Changeset f434294 in Klonkt

Timestamp:

07/31/2026 02:02:34 PM (6 weeks ago)

Author:

Robin <roboburr@…>

Branches:

main

Children:

0ca7e9a4

Parents:

5462bab

Message:

Maskeer de oude klonkt.service bij de split, hij stond op te staan uit de dood

Op boiert.eu verscheen na de update opnieuw een /opt/klonkt/storage. Oorzaak:
de migratie deed alleen systemctl disable op klonkt.service, maar disable
haalt uitsluitend de autostart weg. Een systemctl restart klonkt start zo'n
unit alsnog, en precies dat staat in elke updater die voor de split is
gegenereerd.

De opgestane klonkt.service heeft WorkingDirectory=/opt/klonkt en geen
EnvironmentFile, terwijl zijn .env met de data mee is verhuisd naar
/var/lib/klonkt/<slug>/. Hij start dus zonder enige config, valt terug op de
ingebouwde standaardpaden en schrijft een verse lege database in de checkout.
Afhankelijk van wie de poort pakt levert dat een lege site op, of een
crashende unit die bij elke herstart de map opnieuw aanmaakt.

Disable is dus niet genoeg: de unit wordt nu ook gemaskeerd, zodat elke
aanroep hard faalt in plaats van stilletjes een tweede proces te starten.
Omkeerbaar met systemctl unmask.

Changed files:
scripts/klonkt-migrate-data.sh

• oude unit wordt gestopt, uitgezet en gemaskeerd
• test op list-unit-files in plaats van is-enabled, zodat een al uitgezette unit niet wordt overgeslagen

scripts/klonkt-refresh-updater.sh

• maskeert de oude unit alsnog op een gesplitste installatie, zodat al gemigreerde servers zichzelf repareren
• waarschuwt als er een storage/ in de checkout staat, met het commando om te controleren of er iets in zit; verwijdert nooit zelf

deploy/MULTI-INSTANCE.md

• rollback bijgewerkt: unmask hoort er nu bij, met de reden

-robo
Co-Authored-By: Claude Fable 5 <noreply@…>

Files:

• deploy/MULTI-INSTANCE.md (modified) (1 diff)
• scripts/klonkt-migrate-data.sh (modified) (1 diff)
• scripts/klonkt-refresh-updater.sh (modified) (1 diff)

deploy/MULTI-INSTANCE.md

@@ -84 +84 @@
 because the port comes from the same `.env`.
 
-**Rolling back.** The old `klonkt.service` is disabled but not deleted. To go
-back, move the data into `/opt/klonkt/storage`, restore the relative paths in
-`.env`, and run `systemctl enable --now klonkt`.
+**Rolling back.** The old `klonkt.service` is disabled and masked, not deleted.
+Masked because `disable` alone does not stop `systemctl restart klonkt` from
+starting it again, and a resurrected unit no longer finds its `.env` (that moved
+with the data): it would fall back to the defaults and write a fresh empty
+database into the checkout. To go back, move the data into `/opt/klonkt/storage`,
+restore the relative paths in `.env`, then `systemctl unmask klonkt` and
+`systemctl enable --now klonkt`.
 
 ## Adding an instance

scripts/klonkt-migrate-data.sh

@@ -129 +129 @@
 
 step "Switching to klonkt@$SLUG"
-if systemctl is-enabled --quiet "$OLD_UNIT" 2>/dev/null; then
+if systemctl list-unit-files "$OLD_UNIT" >/dev/null 2>&1; then
   run "systemctl disable --now $OLD_UNIT"
-  say "disabled $OLD_UNIT (file kept, so you can roll back)"
+  # Disable only removes the autostart link: `systemctl restart klonkt` would
+  # still START it. That is not theoretical — an updater generated before the
+  # split does exactly that, and the resurrected unit finds no .env (it moved
+  # with the data), falls back to the built-in defaults and creates a FRESH
+  # EMPTY database in the checkout. Masking makes any such call fail loudly.
+  # Reversible: systemctl unmask klonkt.
+  run "systemctl mask $OLD_UNIT"
+  say "disabled and masked $OLD_UNIT (unmask to roll back)"
 fi
 run "systemctl enable --now 'klonkt@$SLUG'"

scripts/klonkt-refresh-updater.sh

@@ -58 +58 @@
 chmod +x /usr/local/bin/klonkt-update
 echo "klonkt-update rewritten: branch ${BRANCH}, code ${KLONKT_DIR}, instances under ${DATA_ROOT}"
+
+# On a split install the old single unit must not be startable. `disable` alone
+# does not stop `systemctl restart klonkt` from starting it, and a resurrected
+# klonkt.service has no .env (it moved with the data): it falls back to the
+# defaults and writes a fresh empty database into the checkout.
+SPLIT=0
+for d in "${DATA_ROOT}"/*/; do [ -f "$d/.env" ] && SPLIT=1 && break; done
+if [ "$SPLIT" = 1 ] && systemctl list-unit-files klonkt.service >/dev/null 2>&1; then
+  if ! systemctl is-enabled klonkt.service 2>/dev/null | grep -q masked; then
+    systemctl stop klonkt.service 2>/dev/null || true
+    systemctl disable klonkt.service 2>/dev/null || true
+    systemctl mask klonkt.service
+    echo "retired klonkt.service: stopped, disabled and masked (unmask to roll back)"
+  fi
+fi
+
+# A leftover storage/ in the checkout means something ran without the instance
+# config. Report it; never delete it unattended — only its owner can tell
+# whether it holds anything.
+if [ "$SPLIT" = 1 ] && [ -e "${KLONKT_DIR}/storage" ]; then
+  echo
+  echo "WARNING: ${KLONKT_DIR}/storage exists while instance data lives in ${DATA_ROOT}."
+  echo "         Something ran without the instance .env and wrote here. Check with:"
+  echo "             sqlite3 ${KLONKT_DIR}/storage/database.sqlite 'select count(*) from posts;'"
+  echo "         If it is empty, it is a stray from a resurrected klonkt.service and"
+  echo "         can be removed. If it is NOT empty, do not delete it: ask first."
+fi