feat(ci): ephemeral PR preview среди с уникални по репозиторий имена

[ydimitrof]

Какво и защо

Добавя ephemeral preview среда за всеки PR — по един Cloudflare Worker на PR,
трит при затваряне и reap-ван след 5 дни без деплой. Портва pipeline-а от
lyubomir-bozhinov/sigma, но сменя схемата на имената.

Причината: този репозиторий, lyubomir-bozhinov/sigma и midt-bg/sigma
деплойват preview-тата си в един и същ Cloudflare акаунт. При схема
sigma-pr-<номер> PR midt-bg#12 тук и PR midt-bg#12 в другия форк дават едно и също име —
вторият деплой мълчаливо презаписва първия, а reaper-ът на всеки репозиторий
трие worker-ите на другия.

Затова името носи притежателя на репозиторя и се извежда, а не се
конфигурира:

ydimitrof/sigma          PR #12 → sigma-ydimitrof-pr-12
lyubomir-bozhinov/sigma  PR #12 → sigma-lyubomir-bozhinov-pr-12
midt-bg/sigma            PR #12 → sigma-midt-bg-pr-12

PREVIEW_WORKER_PREFIX в оригинала е опционална променлива с fallback към общ
sigma-pr — тоест връща същия сблъсък при първия, който забрави да я зададе.
Тук остава само като изричен override за по-къс URL; незададена вече е
безопасното състояние.

scripts/preview-name.mjs е единственият източник на името. Deploy, teardown и
reaper го внасят оттам — три копия на един regex е начинът, по който
преименувано preview остава завинаги неизтрито.

Поправен бъг от оригинала

Стъпката за коментар в preview-reap.yml извежда номера на PR-а с hardcode-нат
/^sigma-pr-(\d+)$/. При какъвто и да е друг префикс тя мълчаливо спира да
съвпада: worker-ите се трият, а PR-ът никога не разбира. Reaper-ът тук връща
(worker, PR) двойки от същия модул, който изгражда името.

Какво НЕ изолират уникалните имена

• Rate-limit namespace_id-тата (1001–1005) са account-scoped целочислени
  id-та — квотите са общи за всяко preview на всеки форк в акаунта.
• dev D1 / R2 / Vectorize са наистина споделени (read-only от preview worker-а).
• *.workers.dev preview URL-ите не са зад Cloudflare Access.

И трите са описани в docs/dev-environments.md.

Обхват

• Само web. ETL worker-ът пише в D1 и е cron-only — няма per-PR копие.
• Без миграции. Preview-тата само четат споделената dev база.
• Само същият репозиторий. Fork PR-ите нямат достъп до secrets и се
  пропускат (пак минават обикновеното CI).

Допълнителен обхват: undici

Пет advisory-та за undici 7.28.0, публикувани на 2026-08-03, чупят стъпката
Dependency audit на всеки PR в репозиторя — не само този. main мина последно
на 2026-07-30, преди да съществуват. undici е dev-only transitive
(jsdom→vitest, wrangler→miniflare) и не влиза в бъндъла на Worker-а.

pnpm-workspace.yaml вече има undici override заради три по-ранни advisory-та по
същия път, така че поправката е вдигане на пина до ^7.29.0 вместо нов suppression.

Това не е свързано с preview средите и по-редното място е отделен PR — включено
е тук съзнателно, за да не остане CI червено. Ако предпочитате, ще го изнеса.

Същият проблем ще удари и midt-bg/sigma при следващия run на main.

Свързан issue

Няма.

Вид промяна

• feat — нова функционалност
• docs — документация
• ci / build — поддръжка

Как е тествано

pnpm test:scripts   → 90 tests, 90 pass, 0 fail
pnpm typecheck      → 7 successful, 7 total
pnpm test           → 6 successful, 6 total
pnpm lint           → All matched files use Prettier code style!
pnpm check:docs     → all docs refs resolve and every doc is indexed
osv-scanner v2.4.0  → No issues found          (същата команда като в CI)

Изведеното име:

$ GITHUB_REPOSITORY_OWNER=ydimitrof node scripts/preview-name.mjs --pr 12
PREVIEW_WORKER_PREFIX=sigma-ydimitrof-pr
SIGMA_WEB_NAME=sigma-ydimitrof-pr-12

$ GITHUB_REPOSITORY_OWNER=MidtBG node scripts/preview-name.mjs --pr 12   # case folding
PREVIEW_WORKER_PREFIX=sigma-midtbg-pr

$ node scripts/preview-name.mjs --pr 12                                  # без owner/override
preview-name: cannot derive a preview prefix ...   (exit 2 — без мълчалив default)

Защитните бариери при триене (--dry-run, GITHUB_REPOSITORY_OWNER=ydimitrof):

worker	резултат
sigma-pr-12	❌ отказан — чужд префикс
sigma-lyubomir-bozhinov-pr-12	❌ отказан — чужд префикс
sigma, sigma-etl, sigma-dev	❌ отказан — защитено дълготрайно име
sigma-ydimitrof-pr-12	✅ приет

Render-ът end-to-end (wrangler-render.mjs върху apps/web/wrangler.jsonc):

name      = sigma-ydimitrof-pr-12
d1        = sigma-dev/<SIGMA_D1_ID>
r2        = CSV_CACHE=sigma-csv-cache-dev, REPORTS=sigma-reports-dev
vectorize = sigma-assistant-dev

Непроверено: dry-run на reaper-а срещу живия акаунт (няма токен локално) —
той е проверката, че вижда само sigma-ydimitrof-pr-* и нула от
sigma-pr-*. Струва си да е първото след настройката на средата.

Чеклист

• Комитите следват conventional commits и нямат Co-Authored-By: trailer
• PR-ът е с един логически обхват — не: съдържа и несвързаното вдигане на
  undici (виж „Допълнителен обхват" по-горе), защото то чупи CI на всеки PR
• pnpm typecheck минава
• pnpm test (поне за засегнатите пакети) минава
• pnpm lint е чисто
• Няма комитнати тайни, .env* или .dev.vars
• Документацията в docs/ е обновена

Преди да заработи

Нужен е GitHub Environment preview (без required reviewers) с Cloudflare
токен за акаунта, SIGMA_D1_ID за sigma-dev и четирите SIGMA_*_NAME
променливи — gh командите са в docs/dev-environments-setup.md.

[github-actions]

Test coverage

Workspace	Lines	Δ	Branches	Δ	Functions	Statements
apps/etl	74.05%	+0.05pp	58.22%	+0.02pp	70.21%	71.42%
apps/web	89.78%	+0.08pp	81.82%	+0.02pp	90.43%	88.73%
packages/config	92.85%	+0.05pp	72.22%	+0.02pp	92.85%	89.18%
packages/db	94.24%	+0.04pp	79.01%	+0.01pp	86.34%	91.13%
packages/ingest	85.86%	+0.06pp	80.00%	+0.00pp	79.27%	83.97%
packages/shared	95.40%	+0.00pp	80.00%	+0.00pp	91.66%	88.49%
Total (informational)	90.30%	—	79.58%	—	85.76%	88.01%

✅ No workspace dropped below its baseline (tolerance 0.5pp).

[github-actions]

🌐 Preview deployed → https://sigma-ydimitrof-pr-1.midt-platforms.workers.dev

Worker sigma-ydimitrof-pr-1 · shares the dev D1 (read-only). Updates on each push; removed when this PR closes.