#!/usr/bin/env bash
# OpenWorkBuddy 服务器一键部署（Docker）
#
#   bash deploy.sh                              # 起在 127.0.0.1:3800，自己用 / 先试试
#   bash deploy.sh --domain buddy.example.com   # 带自动 HTTPS，直接对外能用
#   bash deploy.sh --update                     # 拉最新代码，重建，重启
#   bash deploy.sh --logs                       # 跟日志
#   bash deploy.sh --down                       # 停掉（数据留着）
#
# 数据全在 ./openworkbuddy-data 一个目录里。容器随便删，那个目录别删。
#
# 这个脚本不装 Docker、不改防火墙、不动系统配置——那些得你自己点头。
# 缺什么它会告诉你怎么装。

set -euo pipefail

REPO_URL="${OPENWORKBUDDY_REPO:-https://github.com/CatCatUncle/openworkbuddy.git}"
DIR="${OPENWORKBUDDY_DIR:-$HOME/openworkbuddy}"

DOMAIN=""
ACTION="up"
BIND=""
PORT=""

say()  { printf "\033[1;34m▸\033[0m %s\n" "$*"; }
ok()   { printf "\033[1;32m✓\033[0m %s\n" "$*"; }
warn() { printf "\033[1;33m!\033[0m %s\n" "$*"; }
die()  { printf "\033[1;31m✗ %s\033[0m\n" "$*" >&2; exit 1; }

while [ $# -gt 0 ]; do
  case "$1" in
    --domain) DOMAIN="${2:-}"; [ -n "$DOMAIN" ] || die "--domain 后面得跟域名"; shift 2 ;;
    --domain=*) DOMAIN="${1#*=}"; shift ;;
    --bind)   BIND="${2:-}";   shift 2 ;;
    --bind=*) BIND="${1#*=}";  shift ;;
    --port)   PORT="${2:-}";   shift 2 ;;
    --port=*) PORT="${1#*=}";  shift ;;
    --update) ACTION="update"; shift ;;
    --logs)   ACTION="logs";   shift ;;
    --down)   ACTION="down";   shift ;;
    -h|--help) sed -n '2,/^$/p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
    *) die "不认识的参数：$1（-h 看用法）" ;;
  esac
done

# ---------- 1. 环境 ----------
command -v docker >/dev/null 2>&1 || die "没装 Docker。
  Linux：curl -fsSL https://get.docker.com | sh
  macOS：https://www.docker.com/products/docker-desktop/
  装完记得 sudo usermod -aG docker \$USER 然后重新登录，不然每条命令都得 sudo。"

docker compose version >/dev/null 2>&1 || die "Docker 装了，但没有 compose 插件（docker compose）。
  Debian/Ubuntu：sudo apt-get install -y docker-compose-plugin
  或者升级到新版 Docker Desktop。"

docker info >/dev/null 2>&1 || die "Docker 守护进程没跑起来，或者当前用户没权限。
  systemctl start docker  ／  sudo usermod -aG docker \$USER 后重新登录"

ok "Docker $(docker version --format '{{.Server.Version}}' 2>/dev/null || echo '')"

# ---------- 2. 取代码 ----------
if [ -f "package.json" ] && grep -q '"name": "openworkbuddy"' package.json 2>/dev/null; then
  DIR="$(pwd)"
  say "就在当前目录部署：$DIR"
elif [ -d "$DIR/.git" ]; then
  say "已存在 $DIR"
else
  command -v git >/dev/null 2>&1 || die "没装 git"
  say "克隆到 $DIR"
  git clone --depth 1 "$REPO_URL" "$DIR"
fi
cd "$DIR"
[ -f docker-compose.yml ] || die "$DIR 里没有 docker-compose.yml，这不像是 OpenWorkBuddy 的目录"

# ---------- 3. .env ----------
if [ ! -f .env ]; then
  cp deploy/env.example .env
  ok "已生成 .env（照抄 deploy/env.example，没有任何密钥在里面）"
fi

# 把命令行参数写回 .env，这样下次不带参数跑也是同一套配置
setenv() {  # setenv KEY VALUE
  local k="$1" v="$2"
  if grep -qE "^${k}=" .env; then
    # BSD sed（macOS）和 GNU sed 的 -i 语法不一样，用临时文件绕开
    awk -v k="$k" -v v="$v" 'BEGIN{FS=OFS="="} $1==k{print k "=" v; next} {print}' .env > .env.tmp && mv .env.tmp .env
  else
    printf '%s=%s\n' "$k" "$v" >> .env
  fi
}
[ -n "$DOMAIN" ] && setenv OPENWORKBUDDY_DOMAIN "$DOMAIN"
[ -n "$BIND" ]   && setenv OPENWORKBUDDY_BIND   "$BIND"
[ -n "$PORT" ]   && setenv OPENWORKBUDDY_PORT   "$PORT"
# 走 --domain 就是我们自己在前面起 caddy，那这一层反代是确定存在的，直接把开关打开。
# 不打开的话：所有请求在应用看来都来自 caddy 那一个 IP，注册限流 5 次/15 分钟
# 会变成「第 6 个同事注册不了」，登录限流会变成「有人连错几次密码全公司一起进不去」。
# 只在 --domain 时自动填，是因为「填了却没反代」比「没填」更糟——那等于把闸拆给外网。
[ -n "$DOMAIN" ] && setenv OPENWORKBUDDY_TRUST_PROXY 1

# 读回最终值（.env 是纯 KEY=VALUE，可以直接 source）
set -a; . ./.env; set +a
OPENWORKBUDDY_DATA="${OPENWORKBUDDY_DATA:-./openworkbuddy-data}"
OPENWORKBUDDY_BIND="${OPENWORKBUDDY_BIND:-127.0.0.1}"
OPENWORKBUDDY_PORT="${OPENWORKBUDDY_PORT:-3800}"
OPENWORKBUDDY_DOMAIN="${OPENWORKBUDDY_DOMAIN:-}"
OPENWORKBUDDY_TRUST_PROXY="${OPENWORKBUDDY_TRUST_PROXY:-0}"

mkdir -p "$OPENWORKBUDDY_DATA"

# 空数组在 macOS 自带的 bash 3.2 + set -u 下直接展开会报 unbound variable，
# 所以下面一律写成 ${PROFILE[@]+"${PROFILE[@]}"}
PROFILE=()
[ -n "$OPENWORKBUDDY_DOMAIN" ] && PROFILE=(--profile https)

# ---------- 4. 干活 ----------
case "$ACTION" in
  logs) exec docker compose ${PROFILE[@]+"${PROFILE[@]}"} logs -f ;;
  down) docker compose ${PROFILE[@]+"${PROFILE[@]}"} down; ok "停了。数据还在 $OPENWORKBUDDY_DATA，下次 bash deploy.sh 接着用"; exit 0 ;;
  update)
    if [ -d .git ]; then say "拉最新代码"; git pull --ff-only || warn "拉取失败（本地有改动？），用现有代码继续"; fi
    ;;
esac

say "构建镜像（第一次要几分钟，之后有缓存就快了）"
docker compose ${PROFILE[@]+"${PROFILE[@]}"} build

say "启动"
docker compose ${PROFILE[@]+"${PROFILE[@]}"} up -d

# ---------- 5. 等它真的活过来 ----------
say "等健康检查通过…"
HEALTHY=0
for _ in $(seq 1 60); do
  st="$(docker inspect --format '{{if .State.Health}}{{.State.Health.Status}}{{else}}none{{end}}' openworkbuddy 2>/dev/null || echo missing)"
  case "$st" in
    healthy) HEALTHY=1; break ;;
    unhealthy) break ;;
  esac
  # 容器可能直接挂了，别傻等满 5 分钟
  [ "$(docker inspect --format '{{.State.Running}}' openworkbuddy 2>/dev/null || echo false)" = "true" ] || break
  sleep 5
done

if [ "$HEALTHY" != "1" ]; then
  warn "没等到健康。最后 40 行日志："
  docker compose logs --tail=40 app || true
  die "起不来。常见原因：端口被占（换 --port）、config.json 写坏了（删掉 $OPENWORKBUDDY_DATA/config.json 让它重建）。"
fi

if [ -n "$OPENWORKBUDDY_DOMAIN" ]; then URL="https://$OPENWORKBUDDY_DOMAIN"; else URL="http://$OPENWORKBUDDY_BIND:$OPENWORKBUDDY_PORT"; fi

cat <<EOF

$(ok "起来了：$URL")

  下一步（这两条别拖，尤其第一条）：

  1. 现在就打开 $URL 注册第一个账号。
     第一个注册的就是管理员，注册完之后默认不再允许别人自建账号。
     空着的实例挂在那儿，等于谁先访问谁是管理员。

  2. 填模型 API Key（界面会引导），填完当场发一条真请求验活，通过才存。
     Key 存在 $OPENWORKBUDDY_DATA/config.json，不进镜像也不进 git。

  管理员登录后，头像菜单 → 企业管理后台，可以建组织、分席位、看用量、
  配组织级的安全策略（能不能跑命令行、能访问哪些域名、登录多久过期）。

  常用命令：
      bash deploy.sh --logs      跟日志
      bash deploy.sh --update    拉代码 + 重建 + 重启
      bash deploy.sh --down      停掉（数据留着）

EOF

if [ -z "$OPENWORKBUDDY_DOMAIN" ] && [ "$OPENWORKBUDDY_BIND" = "127.0.0.1" ]; then
  cat <<'EOF'
  现在只有这台机器自己连得上。要让别人也能用，二选一：
      bash deploy.sh --domain buddy.example.com     # 自带 HTTPS，推荐
      自己配 nginx 反代                              # 抄 deploy/README.md 里的配置

EOF
fi

if [ "$OPENWORKBUDDY_BIND" = "0.0.0.0" ] && [ -z "$OPENWORKBUDDY_DOMAIN" ]; then
  warn "你把它直接挂在 0.0.0.0 上，而且没有 HTTPS。这个 agent 手里有 run_shell，"
  warn "等于把这台机器的 shell 用明文 HTTP 挂到了公网。至少去 设置 → 安全 确认「安全网关」开着。"
fi