Modification du job "functional-tests"

steps:
  - name: Checkout code
  - name: Download application JAR

  - name: Copy JAR to target
    run: |
      mkdir -p target
      cp app-jar/*.jar target/

  - name: Wait for PostgreSQL

  - name: Build Docker image
    run: docker build -t flashcards:staging .

  - name: Install Trivy (official repo)
  - name: Scan Docker image (Trivy - conditional)

  - name: Run container
    run: >
      docker run -d --name flashcards-staging \
        --add-host=host.docker.internal:host-gateway \
        -p 8081:8081 \
        -e SPRING_PROFILES_ACTIVE=staging \
        -e SPRING_DATASOURCE_URL=jdbc:postgresql://host.docker.internal:5432/flashcardsdb \
        -e SPRING_DATASOURCE_USERNAME=postgres \
        -e SPRING_DATASOURCE_PASSWORD=${{ github.actor == 'dependabot[bot]' && 'postgres' || secrets.POSTGRES_PASSWORD }} \
        flashcards:staging

  - name: Wait for healthcheck
    run: |
      for i in {1..30}; do
        if curl -sf http://localhost:8081/actuator/health | grep UP > /dev/null; then
          echo "Container healthy"
          exit 0
        fi
        sleep 2
      done

      echo "Container failed to start"
      docker logs flashcards-staging
      exit 1

  - name: Set up Node.js (for Newman) # jusqu'à l'étape : Upload Newman reports

  - name: Save container logs
    if: always()
    run: |
      if docker ps -a --format '{{.Names}}' | grep -q flashcards-staging; then
        docker logs flashcards-staging > container.log
      else
        echo "Container not found" > container.log
      fi

  # On remplace l'upload des logs Spring Boot par les logs du conteneur Docker
  - name: Upload container logs
    if: always()
    uses: actions/upload-artifact@v6
    with:
      name: container-logs
      path: container.log

  # On remplace l'arrêt de Spring Boot par l'arrêt du conteneur
  - name: Stop container
    if: always()
    run: |
      docker stop flashcards-staging || true
      docker rm flashcards-staging || true

Les étapes du job:

Étapes modifiées
Cliquez sur l'image pour voir les détails

---

Suppression des étapes
Remplacées par: CI de base
On remplace par:

FAIT 1

Le SHA actuel (mis à jour par Dependabot) : ffe7d7290dfa715e48c2ccc924d068444c94bde2 pointe bien vers la v1.1.0 de l'action. Au moment ou j'écrivais ces ligne, le tag pointait encore vers le runtime interne node20 • .node-version.

FAIT 2

L'action Grafana est répertoriée dans les mises à jour bloquées des dépendances Dependabot : setup-k6-action/issues/22. Il est donc probable qu'aucune mise à jour ne soit publiée rapidement.

Les différentes options

Option 1 — Ignorer (recommandé à court terme)
La solution la plus pragmatique. Aucun effort, aucun risque immédiat : le warning est informatif jusqu'en juin 2026. On attend une mise à jour de l'action upstream. Dans le même temps: Surveiller une nouvelle release Grafana
Combiner:

env: 
  FORCE_JAVASCRIPT_ACTIONS_TO_NODE24: true

Cette solution transitoire est valable, mais qui reste dépendante de l'activité du mainteneur

---

Option 2 — Installation manuelle de k6 (recommandée à long terme)

Au vue des faits, c'est la solution retenue

Raisonnement

Même si GitHub propose un opt-in temporaire via FORCE_JAVASCRIPT_ACTIONS_TO_NODE24
Cela ne constitue pas une solution pérenne.

En réalité; cela ne fait que retarder le problème.

On s'apperçoit que les GitHub Actions tierces ne suivent pas toujours
     le rythme des évolutions de la plateforme

À un certain niveau de maturité DevOps, il est préférable soit
     de forker l'action, soit de la remplacer par des scripts maîtrisés

Dans un pipeline CI/CD avancé (intégrant Trivy, CodeQL, etc.), les actions "boîte noire" introduisent un manque de visibilité et un risque d'auditabilité.

Ancienne installation (dépréciée)

- name: Setup k6
  uses: grafana/setup-k6-action@v1

Nouvelle installation (manuelle et épinglée)

- name: Install k6 (pinned)
  run: |
    K6_VERSION="0.49.0"

    sudo apt-get update
    sudo apt-get install -y wget gnupg

    wget -qO - https://dl.k6.io/key.gpg | \
      gpg --dearmor | \
      sudo tee /usr/share/keyrings/k6-archive-keyring.gpg > /dev/null

    echo "deb [signed-by=/usr/share/keyrings/k6-archive-keyring.gpg] \
      https://dl.k6.io/deb stable main" | \
      sudo tee /etc/apt/sources.list.d/k6.list

    sudo apt-get update

    if apt-cache madison k6 | grep -q "$K6_VERSION"; then
      sudo apt-get install -y k6=$K6_VERSION
    else
      echo "[ERROR] k6 version $K6_VERSION not found"
      apt-cache madison k6
      exit 1
    fi

Avantages de l'installation manuelle

On gagne en reproductibilité, en sécurité et en autonomie, sans aucune contrepartie fonctionnelle