Die Veröffentlichung meldete Erfolg, obwohl nichts ankam

docker buildx build --push beendete mit Rückgabewert 0, nachdem es
"ERROR: failed to build" gedruckt hatte — ein TLS-Zeitlimit mitten im
Hochladen. Das Skript meldete "Fertig", in der Registry lag das alte Image,
und auf dem NAS wäre eine Fassung angekommen, die niemand gebaut hat.

Das ist die schlimmste Sorte Fehler: einer, der wie Erfolg aussieht.

Jetzt wird der Digest vor und nach dem Bau abgefragt. Antwortet die
Registry nicht, oder liegt dort noch derselbe Stand wie vorher, bricht das
Skript mit Rückgabewert 1 ab und sagt es.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Tools/image-veroeffentlichen.sh

@@ -53,6 +53,24 @@ if command -v python3 >/dev/null && [ -f Tools/tokens-pruefen.py ]; then
   }
 fi
 
+# Fragt die Registry, welcher Stand dort unter `latest` liegt.
+#
+# Anonym — das Paket ist öffentlich lesbar. Schlägt es fehl, ist die Antwort
+# leer, und der Aufrufer entscheidet, was das bedeutet.
+registry_digest() {
+  local token
+  token=$(curl -fsS --max-time 20 \
+    "https://$REGISTRY/v2/token?scope=repository:$PFAD:pull&service=container_registry" \
+    | python3 -c 'import json,sys;print(json.load(sys.stdin).get("token",""))' 2>/dev/null) || return 1
+  [ -n "$token" ] || return 1
+
+  curl -fsS --max-time 20 -D- -o /dev/null \
+    -H "Authorization: Bearer $token" \
+    -H "Accept: application/vnd.oci.image.index.v1+json" \
+    "https://$REGISTRY/v2/$PFAD/manifests/latest" 2>/dev/null \
+    | awk 'BEGIN{IGNORECASE=1} /^docker-content-digest:/ {print $2}' | tr -d '\r'
+}
+
 MARKEN=(-t "$BILD:latest")
 [ -n "$FASSUNG" ] && MARKEN+=(-t "$BILD:$FASSUNG")
 
@@ -61,14 +79,49 @@ MARKEN=(-t "$BILD:latest")
 docker buildx inspect flaro-bauer >/dev/null 2>&1 \
   || docker buildx create --name flaro-bauer --use >/dev/null
 
+# **Den Digest festhalten, bevor gebaut wird.** Nur so lässt sich hinterher
+# sagen, ob wirklich etwas Neues angekommen ist.
+vorher=$(registry_digest || true)
+
 echo "Baue $BILD für $PLATTFORMEN."
-docker buildx build \
+if ! docker buildx build \
   --builder flaro-bauer \
   --platform "$PLATTFORMEN" \
   -f server/Dockerfile \
   "${MARKEN[@]}" \
-  --push .
+  --push . ; then
+  echo
+  echo "Der Bau oder das Hochladen ist gescheitert. In der Registry liegt weiter:"
+  echo "    ${vorher:-nichts}"
+  exit 1
+fi
+
+# **Nachsehen, statt zu glauben.**
+#
+# `docker buildx build --push` hat bei einem abgebrochenen Upload schon mit
+# Rückgabewert 0 beendet, nachdem es „ERROR: failed to build" gedruckt hatte —
+# ein TLS-Zeitlimit mitten im Hochladen. Das Skript meldete Erfolg, in der
+# Registry lag das alte Image, und auf dem NAS kam eine Fassung an, die
+# niemand gebaut hatte. Seitdem wird gefragt, nicht vertraut.
+nachher=$(registry_digest || true)
+
+if [ -z "$nachher" ]; then
+  echo
+  echo "Die Registry antwortet nicht auf $BILD:latest — hochgeladen wurde offenbar nichts."
+  exit 1
+fi
+
+if [ -n "$vorher" ] && [ "$vorher" = "$nachher" ]; then
+  echo
+  echo "In der Registry liegt noch derselbe Stand wie vorher:"
+  echo "    $nachher"
+  echo "Das Hochladen ist also nicht durchgekommen. Noch einmal versuchen."
+  exit 1
+fi
 
 echo
-echo "Fertig. Auf dem NAS:"
+echo "Fertig. In der Registry liegt jetzt:"
+echo "    $nachher"
+echo
+echo "Auf dem NAS:"
 echo "    image: $BILD:${FASSUNG:-latest}"