#!/bin/bash
# ===================================================================
# 交互式生成 values-prod.yaml (K8s helm 真值文件)
# ===================================================================
# 目的:
#   - 避免把真密码 / API Key 写进 example 文件 (且 AI 永远不该看到)
#   - 引导式输入, **未填的字段占位为 __FILL_ME__**, 不阻断流程
#   - 文件权限 600 (owner only), .gitignore 确认
#   - 写完会列出仍待填的占位符, 用户 $EDITOR 补齐
#   - 可选: sops 加密后写 .sops.yaml (加密的可入 git)
#
# 使用:
#   ./k8s/scripts/fill-values-prod.sh                   # 交互 (推荐, 空字段占位)
#   ./k8s/scripts/fill-values-prod.sh --strict           # 严格模式: 必填字段空 → exit 1
#   ./k8s/scripts/fill-values-prod.sh --non-interactive  # 全用环境变量 (CI 用, 仍严格)
#   ./k8s/scripts/fill-values-prod.sh --dry-run         # 只看不写
#   ./k8s/scripts/fill-values-prod.sh --sops            # 写完后 sops 加密
#
# 占位符语义:
#   __FILL_ME__                 必填, helm install 会失败, 部署前必须替换
#   (留空)                       可选, helm install 用 default 值
#
# 真值来源 (与生产 / 团队 1Password 对照):
#       * RDS endpoint         阿里云 RDS 控制台 → 数据库连接 → 内网地址
#       * ElastiCache          阿里云 Redis 控制台 → 连接地址
#       * DB / Redis 密码      RDS / Redis 实例设置
#       * JWT Secret           现有 docker/.env.prod 里的 JWT_SECRET
#       * OSS keys             阿里云 RAM 控制台 (子账号 AccessKey)
#       * DIFY_API_BASE/KEY    Dify 工作室 → 工作室 API → API 密钥
#       * OPENAI_API_KEY       微达API 控制台
#       * SMS_ACCESS_KEY_ID    阿里云短信服务控制台
# ===================================================================

set -euo pipefail
# set 模式三件套:
#   -e: 任何命令非 0 退出立刻 abort (避免脚本"半路成功"的诡异状态)
#   -u: 引用未定义变量时报错 (避免 var=$VAR 在 VAR 没设时悄悄变成空)
#   -o pipefail: 管道链上任一环节失败 → 整链失败 (否则 `cmd1 | cmd2`
#     只要 cmd2 成功就 exit 0, 隐藏 cmd1 的失败, 比如 `gitleaks | tail`)
# **坑**: set -u 时 `${!var}` 这种间接引用要写 `${!var:-}`,
#        否则 var 没定义时直接 abort (见 prompt_required 里的写法)

SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
# ${BASH_SOURCE[0]} 是当前脚本自身路径 (source 时为调用者),
# dirname 取目录, cd+ls 解析软链/相对路径 → 拿到**真实**绝对路径。
# 这样无论用户从哪个 cwd 跑 `bash /path/to/this.sh`, SCRIPT_DIR 都是脚本所在目录。

REPO_ROOT="$(cd "$SCRIPT_DIR/../.." && pwd)"
# SCRIPT_DIR 是 k8s/scripts/, 往上一级是 k8s/, 再上一级是仓库根。
# 这个变量专门给 .gitignore 写入路径用, 不用 helm chart 路径因为可能跨项目。

CHART_DIR="$REPO_ROOT/k8s/helm/topfans"
EXAMPLE_FILE="$CHART_DIR/values-prod.example.yaml"
# 该文件作为**参考模板** (空占位结构), 真值由本脚本生成到 OUTPUT_FILE。
# 注意: 我**没有**让脚本自动 cp example, 因为 example 写假值容易误部署。
OUTPUT_FILE="$CHART_DIR/values-prod.yaml"
# 真值输出文件, .gitignore 已屏蔽, chmod 600 由本脚本设。

# ---------- CLI 参数 ----------
DRY_RUN=false          # --dry-run:        只 echo 内容不写文件 (调试用)
NON_INTERACTIVE=false  # --non-interactive: 全靠环境变量读, 不交互; 隐含 STRICT=true
STRICT=false           # --strict:         必填字段空时 exit 1 (而不是写占位符)
USE_SOPS=false         # --sops:           写完后用 SOPS 加密成 .sops.yaml (可入 git)
for arg in "$@"; do
    case "$arg" in
        --dry-run)             DRY_RUN=true ;;
        --non-interactive|--ci) NON_INTERACTIVE=true; STRICT=true ;;
            # CI 流水线里如果允许"留空写占位符"会导致 helm install 后
            # 才报错, 太晚; 故 CI 必填字段缺失直接 abort。
        --strict)              STRICT=true ;;
            # 交互模式手动开严格, 留空会 exit 1 而非占位。
        --sops)                 USE_SOPS=true ;;
        -h|--help)
            # 用 sed 抽文件开头 30 行做 manpage, 任何改 header 都会自动反映
            sed -n '2,30p' "$0" | sed 's/^# \?//'
            exit 0 ;;
        *)
            echo "未知参数: $arg"; exit 1 ;;
    esac
done

# ---------- 颜色 ----------
# ANSI 控制序列。  `-e` 让 echo 解释 `\033` 转义。
# 颜色在 macOS Terminal / iTerm / VS Code 终端都有效; 但在 dumb / redirected
# 输出时会显示成 [\033 之类的乱码 — 这种场景要靠 `tput` 检查 TTY 后再决定是否染色。
# 本脚本只在交互 + 日志输出里染色, 写到文件的内容不带颜色, 所以乱码不会进 values-prod.yaml。
RED='\033[0;31m'; GREEN='\033[0;32m'; YELLOW='\033[1;33m'; CYAN='\033[0;36m'; NC='\033[0m'
# NC (No Color) 必须每次 reset, 否则一个 print 染色后所有后续 echo 都染色。
print_step() { echo -e "\n${CYAN}━━ $1 ━━${NC}"; }
print_warn() { echo -e "${YELLOW}⚠ $1${NC}"; }
print_err()  { echo -e "${RED}❌ $1${NC}"; }
print_ok()   { echo -e "${GREEN}✅ $1${NC}"; }

# ---------- 占位符常量 ----------
PLACEHOLDER='__FILL_ME__'
# 唯一强占位符, helm template 时会原样输出, helm install 时 K8s Admission 会拒
# (因为敏感字段不能为空)。这种"自我校验"机制让运维**部署前**就能发现有没有漏填。
# 唯一**不**当作占位符的字符串: 空串 "" — 空串可能是合法的可选值。
PLACEHOLDER_OPT='(留空, 用 chart default)'
# 目前没用到 (prompt_optional 默认逻辑是不写占位符, 而是让 helm fallback), 留着给以后文档用

# ---------- pre-check: not already present ----------
# 在大量 prompt 之前问一声, 避免写到一半才发现要保留旧文件 → 用户已经覆盖了半天输入。
# CI / dry-run 跳过确认 (CI 没交互, dry-run 不写文件)
if [ -f "$OUTPUT_FILE" ] && [ "$DRY_RUN" = false ] && [ "$NON_INTERACTIVE" = false ]; then
    print_warn "values-prod.yaml 已存在, 继续会覆盖!"
    read -rp "继续? (yes/no): " confirm
    # 用 yes/no 而非 y/n 是为了避免"敲错键"误覆盖 (验证过 yes 才继续)
    [ "$confirm" = "yes" ] || { print_warn "已取消"; exit 0; }
fi

# ---------- 待填占位符记录 ----------
# **Bug 历史**: 之前用 bash 数组 PENDING+=(), 但 prompt_* 在 $(...) command
# substitution 里调用, subshell 改的全局变量不会传回父 shell, 导致 summary
# 永远显示"全部已填"。修复: 改用临时文件。
PENDING_FILE="$(mktemp -t fill-pending.XXXXXX)"
# mktemp -t name.XXXXXX → /tmp/name.XXXXXX, 随机后缀避免冲突。
# 在 macOS 默认 /tmp/, Linux 默认 $TMPDIR(/tmp/)。

trap 'rm -f "$PENDING_FILE"' EXIT
# trap ... EXIT 在脚本退出 (包括 abort/err) 时都执行, 保证不留垃圾。
# 关键: 不能用 trap ... INT, 这样 ctrl-c 才不会触发清理, 但脚本会卡死。
# EXIT 是兜底。

> "$PENDING_FILE"   # 清空 (mktemp 创建的可能已有 stale 残留下文)

# 把待补字段记到文件, 行格式: section_key|comment|nature(nature=必填/可选)
# 用 | 分隔: 用户**写**的不是分隔符, 字段名是固定的点路径, 没有 |。
record_pending() {
    local section_key="$1" comment="$2" nature="$3"
    printf '%s|%s|%s\n' "$section_key" "$comment" "$nature" >> "$PENDING_FILE"
}

# ---------- helpers ----------
# 两个 prompt 函数的语义:
#   prompt_required — 必填, 留空 → 写 __FILL_ME__  + 加入 PENDING_FILE 标 "必填"
#   prompt_optional — 可选, 留空 → 用 chart default; 在 prompt 处明确告诉用户
#                     "留空用 default 还是留空跳过", 用户可控
#
# 共同的间接引用: ${!var} 是 bash 的 "间接变量" 语法。
# 写法: var="FOO"; FOO=bar; echo "${!var}" → bar
# 用 `${!var:-}` + `-n` 测试, 是 set -u 兼容: var 没定义时返回空字符串, 不报错。

prompt_required() {
    # 参数:
    #   $1 var           — 在 CI/--strict 模式下读的环境变量名 (例如 DB_PASSWORD)
    #   $2 desc          — 交互模式下显示的提示语 (例: 'Postgres 密码')
    #   $3 section_key   — YAML 路径 (例: secrets.db.password), 用于 PENDING_FILE 记录
    #   $4 secret        — 是否隐藏输入 (true/false), 密码字段用 true 走 `read -s`
    local var="$1" desc="$2" section_key="$3" secret="${4:-false}"
    local val prompt_str="$desc: "
    # prompt_str 默认用 ": ", 后续 secret=true 时 -s 模式不带 prefix prompt 也行, 但保留

    if [ "$NON_INTERACTIVE" = true ] || [ "$STRICT" = true ]; then
        # CI / strict 路径: 不交互, 直接尝试读环境变量
        if [ -n "${!var:-}" ]; then
            # 找到了 → 输出真值
            printf '%s' "${!var}"
            return
        elif [ "$NON_INTERACTIVE" = true ]; then
            # CI 缺 var → 不可恢复, abort
            print_err "$section_key 必填 (CI 模式: env $var 未设)"
            exit 1
        fi
        # 走到这里是 STRICT=true 且 interactive 且 env $var 没设:
        # 不 abort, 走下面的 read, 但**最后**校验非空。
    fi

    # 交互模式 (默认, 或 --strict 但 env $var 未设)
    # read -r: 不要 backslash escape (默认值), 不加 -r 的话 \n 会变成 \\
    # read -sp: -s 隐藏输入字符 (密码不回显); 注意 -s 在 macOS 上 minor bug,
    #           偶发会丢首字符, 用 `read -s`, 再 `echo`, 然后 trim 即可
    if [ "$secret" = true ]; then
        read -rsp "$prompt_str" val || val=""
        # `|| val=""`: read 失败 (Ctrl-D EOF / Ctrl-C 中断) 时不让 set -e 炸掉
        echo   # 隐藏模式下 read 不自动换行, 我们手动 echo 一个
    else
        read -rp "$prompt_str" val || val=""
    fi

    if [ -z "$val" ]; then
        # 用户敲了空回车 → 占位 + 记到 PENDING_FILE
        record_pending "$section_key" "$desc" "必填"
        printf '%s' "$PLACEHOLDER"
    else
        printf '%s' "$val"
    fi
}

prompt_optional() {
    # 参数:
    #   $1 var           — CI/--strict 模式下的环境变量名
    #   $2 desc          — 提示语
    #   $3 default       — 内置 default 值 (从 chart 同步过来), 用户敲回车用这个
    #   $4 section_key   — YAML 路径, 留空时记 PENDING_FILE (可选)
    #
    # 行为对比 prompt_required:
    #   - 不会写 PLACEHOLDER 占位符, 而是写空串或 default
    #   - 留空时 PENDING_FILE 标 "可选", summary 显示 🟡 而不是 ⛔
    #   - 这样 chart 默认值可以"自动"接管, 即使这个 prompt 永远不交互
    local var="$1" desc="$2" default="${3:-}" section_key="${4:-}"
    local val prompt_str

    if [ "$NON_INTERACTIVE" = true ]; then
        # CI: env $var 优先 → default → 完全空 (helm 会用 chart 内置 default)
        if [ -n "${!var:-}" ]; then
            printf '%s' "${!var}"
        elif [ -n "$default" ]; then
            printf '%s' "$default"
        else
            printf '%s' ""  # 留空, helm 会用 chart 内的 default / required 拦截
        fi
        return
    fi

    # 交互模式: 显示提示包含 default + 留空说明
    if [ -n "$default" ]; then
        prompt_str="$desc [$default, 留空用 default]: "
    else
        prompt_str="$desc [留空跳过]: "
    fi

    read -rp "$prompt_str" val || val=""
    if [ -z "$val" ]; then
        if [ -n "$default" ]; then
            # 用户敲回车, 用 default
            printf '%s' "$default"
        elif [ -n "$section_key" ]; then
            # 给 section_key 的可选字段留空: helm 收到空串而非 default,
            # 仍记录到 PENDING_FILE (summary 用), 但标 🟡
            record_pending "$section_key" "$desc" "可选"
            printf '%s' ""
        else
            printf '%s' ""  # 真正无配置 (与 helm fallback 一致)
        fi
    else
        printf '%s' "$val"
    fi
}

# ---------- input collection ----------
# 共 4 个章节, 22 个字段, 按"依赖关系"先通用后专用:
#   1/4 全球通用 — DB / Redis 连接信息
#   2/4 Gateway / 应用 — JWT / image tag / 域名
#   3/4 OSS / 短信 — 阿里云资源访问凭据
#   4/4 AI (镭射卡 / 对话) — 外部 AI 服务凭据
# 这种分组让运维心里有数, 而不是随便顺序问 30 个问题。

print_step "1/4 全球通用"

DB_HOST_INTERNAL=$(prompt_required DB_HOST_INTERNAL 'Postgres RDS 内网地址 (例: rm-xxx.mysql.rds.aliyuncs.com)' 'global.dbExternalEndpoint')
# DB_HOST 在 K8s 内部固定是 `postgres` (ExternalName), 这里要填的是 RDS **外网**
# 内网地址: K8s Pod 用这个解析到 RDS (Pod 不出外网, 必须用阿里云 VPC 内网地址)。
# 阿里云控制台: RDS → 实例 → 数据库连接 → 内网地址 (以 .mysql.rds.aliyuncs.com 结尾)。
DB_PORT=$(prompt_optional DB_PORT 'Postgres 端口' '5432' 'global.dbPort')
DB_NAME=$(prompt_optional DB_NAME '数据库名' 'topfans' 'global.dbName')
DB_USER=$(prompt_optional DB_USER '用户名' 'postgres' 'global.dbUser')
DB_PASSWORD=$(prompt_required DB_PASSWORD 'Postgres 密码' 'secrets.db.password' true)

REDIS_HOST_INTERNAL=$(prompt_required REDIS_HOST_INTERNAL 'Redis ElastiCache 内网地址 (例: r-xxx.redis.rds.aliyuncs.com)' 'global.redisExternalEndpoint')
# 同上, K8s 内部 `redis` 短名对应 ExternalName, 实际值要填阿里云 Redis 内网地址。
# 在 Redis 控制台 → 实例 → 连接管理 → 内网地址。
REDIS_PORT=$(prompt_optional REDIS_PORT 'Redis 端口' '6379' 'global.redisPort')
REDIS_PASSWORD=$(prompt_required REDIS_PASSWORD 'Redis 密码' 'secrets.redis.password' true)

print_step "2/4 Gateway / 应用"

JWT_SECRET=$(prompt_required JWT_SECRET 'JWT_SECRET (32 字符以上, 与 docker/.env.prod 的值保持一致)' 'secrets.jwt.secret' true)
# ⚠️ 关键: JWT Secret 一旦改, 所有已签发的 token 全部失效, 用户会全部退出登录。
# **必须**与现有 docker/.env.prod 的 JWT_SECRET 保持一致 (除非主动全员踢出)。
# 在云上托管的密钥里取, 不要换新值 (会全站掉登录)。
IMAGE_TAG=$(prompt_optional IMAGE_TAG '所有服务 image tag (CI 决定后填, 例如 v1.0.0)' 'latest')
# 默认 latest 允许本地开发 (debian docker-compose), 生产必须填具体版本 (v1.0.0)。
# helm install 用 --set global.image.tag=$IMAGE_TAG 可以临时覆盖所有服务 (见 deploy.sh upgrade)。
INGRESS_HOST=$(prompt_optional INGRESS_HOST 'Ingress 域名' 'api.example.com' 'ingress.host')
# Ingress 域名, K8s nginx-ingress 会读这个生成 cert-manager Certificate CR (TLS 自动续期)。
# 部署前到阿里云 DNS 控制台把 A 记录指向 nginx-ingress-controller 的 EXTERNAL-IP。

print_step "3/4 OSS / 短信"

OSS_REGION=$(prompt_optional OSS_REGION 'OSS region' 'cn-shanghai' 'secrets.oss.region')
# OSS region (上海) 与 RDS region 不一定一致, 按实际 bucket 创建的 region 填。
OSS_BUCKET=$(prompt_required OSS_BUCKET 'OSS bucket 名 (例: top-fans-prod)' 'secrets.oss.bucket')
OSS_KEY_ID=$(prompt_required OSS_KEY_ID 'OSS AccessKey ID' 'secrets.oss.accessKeyId')
OSS_KEY_SECRET=$(prompt_required OSS_KEY_SECRET 'OSS AccessKey Secret' 'secrets.oss.accessKeySecret' true)
# ⚠️ 这些是 OSS 全权子账号 (有 RAM STS AssumeRole 拿临时 token 上传头像/资产生成)
# 强烈推荐**用子账号**而不是主账号 AccessKey, 子账号只授 OSS 写权限 + 受 IP 白名单。
# 取值: 阿里云 RAM 控制台 → 用户 → AccessKey。
OSS_STS_ROLE_ARN=$(prompt_optional OSS_STS_ROLE_ARN 'OSS STS Role ARN (留空跳过)' '' 'secrets.oss.stsRoleArn')
# ARN 格式: acs:ram::1387642798143585:role/top-fans-oss-user
# 没有可留空, 但前端的"STS 临时上传"会失败 (降级到 long-lived key, 不安全)。
SMS_KEY_ID=$(prompt_optional SMS_KEY_ID 'SMS AccessKey ID (阿里云短信, 留空跳过)' '' 'secrets.sms.accessKeyId')
SMS_KEY_SECRET=$(prompt_optional SMS_KEY_SECRET 'SMS AccessKey Secret (短信不用就留空)' '' 'secrets.sms.accessKeySecret' true)
SMS_SIGN_NAME=$(prompt_optional SMS_SIGN_NAME 'SMS 签名 (留空跳过)' '' 'secrets.sms.signName')
SMS_TEMPLATE=$(prompt_optional SMS_TEMPLATE 'SMS 模板代码 (留空跳过)' '' 'secrets.sms.templateCode')
# SMS 4 项是阿里云短信服务的凭据, 不开通短信服务 (初版用 uniCloud 推送替代) 可全部留空。

print_step "4/4 AI (镭射卡 / 对话)"

DIFY_API_BASE=$(prompt_optional DIFY_API_BASE 'DIFY_API_BASE' 'http://dify:5001/v1' 'secrets.ai.difyApiBase')
# Dify 地址, 默认是 K8s 内部的 `dify:5001` 短 DNS (Dify 也用 ExternalName 占位,
# 见模板 external-db/ 那一对), 实际生产可能是阿里云部署的 Dify 公网地址。
DIFY_API_KEY=$(prompt_required DIFY_API_KEY 'DIFY_API_KEY' 'secrets.ai.difyApiKey' true)
# 在 Dify 控制台: 工作室 → 角角(应用名) → 后端服务 API → API 密钥 (格式 app-xxxxx)。
OPENAI_BASE=$(prompt_optional OPENAI_BASE 'OpenAI 兼容 API base' 'https://api.weda.cc/v1' 'secrets.ai.openaiBaseUrl')
OPENAI_KEY=$(prompt_required OPENAI_KEY 'OpenAI 兼容 API Key' 'secrets.ai.openaiApiKey' true)
# 默认走微达API中转站 (OPENAI_BASE=weda.cc)。可在 dashboard 切换成其他兼容服务。
# 没有微达账号就手动填 OpenAI 直连地址 https://api.openai.com/v1。
OPENAI_MODEL=$(prompt_optional OPENAI_MODEL 'OpenAI model' 'gpt-image-2' 'secrets.ai.openaiModel')
# 镭射卡生成模型, 默认 gpt-image-2。生产可在 LASER_GEN_PROVIDER 切到 dify/minimax。
MINIMAX_KEY=$(prompt_optional MINIMAX_KEY 'MiniMax API Key (默认用 OpenAI, 不需要可留空)' '' 'secrets.ai.minimaxApiKey' true)
MINIMAX_URL=$(prompt_optional MINIMAX_URL 'MiniMax URL' 'https://api.minimaxi.com/v1/image_generation' 'secrets.ai.minimaxApiUrl')
# 当 LASER_GEN_PROVIDER=minimax 时启用, 默认 OpenAI, 这 2 项可留空。

# ---------- write file ----------
# 这里用 here-string (...="...") 直接构造 YAML 字符串, 而不是逐行 echo,
# 因为变量多且结构清晰, here-string 写出来最易读。
# 关键约定:
#   1. 所有"必填没填"的变量值都是 PLACEHOLDER='__FILL_ME__' (常量)
#      → helm template 会原样输出 → K8s Admission Webhook 会拒
#      → 部署前运维必须用 $EDITOR 替换这些字符串
#   2. 所有"可选没填"的变量值都是 "" (空字符串, 这是合法 YAML)
#      → helm template 不会输出该字段 → chart 用内置 default
#   3. 每个 ⚠ 标记提醒: 这个字段一旦有真值就是凭据
#
# **不要改字段顺序**, 给运维/AI 看的约定俗成, 改字段顺序增大 PR review 难度。
OUTPUT_CONTENT="global:
  dbHost: postgres           # K8s 内部短名, 对应 ExternalName postgres → RDS endpoint
  dbPort: \"$DB_PORT\"        # 见 global.dbExternalEndpoint
  dbUser: \"$DB_USER\"
  dbName: \"$DB_NAME\"
  dbExternalEndpoint: \"$DB_HOST_INTERNAL\"   # ⚠ 真值: 阿里云 RDS 内网地址, 不入 git
  redisHost: redis           # 同上, ExternalName redis → ElastiCache endpoint
  redisPort: \"$REDIS_PORT\"
  redisExternalEndpoint: \"$REDIS_HOST_INTERNAL\"  # ⚠ 真值

  image:
    registry: registry.cn-shanghai.aliyuncs.com        # 阿里云 ACR (design doc §10.1 选项 A)
    repositoryNamespace: topfans                       # 仓库 namespace

  env: production
  ginMode: release
  logLevel: info

secrets:
  db:
    password: \"$DB_PASSWORD\"            # ⚠ 真值
  redis:
    password: \"$REDIS_PASSWORD\"         # ⚠ 真值
  jwt:
    secret: \"$JWT_SECRET\"               # ⚠ 真值, 改了会让全站 token 失效
  oss:
    region: \"$OSS_REGION\"
    bucket: \"$OSS_BUCKET\"
    accessKeyId: \"$OSS_KEY_ID\"          # ⚠ 真值: RAM 子账号 AccessKey
    accessKeySecret: \"$OSS_KEY_SECRET\"  # ⚠ 真值
    stsRoleArn: \"$OSS_STS_ROLE_ARN\"     # STS AssumeRole ARN (可选)
  landingBaseUrl: \"https://$INGRESS_HOST\"  # 分享服务生成的落地页链接前缀
  ai:
    difyApiBase: \"$DIFY_API_BASE\"
    difyApiKey: \"$DIFY_API_KEY\"          # ⚠ 真值
    openaiApiKey: \"$OPENAI_KEY\"          # ⚠ 真值
    openaiBaseUrl: \"$OPENAI_BASE\"
    openaiModel: \"$OPENAI_MODEL\"
    minimaxApiKey: \"$MINIMAX_KEY\"        # 可选
    minimaxApiUrl: \"$MINIMAX_URL\"        # 可选
  sms:
    accessKeyId: \"$SMS_KEY_ID\"           # ⚠ 真值 (可选)
    accessKeySecret: \"$SMS_KEY_SECRET\"   # ⚠ 真值 (可选)
    signName: \"$SMS_SIGN_NAME\"
    templateCode: \"$SMS_TEMPLATE\"

# ---------------------------------------------------------------
# 所有服务的 image tag 用全局覆盖 (services.<x>.image.tag = global.image.tag);
# 单服务差异在 helm install 时
# 用 --set 临时覆盖 (例: --set services.gateway.replicas=5)
# ---------------------------------------------------------------
services: {}
"

if [ "$DRY_RUN" = true ]; then
    # --dry-run 模式: 不写文件, 把内容 echo 给用户看, 让他"先看再决定"
    # 经常用来调试: ./fill-values-prod.sh --dry-run | less
    print_warn "DRY RUN: 不写文件, 上面是预览"
    echo "$OUTPUT_CONTENT"
    exit 0
fi

print_step "写文件"
echo -n "$OUTPUT_CONTENT" > "$OUTPUT_FILE"
# echo -n 不带末尾换行; 加上 here-string 末尾已有一个 \n, 总共一个换行, 是标准 YAML 风格。
# > 的本质是 truncate+write, 即使脚本中间 SIGINT 也能拿到部分文件 (避免破坏性 >|)
chmod 600 "$OUTPUT_FILE"
# 600 = -rw------- ; owner 可读写, group/other 无权限。
# 防止偶然的 `cat file` / `less file` / git status (本地) 暴漏真值。
# 注意: chmod 在 NTFS / FAT 文件系统上无效, 这是 Linux/Mac ext4/apfs 的特性。
print_ok "已写 $OUTPUT_FILE (权限 600, owner-only)"

# ---------- .gitignore 检查 ----------
# 即使剧本本身极小概率出错 (运维 cp 命令误填), 也要有兜底防止真值入 git。
# .gitignore 用 glob ** 匹配任何层级的 values-prod.yaml。
# 检测是否已存在该条目:
GITIGNORE="$REPO_ROOT/.gitignore"
if grep -qE '^k8s/helm/\*\*/values-prod\.yaml$' "$GITIGNORE" 2>/dev/null; then
    print_ok ".gitignore 已排除 values-prod.yaml"
else
    print_warn ".gitignore **似乎** 未排除 values-prod.yaml, 现在加"
    # 非交互模式 (CI) 不自动改 .gitignore — 那是仓库层面的修改, 必须人工 review。
    if [ "$NON_INTERACTIVE" = false ]; then
        read -rp "(yes/no): " confirm
        [ "$confirm" = "yes" ] && {
            printf '\n# K8s 真值文件 (含 DB/AI 凭据, 不入 git)\nk8s/helm/**/values-prod.yaml\n' >> "$GITIGNORE"
            print_ok "已加 .gitignore 条目"
        }
    fi
fi

# ---------- 泄漏扫描 ----------
# 兜底: 即使 chmod 600 / .gitignore 都对, 万一用户 vim 编辑时手滑推到 git
# 也是灾难。 这里调 gitleaks (首选) / detect-secrets 扫**刚生成**的 file
# 检查真值模式是否还像 placeholder (没填)。
# 注意: 第一次 gitleaks detect 是**整个仓库** scan, 不是单 file,
# 这通常 CI 跑; 本地想要只 scan 当前文件需要 detect-secrets。

if command -v gitleaks &>/dev/null; then
    print_step "gitleaks 扫描"
    # -v: 详细模式; --no-banner: 不要版本条; 2>&1: 把 stderr 合到 stdout
    # `|| true`: 不让 `gitleaks 检测到 leak` (exit 1) 把整个脚本带 abort
    # 因为这是 informational, 我们后面让运维自己处理
    gitleaks detect --source . --no-banner -v 2>&1 | tail -10 || true
elif command -v detect-secrets &>/dev/null; then
    print_step "detect-secrets 扫描"
    detect-secrets scan "$OUTPUT_FILE" 2>&1 || true
else
    print_warn "未装 gitleaks / detect-secrets, 手动核对:"
    echo "    git diff --no-color k8s/helm/topfans/values-prod.yaml | grep -E 'password|key|secret' | head"
    # `head` 防泄漏太长; 仅看有没有"看起来是真值"的行
fi

# ---------- SOPS 加密 (可选) ----------
# 真值**明文**版的 values-prod.yaml 必须 600 权限 + 不入 git (前两步已做)。
# 但运维不方便于共享给队友时, 用 SOPS 加密成 .sops.yaml 可以入 git
# (加密内容读者无法解密, 但解密密钥在 KMS / PGP / age 中)。
# 加密 helm install 流程:
#   sops --decrypt values-prod.sops.yaml > values-prod.yaml
#   helm install topfans ./helm/topfans -f values-prod.yaml
if [ "$USE_SOPS" = true ]; then
    if ! command -v sops &>/dev/null; then
        print_err "sops 未装 (brew install sops)"
        exit 1
    fi
    print_step "sops 加密"
    SOPS_FILE="${OUTPUT_FILE%.yaml}.sops.yaml"
    # 去掉末尾的 .yaml, 加 .sops.yaml 作后缀: values-prod.sops.yaml
    sops --encrypt --in-place "$OUTPUT_FILE"
    # --in-place 原地加密, 不保留明文
    mv "$OUTPUT_FILE" "$SOPS_FILE"
    chmod 600 "$SOPS_FILE"
    print_ok "加密: $SOPS_FILE"
    print_ok "解密: sops --decrypt $SOPS_FILE > $OUTPUT_FILE"
    print_warn "生产部署时 SOPS_FILE 可以入 git (加密的)"
fi

print_step "✅ 完成"

# ---------- 待填占位符汇总 ----------
# 决策点: if [ -s FILE ] 检查文件 size > 0 (有内容 = 有 pending 项)。
# 不用 [ -f FILE ] 因为 mktemp 创建后已存在, -f 永远 true;
# 不用 ${#PENDING[@]} 因为可能有未处理的元素 (虽然我们用文件而非数组)。
if [ -s "$PENDING_FILE" ]; then
    echo ""
    echo "╔════════════════════════════════════════════════════════════════╗"
    echo "║  ⚠  本次未填的字段, deploy 前必须补齐                              ║"
    echo "╚════════════════════════════════════════════════════════════════╝"
    # 表格列宽: 字段名 40 字符 (足够 longest = secrets.ai.minimaxApiKey)
    printf "  %-40s  %s\n" "字段" "说明"
    printf "  %-40s  %s\n" "────" "────"
    while IFS='|' read -r key desc nature; do
        # IFS='|' 覆盖全局 IFS 为本条 read, 不会污染后续 read
        if [ "$nature" = "必填" ]; then
            marker="⛔ 必填"
        else
            marker="🟡 可选"
        fi
        printf "  ${YELLOW}%-40s${NC}  %s  · %s\n" "$key" "$marker" "$desc"
        # 重定向 < "$PENDING_FILE" 让 read 从文件读, 而不是 stdin
    done < "$PENDING_FILE"
    echo ""
    print_warn "占位符 $PLACEHOLDER 已经写在文件里"
    print_warn "补齐方式: \$EDITOR k8s/helm/topfans/values-prod.yaml"
    print_warn "搜索:    grep -n $PLACEHOLDER k8s/helm/topfans/values-prod.yaml"
    print_warn "替换后通过 helm template dry-run 验证:"
    print_warn "         helm template topfans k8s/helm/topfans/ -f k8s/helm/topfans/values-prod.yaml --namespace topfans | grep $PLACEHOLDER"
    print_warn "         没有输出 = 全部替换完"
    # helm template + grep 是部署前的**硬性** sanity check:
    # 1. 占位符没替换会原样输出, grep 应该能命中
    # 2. 没命中 = 全部填好了, 可以 install
else
    echo ""
    print_ok "所有必填字段都已填, 可以直接 helm install"
fi

echo ""
echo "用法:"
echo "  ./k8s/deploy.sh upgrade $IMAGE_TAG          # 升级 image tag = $IMAGE_TAG"
echo "  ./k8s/deploy.sh upgrade --reuse-values       # 升级, 复用当前 values"
echo ""
echo "验证 (不进真值到 git):"
echo "  cd $REPO_ROOT && git status k8s/helm/topfans/values-prod.yaml"
# `git status` 显示为 ignored 才算稳。若显示为 untracked 那就是 .gitignore 出问题了,
# 这次 helm install 千万**别**在生产路径上跑 (应立刻看 .gitignore 是否漏配)。