Джобы, матрица и переиспользование: DAG, лимиты fan-out и вложенность reusable

Джобы — это DAG, а не скрипт

Большинство проблем со стоимостью и задержкой CI можно отследить до того, что граф джобов не был спроектирован осознанно — либо всё выполняется последовательно, когда в этом не было необходимости, либо всё параллельно, когда нужен был порядок. Понять DAG — значит понять, где именно чинить и то, и другое.

Джобы по умолчанию выполняются параллельно; needs: рисует рёбра зависимостей, сериализующие их в DAG (directed acyclic graph — направленный ациклический граф):

jobs:
  build:
    runs-on: ubuntu-latest
    outputs:
      artifact: ${{ steps.pack.outputs.name }}
    steps: [ ... ]
  test:
    needs: build               # ждёт build, читает его outputs
    runs-on: ubuntu-latest
  deploy:
    needs: [build, test]       # ждёт оба
    if: ${{ github.ref == 'refs/heads/main' }}
    timeout-minutes: 15        # убей зависший деплой, не жги 6ч

Каждый джоб выполняется на свежем раннере без общей файловой системы — потому данные между джобами идут через outputs (короткие строки) или артефакты (файлы), никогда через диск. Джоб не наследует ничего из чужого рабочего каталога. Два продакшн-контроля живут на этом уровне: timeout-minutes (дефолт — щедрые 360 минут / 6 часов на джоб — слишком долго для большинства работы, поэтому задай реальный потолок, иначе зависший шаг сожжёт часы времени раннера) и условия if:, закрывающие целые джобы. needs также пробрасывает сбой: если build падает, test и deploy пропускаются — если только нижестоящий джоб не подпишется выполниться всё равно через if: ${{ always() }} или if: ${{ !cancelled() }}.

Матрица: одно определение джоба, много ног

strategy.matrix разворачивает один джоб в одну ногу на комбинацию — декартово произведение каждого измерения:

strategy:
  fail-fast: false       # не отменяй соседей при падении одной ноги
  max-parallel: 6        # максимум 6 ног выполняются одновременно
  matrix:
    os: [ubuntu-latest, windows-latest, macos-latest]
    node: [18, 20, 22]
    include:
      - { os: ubuntu-latest, node: 22, coverage: true }  # добавить/дополнить ногу
    exclude:
      - { os: macos-latest, node: 18 }                   # выкинуть комбинацию

Числа, управляющие ценой и поведением:

• Оно умножает. 3 os × 3 node = 9 ног; добавление любого третьего измерения умножает снова. Это взрыв из Hook — матрица — самое лёгкое место в Actions, чтобы случайно увеличить счёт в 10 раз.
• fail-fast (дефолт true) отменяет все выполняющиеся и стоящие в очереди ноги в момент падения одной — быстрая обратная связь, но теряешь полную картину сбоя. Поставь false, чтобы видеть каждую падающую комбинацию, ценой оплаты их всех.
• max-parallel ограничивает, сколько ног выполняются разом; без него ноги выполняются настолько параллельно, насколько позволяет лимит concurrency твоих раннеров (а матрица ограничена 256 ногами на запуск workflow).
• include/exclude — инструменты точности: exclude убирает сгенерированную комбинацию; include добавляет разовую ногу или дополняет существующую лишними ключами — способ получить выверенное покрытие вместо слепой сетки.

Вместе эти четыре рычага значат, что от взорвавшейся матрицы всегда можно оправиться: ограничь горение через max-parallel, обрежь произведение через exclude/include, реши, нужна ли быстрая обратная связь или полная картина, через fail-fast. Без max-parallel на матрице, о которой не подумал, одно новое измерение за ночь превращает управляемые 9 ног в пожар из 80 раннеров.

Reusable workflows: факторизуй пайплайн

Когда та же последовательность build-test-scan появляется в двадцати репозиториях, copy-paste гниёт. Reusable workflow — это workflow с on: workflow_call, который другие workflow вызывают как один джоб:

# .github/workflows/build.yml  (reusable workflow)
on:
  workflow_call:
    inputs:
      node: { type: string, required: true }
    secrets:
      token: { required: true }

# вызывающий
jobs:
  ci:
    uses: my-org/ci/.github/workflows/build.yml@v2   # пин к тегу/SHA
    with: { node: "20" }
    secrets: { token: ${{ secrets.NPM_TOKEN }} }

Жёсткие лимиты, которые стоит запомнить: цепочка вызовов вложена до 4 уровней вглубь (reusable workflow вызывает другой, и так далее — workflow 4-го уровня сам уже не может вызвать reusable workflow), и один файл workflow может ссылаться максимум на 20 уникальных reusable workflows по всему дереву. Пинь ссылку uses: к тегу или SHA, никогда к движущейся ветке, по той же supply-chain-причине, по которой пинишь экшены — @main позволяет вызываемому workflow меняться под тобой. Секреты не наследуются автоматически; ты либо передаёшь их явно под secrets:, либо форвардишь все через secrets: inherit. Так крупные организации держат одно проаудированное определение пайплайна и вызывают его везде, вместо двадцати расходящихся копий.