#!/usr/bin/env bash
# install.sh — YofMail 一键安装脚本（自托管 Docker 部署）
#
# 用法（商业用户推荐）:
#   curl -fsSL https://raw.githubusercontent.com/One-OK/YofMail/main/install.sh | bash
#
# 或先下载再执行（推荐，可先审查脚本）:
#   curl -fsSL https://raw.githubusercontent.com/One-OK/YofMail/main/install.sh -o install.sh
#   bash install.sh
#
# 环境变量（可选，未设置则交互式询问或使用默认值）:
#   YOFMAIL_DOMAIN        对外访问的域名，如 mail.example.com
#   YOFMAIL_INSTALL_DIR   安装目录，默认 /opt/yofmail
#   YOFMAIL_IMAGE_TAG     镜像标签，默认 latest
#   YOFMAIL_CN_REGISTRY   国内镜像仓库，如 ccr.ccs.tencentyun.com/yofmail
#                         （留空则从 GitHub 拉源码本地构建，速度较慢）
#   YOFMAIL_R2_ENDPOINT   R2/S3 endpoint（可选，留空则本地文件存储附件）
#   YOFMAIL_R2_KEY        R2 access key
#   YOFMAIL_R2_SECRET     R2 secret key
#   YOFMAIL_R2_BUCKET     R2 bucket 名
#
# 危险操作开关（默认全部关闭，需显式设为 1 才生效）:
#   YOFMAIL_MODIFY_DOCKER=1  允许本脚本改写 /etc/docker/daemon.json 并重启 Docker
#                            （会短暂中断本宿主机上的所有容器，不只是 YofMail）
#   YOFMAIL_FORCE_RESET=1    允许 `git reset --hard` 丢弃安装目录中的本地改动
#
# 脚本特点:
#   - 自动检测并安装 Docker / docker compose（官方源 + SHA-256 校验）
#   - 自动生成所有必需的密钥（JWT_SECRET / MASTER_KEY / API_SHARED_SECRET）
#   - .env 以 0600 创建，密钥/访问令牌不会打印到终端
#   - 幂等：可重复执行，已存在的配置不覆盖
#   - 完成后打印访问地址和下一步指引
#
set -euo pipefail

# ── 命令行参数 ────────────────────────────────────────────────────────────────
# --license <KEY>  预置 YofMail 激活码；初始化向导完成后服务端会自动绑定，装完即用。
#                  不传则按原流程，激活码留待 Web 初始化向导里手动填入。
YOFMAIL_LICENSE=""
while [[ $# -gt 0 ]]; do
  case "$1" in
    --license)
      if [[ $# -lt 2 ]]; then echo "错误: --license 需要跟一个激活码参数" >&2; exit 1; fi
      YOFMAIL_LICENSE="$2"; shift 2 ;;
    --license=*) YOFMAIL_LICENSE="${1#*=}"; shift ;;
    -h|--help)
      echo "用法: bash install.sh [--license <激活码>]"
      echo "  --license <KEY>   预置激活码，初始化完成后自动激活（装完即用）"
      echo "  -h, --help        显示本帮助"
      exit 0 ;;
    *) echo "警告: 忽略未知参数 $1" >&2; shift ;;
  esac
done

# ── 颜色与日志 ────────────────────────────────────────────────────────────────
if [[ -t 1 ]]; then
    C_RESET=$'\033[0m'; C_BOLD=$'\033[1m'; C_GREEN=$'\033[32m'
    C_YELLOW=$'\033[33m'; C_RED=$'\033[31m'; C_BLUE=$'\033[34m'
else
    C_RESET=""; C_BOLD=""; C_GREEN=""; C_YELLOW=""; C_RED=""; C_BLUE=""
fi

info()    { printf "%s[yofmail]%s %s\n"        "${C_BLUE}"   "${C_RESET}" "$*"; }
success() { printf "%s[yofmail]%s %s%s%s\n"    "${C_GREEN}"  "${C_RESET}" "${C_BOLD}" "$*" "${C_RESET}"; }
warn()    { printf "%s[yofmail]%s %s%s%s\n"    "${C_YELLOW}" "${C_RESET}" "${C_BOLD}" "$*" "${C_RESET}"; }
die()     { printf "%s[yofmail]%s %s错误: %s%s\n" "${C_RED}" "${C_RESET}" "${C_BOLD}" "$*" "${C_RESET}"; exit 1; }

# ── 步骤标题 ──────────────────────────────────────────────────────────────────
step() { printf "\n%s━━ %s ━━%s\n" "${C_BOLD}${C_BLUE}" "$*" "${C_RESET}"; }

# ── 工具函数 ──────────────────────────────────────────────────────────────────
has() { command -v "$1" >/dev/null 2>&1; }

ask() {
    local prompt="$1" default="${2:-}" varname="$3" var
    [[ -z "$varname" ]] && die "ask: 未提供变量名"
    if [[ -n "${!varname:-}" ]]; then return; fi   # 已通过环境变量提供
    if [[ -n "$default" ]]; then
        read -r -p "$(printf '%s[yofmail]%s %s [%s]: ' "${C_BLUE}" "${C_RESET}" "$prompt" "$default")" var || true
        printf -v "$varname" '%s' "${var:-$default}"
    else
        read -r -p "$(printf '%s[yofmail]%s %s: ' "${C_BLUE}" "${C_RESET}" "$prompt")" var || die "用户取消"
        printf -v "$varname" '%s' "$var"
    fi
}

rand_b64() { openssl rand -base64 32 2>/dev/null || head -c 32 /dev/urandom | base64; }

# ── 预共享访问令牌（R6）───────────────────────────────────────────────────────
# 幂等：若 .env 已包含非空的 ACCESS_TOKEN 则跳过；否则生成 32 字节十六进制令牌
# 追加到 .env，供前端通过 ?t=<token> 的访问链接免人机验证登录。
#
# H-18：令牌是能绕过 Turnstile 的凭据，**绝不打印到 stdout**。安装脚本的输出会进
# CI 日志、终端 scrollback、`tee` 出来的安装日志，甚至被同主机其他用户看到。
# 这里只把带令牌的访问链接写进 0600 的一次性文件，最后只告诉用户文件路径。
ACCESS_TOKEN_VALUE=""
ACCESS_URL_FILE=""
ensure_access_token() {
  if [[ -f "$ENV_FILE" ]] && grep -q '^ACCESS_TOKEN=.' "$ENV_FILE"; then
    info ".env 已包含 ACCESS_TOKEN，保留现有配置"
    ACCESS_TOKEN_VALUE=$(grep '^ACCESS_TOKEN=' "$ENV_FILE" | tail -n1 | cut -d= -f2-)
    return 0
  fi
  local token
  token=$(openssl rand -hex 32 2>/dev/null || head -c 64 /dev/urandom | xxd -p | tr -d '\n')
  [[ -z "$token" ]] && die "无法生成 ACCESS_TOKEN"
  # .env 含密钥，追加前先确保权限收紧（老部署可能遗留 0644）
  [[ -f "$ENV_FILE" ]] && chmod 600 "$ENV_FILE"
  # 追加到 .env（不覆盖其他配置）
  {
    echo ""
    echo "# ── 访问令牌（安装时生成；收藏带 ?t= 的访问链接即可免人机验证）────────"
    echo "ACCESS_TOKEN=$token"
  } >> "$ENV_FILE"
  ACCESS_TOKEN_VALUE="$token"
  success "已生成 ACCESS_TOKEN 并写入 .env（值不会打印到终端）"
}

# 把带令牌的访问链接写入 0600 文件，只回显文件路径，不回显令牌本身。
write_access_url_file() {
  [[ -n "$ACCESS_TOKEN_VALUE" ]] || return 0
  local host="${YOFMAIL_DOMAIN:-localhost}"
  ACCESS_URL_FILE="$INSTALL_DIR/access-url.txt"
  install -m 600 /dev/null "$ACCESS_URL_FILE" 2>/dev/null || {
    umask 077
    : > "$ACCESS_URL_FILE"
    chmod 600 "$ACCESS_URL_FILE"
  }
  {
    echo "# YofMail 免人机验证访问链接（含预共享令牌，等同凭据，请勿转发/截图）"
    echo "# 收藏到浏览器后建议删除本文件：rm -f $ACCESS_URL_FILE"
    echo "http://${host}:8787/?t=${ACCESS_TOKEN_VALUE}"
  } > "$ACCESS_URL_FILE"
}

# ── cloudflared 安装（R3，宿主二进制）─────────────────────────────────────────
# 幂等：已安装则跳过。只从 Cloudflare 官方 GitHub Release 下载（不再走
# ghproxy.com 这类第三方转发：该镜像早已失效，且会让任意第三方决定你在宿主机上
# 以 root 执行的二进制内容）。下载后校验官方发布的 SHA-256 摘要，任何一步失败都
# 立即放弃安装而不是继续跑一个来源不明 / 内容为空的二进制。
# 若需自定义来源，请自行下载校验后放到 /usr/local/bin/cloudflared 再重跑本脚本。
install_cloudflared() {
  if has cloudflared; then
    info "cloudflared 已安装（$(cloudflared version 2>/dev/null | head -n1 || echo '?')），跳过"
    return 0
  fi
  warn "未检测到 cloudflared，开始安装到 /usr/local/bin/cloudflared ..."

  local os arch base bin_url tmp="/tmp/cloudflared-$$.bin"
  os=$(uname -s | tr '[:upper:]' '[:lower:]')
  arch=$(uname -m)
  case "$arch" in
    x86_64|amd64) arch="amd64" ;;
    aarch64|arm64) arch="arm64" ;;
    *) warn "未知架构 $arch，回退 amd64"; arch="amd64" ;;
  esac
  base="https://github.com/cloudflare/cloudflared/releases/latest/download"
  bin_url="$base/cloudflared-${os}-${arch}"

  if ! curl -fsSL --retry 3 --retry-delay 2 "$bin_url" -o "$tmp"; then
    rm -f "$tmp"
    warn "cloudflared 下载失败（官方源不可达），公网隧道功能将不可用。"
    warn "请手动从 https://github.com/cloudflare/cloudflared/releases 下载并校验后放到 /usr/local/bin/cloudflared。"
    return 1
  fi
  # 空文件 / HTML 错误页 也可能以 200 返回，必须显式判定
  if [[ ! -s "$tmp" ]]; then
    rm -f "$tmp"
    warn "cloudflared 下载内容为空，放弃安装。"
    return 1
  fi

  # 校验官方 SHA-256（Cloudflare 与二进制同目录发布 <name>.sha256）
  if has sha256sum; then
    local want got
    want=$(curl -fsSL --retry 2 "${bin_url}.sha256" 2>/dev/null | awk '{print $1}' | head -n1 || true)
    if [[ -n "$want" ]]; then
      got=$(sha256sum "$tmp" | awk '{print $1}')
      if [[ "$want" != "$got" ]]; then
        rm -f "$tmp"
        warn "cloudflared 校验和不匹配（期望 $want，实际 $got），放弃安装。"
        return 1
      fi
      info "cloudflared SHA-256 校验通过"
    else
      warn "未能获取官方 SHA-256 摘要，跳过校验（请自行确认二进制来源）"
    fi
  else
    warn "未检测到 sha256sum，跳过校验（请自行确认二进制来源）"
  fi

  chmod +x "$tmp"
  mv "$tmp" /usr/local/bin/cloudflared
  if ! cloudflared --version >/dev/null 2>&1; then
    warn "cloudflared 安装后无法执行 --version 校验，公网隧道功能可能不可用"
    return 1
  fi
  success "cloudflared 安装成功（$(cloudflared version | head -n1)）"
}

# ── 配置 ──────────────────────────────────────────────────────────────────────
INSTALL_DIR="${YOFMAIL_INSTALL_DIR:-/opt/yofmail}"
IMAGE_TAG="${YOFMAIL_IMAGE_TAG:-latest}"
CN_REGISTRY="${YOFMAIL_CN_REGISTRY:-}"
REPO_URL="${YOFMAIL_REPO_URL:-https://github.com/One-OK/YofMail.git}"
# 来自命令行 --license 的激活码（空则表示不在脚本安装阶段预置，改由 Web 向导手动填入）
LICENSE_KEY="${YOFMAIL_LICENSE:-}"
REPO_BRANCH="${YOFMAIL_REPO_BRANCH:-main}"

# ── 入口检查 ──────────────────────────────────────────────────────────────────
[[ "$(id -u)" -eq 0 ]] || die "请使用 root 用户运行，或加 sudo: sudo bash install.sh"

step "YofMail 一键安装"
info "安装目录: $INSTALL_DIR"
info "镜像标签: $IMAGE_TAG"
[[ -n "$CN_REGISTRY" ]] && info "国内镜像: $CN_REGISTRY" || info "镜像策略: 从源码本地构建"

# ── 步骤 1: Docker 环境自检与自动安装 ────────────────────────────────────────
step "1/6 检测 Docker 环境"

install_docker_compose() {
    # 优先尝试安装 docker-compose-plugin；Debian 某些版本仓库没有该包，则下载独立二进制。
    if docker compose version >/dev/null 2>&1 || has docker-compose; then
        return
    fi
    info "尝试安装 docker compose..."
    if has apt-get; then
        apt-get update -y
        apt-get install -y docker-compose-plugin 2>/dev/null && return
        warn "apt 中无 docker-compose-plugin，改从 GitHub 下载独立二进制..."
    fi
    # 仅从 Docker 官方 Release 下载（ghproxy.com 镜像已失效，且第三方转发等于
    # 让别人决定你以 root 执行的二进制内容）。下载到临时文件、校验官方 SHA-256、
    # 确认非空后才落到 /usr/local/bin，任何一步失败都直接放弃而不是留下半个文件。
    local compose_url="https://github.com/docker/compose/releases/latest/download/docker-compose-linux-x86_64"
    local tmp="/tmp/docker-compose-$$.bin"
    if ! curl -fsSL --retry 3 --retry-delay 2 "$compose_url" -o "$tmp" || [[ ! -s "$tmp" ]]; then
        rm -f "$tmp"
        die "docker compose 下载失败（$compose_url）。请手动安装 docker-compose-plugin 后重试。"
    fi
    if has sha256sum; then
        local want got
        want=$(curl -fsSL --retry 2 "${compose_url}.sha256" 2>/dev/null | awk '{print $1}' | head -n1 || true)
        if [[ -n "$want" ]]; then
            got=$(sha256sum "$tmp" | awk '{print $1}')
            if [[ "$want" != "$got" ]]; then
                rm -f "$tmp"
                die "docker compose 校验和不匹配（期望 $want，实际 $got），已放弃安装。"
            fi
        else
            warn "未能获取 docker compose 官方 SHA-256 摘要，跳过校验"
        fi
    fi
    chmod +x "$tmp"
    mv "$tmp" /usr/local/bin/docker-compose
}

install_docker() {
    warn "未检测到 Docker，开始自动安装..."
    if has apt-get; then
        # Debian / Ubuntu
        apt-get update -y
        apt-get install -y ca-certificates curl gnupg
        install -m 0755 -d /etc/apt/keyrings
        curl -fsSL https://download.docker.com/linux/$(. /etc/os-release; echo "$ID")/gpg \
            | gpg --dearmor -o /etc/apt/keyrings/docker.gpg
        chmod a+r /etc/apt/keyrings/docker.gpg
        echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] \
https://download.docker.com/linux/$(. /etc/os-release; echo "$ID") \
$(. /etc/os-release; echo "$VERSION_CODENAME") stable" \
            > /etc/apt/sources.list.d/docker.list
        apt-get update -y
        apt-get install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin || install_docker_compose
    elif has yum; then
        # CentOS / RHEL / Rocky
        yum install -y yum-utils
        yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
        yum install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin || install_docker_compose
    else
        die "无法识别的包管理器，请手动安装 Docker: https://docs.docker.com/engine/install/"
    fi
    systemctl enable --now docker
    success "Docker 已安装并启动"
}

if ! has docker; then
    install_docker
elif ! docker info >/dev/null 2>&1; then
    warn "Docker daemon 未运行，尝试启动..."
    systemctl start docker || service docker start || die "请手动启动 Docker"
    success "Docker daemon 已启动"
else
    success "Docker 已就绪"
fi

# 确认 docker compose 可用（v2 plugin 形式）
if docker compose version >/dev/null 2>&1; then
    COMPOSE="docker compose"
elif has docker-compose; then
    COMPOSE="docker-compose"
else
    die "未找到 docker compose 插件，请安装 docker-compose-plugin"
fi
info "compose 命令: $COMPOSE"

# 配置 Docker daemon 国内镜像加速（幂等，**默认关闭**）
#
# H-20：/etc/docker/daemon.json 是宿主机全局配置，重启 dockerd 会中断该主机上
# **所有**容器（不只是 YofMail）。安装一个应用不应该有这种副作用，因此改为显式
# opt-in：只有设置 YOFMAIL_MODIFY_DOCKER=1 时才会改写并重启 Docker。
setup_docker_mirror() {
    local daemon_file="/etc/docker/daemon.json"
    local mirror='{"registry-mirrors": ["https://mirror.ccs.tencentyun.com"]}'

    if [[ "${YOFMAIL_MODIFY_DOCKER:-0}" != "1" ]]; then
        if [[ ! -f "$daemon_file" ]] || ! grep -q 'registry-mirrors' "$daemon_file" 2>/dev/null; then
            warn "未配置 Docker registry 镜像加速（国内网络拉取基础镜像可能很慢）。"
            warn "如需本脚本代为配置 $daemon_file 并重启 Docker（会短暂中断宿主机上所有容器），"
            warn "请显式设置 YOFMAIL_MODIFY_DOCKER=1 后重跑；或手动添加："
            warn '  {"registry-mirrors": ["https://mirror.ccs.tencentyun.com"]}'
        fi
        return
    fi

    if [[ -f "$daemon_file" ]]; then
        if grep -q 'mirror.ccs.tencentyun.com' "$daemon_file"; then
            return
        fi
        warn "Docker daemon.json 已存在，为避免破坏既有配置不做自动合并。"
        warn "请手动添加镜像加速: https://mirror.ccs.tencentyun.com"
        return
    fi

    warn "YOFMAIL_MODIFY_DOCKER=1：将写入 $daemon_file 并重启 Docker daemon"
    warn "（这会短暂中断本宿主机上的所有容器）"
    mkdir -p "$(dirname "$daemon_file")"
    echo "$mirror" > "$daemon_file"
    systemctl restart docker || service docker restart || true
    success "Docker 镜像加速已配置"
}
setup_docker_mirror

# ── 步骤 2: 获取源码或安装目录 ────────────────────────────────────────────────
step "2/6 准备安装目录"

ensure_code() {
    # 如果当前目录已经是 YofMail 代码（有 docker-compose.yml 和 apps/api/Dockerfile），直接使用。
    # 商业化内测场景：私有仓库无法 curl 直接下载 install.sh，通常先 scp/git clone 到安装目录再执行。
    if [[ -f "$INSTALL_DIR/docker-compose.yml" && -f "$INSTALL_DIR/apps/api/Dockerfile" ]]; then
        info "检测到 $INSTALL_DIR 已有 YofMail 源码，直接使用"
        cd "$INSTALL_DIR"
        if [[ -d .git ]]; then
            info "尝试 git pull 更新（仅快进，不会覆盖本地改动）..."
            git pull --ff-only origin "$REPO_BRANCH" 2>/dev/null \
                || warn "git pull 未快进成功（可能有本地改动），继续使用当前代码"
        fi
        return 0
    fi
    return 1
}

if ensure_code; then
    : # 已处理
elif [[ -f "$INSTALL_DIR/docker-compose.yml" ]]; then
    info "检测到已有安装，但缺少完整源码，执行更新流程..."
    cd "$INSTALL_DIR"
    if [[ -d .git ]]; then
        git fetch --quiet origin "$REPO_BRANCH" 2>/dev/null || true
        # H-21：绝不静默 `git reset --hard`——那会无声销毁运维在服务器上做的本地
        # 修改（改过的 compose/证书/补丁）。默认只做快进合并；快进不了就保留现状
        # 并告诉用户怎么处理。确实要丢弃本地改动时显式设 YOFMAIL_FORCE_RESET=1。
        if [[ "${YOFMAIL_FORCE_RESET:-0}" == "1" ]]; then
            warn "YOFMAIL_FORCE_RESET=1：将丢弃 $INSTALL_DIR 中所有本地未提交改动"
            git reset --hard "origin/$REPO_BRANCH" 2>/dev/null || warn "git 更新失败，继续使用现有代码"
            success "代码已强制重置到 origin/$REPO_BRANCH"
        elif git merge --ff-only "origin/$REPO_BRANCH" >/dev/null 2>&1; then
            success "代码已快进更新到 origin/$REPO_BRANCH"
        else
            warn "无法快进更新（存在本地改动或分支已分叉），保留当前代码不动。"
            warn "请手动处理：cd $INSTALL_DIR && git status"
            warn "确认可以丢弃本地改动时，用 YOFMAIL_FORCE_RESET=1 重跑本脚本。"
        fi
    else
        warn "$INSTALL_DIR 不是 git 仓库，跳过代码更新"
    fi
else
    info "首次安装，克隆仓库到 $INSTALL_DIR ..."
    mkdir -p "$(dirname "$INSTALL_DIR")"
    if ! git clone --depth 1 -b "$REPO_BRANCH" "$REPO_URL" "$INSTALL_DIR"; then
        die "git clone 失败。私有仓库请先生成 Personal Access Token 或配置 SSH key 后再执行本脚本。"
    fi
    cd "$INSTALL_DIR"
    success "代码已克隆"
fi

# ── 步骤 3: 生成 .env ─────────────────────────────────────────────────────────
step "3/6 生成配置文件 (.env)"

ENV_FILE="$INSTALL_DIR/.env"
if [[ -f "$ENV_FILE" ]] && grep -q "JWT_SECRET=." "$ENV_FILE"; then
    info ".env 已存在且包含密钥，保留现有配置"
else
    info "生成新的 .env 与随机密钥..."

    ask "对外访问域名（如 mail.example.com）" "" YOFMAIL_DOMAIN
    [[ -n "${YOFMAIL_DOMAIN:-}" ]] || die "必须提供对外访问域名"

    JWT_SECRET=$(rand_b64)
    MASTER_KEY=$(rand_b64)
    API_SHARED_SECRET=$(rand_b64)

    # H-19：先以 0600 创建空文件，再往里写密钥。
    # 之前是 `cat > .env` 然后才 `chmod 600`，中间存在一个 0644（或 umask 决定的
    # 更宽松权限）的时间窗口，同主机上的任何用户都能在这个窗口里读走全部密钥。
    install -m 600 /dev/null "$ENV_FILE" 2>/dev/null || {
        umask 077
        : > "$ENV_FILE"
        chmod 600 "$ENV_FILE"
    }

    cat > "$ENV_FILE" <<EOF
# YofMail 配置 — 由 install.sh 自动生成于 $(date -u +"%Y-%m-%dT%H:%M:%SZ")
# 重新生成密钥会导致已登录用户掉线、已加密的 CF API Token 无法解密。

# ── 服务 ─────────────────────────────────────────────
PORT=8787
DATABASE_PATH=/app/data/yofmail.db

# ── 密钥（自动生成，请勿外泄）─────────────────────────
JWT_SECRET=$JWT_SECRET
MASTER_KEY=$MASTER_KEY
API_SHARED_SECRET=$API_SHARED_SECRET

# ── Web / CORS ───────────────────────────────────────
PUBLIC_WEB_URL=https://$YOFMAIL_DOMAIN

# ── R2/S3 对象存储（可选，留空则附件存本地）─────────────
R2_ENDPOINT=${YOFMAIL_R2_ENDPOINT:-}
R2_REGION=auto
R2_ACCESS_KEY_ID=${YOFMAIL_R2_KEY:-}
R2_SECRET_ACCESS_KEY=${YOFMAIL_R2_SECRET:-}
R2_BUCKET=${YOFMAIL_R2_BUCKET:-yofmail-storage}
R2_PUBLIC_BASE=

# ── 行为调优 ──────────────────────────────────────────
SPAM_SCORE_THRESHOLD=0.7
LOG_LEVEL=info

# ── 可选集成 ──────────────────────────────────────────
RESEND_API_KEY=
TURNSTILE_SECRET_KEY=
ALLOWED_INGEST_CIDRS=

# ── 横向扩展（可选）──────────────────────────────────
REDIS_URL=

# ── 静态前端托管（由 docker-compose 自动设置）─────────
WEB_DIST_DIR=/app/web/dist

# ── 激活码（install.sh --license 预置；留空则在 Web 初始化向导中手动填入）──────
LICENSE_KEY=${LICENSE_KEY:-}
EOF
    # 幂等收尾：文件已在写入前置为 0600，这里只是防御性地再确认一次。
    chmod 600 "$ENV_FILE"
    success ".env 已生成"
fi

# 确保预共享访问令牌存在（R6 免人机验证）
ensure_access_token

# ── 步骤 4: 构建或拉取镜像 ────────────────────────────────────────────────────
step "4/6 准备 Docker 镜像"

if [[ -n "$CN_REGISTRY" ]]; then
    # 国内镜像路径：直接 pull，无需本地构建
    export CN_IMAGE="$CN_REGISTRY/yofmail-api:$IMAGE_TAG"
    info "从国内镜像仓库拉取: $CN_IMAGE"
    if ! docker pull "$CN_IMAGE"; then
        die "拉取镜像失败，请检查:
  1. 已登录腾讯云 TCR（docker login $CN_REGISTRY）
  2. 镜像标签 $IMAGE_TAG 存在
  3. 网络可达"
    fi
    success "镜像已就绪: $CN_IMAGE"
else
    # 本地构建路径
    info "未配置国内镜像，开始本地构建（首次较慢，约 3-5 分钟）..."
    info "提示: 国内服务器构建可能因 npm registry 较慢，可重跑并设置 YOFMAIL_CN_REGISTRY"

    # 使用国内 npm registry 加速构建
    export NPM_MIRROR="https://registry.npmmirror.com"
    if ! docker build \
        --build-arg NPM_MIRROR="$NPM_MIRROR" \
        -f apps/api/Dockerfile \
        -t yofmail-api:"$IMAGE_TAG" \
        . ; then
        die "镜像构建失败，请检查网络或手动执行: docker build -f apps/api/Dockerfile -t yofmail-api:$IMAGE_TAG ."
    fi

    # 同时构建前端
    if [[ -f apps/web/Dockerfile ]]; then
        info "构建前端镜像..."
        docker build \
            --build-arg NPM_MIRROR="$NPM_MIRROR" \
            -f apps/web/Dockerfile \
            -t yofmail-web:"$IMAGE_TAG" \
            . || warn "前端构建失败，将仅部署 API"
    fi
    success "镜像构建完成"
fi

# ── 步骤 5: 启动服务 ──────────────────────────────────────────────────────────
step "5/6 启动服务"

# 先确保宿主 cloudflared 就绪（R3）；compose 会把 /usr/local/bin/cloudflared 只读挂载进容器
install_cloudflared || warn "cloudflared 未就绪，公网访问功能将暂不可用（可稍后手动安装）"

export IMAGE_TAG
export CN_IMAGE="${CN_IMAGE:-}"
# 镜像已在上方构建/拉取完成；部分旧版 buildx 无法通过 compose 自动 build，故使用 --no-build。
$COMPOSE up -d --no-build
success "服务已启动"

# 等待健康检查
info "等待 API 健康检查..."
for i in {1..30}; do
    if curl -sf "http://localhost:8787/health" >/dev/null 2>&1; then
        success "API 已就绪"
        break
    fi
    sleep 2
    [[ $i -eq 30 ]] && warn "API 30 秒内未响应健康检查，请查看日志: $COMPOSE logs api"
done

# ── 步骤 6: 完成指引 ──────────────────────────────────────────────────────────
step "6/6 安装完成"

# 令牌只写入 0600 文件，终端里只出现文件路径（H-18）
write_access_url_file

if [[ -n "$LICENSE_KEY" ]]; then
  success "检测到 --license 激活码，已写入 .env 的 LICENSE_KEY。"
  info "初始化向导创建管理员后会自动绑定该激活码，无需再手动粘贴。"
else
  info "未传入 --license，激活码可在 Web 初始化向导完成后于「激活」页手动填入。"
fi

cat <<EOF

${C_BOLD}${C_GREEN}━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━${C_RESET}

  YofMail 已成功部署！

  ${C_BOLD}下一步:${C_RESET}

  1. ${C_BOLD}配置反向代理与 HTTPS${C_RESET}（推荐 nginx + certbot）:
       server_name ${YOFMAIL_DOMAIN:-mail.example.com};
       location / { proxy_pass http://127.0.0.1:8787; }

  2. ${C_BOLD}访问 Web 界面${C_RESET}:
       https://${YOFMAIL_DOMAIN:-mail.example.com}

  3. ${C_BOLD}首次访问自动进入初始化向导，创建管理员（主）账号${C_RESET}
     （公开注册已关闭，子账号由管理员在"设置 → 用户管理"中创建）

  4. ${C_BOLD}配置 Cloudflare Email Routing${C_RESET}（接收邮件必需）:
       - 在本地仓库 apps/email/wrangler.toml 设置:
         API_INTERNAL_URL = "https://${YOFMAIL_DOMAIN:-mail.example.com}/internal"
       - wrangler secret put API_SHARED_SECRET  （值与 .env 中一致）
       - wrangler deploy 部署 Email Worker
       - 在 Cloudflare 控制台开启 Email Routing
       - 添加 catch-all 路由 → 转发到 yofmail-email Worker

  ${C_BOLD}常用命令:${C_RESET}
    查看日志:   cd $INSTALL_DIR && $COMPOSE logs -f
    重启服务:   cd $INSTALL_DIR && $COMPOSE restart
    停止服务:   cd $INSTALL_DIR && $COMPOSE down
    更新版本:   cd $INSTALL_DIR && bash install.sh   # 重新执行即可

  ${C_BOLD}访问令牌（免人机验证）:${C_RESET}
    带令牌的访问链接已写入下面这个仅本人可读（0600）的文件，出于安全考虑
    不在终端回显（终端输出会进日志、scrollback、CI 记录）：
      ${ACCESS_URL_FILE:-$INSTALL_DIR/access-url.txt}
    查看:   cat ${ACCESS_URL_FILE:-$INSTALL_DIR/access-url.txt}
    收藏到浏览器后请删除:   rm -f ${ACCESS_URL_FILE:-$INSTALL_DIR/access-url.txt}
    该链接等同凭据，请勿转发、截图或提交到仓库。

  ${C_BOLD}配置文件:${C_RESET}  $ENV_FILE
  ${C_BOLD}数据目录:${C_RESET}  Docker volume yofmail-data

${C_BOLD}${C_GREEN}━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━${C_RESET}

EOF