#!/usr/bin/env bash
set -euo pipefail

# One-shot bootstrap для own-git стека:
# - устанавливает зависимости;
# - разворачивает Gitea через docker compose;
# - раскладывает конфиги HAProxy/fail2ban/systemd;
# - включает timer бэкапов;
# - печатает пост-инсталляционный чеклист.
#
# ВНИМАНИЕ:
# 1) Проверьте и отредактируйте переменные ниже перед запуском.
# 2) Скрипт рассчитан на Ubuntu 24.04+.
# 3) Запускать от root (sudo).

SERVER_DOMAIN="${SERVER_DOMAIN:-git.papatramp.ru}"
GITEA_LAN_IP="${GITEA_LAN_IP:-192.168.128.100}"
OWGIT_REPO_DIR="${OWGIT_REPO_DIR:-/opt/owngit}"
GITEA_BASE_DIR="${GITEA_BASE_DIR:-/opt/gitea}"
INSTALL_UFW="${INSTALL_UFW:-false}"
ENABLE_FAIL2BAN="${ENABLE_FAIL2BAN:-true}"
ENABLE_BACKUP_TIMER="${ENABLE_BACKUP_TIMER:-true}"
DRY_RUN="${DRY_RUN:-false}"

log()  { echo "[INFO] $*"; }
ok()   { echo "[OK]   $*"; }
warn() { echo "[WARN] $*"; }
err()  { echo "[ERR]  $*"; }

usage() {
  cat <<EOF
Usage: $0 [--dry-run]

Options:
  --dry-run   показать все шаги без изменений в системе
  -h, --help  показать эту справку
EOF
}

run_cmd() {
  if [[ "$DRY_RUN" == "true" ]]; then
    echo "[DRY] $*"
    return 0
  fi
  "$@"
}

run_sh() {
  if [[ "$DRY_RUN" == "true" ]]; then
    echo "[DRY] $*"
    return 0
  fi
  bash -lc "$*"
}

require_root() {
  if [[ "$DRY_RUN" == "true" ]]; then
    warn "DRY_RUN=true: проверка root пропущена"
    return
  fi
  if [[ "${EUID:-$(id -u)}" -ne 0 ]]; then
    err "Запустите через sudo."
    exit 1
  fi
}

require_paths() {
  local missing=0
  for p in \
    "$OWGIT_REPO_DIR/gitea/docker-compose.yml" \
    "$OWGIT_REPO_DIR/gitea/app.ini.example" \
    "$OWGIT_REPO_DIR/haproxy/haproxy.cfg" \
    "$OWGIT_REPO_DIR/systemd/gitea-backup.service" \
    "$OWGIT_REPO_DIR/systemd/gitea-backup.timer" \
    "$OWGIT_REPO_DIR/fail2ban/jail.d/owngit.local"; do
    if [[ ! -f "$p" ]]; then
      err "Не найден файл: $p"
      missing=1
    fi
  done
  [[ "$missing" -eq 0 ]] || exit 1
}

install_packages() {
  log "Устанавливаю зависимости..."
  run_cmd apt-get update
  run_cmd apt-get install -y \
    ca-certificates curl jq git openssl \
    docker.io docker-compose-plugin \
    haproxy
  ok "Пакеты установлены"
}

setup_dirs() {
  log "Создаю рабочие директории..."
  run_cmd mkdir -p "$GITEA_BASE_DIR/data/gitea/conf"
  run_cmd mkdir -p /etc/haproxy/certs
  ok "Директории готовы"
}

deploy_gitea() {
  log "Разворачиваю Gitea compose..."
  run_cmd cp -a "$OWGIT_REPO_DIR/gitea/docker-compose.yml" "$GITEA_BASE_DIR/docker-compose.yml"

  if [[ ! -f "$GITEA_BASE_DIR/data/gitea/conf/app.ini" ]]; then
    run_cmd cp -a "$OWGIT_REPO_DIR/gitea/app.ini.example" "$GITEA_BASE_DIR/data/gitea/conf/app.ini"
    warn "Создан app.ini из шаблона. Обязательно замените SECRET_KEY и INTERNAL_TOKEN."
  fi

  run_cmd systemctl enable --now docker
  run_sh "cd '$GITEA_BASE_DIR' && docker compose up -d"
  ok "Gitea контейнер запущен"
}

deploy_haproxy() {
  log "Устанавливаю конфиг HAProxy..."
  run_cmd cp -a "$OWGIT_REPO_DIR/haproxy/haproxy.cfg" /etc/haproxy/haproxy.cfg

  # Файлы ACL, чтобы конфиг проходил валидацию.
  run_cmd touch /etc/haproxy/allowed_ips.lst /etc/haproxy/allowed_ips_knock.lst

  # Если сертификат отсутствует, генерируем временный self-signed.
  if [[ ! -f /etc/haproxy/certs/papatramp.pem ]]; then
    warn "Не найден /etc/haproxy/certs/papatramp.pem, создаю временный self-signed сертификат."
    run_cmd openssl req -x509 -nodes -newkey rsa:2048 \
      -keyout /tmp/owngit-selfsigned.key \
      -out /tmp/owngit-selfsigned.crt \
      -days 7 \
      -subj "/CN=${SERVER_DOMAIN}"
    run_sh "cat /tmp/owngit-selfsigned.crt /tmp/owngit-selfsigned.key > /etc/haproxy/certs/papatramp.pem"
    run_cmd rm -f /tmp/owngit-selfsigned.crt /tmp/owngit-selfsigned.key
    warn "Используется временный сертификат. Замените на боевой Let's Encrypt/PEM."
  fi

  run_cmd haproxy -c -f /etc/haproxy/haproxy.cfg
  run_cmd systemctl enable --now haproxy
  run_cmd systemctl reload haproxy
  ok "HAProxy применен и перезагружен"
}

deploy_fail2ban() {
  if [[ "$ENABLE_FAIL2BAN" != "true" ]]; then
    warn "Fail2ban пропущен (ENABLE_FAIL2BAN=false)"
    return
  fi
  log "Настраиваю fail2ban..."
  run_cmd apt-get install -y fail2ban
  run_cmd mkdir -p /etc/fail2ban/jail.d
  run_cmd cp -a "$OWGIT_REPO_DIR/fail2ban/jail.d/owngit.local" /etc/fail2ban/jail.d/owngit.local
  run_cmd systemctl enable --now fail2ban
  ok "Fail2ban включен"
}

deploy_backup_timer() {
  if [[ "$ENABLE_BACKUP_TIMER" != "true" ]]; then
    warn "Backup timer пропущен (ENABLE_BACKUP_TIMER=false)"
    return
  fi
  log "Устанавливаю systemd backup timer..."
  run_cmd cp -a "$OWGIT_REPO_DIR/systemd/gitea-backup.service" /etc/systemd/system/gitea-backup.service
  run_cmd cp -a "$OWGIT_REPO_DIR/systemd/gitea-backup.timer" /etc/systemd/system/gitea-backup.timer
  run_cmd systemctl daemon-reload
  run_cmd systemctl enable --now gitea-backup.timer
  ok "Backup timer включен"
}

maybe_setup_ufw() {
  if [[ "$INSTALL_UFW" != "true" ]]; then
    warn "UFW не применялся (INSTALL_UFW=false)"
    return
  fi
  if [[ ! -x "$OWGIT_REPO_DIR/scripts/setup-ufw.sh" ]]; then
    run_cmd chmod +x "$OWGIT_REPO_DIR/scripts/setup-ufw.sh"
  fi
  log "Применяю UFW..."
  run_cmd "$OWGIT_REPO_DIR/scripts/setup-ufw.sh"
  ok "UFW настроен"
}

print_checklist() {
  cat <<EOF

==================== POST-INSTALL CHECKLIST ====================
1) Отредактируйте:
   - ${GITEA_BASE_DIR}/data/gitea/conf/app.ini
   - замените SECRET_KEY / INTERNAL_TOKEN
   - проверьте ROOT_URL=https://${SERVER_DOMAIN}/

2) Проверьте DNS:
   - ${SERVER_DOMAIN} должен резолвиться на HAProxy (WAN/LAN по вашей схеме).

3) Замените временный TLS сертификат:
   - /etc/haproxy/certs/papatramp.pem
   - и reload: systemctl reload haproxy

4) Проверки:
   - curl -I http://${GITEA_LAN_IP}:3000
   - curl -I https://${SERVER_DOMAIN}
   - nc -zv ${SERVER_DOMAIN} 2222

5) Запустите preflight:
   - chmod +x ${OWGIT_REPO_DIR}/scripts/preflight-check.sh
   - ${OWGIT_REPO_DIR}/scripts/preflight-check.sh

6) При необходимости примените SSH hardening:
   - ${OWGIT_REPO_DIR}/scripts/safe-apply-ssh-hardening.sh
================================================================
EOF
}

main() {
  while [[ $# -gt 0 ]]; do
    case "$1" in
      --dry-run)
        DRY_RUN=true
        shift
        ;;
      -h|--help)
        usage
        exit 0
        ;;
      *)
        err "Неизвестный аргумент: $1"
        usage
        exit 1
        ;;
    esac
  done

  if [[ "$DRY_RUN" == "true" ]]; then
    warn "Запуск в режиме dry-run (изменения не применяются)"
  fi
  require_root
  require_paths
  install_packages
  setup_dirs
  deploy_gitea
  deploy_haproxy
  deploy_fail2ban
  deploy_backup_timer
  maybe_setup_ufw
  print_checklist
  ok "Bootstrap завершен"
}

main "$@"