Updater: neue Fassung über Git, mit Vorprüfung und Rückweg

Aus dem Plan in docs/UPDATE.md ist Code geworden: cms:update, cms:health, der
Bildschirm "System" und der Wartungszustand.

Die Vorprüfung ist die halbe Arbeit. Sie fragt nach proc_open, Git, sauberer
Arbeitskopie, Herkunft, Schreibrechten und Platz - und danach, ob Datenbank
und Medienordner wirklich von Git ausgenommen sind. Das ist der Punkt, an dem
ein Update Inhalte zerstören könnte, also wird er geprüft und nicht
angenommen. Jede Prüfung sagt, was zu tun ist, nicht bloß "fehlgeschlagen".

Der Rückweg ist Teil des Wegs: scheitert ein Schritt, wird auf den vorherigen
Commit zurückgesetzt. Die Datenbank nur dann zurückgeschrieben, wenn die
Migration schon begonnen hatte - sonst verlöre der Rückweg Inhalte, die
während des Updates entstanden sind. Antwortet der alte Stand im Rauchtest,
geht die Website wieder online; antwortet er nicht, bleibt der Wartungszustand,
weil eine kaputte Seite schlechter ist als eine ehrliche Meldung.

Der Rauchtest läuft als eigener Prozess, denn nur ein frischer Prozess führt
den neuen Code aus. Ein Test im laufenden Prozess hätte den alten geprüft und
"alles in Ordnung" gemeldet.

Kein symfony/process: der Runner sind dreißig Zeilen über proc_open mit dem
Befehl als Array - kein Shell, nichts zu maskieren, und "proc_open ist
abgeschaltet" wird die erste Antwort statt der Überraschung im dritten
Schritt.

285 PHP-Tests / 1244 Assertions. Sechs davon fahren den Updater gegen echte
Git-Repositorys in einem Temp-Verzeichnis, mit Platzhalterskripten für die
zwei Befehle - inklusive des Fehlschlags, nach dem Code und Datenbank
zurückgesetzt sein müssen. Nicht gegen dieses Projekt: ein Test, der die
Arbeitskopie auscheckt, in der er läuft, ist ein Weg, Arbeit zu verlieren.

Offen bleibt die Sicherung einer MySQL-Datenbank per mysqldump - dafür fehlt
die Installation; der Updater sagt das im Schritt "Sicherung".

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

src/Controller/SystemController.php

@@ -0,0 +1,85 @@
+<?php
+
+namespace App\Controller;
+
+use App\Ops\Updater;
+use Symfony\Bundle\FrameworkBundle\Controller\AbstractController;
+use Symfony\Component\HttpFoundation\Request;
+use Symfony\Component\HttpFoundation\Response;
+use Symfony\Component\Routing\Attribute\Route;
+
+/**
+ * Version, preflight and the update itself.
+ *
+ * Administrators only, and every write with a token. The console stays the more reliable way: an
+ * update in a browser request has to finish within whatever the hosting allows, and that is not
+ * something this controller can promise - so it says so instead.
+ */
+final class SystemController extends AbstractController
+{
+    public function __construct(private Updater $updater)
+    {
+    }
+
+    #[Route('/admin/system', name: 'admin_system', methods: ['GET'])]
+    public function index(Request $request): Response
+    {
+        $this->denyAccessUnlessGranted('ROLE_ADMIN');
+        $checks = $this->updater->check();
+
+        return $this->render('admin/system.html.twig', [
+            'state' => $this->updater->state(),
+            'checks' => $checks,
+            'ready' => [] === array_filter($checks, static fn (array $check): bool => !$check['ok']),
+            // Asking the remote costs a network round trip, so only when it is wanted.
+            'available' => $request->query->getBoolean('pruefen') ? $this->updater->availableVersion() : null,
+            'asked' => $request->query->getBoolean('pruefen'),
+            'steps' => $request->getSession()->remove('update_steps') ?: [],
+        ]);
+    }
+
+    #[Route('/admin/system/update', name: 'admin_system_update', methods: ['POST'])]
+    public function update(Request $request): Response
+    {
+        $this->denyAccessUnlessGranted('ROLE_ADMIN');
+        if (!$this->isCsrfTokenValid('system', $request->request->getString('_csrf_token'))) {
+            return $this->back('Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');
+        }
+        // Checkout, composer and migration take longer than a page usually may. Where the hosting
+        // allows it, the limit is lifted; where it does not, the console is the way.
+        @set_time_limit(0);
+        $target = $request->request->getString('target');
+        $result = $this->updater->update('' === $target ? null : $target, $request->request->getBoolean('dryRun'));
+        $request->getSession()->set('update_steps', $result['steps']);
+        $this->addFlash(
+            $result['ok'] ? 'success' : 'error',
+            $result['ok']
+                ? sprintf('Update auf %s abgeschlossen.', $result['target'] ?? 'die aktuelle Fassung')
+                : 'Das Update ist gescheitert. Die Schritte unten sagen, wo – und ob die Website wieder online ist.',
+        );
+
+        return $this->redirectToRoute('admin_system');
+    }
+
+    #[Route('/admin/system/wartung', name: 'admin_system_maintenance', methods: ['POST'])]
+    public function maintenance(Request $request): Response
+    {
+        $this->denyAccessUnlessGranted('ROLE_ADMIN');
+        if (!$this->isCsrfTokenValid('system', $request->request->getString('_csrf_token'))) {
+            return $this->back('Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');
+        }
+        $on = 'an' === $request->request->getString('state');
+        $this->updater->maintenance($on);
+
+        return $this->back($on
+            ? 'Der Wartungszustand ist eingeschaltet: die Website antwortet mit 503, die Verwaltung bleibt erreichbar.'
+            : 'Der Wartungszustand ist aufgehoben.', 'success');
+    }
+
+    private function back(string $message, string $type = 'error'): Response
+    {
+        $this->addFlash($type, $message);
+
+        return $this->redirectToRoute('admin_system');
+    }
+}