FROM node:24-alpine AS builder
WORKDIR /app

# 호스트의 npm 11 이 작성한 package-lock.json 형식과 호환되도록 npm 을 11 로 고정
# (베이스 이미지의 번들 npm 이 바뀌어도 lock 형식이 어긋나지 않게 한다. 전역 설치는 root 권한이 필요하므로 USER 전환 전에 수행)
RUN npm install -g npm@11

# 개발 환경(docker-compose.dev.yml)은 이 스테이지를 그대로 구동하므로 비-root 로 전환한다.
# /app 소유권을 넘겨야 익명 볼륨(node_modules)도 node 소유로 생성되어 캐시 쓰기가 가능하다.
RUN chown node:node /app
USER node

# 재현 가능한 빌드를 위해 npm ci 사용 (lockfile 기반)
COPY --chown=node:node package*.json ./
RUN npm ci

# 호스트의 node_modules·dist·.env 는 .dockerignore 로 제외된다
COPY --chown=node:node . .
RUN npm run build

FROM node:24-alpine AS production
WORKDIR /app

ENV NODE_ENV=production

# 운영 stage 도 동일 npm 버전 사용
RUN npm install -g npm@11

# 운영용 의존성만 설치
COPY package*.json ./
RUN npm ci --omit=dev && npm cache clean --force

COPY --from=builder /app/dist ./dist

# 업로드 디렉터리를 node 소유로 미리 만든다 — 볼륨 없이 띄우거나 named volume 을 붙여도 비-root 앱이 쓸 수 있다.
# 호스트 디렉터리를 바인드 마운트하면 호스트 쪽 소유권을 따른다 (README "운영 배포" 의 chown 참조)
RUN mkdir -p /app/uploads && chown node:node /app/uploads

EXPOSE 3000

# 비-root 실행 (보안 규칙)
USER node

CMD ["node", "dist/main"]