Gitリポジトリをシェルスクリプトから操作する設計｜自動pull・差分検知・タグ付与を安全に実装する方法

この記事のポイント

・cronやsystemdではSSH_AUTH_SOCKがないためGIT_SSH_COMMANDで鍵ファイルを明示する
・git status --porcelainはスクリプトで変更の有無を判定するのに最適な出力形式
・git pull --rebaseとgit stashを組み合わせてローカル変更がある状態でも安全に同期する
・git tag -aで注釈付きタグを自動付与し、デプロイ記録をリポジトリ履歴に残す

#!/bin/bash
set -euo pipefail

# ログファイルへ全出力をリダイレクト（cronからの実行時に記録が残る）
LOG_FILE="/var/log/git-deploy.log"
exec >> "${LOG_FILE}" 2>&1

# タイムスタンプ付きログ関数
timestamp() { date '+%Y-%m-%d %H:%M:%S'; }
log()       { echo "[$(timestamp)] $*"; }

REPO_DIR="/srv/myapp"

# 終了時に常に実行されるクリーンアップ
cleanup() {
    local exit_code=$?
    if [ "${exit_code}" -ne 0 ]; then
        log "[ERROR] スクリプト異常終了: exit code=${exit_code}"
    fi
}
trap cleanup EXIT

log "[INFO] デプロイスクリプト開始"

# デプロイ専用の鍵を使う（root鍵や個人鍵は使わない）
export GIT_SSH_COMMAND="ssh -i /home/deploy/.ssh/id_ed25519 \
  -o StrictHostKeyChecking=no \
  -o BatchMode=yes"

# git操作の前にテストしておくと安心
git -C "${REPO_DIR}" ls-remote --heads origin

# cron環境を模したコマンド（環境変数を最小限にして実行）
$ env -i HOME=/home/deploy \
    GIT_SSH_COMMAND="ssh -i /home/deploy/.ssh/id_ed25519 -o BatchMode=yes -o StrictHostKeyChecking=no" \
    git -C /srv/myapp ls-remote --heads origin

# 成功例（ブランチ一覧が返る）
a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2	refs/heads/main
7f8e9d0c1b2a7f8e9d0c1b2a7f8e9d0c1b2a7f8e	refs/heads/develop

# 通常のgit status（人間向け・スクリプト解析には向かない）
$ git status
On branch main
Changes not staged for commit:
  (use "git add ..." to update what will be committed)
	modified:   src/app.py

# --porcelain（機械可読・XY形式で変更種別を2文字で表す）
$ git status --porcelain
 M src/app.py
?? tmp/debug.log

# XY形式の意味（先頭2文字）
# M  = インデックス変更済み
#  M = 作業ツリー変更済み
# ?? = 追跡外ファイル
# A  = 新規追加（ステージ済み）

# 変更の有無を確認する関数
has_local_changes() {
    local repo_dir="$1"
    git -C "${repo_dir}" status --porcelain | grep -q .
}

# 使い方
if has_local_changes "${REPO_DIR}"; then
    CHANGED_COUNT=$(git -C "${REPO_DIR}" status --porcelain | wc -l)
    log "[WARN] ローカルに未コミットの変更が ${CHANGED_COUNT} 件あります"
fi

# pull前のコミットIDを記録
BEFORE_HASH=$(git -C "${REPO_DIR}" rev-parse HEAD)

# pull実行（詳細は次節）
git -C "${REPO_DIR}" pull --rebase origin main

# pull後のコミットIDと変更統計を記録
AFTER_HASH=$(git -C "${REPO_DIR}" rev-parse HEAD)
if [ "${BEFORE_HASH}" != "${AFTER_HASH}" ]; then
    log "[INFO] 変更内容:"
    git -C "${REPO_DIR}" diff --stat "${BEFORE_HASH}" "${AFTER_HASH}" | while read -r line; do
        log "  ${line}"
    done
else
    log "[INFO] 変更なし（リモートと同期済み）"
fi

# 実際のlog出力例:
# [2026-08-28 14:30:12] [INFO] 変更内容:
# [2026-08-28 14:30:12]   src/app.py     |  8 ++++++--
# [2026-08-28 14:30:12]   conf/nginx.conf |  2 +-
# [2026-08-28 14:30:12]   2 files changed, 7 insertions(+), 3 deletions(-)

# マージコミットを作らずpull
git -C "${REPO_DIR}" pull --rebase origin main

pull_safe() {
    local repo_dir="$1"
    local remote="${2:-origin}"
    local branch="${3:-main}"
    local stashed=0

    # ローカル変更があればstashする
    if has_local_changes "${repo_dir}"; then
        log "[INFO] ローカル変更をstashします"
        git -C "${repo_dir}" stash push -m "auto-stash $(date '+%Y%m%d-%H%M%S')"
        stashed=1
    fi

    # pullを実行し、失敗時はstashを復元してexit
    if ! git -C "${repo_dir}" pull --rebase "${remote}" "${branch}"; then
        log "[ERROR] pull失敗。stashを復元します"
        [ "${stashed}" -eq 1 ] && git -C "${repo_dir}" stash pop || true
        return 1
    fi

    # pullが成功したらstashを復元
    if [ "${stashed}" -eq 1 ]; then
        log "[INFO] stashを復元します"
        git -C "${repo_dir}" stash pop
    fi

    log "[INFO] pullが完了しました"
}

# pull失敗を握りつぶさずに原因をログに残す例
if ! pull_safe "${REPO_DIR}" origin main; then
    log "[ERROR] git pullに失敗しました。次の実行まで待機します"
    # 通知が必要な場合はここでcurl/mailコマンドを呼ぶ
    exit 1
fi

create_deploy_tag() {
    local repo_dir="$1"
    local env_name="${2:-production}"

    # タグ名は日時+環境名で一意にする
    local tag_name
    tag_name="deploy-${env_name}-$(date '+%Y%m%d-%H%M%S')"

    # 現在のコミットに注釈付きタグを付ける
    git -C "${repo_dir}" tag -a "${tag_name}" \
        -m "Deployed by $(id -un) on $(hostname) at $(date '+%Y-%m-%d %H:%M:%S')"

    log "[INFO] タグを付与しました: ${tag_name}"

    # リモートにタグをpush
    if git -C "${repo_dir}" push origin "${tag_name}" 2>&1; then
        log "[INFO] リモートへのタグpushが完了しました"
    else
        # タグのpush失敗はデプロイの失敗ではない（ローカルには残る）
        log "[WARN] タグのpushに失敗しました。ローカルには記録されています"
    fi
}

# 未pushの全タグをリモートに送る
git -C "${REPO_DIR}" push origin --tags

# 実行結果例:
# Enumerating objects: 1, done.
# Counting objects: 100% (1/1), done.
# Writing objects: 100% (1/1), 222 bytes | 222.00 KiB/s, done.
# Total 1 (delta 0), reused 0 (delta 0), pack-reused 0
# To git@github.com:company/myapp.git
#  * [new tag]         deploy-production-20260828-143012 -> deploy-production-20260828-143012