# Paperless-ngx fuer die ecoDMS-Migration
#
# Vorbereitung einmalig:
#   mkdir -p data/{data,media,export,consume,pgdata,redis}
#   chown -R 1500:1500 data/{data,media,export,consume,redis}
#   chown 999:999      data/pgdata
#   # auf Btrfs zusaetzlich, VOR dem ersten Start:
#   chattr +C data/pgdata data/redis
#
# Auf Systemen mit SELinux im Enforcing-Modus brauchen Bind Mounts eine
# Kennzeichnung. Dauerhaft ueber semanage, siehe docs/01.
#
# Aufruf:
#   docker compose up -d --build

services:

  broker:
    image: docker.io/library/redis:7
    restart: unless-stopped
    user: "1500:1500"
    volumes:
      - ./data/redis:/data
    healthcheck:
      test: ["CMD", "redis-cli", "ping"]
      interval: 10s
      timeout: 5s
      retries: 5

  db:
    image: docker.io/library/postgres:17
    restart: unless-stopped
    #
    # KEIN "user:" setzen. Das Einstiegsskript korrigiert beim Start Besitzer
    # und Rechte des Datenverzeichnisses und schaltet dann selbst auf seinen
    # internen Benutzer postgres (UID 999) herunter. Ein erzwungener Benutzer
    # laesst das mit "Permission denied" scheitern. Stattdessen gehoert das
    # Verzeichnis auf dem Host der 999.
    volumes:
      - ./data/pgdata:/var/lib/postgresql/data
    environment:
      POSTGRES_DB: paperless
      POSTGRES_USER: paperless
      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}
      POSTGRES_INITDB_ARGS: "--data-checksums"
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U paperless -d paperless"]
      interval: 10s
      timeout: 5s
      retries: 5

  gotenberg:
    # Wandelt Office-Dokumente in PDF und rendert HTML-Mails.
    # Ohne diesen Dienst bleiben Office-Originale ohne Archivdatei.
    #
    # KEIN "user:" setzen. Chromium legt beim Start ein Crashpad-Verzeichnis
    # im Home des internen Benutzers an. Unter fremder UID scheitert das mit
    # "chrome_crashpad_handler: --database is required" (HTTP 500 beim Rendern
    # von .eml). Unkritisch: keine Bind Mounts, nur internes Netz.
    image: docker.io/gotenberg/gotenberg:8
    restart: unless-stopped
    command:
      - "gotenberg"
      - "--chromium-disable-javascript=true"
      - "--chromium-allow-list=file:///tmp/.*"

  tika:
    # Version GEPINNT und nicht ":latest".
    # ":latest" zeigt inzwischen auf Tika 4.0.0, und Paperless 3.1 quittiert
    # das mit "HTTP 406 Not Acceptable" bei JEDEM Office-Dokument und JEDER
    # .eml - ohne verwertbare Fehlermeldung im Task. Diesen Stand nicht ohne
    # Test anheben.
    image: docker.io/apache/tika:3.2.3.0
    restart: unless-stopped
    user: "1500:1500"

  webserver:
    # Ohne E-Rechnungs-Plugin stattdessen:
    #   image: ghcr.io/paperless-ngx/paperless-ngx:3.1.0
    # und den build-Block entfernen.
    build:
      context: .
      dockerfile: Dockerfile
    image: paperless-ngx-local:3.1.0
    restart: unless-stopped
    #
    # Das Image startet bereits als unprivilegierter Benutzer (1000:1000),
    # nicht als root. USERMAP_UID/GID sind damit wirkungslos - sie greifen
    # nur, wenn das Einstiegsskript als root beginnt. Die UID wird deshalb
    # hier fest gesetzt, passend zum Dateibesitz unter ./data.
    user: "1500:1500"
    depends_on:
      db:
        condition: service_healthy
      broker:
        condition: service_healthy
      gotenberg:
        condition: service_started
      tika:
        condition: service_started
    ports:
      - "${BIND_IP:-127.0.0.1}:8000:8000"
    volumes:
      - ./data/data:/usr/src/paperless/data
      - ./data/media:/usr/src/paperless/media
      - ./data/export:/usr/src/paperless/export
      - ./data/consume:/usr/src/paperless/consume
      # Nur waehrend der Migration: Exportbestand read-only einhaengen.
      #- /pfad/zu/export-daten:/ecodms:ro
    env_file: .env
    healthcheck:
      test: ["CMD", "curl", "-fs", "-S", "--max-time", "2", "http://localhost:8000"]
      interval: 30s
      timeout: 10s
      retries: 5
      start_period: 60s
    logging:
      driver: json-file
      options:
        max-size: "10m"
        max-file: "3"