#!/usr/bin/env bash
# =============================================================================
# deploy-test-etcd.sh
#   etcd 차트가 지정한 이미지로 실제 Kubernetes 배포 수준에서 정상 동작하는지
#   확인한다. CVE 게이트(scripts/pipeline/cve-gate.py)는 "취약점이 없는가"만
#   본다. 이 스크립트는 "0건이어도 실제로 뜨는가"를 본다 —
#   .claude/deploy-test-procedure.md 의 원칙("Zero CVE 로는 부족하다. 동작하지
#   않는 이미지는 카탈로그에 올릴 수 없다").
#
#   cnpg 배포 테스트(deploy-test-cnpg-cluster.sh)와 달리 etcd 차트는 오퍼레이터가
#   없는 단일 차트다 — 상시 컴포넌트 설치 단계가 없고, 매 실행 테스트 네임스페이스에
#   차트를 설치하고 끝나면 지운다. 정리는 성공/실패 무관 항상 수행한다(trap).
#
#   배포는 차트 **기본값(values.yaml)** 만 쓴다. custom-values.yaml 은 쓰지 않는다 —
#   유일한 override 는 검증 대상 이미지와 replica 수뿐이다(cnpg 원칙과 동일).
#
# 사용:
#   IMAGE_NAME=quay.io/coreos/etcd:v3.7.1 bash scripts/deploy-test/deploy-test-etcd.sh <OUT_DIR>
#
# 환경변수:
#   IMAGE_NAME     (필수) 검증할 etcd 이미지 전체 경로:태그 (registry/repository:tag)
#   INIT_IMAGE     init 컨테이너 이미지 전체 경로:태그   기본 docker.io/busybox:1.38.0-uclibc
#   CHART_DIR      기본 manifests/helm/etcd/1.1.12
#   TEST_NAMESPACE 기본 etcd-test-build (매 실행 재생성)
#   RELEASE        기본 etcd-build
#   REPLICAS       기본 3 (쿼럼 확인을 위해 홀수 권장)
#   WAIT_TIMEOUT   기본 300 (초) — StatefulSet 롤아웃 대기 한도
#
# 산출물 (OUT_DIR):
#   deploy-test.log     전체 실행 로그
#
# 종료 코드: 0 = 기능 확인(quorum health + put/get) 통과, 그 외 = 실패.
#            정리는 종료 코드와 무관하게 항상 수행된다.
# =============================================================================
set -uo pipefail

SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
REPO_ROOT="$(cd "$SCRIPT_DIR/../.." && pwd)"

OUT_DIR="${1:?사용법: deploy-test-etcd.sh <OUT_DIR>}"
mkdir -p "$OUT_DIR"
LOG="$OUT_DIR/deploy-test.log"
: > "$LOG"

IMAGE_NAME="${IMAGE_NAME:?IMAGE_NAME 환경변수가 필요하다 (검증할 etcd 이미지 전체 경로:태그)}"
INIT_IMAGE="${INIT_IMAGE:-docker.io/busybox:1.38.0-uclibc}"
CHART_DIR="${CHART_DIR:-$REPO_ROOT/manifests/helm/etcd/1.1.12}"
TEST_NAMESPACE="${TEST_NAMESPACE:-etcd-test-build}"
RELEASE="${RELEASE:-etcd-build}"
REPLICAS="${REPLICAS:-3}"
WAIT_TIMEOUT="${WAIT_TIMEOUT:-300}"

log() { echo "$(date -u +%H:%M:%S) $*" | tee -a "$LOG"; }

# IMAGE_NAME="registry[/path]/repository:tag" → registry / repository / tag 분해.
# 차트가 imageName 단일 필드가 아니라 3분할 필드(image.registry/repository/tag)를
# 쓰기 때문에 필요하다.
split_image() {
  local full="$1" tag repo_full registry repository
  tag="${full##*:}"
  repo_full="${full%:*}"
  registry="${repo_full%/*}"
  repository="${repo_full##*/}"
  echo "$registry" "$repository" "$tag"
}

read -r IMAGE_REGISTRY IMAGE_REPOSITORY IMAGE_TAG <<< "$(split_image "$IMAGE_NAME")"
read -r INIT_REGISTRY INIT_REPOSITORY INIT_TAG <<< "$(split_image "$INIT_IMAGE")"

log "== 사전 확인 =="
for t in kubectl helm python3; do
  command -v "$t" >/dev/null || { log "::error:: $t 없음"; exit 2; }
done
[ -d "$CHART_DIR" ] || { log "::error:: 차트 없음: $CHART_DIR"; exit 2; }
if ! kubectl get ns >/dev/null 2>>"$LOG"; then
  log "::error:: 클러스터 연결 실패 — kubeconfig/네트워크 확인"
  exit 2
fi
log "   OK (kubectl context: $(kubectl config current-context 2>/dev/null))"
log "   image=$IMAGE_REGISTRY/$IMAGE_REPOSITORY:$IMAGE_TAG"
log "   initImage=$INIT_REGISTRY/$INIT_REPOSITORY:$INIT_TAG"
log "   replicas=$REPLICAS"

# --- 테스트 네임스페이스 정리 (선-정리·후-정리 공용) --------------------------
cleanup_test_ns() {
  kubectl get ns "$TEST_NAMESPACE" >/dev/null 2>&1 || return 0

  log "== 정리: $TEST_NAMESPACE =="
  if helm status "$RELEASE" -n "$TEST_NAMESPACE" >/dev/null 2>&1; then
    helm uninstall "$RELEASE" -n "$TEST_NAMESPACE" >>"$LOG" 2>&1
  fi
  kubectl -n "$TEST_NAMESPACE" delete pvc --all --wait --timeout=120s >>"$LOG" 2>&1

  # storageClass longhorn 은 reclaimPolicy Retain 이라 PVC 삭제만으로는 볼륨이 안
  # 지워진다(.claude/pitfalls.md). 이 네임스페이스가 남긴 PV 만 골라 지운다.
  local pv
  for pv in $(kubectl get pv -o json 2>/dev/null | python3 -c "
import json,sys
d=json.load(sys.stdin)
for p in d.get('items', []):
    cr = p['spec'].get('claimRef') or {}
    if cr.get('namespace') == '$TEST_NAMESPACE':
        print(p['metadata']['name'])
" 2>/dev/null); do
    kubectl delete pv "$pv" --ignore-not-found >>"$LOG" 2>&1 \
      || log "::warning:: PV $pv 삭제 실패 — 수동 확인 필요"
  done

  kubectl delete ns "$TEST_NAMESPACE" --wait --timeout=120s >>"$LOG" 2>&1
  log "   완료"
}

RESULT=1
trap 'cleanup_test_ns' EXIT

cleanup_test_ns   # 직전 실행이 비정상 종료했을 경우를 대비한 선-정리

log "== etcd: 설치 ($RELEASE/$TEST_NAMESPACE, 차트 기본값 + 이미지·replicas override) =="
kubectl create ns "$TEST_NAMESPACE" >>"$LOG" 2>&1
if ! helm install "$RELEASE" "$CHART_DIR" -n "$TEST_NAMESPACE" \
      --set image.registry="$IMAGE_REGISTRY" \
      --set image.repository="$IMAGE_REPOSITORY" \
      --set image.tag="$IMAGE_TAG" \
      --set initImage.registry="$INIT_REGISTRY" \
      --set initImage.repository="$INIT_REPOSITORY" \
      --set initImage.tag="$INIT_TAG" \
      --set replicas="$REPLICAS" \
      --wait --timeout "${WAIT_TIMEOUT}s" \
      >>"$LOG" 2>&1; then
  log "::error:: 차트 설치 실패 — $LOG 확인"
  kubectl -n "$TEST_NAMESPACE" get pods >>"$LOG" 2>&1
  exit 1
fi

STS_NAME="$(kubectl -n "$TEST_NAMESPACE" get statefulset -o jsonpath='{.items[0].metadata.name}' 2>/dev/null)"
if [ -z "$STS_NAME" ]; then
  log "::error:: StatefulSet 을 찾지 못함"
  exit 1
fi

log "== StatefulSet 롤아웃 대기 (최대 ${WAIT_TIMEOUT}s): $STS_NAME =="
if ! kubectl -n "$TEST_NAMESPACE" rollout status "statefulset/$STS_NAME" --timeout="${WAIT_TIMEOUT}s" >>"$LOG" 2>&1; then
  log "::error:: 타임아웃 — StatefulSet 이 준비되지 못함"
  kubectl -n "$TEST_NAMESPACE" get pods -o wide >>"$LOG" 2>&1
  kubectl -n "$TEST_NAMESPACE" describe pods >>"$LOG" 2>&1
  exit 1
fi

pod0="${STS_NAME}-0"
log "== 컨테이너 실행 계정 확인 (non-root uid 999 기대) =="
# quay.io/coreos/etcd 는 etcd/etcdctl 바이너리만 든 최소 이미지라 id/cat/sh 조차
# 없다(실측: `id` exec 시 "executable file not found in \$PATH"). uid 는 직접 확인할
# 수 없으므로, 아래 quorum health·put/get 이 성공한다는 것 자체를 간접 증거로 삼는다
# — securityContext(runAsUser 999, RO rootfs)가 거부됐다면 kubelet 이 애초에
# 컨테이너를 못 띄웠거나 /data 쓰기가 실패했을 것이다.
if uid="$(kubectl -n "$TEST_NAMESPACE" exec "$pod0" -- id -u 2>>"$LOG")" && [ -n "$uid" ]; then
  log "   pod0 uid=$uid"
  [ "$uid" = "999" ] || log "::warning:: 기대한 uid(999) 와 다름 — CUSTOM-README.md 의 securityContext 가정 재검토 필요"
else
  log "   id 바이너리 없음(최소 이미지) — 직접 확인 불가. 아래 quorum health/put-get 성공 여부로 간접 확인"
fi

log "== 기능 확인: quorum health =="
health_out="$(kubectl -n "$TEST_NAMESPACE" exec "$pod0" -- etcdctl endpoint health --cluster 2>>"$LOG")"
log "   $health_out"
healthy_count="$(echo "$health_out" | grep -c "is healthy" || true)"
if [ "$healthy_count" != "$REPLICAS" ]; then
  log "::error:: quorum health 이상 (healthy=$healthy_count / replicas=$REPLICAS)"
  exit 1
fi

log "== 기능 확인: put/get 왕복 =="
if ! kubectl -n "$TEST_NAMESPACE" exec "$pod0" -- etcdctl put smoke-test ok >>"$LOG" 2>&1; then
  log "::error:: etcdctl put 실패"
  exit 1
fi
answer="$(kubectl -n "$TEST_NAMESPACE" exec "$pod0" -- etcdctl get smoke-test --print-value-only 2>>"$LOG")"
log "   get smoke-test => '$answer'"
if [ "$answer" = "ok" ]; then
  log "== 결과: PASS =="
  RESULT=0
else
  log "::error:: get 응답 이상 (got: '$answer')"
  RESULT=1
fi

exit "$RESULT"