CI: тесты в GitHub Actions

Хостед-раннер ubuntu-latest — виртуалка, где Docker уже установлен: демон запущен, CLI на месте, сокет /var/run/docker.sock доступен, — поэтому testcontainers подключается к нему без единой настройки, тем же провайдером, что и на вашей машине. Джоба — чистая машина: каждый прогон начинается с пустого состояния, зомби от прошлых прогонов тут не бывают, зато каждый pull идёт из сети. Self-hosted раннер устроен наоборот: демон один на все джобы, контейнеры и слои копятся, порты разбираются, диск забивается. Там дисциплина уборки из урока про Ryuk перестаёт быть страховкой и становится требованием: уборщика не глушить, прогоны помечать, остатки периодически вычищать по меткам org.testcontainers. Конфигурация библиотеки при этом везде одна: сначала читается файл ~/.testcontainers.properties, затем поверх перекрывается переменными окружения, — так окружение CI настраивается прямо в workflow, без правок кода. Отсюда и весь рецепт связки «testcontainers github actions»: три шага в workflow плюс аккуратный env-блок, а «тесты ci go» ведут себя одинаково у всех в команде.

Все настройки библиотеки читаются из ~/.testcontainers.properties и перекрываются переменными окружения — в CI это главный канал: env-блок джобы настраивает прогон без правок кода. Базовый набор такой. TESTCONTAINERS_RYUK_DISABLED выключает уборщика; по умолчанию он включён, и выключать его в CI — риск, о котором ниже. RYUK_CONNECTION_TIMEOUT (дефолт — одна минута) и RYUK_RECONNECTION_TIMEOUT (дефолт — десять секунд) управляют связью с уборщиком; устаревшие имена TESTCONTAINERS_RYUK_CONNECTION_TIMEOUT и TESTCONTAINERS_RYUK_RECONNECTION_TIMEOUT ещё читаются, но новые предпочтительнее. TESTCONTAINERS_RYUK_CONTAINER_PRIVILEGED запускает контейнер уборщика в привилегированном режиме — понадобится там, где этого требует среда. TESTCONTAINERS_HUB_IMAGE_NAME_PREFIX подставляет префикс к образам из Docker Hub — штатный путь для закрытых сетей с внутренним зеркалом. DOCKER_HOST указывает нестандартный демон, TESTCONTAINERS_SESSION_ID закрепляет идентификатор сессии. Значения — строки: true, false и длительности вида 2m; YAML-булевы значения в env превратятся в строки сами.

На hosted-раннере всё тянется из сети заново: образ базы, брокера, уборщика — и медленный первый прогон почти всегда про pull, а не про тесты. Слои кэша Docker — ресурс демона, и жить они начинают с шага прогрева: docker pull каждого нужного образа до go test кладёт их в локальный кэш, и testcontainers при старте находит образ на месте, без похода в реестр. Это самый дешёвый в обслуживании вариант и почти всегда достаточный. Вариант тяжелее — actions/cache для каталога демона /var/lib/docker: он сохраняет и восстанавливает весь каталог разом, но требует прав root и остановки демона на время восстановления — усложнение оправдано, только если образы по-настоящему гигантские. Для образов, собираемых из Dockerfile, отдельная история — кэш слоёв сборки у билдера, чтобы go build внутри образа не стартовал с нуля; механика сборки разобрана в пятнадцатом уроке. Образы сервисов меняются редко, поэтому прогрев окупается на каждом следующем прогоне. Единственная оговорка: pre-pull имеет смысл для образов с фиксированными тегами — прогрев плавающего latest экономит меньше, потому что однажды всё равно вытянет новый слой.

Флейк в CI почти всегда означает, что какой-то таймаут истёк раньше, чем должен был. Таймаутов три слоя, и они обязаны соотноситься: внутренний — стартовый таймаут wait-стратегии из урока об ожиданиях, средний — go test -timeout, внешний — лимит времени джобы. Правило простое: внутренние истекают раньше внешних, иначе вместо красного теста со стек-трейсом вы получаете убитую джобу без диагностики. Второй источник флейков — теснота: пакеты go test стартуют параллельно на все ядра, и слабый раннер одновременно тянет несколько контейнеров, гонки -race и сборку — память и порты кончаются раньше тестов. Ограничьте параллелизм пакетов флагом -p, а тестовую параллельность внутри пакета настраивайте осознанно. Запас в wait-стратегии решает первую половину проблемы: WithStartupTimeout вместо sleep даёт сервису дорасти до готовности без искусственных задержек в удачном прогоне. Третий источник — кэш: setup-go сохраняет и GOCACHE, где лежат результаты тестов, поэтому интеграционный прогон честнее с -count=1. Повторы упавшего теста лечат симптом: флейк — сигнал пересмотреть таймауты, а не добавить retry.

Как уборщик устроен в CI: вместе с первым контейнером прогона поднимается контейнер-уборщик — он монтирует docker-сокет, слушает управляющий порт (по умолчанию 8080, переназначается переменной RYUK_PORT) и работает с ресурсами по сессионным меткам семейства org.testcontainers. Процесс-владелец умер — уборщик зачищает всё, что тот насоздавал, от контейнеров до сетей и томов. Строки reaper в логах теста — норма, а не ошибка: это уборщик отчитывается о подключении. Ошибка reaper not found — уже сигнал: уборщик не поднялся — образ недоступен в закрытой сети без зеркала либо запрещён привилегированный режим; чинить надо среду, а не глушить уборку. На общем self-hosted раннере у каждой джобы свой уборщик со своей сессией; если параллельные прогоны плодят их слишком охотно, TESTCONTAINERS_SESSION_ID закрепляет идентификатор: прогоны с одним значением делят одного уборщика. Охотиться за проблемами подключения помогает RYUK_VERBOSE: подробный лог уборщика попадает в вывод теста, и причина — медленный сокет, запрет privileged, недоступный образ — видна сразу, а не угадывается по красной джобе.