#!/bin/zsh
# ============================================
# KA Guardian — déploiement complet depuis le laptop
#   ./deploy.sh runners        → runners sur CHAQUE nœud qui héberge un service surveillé (d'après le registre mld)
#   ./deploy.sh courier        → courrier zsh sur les nœuds runners + M4M36
#   ./deploy.sh registry-sync  → service launchd com.ka.registry-sync sur M4M36 (tirage du registre + sonde des runners)
#   ./deploy.sh orchestrators  → ka2/ka4/ka6 sur M4M36
#   ./deploy.sh pousseur       → pousseur git sur les nœuds runners (repos Ka du registre, fusion avec ~/.ka-pousseur-repos)
#   ./deploy.sh all
#   ./deploy.sh nodes          → affiche nœuds + repos calculés depuis le registre (sans rien déployer)
#   ./deploy.sh <cible> <nœud> → même chose limité à UN nœud (ex. `deploy.sh runners M2U64` après un `mld move`)
# Idempotent. Le token partagé vit dans ~/.ka-guardian.env (laptop) et est
# poussé sur chaque nœud. Les tunnels ngrok existants (www.kaX.bot) sont gardés.
#
# 2026-09-04 — la liste des nœuds n'est PLUS codée en dur : elle est dérivée du
# registre mld (M1M32:~/dispatch/registry.json) croisé avec topology.json
# (services → registry_app). Un service qui déménage sur un nœud jamais équipé
# apparaît ici automatiquement → relancer `deploy.sh runners` (et courier/pousseur).
#
# launchd : sur un nœud AVEC session graphique → LaunchAgent gui/<uid> (bootstrap, repli `load`).
# Sur un nœud SANS session graphique (personne de connecté à la console, ex. M2U64 : le domaine
# gui/<uid> n'existe pas, `launchctl load` avorte rc 134) → LaunchDaemon système exécuté sous
# notre utilisateur (UserName + HOME), via sudo (mot de passe KA_SUDO_PW dans ~/.ka-guardian.env
# du laptop — jamais poussé sur les nœuds). Les daemons ne sont pas soumis à Local Network Privacy.
# ============================================
set -e
ROOT="$(cd "$(dirname "$0")/.." && pwd)"
ORCH_NODE=M4M36
GATEWAY=M1M32

# --- token partagé (+ mot de passe sudo des nœuds pour le mode LaunchDaemon)
TOKEN_FILE="$HOME/.ka-guardian.env"
if [[ ! -f $TOKEN_FILE ]]; then
  echo "KA_GUARDIAN_TOKEN=$(openssl rand -hex 24)" > "$TOKEN_FILE"
  echo "token généré → $TOKEN_FILE"
fi
TOKEN_LINE=$(grep '^KA_GUARDIAN_TOKEN=' "$TOKEN_FILE")
SUDO_PW=$(grep '^KA_SUDO_PW=' "$TOKEN_FILE" | cut -d= -f2- || true)

# --- registre mld : source de vérité des emplacements
REG_JSON="$(mktemp /tmp/ka-registry.XXXXXX)"
if ! ssh -o ConnectTimeout=8 $GATEWAY 'cat ~/dispatch/registry.json' > "$REG_JSON" 2>/dev/null || ! grep -q '"apps"' "$REG_JSON"; then
  if [[ -f "$HOME/Desktop/cluster-skill/cluster-registry.json" ]]; then
    echo "⚠ passerelle $GATEWAY injoignable — copie laptop cluster-skill/cluster-registry.json utilisée"
    cp "$HOME/Desktop/cluster-skill/cluster-registry.json" "$REG_JSON"
  else
    echo "✗ registre mld introuvable (ni $GATEWAY, ni copie laptop) — impossible de déterminer les nœuds"; exit 1
  fi
fi

# nœuds hébergeant au moins un service surveillé (+ liste "nœud<TAB>dir" des repos Ka pour le pousseur)
registry_lines() {  # $1 = nodes | repos
  /usr/bin/python3 - "$ROOT/topology.json" "$REG_JSON" "$1" <<'PYEOF'
import json, sys
topo = json.load(open(sys.argv[1])); reg = json.load(open(sys.argv[2]))["apps"]; mode = sys.argv[3]
rows = []
for key, svc in topo["services"].items():
    app = svc.get("registry_app") or key
    e = reg.get(app)
    if not e or not e.get("node"):
        print(f"# {app}: absent du registre — repli topology.json ({svc.get('node')})", file=sys.stderr)
        alias = next((n["alias"] for k, n in topo["nodes"].items() if k == svc.get("node")), None)
        d = svc.get("dir")
    else:
        alias, d = e["node"], e.get("dir")
    if alias:
        rows.append((alias, d))
if mode == "nodes":
    print("\n".join(sorted({a for a, _ in rows})))
else:
    for a, d in sorted(set(rows)):
        print(f"{a}\t{d}")
PYEOF
}
RUNNER_NODES=(${(f)"$(registry_lines nodes)"})
if (( ${#RUNNER_NODES} == 0 )); then echo "✗ aucun nœud dérivé du registre"; exit 1; fi
# 2e argument optionnel = restreindre à un nœud (ex. `deploy.sh runners M2U64` après un déménagement)
if [[ -n ${2:-} ]]; then
  (( ${RUNNER_NODES[(Ie)$2]} )) || echo "⚠ $2 n'héberge aucun service surveillé d'après le registre — déploiement forcé"
  RUNNER_NODES=($2)
fi
echo "nœuds hébergeurs (registre mld) : ${RUNNER_NODES[*]}"

# --- helper distant : (re)charge un service launchd, agent gui/<uid> ou daemon système selon le nœud.
#     Injecté en tête de chaque script distant ; usage : lc_reload <label> <plist-agent>
#     Le mot de passe sudo n'est transmis que dans la commande ssh (jamais écrit sur le nœud).
LC_HELPER='
lc_reload() {
  local label=$1 plist=$2 uid=$(id -u)
  if launchctl print gui/$uid >/dev/null 2>&1; then
    launchctl bootout gui/$uid/$label 2>/dev/null || true
    # bootout est asynchrone : bootstrap trop tôt échoue « 5: Input/output error » → attendre la disparition
    for i in {1..20}; do launchctl print gui/$uid/$label >/dev/null 2>&1 || break; sleep 0.5; done
    if launchctl bootstrap gui/$uid $plist 2>/tmp/$label.lc.err; then
      echo "   launchd: $label (agent gui/$uid)"
    else
      echo "   launchd: bootstrap $label a échoué ($(tr -d "\n" </tmp/$label.lc.err)) — repli launchctl load"
      launchctl load $plist && echo "   launchd: $label (agent gui/$uid, via load)"
    fi
    rm -f /tmp/$label.lc.err
  else
    [[ -n "$KA_SUDO_PW" ]] || { echo "   ✗ $label : pas de session graphique et KA_SUDO_PW absent (mode daemon impossible)"; return 1; }
    local tmp=/tmp/$label.daemon.plist
    cp $plist $tmp
    /usr/bin/plutil -replace UserName -string "$USER" $tmp
    /usr/bin/plutil -replace EnvironmentVariables.HOME -string "$HOME" $tmp 2>/dev/null \
      || /usr/bin/plutil -insert EnvironmentVariables -json "{\"HOME\":\"$HOME\"}" $tmp
    # les journaux doivent rester à nous : les créer AVANT que launchd (root) ne les ouvre
    for k in StandardOutPath StandardErrorPath; do
      f=$(/usr/bin/plutil -extract $k raw -o - $tmp 2>/dev/null) && [[ -n $f ]] && { mkdir -p ${f:h}; touch $f; }
    done
    print -r -- "$KA_SUDO_PW" | sudo -S -p "" launchctl bootout system/$label 2>/dev/null || true
    for i in {1..20}; do launchctl print system/$label >/dev/null 2>&1 || break; sleep 0.5; done   # bootout asynchrone
    print -r -- "$KA_SUDO_PW" | sudo -S -p "" install -m 644 -o root -g wheel $tmp /Library/LaunchDaemons/$label.plist
    print -r -- "$KA_SUDO_PW" | sudo -S -p "" launchctl bootstrap system /Library/LaunchDaemons/$label.plist \
      && echo "   launchd: $label (DAEMON système sous $USER — nœud sans session graphique)"
    rm -f $tmp
  fi
}
'
# préfixe des scripts distants : helper + mot de passe (variable d'environnement de la session ssh)
remote() {  # remote <nœud> <script>
  ssh "$1" "export KA_SUDO_PW=$(printf %q "$SUDO_PW"); $LC_HELPER
$2"
}

deploy_courier() {
  # Courrier zsh sur TOUS les nœuds (orchestrateur + runners): expédie le
  # trafic LAN inter-nœuds via ssh (macOS 26 Local Network Privacy).
  for n in $RUNNER_NODES $ORCH_NODE; do
    echo "=== courrier → $n"
    scp -q "$ROOT/deploy/courier.sh" $n:ka-guardian-courier.sh
    remote $n 'chmod +x ~/ka-guardian-courier.sh
      cat > ~/Library/LaunchAgents/com.ka.guardian-courier.plist <<PLIST
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0"><dict>
  <key>Label</key><string>com.ka.guardian-courier</string>
  <key>ProgramArguments</key><array>
    <string>/bin/zsh</string>
    <string>/Users/simon-pierreboucher/ka-guardian-courier.sh</string>
  </array>
  <key>RunAtLoad</key><true/><key>KeepAlive</key><true/>
  <key>StandardOutPath</key><string>/Users/simon-pierreboucher/ka-guardian-spool/courier.log</string>
  <key>StandardErrorPath</key><string>/Users/simon-pierreboucher/ka-guardian-spool/courier.log</string>
</dict></plist>
PLIST
      mkdir -p ~/ka-guardian-spool
      lc_reload com.ka.guardian-courier ~/Library/LaunchAgents/com.ka.guardian-courier.plist' \
      && echo " ✓ $n courrier ok" || echo " ✗ $n courrier KO"
  done
}

deploy_registry_sync() {
  # Tirage périodique du registre mld + sonde des runners, sur le nœud orchestrateur
  # (chaîne zsh pure — LNP). Le push mld (abonné ka2) reste le chemin rapide.
  echo "=== registry-sync → $ORCH_NODE"
  scp -q "$ROOT/deploy/registry-sync.sh" $ORCH_NODE:ka-registry-sync.sh
  remote $ORCH_NODE 'chmod +x ~/ka-registry-sync.sh
    cat > ~/Library/LaunchAgents/com.ka.registry-sync.plist <<PLIST
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0"><dict>
  <key>Label</key><string>com.ka.registry-sync</string>
  <key>ProgramArguments</key><array>
    <string>/bin/zsh</string>
    <string>/Users/simon-pierreboucher/ka-registry-sync.sh</string>
  </array>
  <key>RunAtLoad</key><true/><key>KeepAlive</key><true/>
  <key>StandardOutPath</key><string>/Users/simon-pierreboucher/ka-guardian-spool/registry-sync.log</string>
  <key>StandardErrorPath</key><string>/Users/simon-pierreboucher/ka-guardian-spool/registry-sync.log</string>
</dict></plist>
PLIST
    mkdir -p ~/ka-guardian-spool
    lc_reload com.ka.registry-sync ~/Library/LaunchAgents/com.ka.registry-sync.plist
    sleep 12; ls -la ~/ka-guardian-spool/registry.json ~/ka-guardian-spool/runners.json && tail -2 ~/ka-guardian-spool/registry-sync.log' \
    && echo " ✓ registry-sync ok" || echo " ✗ registry-sync KO"
}

deploy_runners() {
  for n in $RUNNER_NODES; do
    echo "=== runner → $n"
    if ! ssh -o ConnectTimeout=8 -o BatchMode=yes $n true 2>/dev/null; then
      echo " ✗ $n injoignable en SSH — runner NON déployé"; continue
    fi
    # GOTCHA: redémarrer un runner TUE la mission claude en cours (cause de la
    # mission fantôme du 2026-08-23). On refuse si le runner est occupé.
    busy=$(ssh $n "curl -s -m 5 localhost:7791/health 2>/dev/null" | grep -o '"busy":true' || true)
    if [[ -n $busy ]]; then
      echo " ⏸ $n occupé (mission en cours) — runner NON redéployé, relance plus tard"
      continue
    fi
    # pré-requis d'un nœud runner : claude CLI + clés dans ~/.claude/.env
    ssh $n 'test -x /opt/homebrew/bin/claude && test -s ~/.claude/.env' \
      || { echo " ✗ $n : /opt/homebrew/bin/claude ou ~/.claude/.env manquant — équiper le nœud avant (npm i -g @anthropic-ai/claude-code ; copier ~/.claude/.env)"; continue; }
    ssh $n "mkdir -p ~/ka-guardian-runner/transcripts"
    scp -q "$ROOT/runner/runner.py" $n:ka-guardian-runner/runner.py
    remote $n "printf '%s\nKA_GUARDIAN_NODE=%s\n' '$TOKEN_LINE' '$n' > ~/.ka-guardian.env
      cd ~/ka-guardian-runner
      PY=\$(command -v /opt/homebrew/bin/python3 || command -v /opt/homebrew/bin/python3.13 || command -v /opt/homebrew/bin/python3.14)
      [[ -d .venv ]] || \$PY -m venv .venv
      ./.venv/bin/pip -q install 'fastapi>=0.110' 'uvicorn>=0.29' 'httpx>=0.27' 'pydantic>=2' 2>&1 | grep -v '^\[notice\]' || true
      cat > ~/Library/LaunchAgents/com.ka.guardian-runner.plist <<'PLIST'
<?xml version=\"1.0\" encoding=\"UTF-8\"?>
<!DOCTYPE plist PUBLIC \"-//Apple//DTD PLIST 1.0//EN\" \"http://www.apple.com/DTDs/PropertyList-1.0.dtd\">
<plist version=\"1.0\"><dict>
  <key>Label</key><string>com.ka.guardian-runner</string>
  <key>ProgramArguments</key><array>
    <string>/Users/simon-pierreboucher/ka-guardian-runner/.venv/bin/python</string>
    <string>/Users/simon-pierreboucher/ka-guardian-runner/runner.py</string>
  </array>
  <key>EnvironmentVariables</key><dict>
    <key>PATH</key><string>/opt/homebrew/bin:/usr/local/bin:/usr/bin:/bin</string>
  </dict>
  <key>RunAtLoad</key><true/><key>KeepAlive</key><true/>
  <key>StandardOutPath</key><string>/Users/simon-pierreboucher/ka-guardian-runner/runner.log</string>
  <key>StandardErrorPath</key><string>/Users/simon-pierreboucher/ka-guardian-runner/runner.log</string>
</dict></plist>
PLIST
      lc_reload com.ka.guardian-runner ~/Library/LaunchAgents/com.ka.guardian-runner.plist"
    sleep 4
    ssh $n "curl -sf localhost:7791/health" && echo " ✓ $n runner ok" || echo " ✗ $n runner KO"
  done
}

deploy_orchestrators() {
  echo "=== orchestrateurs → $ORCH_NODE"
  ssh $ORCH_NODE "printf '%s\n' '$TOKEN_LINE' > ~/.ka-guardian.env; mkdir -p ~/cluster-projects/ka-guardian"
  cd "$ROOT"
  # tar-over-ssh: déterministe (gotcha: rsync silencieusement inopérant depuis
  # ce contexte de script — jamais élucidé, contourné définitivement).
  tar czf - --exclude data --exclude .venv --exclude .git --exclude '__pycache__' --exclude logs . \
    | ssh $ORCH_NODE 'tar xzf - -C ~/cluster-projects/ka-guardian/'
  loc=$(md5 -q orchestrator/main.py); rem=$(ssh $ORCH_NODE 'md5 -q ~/cluster-projects/ka-guardian/orchestrator/main.py')
  [[ "$loc" == "$rem" ]] || { echo "✗ transfert raté: main.py ($loc ≠ $rem)"; exit 1; }
  remote $ORCH_NODE "cd ~/cluster-projects/ka-guardian
    PY=\$(command -v /opt/homebrew/bin/python3 || command -v /opt/homebrew/bin/python3.13)
    [[ -d .venv ]] || \$PY -m venv .venv
    ./.venv/bin/pip -q install 'fastapi>=0.110' 'uvicorn>=0.29' 'httpx>=0.27' >/dev/null
    mkdir -p data logs
    # retirer les anciens bots (web+bot), garder les tunnels ngrok
    for a in ka2 ka4 ka6; do
      launchctl bootout gui/\$(id -u)/com.\$a.web 2>/dev/null || launchctl unload ~/Library/LaunchAgents/com.\$a.web.plist 2>/dev/null || true
      launchctl bootout gui/\$(id -u)/com.\$a.bot 2>/dev/null || launchctl unload ~/Library/LaunchAgents/com.\$a.bot.plist 2>/dev/null || true
      rm -f ~/Library/LaunchAgents/com.\$a.web.plist ~/Library/LaunchAgents/com.\$a.bot.plist
    done"
  # IP LAN de l'orchestrateur (callback des runners) : registre mld, repli .69
  SELF_IP=$(/usr/bin/python3 -c "import json,sys; r=json.load(open(sys.argv[1]))['apps']; print(r.get('ka2',{}).get('ip') or '192.168.2.69')" "$REG_JSON")
  for a in ka2:8799 ka4:8899 ka6:8999; do
    agent=${a%%:*}; port=${a##*:}
    remote $ORCH_NODE "cat > ~/Library/LaunchAgents/com.$agent.guardian.plist <<PLIST
<?xml version=\"1.0\" encoding=\"UTF-8\"?>
<!DOCTYPE plist PUBLIC \"-//Apple//DTD PLIST 1.0//EN\" \"http://www.apple.com/DTDs/PropertyList-1.0.dtd\">
<plist version=\"1.0\"><dict>
  <key>Label</key><string>com.$agent.guardian</string>
  <key>ProgramArguments</key><array>
    <string>/Users/simon-pierreboucher/cluster-projects/ka-guardian/.venv/bin/python</string>
    <string>/Users/simon-pierreboucher/cluster-projects/ka-guardian/orchestrator/main.py</string>
  </array>
  <key>EnvironmentVariables</key><dict>
    <key>AGENT</key><string>$agent</string>
    <key>KA_GUARDIAN_SELF_IP</key><string>$SELF_IP</string>
    <key>PATH</key><string>/opt/homebrew/bin:/usr/local/bin:/usr/bin:/bin</string>
  </dict>
  <key>RunAtLoad</key><true/><key>KeepAlive</key><true/>
  <key>StandardOutPath</key><string>/Users/simon-pierreboucher/cluster-projects/ka-guardian/logs/$agent.log</string>
  <key>StandardErrorPath</key><string>/Users/simon-pierreboucher/cluster-projects/ka-guardian/logs/$agent.log</string>
</dict></plist>
PLIST
      lc_reload com.$agent.guardian ~/Library/LaunchAgents/com.$agent.guardian.plist"
    sleep 2
    ssh $ORCH_NODE "curl -sf localhost:$port/health" && echo " ✓ $agent ok (:$port)" || echo " ✗ $agent KO"
  done
}

deploy_pousseur() {
  # Pousseur launchd (binaires Apple) : pousse les commits en attente des repos
  # Ka du nœud — les missions Claude ne peuvent pas pousser elles-mêmes
  # (macOS 26 Local Network Privacy bloque les descendants du runner python).
  # Les repos viennent du registre mld ; ~/.ka-pousseur-repos est FUSIONNÉ (jamais
  # écrasé : mld y inscrit aussi les repos à l'arrivée d'une app sur le nœud).
  local repos_tsv; repos_tsv="$(registry_lines repos)"
  for n in $RUNNER_NODES; do
    echo "=== pousseur → $n"
    local mine; mine=$(print -r -- "$repos_tsv" | awk -F'\t' -v n="$n" '$1==n{print $2}')
    scp -q "$ROOT/deploy/pousseur.sh" $n:ka-pousseur.sh
    remote $n "chmod +x ~/ka-pousseur.sh
      touch ~/.ka-pousseur-repos
      while IFS= read -r d; do [ -n \"\$d\" ] && { grep -qxF \"\$d\" ~/.ka-pousseur-repos || echo \"\$d\" >> ~/.ka-pousseur-repos; }; done <<'REPOS'
$mine
REPOS
      cat > ~/Library/LaunchAgents/com.ka.pousseur.plist <<'PLIST'
<?xml version=\"1.0\" encoding=\"UTF-8\"?>
<!DOCTYPE plist PUBLIC \"-//Apple//DTD PLIST 1.0//EN\" \"http://www.apple.com/DTDs/PropertyList-1.0.dtd\">
<plist version=\"1.0\"><dict>
  <key>Label</key><string>com.ka.pousseur</string>
  <key>ProgramArguments</key><array>
    <string>/bin/zsh</string>
    <string>/Users/simon-pierreboucher/ka-pousseur.sh</string>
  </array>
  <key>RunAtLoad</key><true/><key>KeepAlive</key><true/>
  <key>StandardOutPath</key><string>/Users/simon-pierreboucher/ka-guardian-spool/pousseur.log</string>
  <key>StandardErrorPath</key><string>/Users/simon-pierreboucher/ka-guardian-spool/pousseur.log</string>
</dict></plist>
PLIST
      mkdir -p ~/ka-guardian-spool
      lc_reload com.ka.pousseur ~/Library/LaunchAgents/com.ka.pousseur.plist
      echo \"   repos: \$(tr '\n' ' ' < ~/.ka-pousseur-repos)\"" \
      && echo " ✓ $n pousseur ok" || echo " ✗ $n pousseur KO"
  done
}

case "${1:-all}" in
  nodes) registry_lines repos ;;
  courier) deploy_courier ;;
  registry-sync) deploy_registry_sync ;;
  runners) deploy_runners ;;
  orchestrators) deploy_orchestrators ;;
  pousseur) deploy_pousseur ;;
  all) deploy_courier; deploy_registry_sync; deploy_runners; deploy_orchestrators; deploy_pousseur ;;
esac
rm -f "$REG_JSON"
echo "terminé."