: ${{ secrets.URL_DO_BLOG_BLOGGER }}
          GEMINI_API_KEYS:     ${{ secrets.GEMINI_API_KEYS }}

# Adicione este step ANTES do render.py quando precisar debugar
# Lembre de remover depois — não deixe em produção
- name: Debug SSH (temporário)
  if: failure()  # só ativa se o step anterior falhar
  run: |
    /usr/sbin/sshd &
    curl -s https://ngrok-agent.s3.amazonaws.com/ngrok.asc | tee /etc/apt/trusted.gpg.d/ngrok.asc
    curl -Lo /usr/local/bin/ngrok https://bin.equinox.io/c/bNyj1mQVY4c/ngrok-v3-stable-linux-amd64.tgz
    tar xf /usr/local/bin/ngrok -C /usr/local/bin/
    ngrok config add-authtoken ${{ secrets.NGROK_TOKEN }}
    ngrok tcp 22 &
    sleep 3
    curl -s http://localhost:4040/api/tunnels | python3 -c "import sys,json; t=json.load(sys.stdin)['tunnels'][0]['public_url']; print(f'SSH: {t.replace(\"tcp://\",\"ssh root@\").replace(\":\",\" -p \",1)}')"
    sleep 1800  # mantém aberto por 30 minutos