#!/bin/bash
# ==========================================
# 🚀 1-Click Server Installer (Python)
# Enterprise Production-Hardened Deployment
# ==========================================
set -e

if [ "$(id -u)" -ne 0 ]; then
    echo "❌ Пожалуйста, запустите скрипт от имени root (sudo bash deploy.sh)"
    exit 1
fi

if ! command -v openssl >/dev/null 2>&1; then
    echo "❌ Ошибка: openssl обязателен для генерации крипто-секретов."
    exit 1
fi

echo "🚀 Развертывание Python-сервиса на сервере..."

# 1. Установка системных зависимостей
if ! command -v python3 &> /dev/null; then
    echo "📦 Установка Python 3 и venv..."
    apt-get update -qq
    apt-get install -y -qq python3 python3-pip python3-venv
fi

# 2. Создание выделенного пользователя keyguard
APP_DIR=$(pwd)
if ! id -u keyguard &>/dev/null; then
    useradd -r -s /bin/false -d "${APP_DIR}" keyguard 2>/dev/null || true
fi

# 3. Изолированное виртуальное окружение
if [ ! -d "venv" ]; then
    echo "📦 Создание виртуального окружения venv..."
    python3 -m venv venv
fi

venv/bin/pip install -q --upgrade pip
if [ -f requirements.txt ]; then
    venv/bin/pip install -q -r requirements.txt
fi

# 4. Безопасный .env (Скрытый ввод + 256-bit Admin Secret)
if [ ! -f .env ]; then
    echo "⚙️ Настройка конфигурации:"
    read -r -s -p "🔑 Введите ваш LICENSE_KEY: " user_key
    echo
    read -r -s -p "🤖 Введите BOT_TOKEN (если используется): " bot_token
    echo
    ADMIN_SECRET="$(openssl rand -hex 32)"
    (umask 077 && touch .env)
    cat << EOF > .env
LICENSE_KEY=${user_key}
LICENSE_SERVER_URL=https://license.your-domain.com
BOT_TOKEN=${bot_token}
ADMIN_SECRET=${ADMIN_SECRET}
EOF
    chmod 600 .env
fi

chown -R keyguard:keyguard "${APP_DIR}" 2>/dev/null || true
chmod 600 .env 2>/dev/null || true

# 5. Служба Systemd (User=keyguard)
SERVICE_FILE="/etc/systemd/system/keyguard-app.service"
cat << EOF > ${SERVICE_FILE}
[Unit]
Description=KeyGuard Protected Python Service
After=network.target

[Service]
Type=simple
User=keyguard
Group=keyguard
WorkingDirectory=${APP_DIR}
ExecStart=${APP_DIR}/venv/bin/python3 ${APP_DIR}/main.py
Restart=always
RestartSec=5

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable keyguard-app
systemctl restart keyguard-app

echo "=========================================="
echo "✅ Сервис успешно запущен (User: keyguard)!"
echo "📊 Просмотр логов: journalctl -u keyguard-app -f"
echo "=========================================="