"""ORCH-103 (TC-01…TC-04, AC-1/AC-6/AC-9): анти-дрейф bundle-compose Bundled-тиража.

Структурные проверки `deploy/bundled/docker-compose.yml` (ADR-001 D1–D4) и его
конфиг-канона `deploy/bundled/.env.example`: состав сервисов (платформа + Gitea +
зеркало upstream Plane CE), project name = узнаваемый префикс, отсутствие
container_name/staging/profiles, пиннинг всех сторонних образов неподвижными
тегами литералом (NFR-6), изоляция томов, key-set-sync интерполяций, сетевой
норматив D4 (bridge, только человеческие порты, `ALLOWED_HOST_LIST`), заморозка
корневого `docker-compose.yml` (зеркало TC-04 `test_lite_setup_doc.py` — bundle
живёт строго отдельным файлом). Детерминировано: yaml.safe_load, без
docker/сети/LLM/subprocess (тест-план 04, scope).
"""

import re
from pathlib import Path

import yaml

REPO_ROOT = Path(__file__).resolve().parents[1]
BUNDLE_COMPOSE = REPO_ROOT / "deploy/bundled/docker-compose.yml"
BUNDLE_ENV_EXAMPLE = REPO_ROOT / "deploy/bundled/.env.example"
ROOT_COMPOSE = REPO_ROOT / "docker-compose.yml"

# Нормативный состав стека (ADR-001 D1/D3): платформа + Gitea + Plane CE
# (upstream-имена сервисов selfhost-référence v0.23.1 — анти-дрейф к их докам).
PLATFORM_SERVICES = {"orchestrator", "orchestrator-watchdog"}
PLANE_SERVICES = {
    "web", "space", "admin", "live", "api", "worker", "beat-worker",
    "migrator", "plane-db", "plane-redis", "plane-mq", "plane-minio", "proxy",
}
EXPECTED_SERVICES = PLATFORM_SERVICES | {"gitea"} | PLANE_SERVICES

# ${VAR} / ${VAR:-default} интерполяции compose.
_INTERP_RE = re.compile(r"\$\{([A-Za-z_][A-Za-z0-9_]*)")


def _raw() -> str:
    assert BUNDLE_COMPOSE.is_file(), "deploy/bundled/docker-compose.yml отсутствует (FR-1)"
    return BUNDLE_COMPOSE.read_text(encoding="utf-8")


def _doc() -> dict:
    return yaml.safe_load(_raw())


def _services() -> dict:
    return _doc()["services"]


def _env_keys(path: Path) -> set:
    keys = set()
    for line in path.read_text(encoding="utf-8").splitlines():
        line = line.strip()
        if not line or line.startswith("#") or "=" not in line:
            continue
        keys.add(line.split("=", 1)[0].strip())
    return keys


# ---------------------------------------------------------------------------
# TC-01: bundle-compose существует, валиден, несёт нормативный состав (AC-1).
# ---------------------------------------------------------------------------
def test_bundle_compose_exists_and_parses():
    doc = _doc()
    assert isinstance(doc, dict) and "services" in doc


def test_bundle_project_name_is_the_recognizable_prefix():
    """D1: top-level name фиксирует префикс томов/контейнеров orchestrator-bundle_*
    (по нему preflight bootstrap детектирует «грязный хост»)."""
    assert _doc().get("name") == "orchestrator-bundle"


def test_bundle_has_exactly_the_adr_service_set():
    services = set(_services())
    assert services == EXPECTED_SERVICES, (
        f"состав сервисов bundle разъехался с ADR-001 D1/D3: "
        f"лишние={sorted(services - EXPECTED_SERVICES)}, "
        f"недостающие={sorted(EXPECTED_SERVICES - services)}"
    )


def test_bundle_has_no_staging_and_no_profiles():
    """D1: staging-контур орка в bundle отсутствует ВОВСЕ (ни сервисом, ни
    профилем); дефолтный `up -d` поднимает весь комплект."""
    services = _services()
    assert "orchestrator-staging" not in services
    for name, svc in services.items():
        assert not svc.get("profiles"), f"{name}: profiles в bundle запрещены (D1)"


def test_bundle_pins_no_container_name():
    """D1: container_name не пиннится ни у кого — bundle и Lite/корневой compose
    не сталкиваются по именам контейнеров на одном хосте."""
    for name, svc in _services().items():
        assert "container_name" not in svc, f"{name}: container_name запрещён (D1)"


# ---------------------------------------------------------------------------
# TC-02: корневой docker-compose.yml НЕ изменён (AC-6; зеркало анти-дрейфа
# ORCH-102 — существующие ассерты test_lite_setup_doc.py не ослаблены).
# ---------------------------------------------------------------------------
def test_root_compose_is_untouched_lite_set():
    services = yaml.safe_load(ROOT_COMPOSE.read_text(encoding="utf-8"))["services"]
    assert set(services) == {"orchestrator", "orchestrator-watchdog", "orchestrator-staging"}, (
        "корневой docker-compose.yml изменён — bundle обязан жить отдельным файлом (AC-6)"
    )


def test_root_compose_has_no_plane_or_gitea_components():
    services = yaml.safe_load(ROOT_COMPOSE.read_text(encoding="utf-8"))["services"]
    for name, svc in services.items():
        blob = " ".join(
            [name, str(svc.get("image", "")), str(svc.get("container_name", ""))]
        ).lower()
        for needle in ("plane", "gitea"):
            assert needle not in blob, (
                f"корневой compose: появился {needle}-компонент в {name} (AC-6)"
            )


# ---------------------------------------------------------------------------
# TC-03: пиннинг образов — неподвижный тег литералом (NFR-6 / D3).
# ---------------------------------------------------------------------------
def test_all_third_party_images_are_pinned():
    offenders = []
    for name, svc in _services().items():
        image = svc.get("image")
        if image is None:
            continue
        if "${" in image:
            offenders.append(f"{name}: версия через интерполяцию ({image!r}) — тег литералом (D3)")
        elif ":" not in image:
            offenders.append(f"{name}: образ без тега ({image!r})")
        elif image.rsplit(":", 1)[1] in ("latest", "stable"):
            offenders.append(f"{name}: плавающий тег ({image!r})")
    assert not offenders, "непиннованные образы bundle (NFR-6):\n" + "\n".join(offenders)


def test_platform_services_build_from_this_checkout():
    """Орк/watchdog собираются из корневого Dockerfile / watchdog/Dockerfile
    БЕЗ их правки (NFR-1): build-контекст — корень чекаута, image не задаётся."""
    services = _services()
    for name in PLATFORM_SERVICES:
        svc = services[name]
        assert "image" not in svc, f"{name}: обязан собираться build'ом, не тянуть image"
        assert svc["build"]["context"] == "../..", f"{name}: build context ≠ корень чекаута"
    assert services["orchestrator-watchdog"]["build"]["dockerfile"] == "watchdog/Dockerfile"


# ---------------------------------------------------------------------------
# TC-04: изоляция томов + конфиг-канон (key-set-sync) + сеть D4.
# ---------------------------------------------------------------------------
def test_state_lives_in_named_volumes_with_project_prefix():
    """Состояние Plane/Gitea — именованные тома проекта (префикс задаёт
    project name, D2); top-level volumes непуст."""
    volumes = _doc().get("volumes") or {}
    for expected in ("pgdata", "uploads", "rabbitmq_data", "gitea-data"):
        assert expected in volumes, f"именованный том {expected} отсутствует"


def test_bind_mounts_stay_inside_project_dir_or_interpolations():
    """Bind-источники — только project dir (./data, ./repos), docker.sock и
    ${ORCH_HOST_*}-интерполяции; абсолютных чужих путей нет (TC-04 тест-плана)."""
    offenders = []
    for name, svc in _services().items():
        for vol in svc.get("volumes") or []:
            v = str(vol)
            if (
                v.startswith("${")
                or v.startswith("./")
                or v.startswith("~")
                or v.startswith("/var/run/docker.sock")
                or re.match(r"^[A-Za-z0-9_-]+:", v)
            ):
                continue
            offenders.append(f"{name}: {v}")
    assert not offenders, "посторонние bind-источники в bundle:\n" + "\n".join(offenders)


def test_no_ssh_mount_in_bundle():
    """D8: ssh-контур в bundle не вводится (token-remote вместо ключей)."""
    assert "ORCH_HOST_SSH_DIR" not in _raw()


def test_bundle_env_example_exists():
    assert BUNDLE_ENV_EXAMPLE.is_file(), "deploy/bundled/.env.example отсутствует (D2)"


def test_every_interpolation_has_key_in_bundle_env_example():
    """Key-set-sync (паттерн .env.watchdog.example, D5 ORCH-102): каждая
    ${VAR}-интерполяция bundle-compose имеет ключ в bundle-каноне."""
    canon = _env_keys(BUNDLE_ENV_EXAMPLE)
    # Судим КОНФИГ, не комментарии: строки `# ...` (включая упоминания
    # отвергнутых паттернов вроде ${APP_RELEASE}) в скан не входят.
    config_only = "\n".join(
        line for line in _raw().splitlines() if not line.strip().startswith("#")
    )
    mentioned = set(_INTERP_RE.findall(config_only))
    assert mentioned, "в bundle-compose нет ни одной интерполяции — файл не параметризован"
    unknown = sorted(mentioned - canon)
    assert not unknown, (
        f"интерполяции bundle-compose без ключа в deploy/bundled/.env.example "
        f"(key-set-sync, TC-04): {unknown}"
    )


def test_bundle_secrets_in_example_are_empty_placeholders():
    """FR-3: ни одного дефолтного пароля в гите — секрет-ключи канона пусты."""
    values = {}
    for line in BUNDLE_ENV_EXAMPLE.read_text(encoding="utf-8").splitlines():
        line = line.strip()
        if line and not line.startswith("#") and "=" in line:
            k, v = line.split("=", 1)
            values[k.strip()] = v.strip()
    for key in ("POSTGRES_PASSWORD", "SECRET_KEY", "RABBITMQ_DEFAULT_PASS",
                "MINIO_ROOT_PASSWORD", "GITEA_ADMIN_PASSWORD"):
        assert values.get(key, "") == "", f"{key} обязан быть пустым плейсхолдером"


def test_no_network_mode_host_anywhere():
    """D4: вся инсталляция в bridge-сети; network_mode: host не используется."""
    for name, svc in _services().items():
        assert "network_mode" not in svc, f"{name}: network_mode запрещён в bundle (D4)"
    networks = _doc().get("networks") or {}
    assert networks.get("default", {}).get("driver") == "bridge"


def test_only_human_ports_are_published():
    """D4: наружу — только орк/Plane proxy/Gitea web; БД/брокер/minio не
    публикуются (секрет-гигиена/поверхность атаки)."""
    publishers = {name for name, svc in _services().items() if svc.get("ports")}
    assert publishers == {"orchestrator", "gitea", "proxy"}, (
        f"порты публикуют {sorted(publishers)}, а разрешены только "
        "orchestrator/gitea/proxy (D4)"
    )


def test_gitea_webhook_allowed_host_list_is_set():
    """Мина TR-4: без ALLOWED_HOST_LIST Gitea молча режет вебхуки в приватные
    адреса — «задача не появилась» гарантирован."""
    env = _services()["gitea"].get("environment") or []
    assert any("GITEA__webhook__ALLOWED_HOST_LIST=orchestrator" in str(e) for e in env), (
        "gitea: GITEA__webhook__ALLOWED_HOST_LIST=orchestrator обязателен (D4/TR-4)"
    )


def test_platform_env_files_are_optional():
    """D2: env_file required:false — первый `up -d` поднимает стек ДО сборки
    runtime-конфига орка (AC-1 «одна команда»)."""
    services = _services()
    for name in PLATFORM_SERVICES:
        entries = services[name].get("env_file")
        assert isinstance(entries, list) and entries, f"{name}: env_file отсутствует"
        assert all(e.get("required") is False for e in entries), (
            f"{name}: env_file обязан быть required: false (D2)"
        )


def test_machine_traffic_uses_service_dns():
    """D4: машинный трафик — строго сервис-DNS bundle-сети."""
    raw = _raw()
    assert "http://orchestrator:8500/metrics" in raw  # watchdog → орк
    assert "plane-db" in raw and "plane-redis" in raw and "plane-mq" in raw
