#!/usr/bin/env bash
# ---------------------------------------------------------------------------
# denpa を立てる。**Linux でも Mac でも同じ 1 行で、ブラウザが開くところまで。**
#
#   curl -fsSL https://raw.githubusercontent.com/danything/denpa/main/install.sh | bash
#   … | bash -s -- --no-open      ブラウザを開かない
#   … | bash -s -- --uninstall    止めて外す (~/denpa の compose と設定、録画・DB は残す)
#   … | bash -s -- --no-docker    Mac だけ: エージェントだけ (denpa 本体は別の Linux で動かす)
#
# Windows は install.ps1 (同じ作りを PowerShell で。docs/install-windows.md)
#
# **Linux** は全部 Docker Compose (compose.prod.yml をそのまま置く)。
# **Mac (Apple Silicon)** は、エージェントを Mac の上でそのまま動かし (LaunchAgent)、
# denpa 本体だけ Docker で (compose.mac.yml)。Mac の Docker はコンテナに USB を渡せないので、
# チューナーとカードに触るエージェントはコンテナに入れられない。
#
# **Docker は勝手に入れない。** 無い・起きていない・触る権限が無いときは、入れ方を案内して止まる
# (Mac はエージェントだけ入れてから)。もう一度流せば、そのまま上げ直しになる (pull して up -d)。
# compose ファイルもイメージも**最新のリリースのバージョン**に揃える (取ってきた compose.yml のタグを書き換える)。
#
# **入口は genkan** (https://github.com/danything/genkan。ホスト名でコンテナに振り分けるリバースプロキシ)。
# 動いていればそれを使い、無ければ 80 と 443 が空いているときだけ ~/genkan に入れて、
# http://denpa.localhost で開けるようにする (登録は compose.override.yml に書く)。
# ポート 3000 は残す。denpa.localhost はそのマシンからしか引けないので、LAN のほかの機械は IP:3000。
#
# 置き場:
#   Linux / Mac  ~/denpa (DENPA_HOME で変えられる)    compose.yml (上げ直すたびに上書き)・compose.override.yml
#                                                     (手を入れるならここ。無いときだけ雛形を作り、あれば触らない)・config/・
#                                                     .env (denpa とエージェントが組むときの合言葉 AGENT_PAIR_TOKEN。無いときだけ足す)
#   Mac だけ     ~/Library/Application Support/denpa-agent/  エージェント・px4-userland・siano-userland
#                ~/Library/LaunchAgents/<LABEL>.plist        ログインしたら起こし、落ちたら起こし直す
#                ~/Library/Logs/denpa-agent.log              エージェントのログ
#                ~/Movies/denpa/{recorded,library}           元の TS (エージェントとコンテナの両方が見る) と出来上がった録画
#
# 環境変数: DENPA_VERSION (v1.2.3 のように。既定は最新のリリース。CI はコミットを渡す)、DENPA_HOME、
# DENPA_AGENT_TARBALL (Mac: 手元でビルドしたエージェントの tar.gz を絶対パスで。CI と開発用)
#
# macOS の bash は 3.2 なので、4 以降の書き方 (連想配列・mapfile など) は使わない。
# ---------------------------------------------------------------------------
set -euo pipefail

# px4-userland / siano-userland のバージョン (Mac)。**agent/Dockerfile と揃える** (Renovate が両方いっしょに上げる)。
# 中身は配布元の SHA256SUMS で確かめるので、バージョンを上げてもここのハッシュは要らない
# renovate: datasource=github-releases depName=Khronos31/px4-userland extractVersion=^v(?<version>.*)$
PX4_USERLAND_VERSION=0.2.1
# renovate: datasource=github-releases depName=Khronos31/siano-userland extractVersion=^v(?<version>.*)$
SIANO_USERLAND_VERSION=0.1.10
ISDBT_RIO_SHA256=054520642d5d09cb7ab7d08dbd6fd9ba9365de56adf2e7d7d06927f9845ff818
# IT930x のファームウェアはエージェントに同梱している (agent/Denpa.Agent/Px4Firmware.cs)。ここでは置かない

REPO=danything/denpa
URL=http://localhost:3000
GENKAN_URL=http://denpa.localhost
DENPA_DIR="${DENPA_HOME:-$HOME/denpa}"
# install.sh が書いた compose.yml の 1 行目 (前のバージョンが書いたものと見分けるので、文言は変えない)
MARK="# install.sh が置いた (版"

open_browser=yes uninstall=no docker_mode=yes
for arg in "$@"; do
  case "$arg" in
    --no-open) open_browser=no ;;
    --uninstall) uninstall=yes ;;
    --no-docker) docker_mode=no ;;
    *) echo "知らない引数: $arg (--no-open / --uninstall / --no-docker)" >&2; exit 2 ;;
  esac
done

say() { printf '\033[1m==>\033[0m %s\n' "$*"; }
die() { printf '\033[31mエラー:\033[0m %s\n' "$*" >&2; exit 1; }
# 時間の上限を付ける。繋がったまま止まる相手 (落ちかけのサイト) だと、付けなければいつまでも待つ。
# 時間切れも --retry が試し直す
CURL_LIMITS=(--connect-timeout 20 --max-time 300)
fetch() { curl -fsSL --retry 3 "${CURL_LIMITS[@]}" -o "$2" "$1" || die "ダウンロードできません: $1"; }

# 入れるバージョン。compose ファイルはこのバージョン (git の ref) から取り、イメージは x.y.z の形式のときだけそのバージョンに
# 揃える (コミットやブランチなら latest)。API を使わず、latest の転送先からタグを読む (API は回数制限がある)
version() {
  if [ -n "${DENPA_VERSION:-}" ]; then echo "$DENPA_VERSION"; return; fi
  tag=$(curl -fsSLI --connect-timeout 20 --max-time 60 -o /dev/null -w '%{url_effective}' "https://github.com/$REPO/releases/latest") \
    || die "最新のリリースが分かりません"
  echo "${tag##*/}"
}
image_tag() { printf '%s' "${1#v}" | grep -Eq '^[0-9]+\.[0-9]+\.[0-9]+$' && echo "${1#v}" || echo latest; }

# Docker が使えるか。駄目なら理由と入れ方を言って 1 を返す (止めるかは呼ぶ側)
docker_ready() {
  if ! command -v docker >/dev/null 2>&1 || ! docker compose version >/dev/null 2>&1; then
    say "Docker (compose) が見当たりません。$1"
    return 1
  fi
  if docker info >/dev/null 2>&1; then return 0; fi
  if [ "$(uname -s)" = Linux ] && [ "$(id -u)" != 0 ] && ! id -nG | grep -qw docker; then
    say "Docker に触る権限がありません。sudo usermod -aG docker $(id -un) のあとログインし直して、もう一度流してください"
  else
    say "Docker が動いていません。$2"
  fi
  return 1
}

# genkan が入っているか。**genkan ネットワークがあれば入っている** (genkan だけが作る名前。止まっていても
# 残る)。止めてあるものは起こし直さない。意図して止めた人の genkan を上げ直すたびに復活させたり、
# 別の場所に入れた genkan の横にもう 1 つ clone したりしない
genkan_installed() { docker network inspect genkan >/dev/null 2>&1; }
# 動いているか (genkan ネットワークに Caddy がいるか)
genkan_running() {
  genkan_installed && docker ps --filter network=genkan --format '{{.Image}}' | grep -q caddy-docker-proxy
}
# そのポートで誰かが待ち受けているか。bash の /dev/tcp で繋いでみる (ss / lsof の違いを気にしない)
port_used() { (exec 3<>"/dev/tcp/127.0.0.1/$1") 2>/dev/null; }

# genkan を使えるようにする。使えれば 0。**80 か 443 が埋まっていれば入れない** (誰かのものを奪わない)
ensure_genkan() {
  genkan_running && return 0
  if genkan_installed; then
    say "genkan は入っていますが止まっています (起動すれば http://denpa.localhost で開けます)"
    return 1
  fi
  if port_used 80 || port_used 443; then
    say "80 か 443 が使われているので genkan は入れません (ポート 3000 で開きます)"
    return 1
  fi
  # Mac の /usr/bin/git は開発者ツールが無いと入れるダイアログを出すだけの代役なので、そちらも見る
  if ! command -v git >/dev/null 2>&1 || { [ "$(uname -s)" = Darwin ] && ! xcode-select -p >/dev/null 2>&1; }; then
    say "git が無いので genkan は入れません (ポート 3000 で開きます)"
    return 1
  fi
  say "genkan を $HOME/genkan に入れます (http://denpa.localhost で開けるように)"
  # **イメージの取得は、レジストリが一時的に断ることがある** (回数の上限。CI で実際に落ちた)。init.sh は
  # 何度流しても同じ結果になる (clone 済みなら pull して compose up) ので、間を空けて 3 回まで流し直す
  local try
  for try in 1 2 3; do
    if (cd "$HOME" && curl -fsSL "${CURL_LIMITS[@]}" https://raw.githubusercontent.com/danything/genkan/main/init.sh | sh -s); then
      genkan_running
      return
    fi
    if [ "$try" -lt 3 ]; then
      say "genkan を入れられませんでした。$((try * 10)) 秒後に試し直します"
      sleep $((try * 10))
    fi
  done
  say "genkan を入れられませんでした (ポート 3000 で開きます)"
  return 1
}

# genkan に denpa を登録する断片。**http:// を付けるので HTTPS にせず、証明書の信頼も要らない**
# (*.localhost はブラウザが安全な文脈として扱う)。
#
# **私設網の外から来たものは genkan で断る。** denpa から見た送り主は genkan のコンテナ (私設網) に
# なるので、TRUSTED_NETWORKS では外と内を見分けられない。ほかのアプリのために 80 番を外へ開けて
# いると、Host を偽るだけでインターネットから素通りになる
genkan_override() {
  printf '%s\n' 'services:' '  denpa:' '    labels:' \
    '      caddy: http://denpa.localhost' \
    '      caddy.@outside: not remote_ip private_ranges' \
    '      caddy.respond: "@outside 403"' \
    '      caddy.reverse_proxy: "{{upstreams 3000}}"'
  genkan_env
  printf '%s\n' '    networks: [default, genkan]' '' 'networks:' '  genkan:' '    external: true'
}

# **genkan を前段として認める** (denpa の environment の断片)。genkan のネットワークを TRUSTED_PROXIES に書き、
# genkan が付ける X-Forwarded-For から本当の接続元を読ませる。このマシンのブラウザ (http://denpa.localhost) は
# そのネットワークのゲートウェイ (このマシン自身) から来たように見えるので、TRUSTED_NETWORKS にはそこだけ足す。
# genkan のネットワークごと信頼すると、genkan 越しの人が全員当たってしまう (docs/auth.md)。
# ネットワークの範囲は Docker が決めるので、ここで調べて書く。読めなければ何も書かず、画面にそう出す
genkan_env() {
  net=$(docker network inspect genkan -f '{{range .IPAM.Config}}{{.Subnet}} {{.Gateway}}{{println}}{{end}}' 2>/dev/null \
    | grep -m1 '^[0-9.]*/[0-9]* [0-9.]*$' || true)
  if [ -z "$net" ]; then
    say "genkan のネットワークの範囲が読めず、TRUSTED_PROXIES を書けませんでした。genkan 越しに入れなければ docs/auth.md を見て compose.override.yml に足してください" >&2
    return 0
  fi
  printf '%s\n' '    environment:' \
    '      # genkan を前段として認める。このマシンのブラウザは genkan のゲートウェイから来たように見える (docs/auth.md)' \
    "      TRUSTED_PROXIES: ${net% *}" \
    "      TRUSTED_NETWORKS: 192.168.0.0/16,10.0.0.0/8,${net#* }"
}

# denpa とエージェントが組むときの合言葉 (32 バイトの乱数を base64url で。docs/agent.md) を $pair に。
# ~/denpa/.env に**一度だけ**作り、上げ直しても変えない。compose.prod.yml / compose.mac.yml がそこから読む。
# .env がもうあれば (手で書いた人もいる) 行を足すだけで、ほかの行には触らない。
# $1 にファイルを渡すと、.env に無いときはまずそれを使う (Mac: エージェントが自分で作った合言葉を変えない)
pair_token() {
  envfile="$DENPA_DIR/.env"
  pair=""
  if [ -f "$envfile" ]; then pair=$(sed -n 's/^AGENT_PAIR_TOKEN=//p' "$envfile" | tail -n 1 | tr -d '\r'); fi
  [ -z "$pair" ] || return 0
  if [ -n "${1:-}" ] && [ -s "$1" ]; then pair=$(tr -d '\r\n' < "$1"); fi
  [ -n "$pair" ] || pair=$(head -c 32 /dev/urandom | base64 | tr '+/' '-_' | tr -d '=\n')
  mkdir -p "$DENPA_DIR"
  # 新しく作るときは本人だけが読めるように (あるファイルの権限は変えない)。
  # 最後が改行で終わっていなければ、前の行にくっつかないように改行を足してから
  (
    umask 077
    if [ -s "$envfile" ] && [ -n "$(tail -c 1 "$envfile")" ]; then echo >> "$envfile"; fi
    echo "AGENT_PAIR_TOKEN=$pair" >> "$envfile"
  )
}

# ~/denpa で docker compose。-f を付けないので compose.yml と compose.override.yml を Compose が自分で重ねる
compose() { (cd "$DENPA_DIR" && docker compose "$@"); }

# 取ってきた compose ($1。compose.prod.yml か compose.mac.yml) を ~/denpa/compose.yml に置いて起こす。
# **バージョンはタグで揃える。** 取ってきたものの latest をこのバージョンに書き換える (.env は使わない)
start_denpa() {
  say "denpa $2 を $DENPA_DIR に置きます"
  mkdir -p "$DENPA_DIR/config"
  curl -fsSL --retry 3 "${CURL_LIMITS[@]}" -o "$DENPA_DIR/compose.yml.new" "https://raw.githubusercontent.com/$REPO/$2/$1" \
    || die "$2 に $1 がありません。compose.mac.yml は v1.23.0 からなので、それより前のバージョンは Mac に入れられません"
  # 手で置いたもの・手を入れたものは黙って上書きせず、compose.yml.bak に退けてそう言う。
  # install.sh が書いたものは 1 行目が印で、残りは前に書いた控え (.compose.yml.orig) と同じはず
  if [ -f "$DENPA_DIR/compose.yml" ] && ! { head -1 "$DENPA_DIR/compose.yml" | grep -q "^$MARK" \
    && tail -n +2 "$DENPA_DIR/compose.yml" | cmp -s - "$DENPA_DIR/.compose.yml.orig"; }; then
    mv "$DENPA_DIR/compose.yml" "$DENPA_DIR/compose.yml.bak"
    say "手を入れた $DENPA_DIR/compose.yml を compose.yml.bak に退避しました。変更は compose.override.yml に移してください"
  fi
  sed "s#\(image: ghcr.io/danything/[a-z-]*\):latest#\1:$(image_tag "$2")#" "$DENPA_DIR/compose.yml.new" > "$DENPA_DIR/.compose.yml.orig"
  { echo "$MARK $2。手を入れず、足すものは compose.override.yml に)"; cat "$DENPA_DIR/.compose.yml.orig"; } > "$DENPA_DIR/compose.yml"
  rm -f "$DENPA_DIR/compose.yml.new"
  override="$DENPA_DIR/compose.override.yml"
  # genkan の登録が残っているのに genkan ネットワークが無い (genkan を外した) と、up が分かりにくく落ちる
  if [ -f "$override" ] && grep -q 'denpa.localhost' "$override" && ! genkan_installed; then
    die "genkan が見当たりません。$override の genkan への登録 (labels・networks) を消すか、genkan を入れ直してから流し直してください"
  fi
  # **登録するときだけ genkan を入れる** (雛形を作るときか、もう登録が書いてあるとき)
  genkan=no
  if [ ! -f "$override" ] || grep -q 'denpa.localhost' "$override"; then
    ensure_genkan && genkan=yes
  fi
  if [ ! -f "$override" ]; then
    {
      echo "# 手元で足したい・変えたいものはここに書く。compose.yml は install.sh が更新のたびに"
      echo "# 上書きするが、このファイルには触らない (Compose が compose.yml に重ねて読む)。"
      echo "# たとえば denpa の environment に TRUSTED_NETWORKS: 192.168.1.0/24 を足すなど"
      if [ "$genkan" = yes ]; then
        echo "#"
        echo "# genkan (http://denpa.localhost) への登録は install.sh が書いた"
        genkan_override
      else
        echo "services: {}"
      fi
    } > "$override"
  elif ! grep -q 'denpa.localhost' "$override" && genkan_running; then
    say "compose.override.yml には触りません。genkan の http://denpa.localhost で開くなら、次を足して流し直してください:"
    genkan_override
  elif grep -q 'denpa.localhost' "$override" && ! grep -q 'TRUSTED_PROXIES' "$override" && genkan_running; then
    # 前のバージョンが書いた登録。既定の TRUSTED_NETWORKS から Docker のネットワーク (172.16.0.0/12) を外したので、
    # このままでは genkan 越しに入れない
    say "compose.override.yml には触りません。genkan の http://denpa.localhost で開くには、denpa: の下に次を足して流し直してください:"
    genkan_env
  fi
  compose pull
  # 録画中に上げ直すと、録画が終わるまで待ってから入れ替わる (stop_grace_period)
  compose up -d
  wait_and_open "$3" "$genkan"
}

# genkan は外さない (ほかのプロジェクトも乗る)。残っていることと、畳み方を言う
genkan_left() {
  [ -d "$HOME/genkan" ] || return 0
  say "  genkan $HOME/genkan (80・443 と Arcane。要らなければ cd ~/genkan && docker compose down)。"
  say "  genkan を外したら compose.override.yml の genkan への登録も消してください"
}

# 止める (コンテナを畳むだけ。~/denpa も録画もボリュームも残す)
stop_denpa() {
  if [ -f "$DENPA_DIR/compose.yml" ] && docker_ready "" ""; then compose down; fi
}

# 答えるまで待って、開けるなら開く。LAN から入るときの住所も出す
wait_and_open() {
  say "denpa の応答を待ちます"
  for _ in $(seq 90); do
    if curl -fsS --max-time 5 -o /dev/null "$URL/api/health" 2>/dev/null; then
      url=$URL
      # Linux の Docker は localhost への接続を中継し、送信元が Docker のゲートウェイに見える (既定の
      # TRUSTED_NETWORKS に入らない)。このマシンのブラウザでも LAN の IP で開く
      if [ "$(uname -s)" = Linux ] && printf '%s' "$1" | grep -Eq '^[0-9.]+$'; then url="http://$1:3000"; fi
      # genkan 越しにも答えれば、そちらを開く (Caddy がラベルを読むまで少し掛かる)
      if [ "$2" = yes ]; then
        for _ in $(seq 15); do
          if curl -fsS --max-time 5 -o /dev/null --resolve denpa.localhost:80:127.0.0.1 "$GENKAN_URL/api/health" 2>/dev/null; then
            url=$GENKAN_URL
            break
          fi
          sleep 2
        done
      fi
      say "起動しました: $url (LAN のほかの機器からは http://$1:3000)"
      [ "$open_browser" = yes ] || return 0
      if [ "$(uname -s)" = Darwin ]; then
        open "$url"
      elif command -v xdg-open >/dev/null 2>&1 && [ -n "${DISPLAY:-}${WAYLAND_DISPLAY:-}" ]; then
        xdg-open "$url" >/dev/null 2>&1 || true
      fi
      return 0
    fi
    sleep 2
  done
  die "denpa が応答しません。cd $DENPA_DIR && docker compose logs を見てください"
}

# ---------------------------------------------------------------------------
# Linux: compose.prod.yml をそのまま置いて起こす
# ---------------------------------------------------------------------------
linux_main() {
  if [ "$uninstall" = yes ]; then
    stop_denpa
    say "止めました。残してあるもの (要らなければ手で消してください):"
    say "  compose と設定 $DENPA_DIR / 録画と DB は docker volume rm denpa_denpa-data denpa_denpa-recorded denpa_denpa-library"
    genkan_left
    return 0
  fi

  case "$(uname -m)" in x86_64 | aarch64 | arm64) ;; *) die "対応しているのは amd64 と arm64 だけです (ほかのイメージはありません)" ;; esac
  docker_ready "https://get.docker.com の手順で入れてから、もう一度流してください" \
    "sudo systemctl start docker で起こしてから、もう一度流してください" || exit 1

  # LAN の IP は外へ出る経路の送信元から取る (hostname -I の先頭は docker0 の 172.17.0.1 のこともある)
  ip=$(ip route get 1.1.1.1 2>/dev/null | awk '{for (i = 1; i < NF; i++) if ($i == "src") print $(i + 1)}' || true)
  [ -n "$ip" ] || ip=$(hostname -I 2>/dev/null | awk '{print $1}' || true)
  ref=$(version)
  pair_token
  start_denpa compose.prod.yml "$ref" "${ip:-$(hostname)}"
}

# ---------------------------------------------------------------------------
# Mac: エージェントは LaunchAgent、denpa 本体は Docker
# ---------------------------------------------------------------------------
LABEL=io.github.danything.denpa-agent
PREFIX="$HOME/Library/Application Support/denpa-agent"
# px4d の制御ソケットの置き場。**短く保つ。** Unix ソケットのパスは macOS だと 104 バイトまでで、
# この下に px4-userland/<筐体の番号>/control.sock (42 文字) が付く。Application Support の下では溢れうる
RUNTIME="$HOME/Library/Caches/denpa-agent"
PLIST="$HOME/Library/LaunchAgents/$LABEL.plist"
LOG="$HOME/Library/Logs/denpa-agent.log"
# compose.mac.yml の TUNER_AGENT_URL と揃える
PORT=25252
# 元の TS はエージェント (後から復号する) とコンテナ (録る) の両方が読み書きするので、Mac のフォルダに置く
MEDIA="$HOME/Movies/denpa"
MAC_DOCKER="Docker Desktop (https://www.docker.com/products/docker-desktop/) か OrbStack (https://orbstack.dev) を入れてから、もう一度流してください"

# 止める。**録画中なら終わるまで待つ** (エージェントが SIGTERM で録画を待ってから畳む。plist の ExitTimeOut)
#
# **消えるまで待つ。** bootout は止まるのに時間の掛かるサービスだと待たずに返る (EINPROGRESS)。
# そのまま入れ替えると、動いているバイナリを差し替えたうえ bootstrap が衝突して、エージェントがいなくなる
mac_stop() {
  launchctl print "gui/$(id -u)/$LABEL" >/dev/null 2>&1 || return 0
  say "動いているエージェントを止めます (録画中なら、終わるまでここで待ちます)"
  launchctl bootout "gui/$(id -u)/$LABEL" 2>/dev/null || true
  while launchctl print "gui/$(id -u)/$LABEL" >/dev/null 2>&1; do sleep 5; done
}

check() {
  [ "$(shasum -a 256 "$1" | awk '{print $1}')" = "$2" ] || die "$1 のハッシュが合いません (ダウンロード中に壊れた可能性があります。もう一度流してください)"
}
# SHA256SUMS から 1 行引いて確かめる
check_listed() {
  expected=$(awk -v name="$1" '$2 == name || $2 == "*" name {print $1}' "$2")
  [ -n "$expected" ] || die "$2 に $1 が載っていません"
  check "$1" "$expected"
}

mac_main() {
  if [ "$uninstall" = yes ]; then
    # **録画中なら終わるまで待つ** (コンテナは stop_grace_period、エージェントは ExitTimeOut)
    stop_denpa
    mac_stop
    rm -f "$PLIST"
    rm -rf "$PREFIX" "$RUNTIME"
    say "外しました。残してあるもの (要らなければ手で消してください):"
    say "  compose と設定 $DENPA_DIR / 録画 $MEDIA / ログ $LOG / DB は docker volume rm denpa_denpa-data"
    genkan_left
    return 0
  fi

  [ "$(uname -m)" = arm64 ] || die "対応しているのは Apple Silicon (arm64) の Mac だけです (px4-userland / siano-userland に Intel Mac 用がありません)"

  work=$(mktemp -d)
  trap 'rm -rf "$work"' EXIT
  cd "$work"

  # --- エージェント本体 (GitHub のリリース) -------------------------------
  ref=""
  agent="${DENPA_AGENT_TARBALL:-}"
  if [ -z "$agent" ]; then
    ref=$(version)
    agent="denpa-agent-${ref#v}-darwin-arm64.tar.gz"
    say "denpa-agent $ref"
    curl -fsSL --retry 3 "${CURL_LIMITS[@]}" -o "$agent" "https://github.com/$REPO/releases/download/$ref/$agent" \
      || die "$ref には Mac 用のエージェントがありません。Mac 用は v1.23.0 からなので、それより前のバージョンは Mac に入れられません"
    fetch "https://github.com/$REPO/releases/download/$ref/$agent.sha256" "$agent.sha256"
    check "$agent" "$(awk '{print $1}' "$agent.sha256")"
  fi
  mkdir -p new/bin && tar -xzf "$agent" -C new/bin

  # --- px4-userland (PX-Q3U4 など) ----------------------------------------
  say "px4-userland $PX4_USERLAND_VERSION"
  base="https://github.com/Khronos31/px4-userland/releases/download/v$PX4_USERLAND_VERSION"
  px4="px4-userland-$PX4_USERLAND_VERSION-darwin-arm64.tar.gz"
  fetch "$base/$px4" "$px4"
  fetch "$base/SHA256SUMS" px4.sums
  check_listed "$px4" px4.sums
  mkdir -p new/px4-userland && tar -xzf "$px4" -C new/px4-userland

  # --- siano-userland (PX-S1UD など) --------------------------------------
  say "siano-userland $SIANO_USERLAND_VERSION"
  base="https://github.com/Khronos31/siano-userland/releases/download/v$SIANO_USERLAND_VERSION"
  siano="siano-ts-$SIANO_USERLAND_VERSION-darwin-arm64.tar.gz"
  fetch "$base/$siano" "$siano"
  fetch "$base/SHA256SUMS" siano.sums
  check_listed "$siano" siano.sums
  mkdir -p new/siano-userland && tar -xzf "$siano" -C new/siano-userland
  check new/siano-userland/firmware/isdbt_rio.inp "$ISDBT_RIO_SHA256"

  # --- 入れ替える。**揃ってから止める** (取ってこられなかったら、動いているものに触らない) ---
  mac_stop
  mkdir -p "$PREFIX" "$DENPA_DIR/config" "$RUNTIME" "$MEDIA/recorded" "$MEDIA/library" "$(dirname "$PLIST")" "$(dirname "$LOG")"
  for part in bin px4-userland siano-userland; do
    rm -rf "${PREFIX:?}/$part"
    mv "new/$part" "$PREFIX/$part"
  done

  # ExitTimeOut はエージェントが録画を待つ上限 (SHUTDOWN_WAIT の既定 6 時間) より長く。
  # 短いと、止めたときに録画の途中で SIGKILL される (既定は 20 秒)。
  # ProcessType Interactive は、裏のジョブとして CPU や I/O を絞られないように (TS を流し続けるので)
  #
  # denpa を同じ Mac の Docker で動かすなら、ループバックでだけ待ち受ける (ほかの機械から繋ぐ相手はいない。
  # Docker Desktop / OrbStack は host.docker.internal を Mac のループバックへ届ける)。
  # エージェントだけ入れるとき (--no-docker) は別の機械の denpa から繋ぐので、全部のインターフェースのまま。
  # どちらでも、答えるのは合言葉で組んだ denpa だけ (docs/agent.md)。
  # 合言葉は環境変数で渡さず、エージェント自身の置き場 (tuners.json の隣の tls/pair-token) に書く。
  # 手で denpa-agent --pair を流しても同じ URL が出るように。値は compose.mac.yml (denpa 側) が読む .env と同じ
  pair_file="$DENPA_DIR/config/tls/pair-token"
  pair_token "$pair_file"
  if [ "$(cat "$pair_file" 2>/dev/null || true)" != "$pair" ]; then
    mkdir -p "$(dirname "$pair_file")"
    (umask 077 && printf '%s' "$pair" > "$pair_file.new" && mv "$pair_file.new" "$pair_file")
  fi
  agent_host=""
  if [ "$docker_mode" = yes ]; then
    agent_host="    <key>AGENT_HOST</key><string>127.0.0.1</string>"
  fi
  cat > "$PLIST" <<EOF
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
  <key>Label</key><string>$LABEL</string>
  <key>ProgramArguments</key><array><string>$PREFIX/bin/denpa-agent</string></array>
  <key>RunAtLoad</key><true/>
  <key>KeepAlive</key><true/>
  <key>ExitTimeOut</key><integer>22200</integer>
  <key>ProcessType</key><string>Interactive</string>
  <key>StandardOutPath</key><string>$LOG</string>
  <key>StandardErrorPath</key><string>$LOG</string>
  <key>EnvironmentVariables</key>
  <dict>
    <key>AGENT_PORT</key><string>$PORT</string>
$agent_host
    <key>TUNERS_FILE</key><string>$DENPA_DIR/config/tuners.json</string>
    <key>CHANNELS_FILE</key><string>$DENPA_DIR/config/channels.json</string>
    <key>PX4_USERLAND_DIR</key><string>$PREFIX/px4-userland</string>
    <key>PX4_RUNTIME_DIR</key><string>$RUNTIME</string>
    <key>SIANO_USERLAND_DIR</key><string>$PREFIX/siano-userland</string>
    <key>SIANO_FIRMWARE</key><string>$PREFIX/siano-userland/firmware/isdbt_rio.inp</string>
    <key>RAW_DIR</key><string>$MEDIA/recorded</string>
  </dict>
</dict>
</plist>
EOF
  plutil -lint "$PLIST" >/dev/null
  launchctl bootstrap "gui/$(id -u)" "$PLIST" \
    || die "LaunchAgent に載せられません。ログを見てください: $LOG (載せ直すなら launchctl bootstrap gui/$(id -u) \"$PLIST\")"

  # API は組んだ denpa (クライアント証明書) にしか答えないので、denpa-agent --status に聞かせる
  # (エージェント自身の証明書で呼ぶ。置き場とポートは plist と同じものを渡す)
  say "エージェントを起動しました。応答を待ちます"
  answered=no
  for _ in 1 2 3 4 5 6 7 8 9 10; do
    if tuners=$(AGENT_PORT="$PORT" TUNERS_FILE="$DENPA_DIR/config/tuners.json" "$PREFIX/bin/denpa-agent" --status 2>/dev/null); then
      echo "$tuners"
      answered=yes
      break
    fi
    sleep 2
  done
  [ "$answered" = yes ] || die "エージェントが応答しません。ログを見てください: $LOG"

  host="$(scutil --get LocalHostName 2>/dev/null || hostname).local"
  if [ "$docker_mode" = no ]; then
    say "エージェントだけ入れました。denpa の TUNER_AGENT_URL に次を書いてください (#pair= の後ろは合言葉。人に見せない):"
    say "  https://$host:$PORT#pair=$pair"
    return 0
  fi
  docker_ready "$MAC_DOCKER" "Docker Desktop か OrbStack を起こしてから、もう一度流してください" \
    || { say "エージェントは入っています (https://127.0.0.1:$PORT)"; return 0; }

  # --- denpa 本体 (Docker)。エージェントと同じバージョンに。手元の tar.gz を入れたときは main と latest ---
  start_denpa compose.mac.yml "${ref:-main}" "$host"
}

case "$(uname -s)" in
  Linux) linux_main ;;
  Darwin) mac_main ;;
  *) die "対応しているのは Linux と macOS だけです" ;;
esac