refactor: separate MariaDB and Redis into independent Coolify resources

docs/DEPLOY.md

@@ -8,22 +8,25 @@
 
 ## معماری استک
 
-`docker-compose.yml` پنج سرویس بالا می‌آورد:
+`docker-compose.yml` فقط سرویس‌های **اپلیکیشن** را بالا می‌آورد. **MariaDB و Redis جداگانه** به‌صورت Database Resource مستقل Coolify اجرا می‌شوند (نه داخل این compose):
 
 | سرویس | نقش | نکته |
 |---|---|---|
 | `app` | PHP-FPM + Nginx (وب) | تنها سرویسی که `RUN_INIT=1` دارد؛ مهاجرت DB و تولید کلید JWT را اجرا می‌کند. دامنه‌ها را به این سرویس (پورت 80) وصل کن. |
 | `worker-async` | مصرف‌کننده صف async (SMS و کارهای async) | `messenger:consume async` |
 | `worker-scheduler` | زمان‌بند | هر ۱ دقیقه نوبت‌های پرداخت‌نشده را منقضی می‌کند |
-| `mariadb` | پایگاه‌داده MariaDB 11.8 | healthcheck دارد؛ بقیه منتظرش می‌مانند |
-| `redis` | صف Messenger + کش | `appendonly yes` (ماندگار) |
 
-**ولوم‌های ماندگار** (داده‌ها در ری‌دیپلوی حفظ می‌شوند):
+| Resource مستقل Coolify | نقش |
+|---|---|
+| **MariaDB 11.8** (Database Resource جدا) | پایگاه‌داده — مدیریت/بکاپ/ری‌استارت مستقل |
+| **Redis** (Database Resource جدا) | صف Messenger + کش |
+
+**ولوم‌های ماندگار استک اپ** (در ری‌دیپلوی حفظ می‌شوند):
 
 - `jwt_keys` → کلیدهای JWT
 - `uploads_public` و `uploads_var` → فایل‌های آپلودی
-- `mariadb_data` → داده DB
-- `redis_data` → داده Redis
+
+> داده‌ی MariaDB و Redis توسط خودِ Resourceهای مستقل نگه داشته می‌شود (volume در آن‌ها، نه در این استک).
 
 ---
 
@@ -35,16 +38,27 @@
 
 ---
 
-## مرحله ۱ — ساخت منبع (Resource) در Coolify
+## مرحله ۱ — ساخت دیتابیس‌های مستقل (MariaDB + Redis)
+
+اول این دو Resource را جدا بساز (قبل از استک اپ):
+
+1. **New Resource → Database → MariaDB**، نسخه **11.8** (باید با `serverVersion` در `DATABASE_URL` و migrationها هم‌خوان باشد). نام دیتابیس `clinic_pro`، یوزر `clinic`، یک رمز قوی ست کن.
+2. **New Resource → Database → Redis**.
+3. از صفحه‌ی هر Resource، **Internal URL / hostname** (به شکل `mariadb-<uuid>` و `redis-<uuid>`) و credentials را یادداشت کن — در مرحله ۴ لازم می‌شود.
+
+---
+
+## مرحله ۲ — ساخت منبع اپ (Resource) در Coolify
 
 1. **New Resource → Docker Compose** (Build Pack: `Docker Compose`).
 2. ریپو و برنچ را انتخاب کن.
 3. فیلد **Compose file** را روی `docker-compose.yml` بگذار.
-4. `networks:` سفارشی تعریف **نکن** — شبکه را Coolify مدیریت می‌کند؛ شبکه‌ی سفارشی روتینگ Traefik را می‌شکند.
+4. **"Connect to Predefined Network"** را روی این استک **فعال کن** — تا اپ بتواند به Resourceهای مستقل MariaDB/Redis (که در شبکه‌ی دیگری هستند) وصل شود.
+5. `networks:` سفارشی تعریف **نکن** — شبکه را Coolify مدیریت می‌کند؛ شبکه‌ی سفارشی روتینگ Traefik را می‌شکند.
 
 ---
 
-## مرحله ۲ — دامنه‌ها
+## مرحله ۳ — دامنه‌ها
 
 همه‌ی دامنه‌های سرو شونده را به سرویس **`app`** (پورت 80) اختصاص بده — هم دامنه‌ی API و هم همه‌ی دامنه‌های فرانت‌اند. Coolify لیست دامنه‌ی جدا‌شده با کاما را روی یک سرویس قبول می‌کند و TLS را خودش صادر می‌کند.
 
@@ -52,27 +66,37 @@
 
 ---
 
-## مرحله ۳ — متغیرهای محیطی
+## مرحله ۴ — متغیرهای محیطی
 
-از `.env.coolify.example` کپی کن و در تب **Environment Variables** منبع Coolify بگذار.
+از `.env.coolify.example` کپی کن و در تب **Environment Variables** منبع اپ Coolify بگذار.
 
-فقط متغیرهایی که در `docker-compose.yml` به‌صورت `${...}` ارجاع شده‌اند لازم‌اند. `DATABASE_URL` / `MESSENGER_TRANSPORT_DSN` / `REDIS_URL` داخل خود compose از روی نام سرویس‌ها ساخته می‌شوند.
+### اتصال به دیتابیس‌های مستقل (الزامی)
+
+چون MariaDB/Redis جدا هستند، رشته‌های اتصال **اینجا** ست می‌شوند و به hostname داخلی Resource اشاره می‌کنند (`mariadb-<uuid>` / `redis-<uuid>` از مرحله ۱):
+
+```bash
+DATABASE_URL="mysql://clinic:DB_PASSWORD@mariadb-XXXXXXXX:3306/clinic_pro?serverVersion=mariadb-11.8.0&charset=utf8mb4"
+REDIS_URL="redis://redis-XXXXXXXX:6379"
+MESSENGER_TRANSPORT_DSN="redis://redis-XXXXXXXX:6379/messages"
+# اگر Redis رمز دارد: redis://:PASSWORD@redis-XXXXXXXX:6379
+```
+
+> `serverVersion=mariadb-11.8.0` باید با نسخه‌ی Resource مستقل MariaDB یکی باشد.
 
 ### اسرار (الزامی — قبل از اولین دیپلوی)
 
 ```bash
 APP_SECRET=        # php -r "echo bin2hex(random_bytes(32));"
 JWT_PASSPHRASE=    # openssl rand -hex 32   (باید قبل از اولین استارت موجود باشد؛ کلید JWT با همین ساخته می‌شود)
-DB_PASSWORD=       # رمز کاربر DB اپلیکیشن
-DB_ROOT_PASSWORD=  # رمز root مریادی‌بی
 ```
 
+> رمز DB دیگر اینجا (`DB_PASSWORD`/`DB_ROOT_PASSWORD`) ست نمی‌شود — هنگام ساخت Resource مستقل MariaDB تعیین می‌شود و داخل `DATABASE_URL` بالا قرار می‌گیرد.
+
 > ⚠️ `JWT_PASSPHRASE` را بعد از اولین دیپلوی عوض نکن — کلید JWT یک‌بار با همین passphrase تولید و روی ولوم `jwt_keys` ماندگار می‌شود. تغییرش همه‌ی توکن‌ها را می‌شکند.
 
 در Coolify می‌توانی به‌جای هاردکد از magic var استفاده کنی:
 
 ```bash
-DB_PASSWORD=${SERVICE_PASSWORD_DB}
 APP_SECRET=${SERVICE_HEX_APPSECRET}
 ```
 
@@ -115,20 +139,21 @@ API_IR_TOKEN=    # خالی => fail-closed (تأیید نماینده رد می
 
 ---
 
-## مرحله ۴ — دیپلوی
+## مرحله ۵ — دیپلوی
 
 روی **Deploy** بزن. در اولین استارت به‌صورت خودکار این‌ها اتفاق می‌افتد (`entrypoint.sh` + `RUN_INIT=1` روی سرویس `app`):
 
 1. مالکیت `var`, `public/uploads`, `config/jwt` به `www-data` داده می‌شود.
-2. کلید JWT اگر روی ولوم نباشد ساخته می‌شود (`--skip-if-exists`).
-3. کش prod پاک و warmup می‌شود.
-4. مهاجرت‌های DB با `--all-or-nothing` اعمال می‌شوند (ترنزکشن).
+2. منتظر آماده‌شدن DB مستقل می‌ماند (تا ~۶۰ ثانیه؛ چون دیگر `depends_on: service_healthy` نیست).
+3. کلید JWT اگر روی ولوم نباشد ساخته می‌شود (`--skip-if-exists`).
+4. کش prod پاک و warmup می‌شود.
+5. مهاجرت‌های DB با `--all-or-nothing` اعمال می‌شوند (ترنزکشن).
 
 > ورکرها `RUN_INIT=0` دارند تا مهاجرت/تولید کلید با هم تداخل نکنند.
 
 ---
 
-## مرحله ۵ — پس از اولین دیپلوی
+## مرحله ۶ — پس از اولین دیپلوی
 
 ### ساخت اولین ادمین
 
@@ -151,7 +176,7 @@ push روی برنچ متصل (یا Deploy دستی). در هر ری‌دیپل
 
 - ایمیج دوباره build می‌شود (vendor + اسمبل فرانت‌اند multi-stage).
 - مهاجرت‌های جدید روی استارت `app` اعمال می‌شوند.
-- ولوم‌ها حفظ می‌شوند (DB، آپلودها، کلیدهای JWT، Redis سالم می‌مانند).
+- ولوم‌های استک اپ (آپلودها، کلیدهای JWT) حفظ می‌شوند. داده‌ی MariaDB/Redis در Resourceهای مستقل مستقل از این ری‌دیپلوی سالم می‌ماند.
 
 ---
 
@@ -160,7 +185,8 @@ push روی برنچ متصل (یا Deploy دستی). در هر ری‌دیپل
 | نشانه | علت محتمل |
 |---|---|
 | ارورهای CORS در فرانت | `CORS_ALLOW_ORIGIN` با دامنه نمی‌خواند؛ از `gen-cors-env.php` بازتولید کن |
-| `app` بالا نمی‌آید، منتظر DB می‌ماند | healthcheck `mariadb` رد نشده؛ لاگ mariadb را ببین |
+| `app` با «waiting for database...» می‌ماند و بعد ۶۰ ثانیه می‌میرد | اپ به Resource مستقل MariaDB نمی‌رسد؛ چک کن: «Connect to Predefined Network» فعال است، hostname در `DATABASE_URL` درست (`mariadb-<uuid>`) و رمز/نسخه‌ی Resource درست است |
+| `redis` در دسترس نیست / صف کار نمی‌کند | `REDIS_URL`/`MESSENGER_TRANSPORT_DSN` به `redis-<uuid>` درست اشاره نمی‌کند یا رمز جا افتاده |
 | ۴۰۱/توکن نامعتبر بعد از ری‌دیپلوی | `JWT_PASSPHRASE` تغییر کرده یا ولوم `jwt_keys` پاک شده |
 | IPها/HTTPS اشتباه پشت پراکسی | `TRUSTED_PROXIES` ست نشده |
 | مهاجرت اجرا نشد | فقط `app` با `RUN_INIT=1` اجرا می‌کند؛ مطمئن شو override نشده |