package cc.mrbird.febs.firewall.nginx;

import cc.mrbird.febs.firewall.entity.FirewallIpWhite;
import cc.mrbird.febs.firewall.entity.FirewallSite;
import cc.mrbird.febs.firewall.mapper.FirewallIpWhiteMapper;
import cc.mrbird.febs.firewall.mapper.FirewallSiteMapper;
import cn.hutool.core.io.FileUtil;
import com.baomidou.mybatisplus.core.conditions.query.LambdaQueryWrapper;
import lombok.RequiredArgsConstructor;
import lombok.extern.slf4j.Slf4j;
import org.springframework.stereotype.Component;

import java.io.File;
import java.nio.charset.StandardCharsets;
import java.util.Date;
import java.util.List;

/**
 * Nginx IP白名单配置文件生成器
 * <p>
 * 白名单模式：如果表中有启用的IP记录，则仅允许这些IP访问；表为空则放行所有IP。
 * <p>
 * 输出文件: /etc/nginx/conf.d/firewall_ipwhite_{siteId}.conf
 *
 * @author auto-generated
 * @date 2026-07-31
 */
@Slf4j
@Component
@RequiredArgsConstructor
public class IpWhitelistNginxConfigGenerator {

    private final FirewallIpWhiteMapper ipWhiteMapper;
    private final FirewallSiteMapper siteMapper;

    /** Nginx 配置目录 */
    private static final String NGINX_CONF_DIR = "/etc/nginx/conf.d/";
    /** 配置文件前缀 */
    private static final String CONF_PREFIX = "firewall_ipwhite_";

    /**
     * 生成 IP 白名单 map 配置
     * <pre>
     * # 有白名单IP时:
     * map $remote_addr $allow_ip_1 {
     *     default 0;
     *     1.2.3.4 1;
     *     5.6.7.8 1;
     * }
     *
     * # 无白名单IP时:
     * map $remote_addr $allow_ip_1 {
     *     default 1;
     * }
     * </pre>
     * 有IP时 default 0（默认拒绝，仅白名单放行）；
     * 无IP时 default 1（全部放行）。
     * <p>
     * Nginx 中判断: if ($allow_ip_1 = 0) { return 403; }
     *
     * @param siteId 站点ID
     */
    public void generate(Long siteId) {
        FirewallSite site = siteMapper.selectById(siteId);
        if (site == null) {
            log.warn("防火墙站点不存在: siteId={}", siteId);
            return;
        }

        // 查询站点下所有启用的白名单IP（未过期或永久有效）
        List<FirewallIpWhite> ipList = ipWhiteMapper.selectList(
                new LambdaQueryWrapper<FirewallIpWhite>()
                        .eq(FirewallIpWhite::getSiteId, siteId)
                        .eq(FirewallIpWhite::getEnabled, 1)
                        .and(w -> w.isNull(FirewallIpWhite::getExpireTime)
                                    .or().gt(FirewallIpWhite::getExpireTime, new Date()))
        );

        boolean hasIps = !ipList.isEmpty();

        StringBuilder sb = new StringBuilder();
        sb.append("# Firewall IP Whitelist Map\n");
        sb.append("# Site: ").append(site.getSiteName()).append(" (").append(site.getDomain()).append(")\n");
        sb.append("# Generated at: ").append(new Date()).append("\n");
        sb.append("# Total IPs: ").append(ipList.size()).append("\n");
        sb.append("# Whitelist active: ").append(hasIps).append("\n\n");

        // 标记变量：白名单是否生效（有IP记录=1，无记录=0）
        // 用 map 模拟，使变量在 http 级别可用
        sb.append("# 是否启用白名单模式: ").append(hasIps ? "1=是" : "0=否").append("\n");
        sb.append("map $host $ipwh_active_").append(siteId).append(" {\n");
        sb.append("    default ").append(hasIps ? "1" : "0").append(";\n");
        sb.append("}\n\n");

        sb.append("map $remote_addr $allow_ip_").append(siteId).append(" {\n");
        if (!hasIps) {
            // 无白名单 → 全部放行
            sb.append("    default 1;\n");
        } else {
            // 有白名单 → 默认拒绝，仅白名单IP放行
            sb.append("    default 0;\n");
            for (FirewallIpWhite ip : ipList) {
                sb.append("    ").append(ip.getIp()).append(" 1;\n");
            }
        }
        sb.append("}\n");

        // 确定配置文件路径
        String confFileName = NGINX_CONF_DIR + CONF_PREFIX + siteId + ".conf";
        File confFile = new File(confFileName);
        try {
            FileUtil.writeString(sb.toString(), confFile, StandardCharsets.UTF_8);
            log.info("Nginx IP白名单配置已生成: {}, 白名单IP数: {}", confFile.getAbsolutePath(), ipList.size());
        } catch (Exception e) {
            log.error("Nginx IP白名单配置文件写入失败: path={}", confFile.getAbsolutePath(), e);
            throw new RuntimeException("Nginx IP白名单配置文件写入失败: " + e.getMessage(), e);
        }
    }

    /**
     * 获取 IP 白名单配置文件路径
     */
    public static String getConfPath(Long siteId) {
        return NGINX_CONF_DIR + CONF_PREFIX + siteId + ".conf";
    }
}