#!/bin/sh
# Repone en la jaula de una persona lo que NO cabe en el manifiesto y por eso vive en el `upper`
# —que por el D3 del ADR 0015 es **caché descartable**—. Se corre EN LA CAJA, como root, DESPUÉS de
# cada `takana qorpa recreate`.
#
# ── POR QUÉ HAY COSAS FUERA DEL MANIFIESTO ──────────────────────────────────────────────────────
# `instance.toml` declara imagen, paquetes y concesiones. No declara «editá este fichero de la
# imagen», y tres defectos reales pedían exactamente eso. Los encontró el agente trabajando adentro
# (2026-09-18) y los arregló a mano; esto es esa mano, escrita, para que sobreviva al recreate.
#
#   1. **No hay entrada en `/etc/passwd` para el uid de adentro.** `ssh` y `git` mueren con
#      `No user exists for uid 1001` — ni lo intentan. Pasa porque la instancia de persona va con
#      `root = false` (si no, el CLI se ve uid 0 y rechaza `--dangerously-skip-permissions`), y ese
#      uid no existe en la imagen de Arch.
#   2. **`/etc/ssh/ssh_config.d` es de la capa inferior y su dueño cae fuera del mapa** (`nobody`),
#      así que `ssh` ABORTA con `Bad owner or permissions on …/20-systemd-ssh-proxy.conf`. No
#      degrada: aborta. Y el directorio no se puede mover (EXDEV en overlay), así que se redirige el
#      `Include` a una copia propia.
#   3. `known_hosts` se siembra desde el ANFITRIÓN (ver abajo), que es lo que evita el
#      `StrictHostKeyChecking` contra el worker la primera vez.
set -eu

U=${1:-sergio}
INST=${INST:-claude-$U}
UP=${UP:-/var/lib/hammer/qorpa/instances/$INST/upper}
UID_DENTRO=$(id -u "$U")

[ -d "$UP" ] || { echo "no existe el upper de $INST en $UP" >&2; exit 1; }
# El upper es de la persona: escribir como root dejaría ficheros que ella no puede tocar.
esc() { install -d -o "$U" -g "$U" "$(dirname "$1")"; }

# ── 1. la cuenta, dentro de la imagen ───────────────────────────────────────────────────────────
esc "$UP/etc/passwd"
if [ ! -f "$UP/etc/passwd" ]; then cp /var/lib/hammer/qorpa/images/*/rootfs/etc/passwd "$UP/etc/passwd" 2>/dev/null || : ; fi
grep -q "^$U:" "$UP/etc/passwd" 2>/dev/null || \
  echo "$U:x:$UID_DENTRO:$UID_DENTRO::/home/$U:/usr/bin/bash" >> "$UP/etc/passwd"
esc "$UP/etc/group"
if [ ! -f "$UP/etc/group" ]; then cp /var/lib/hammer/qorpa/images/*/rootfs/etc/group "$UP/etc/group" 2>/dev/null || : ; fi
grep -q "^$U:" "$UP/etc/group" 2>/dev/null || echo "$U:x:$UID_DENTRO:" >> "$UP/etc/group"
chown "$U:$U" "$UP/etc/passwd" "$UP/etc/group" 2>/dev/null || true
echo "  ✓ $U en el passwd/group de la instancia (uid $UID_DENTRO)"

# ── 2. el Include de ssh, a un directorio cuyo dueño SÍ está en el mapa ──────────────────────────
esc "$UP/etc/ssh/ssh_config"
if [ ! -f "$UP/etc/ssh/ssh_config" ]; then
  cp /var/lib/hammer/qorpa/images/*/rootfs/etc/ssh/ssh_config "$UP/etc/ssh/ssh_config" 2>/dev/null || :
fi
if [ -f "$UP/etc/ssh/ssh_config" ]; then
  install -d -o "$U" -g "$U" "$UP/etc/ssh/ssh_config.d.local"
  sed -i "s|^Include /etc/ssh/ssh_config.d/\*.conf|Include /etc/ssh/ssh_config.d.local/*.conf|" "$UP/etc/ssh/ssh_config"
  chown "$U:$U" "$UP/etc/ssh/ssh_config"
  echo "  ✓ Include redirigido a ssh_config.d.local (el original es de la capa inferior, dueño fuera del mapa)"
fi

# ── 3. known_hosts sembrado desde el anfitrión ──────────────────────────────────────────────────
K=/home/$U/.ssh/known_hosts
install -d -o "$U" -g "$U" -m 700 "/home/$U/.ssh"
for h in dev.gioser.net git.gioser.net; do
  grep -q "^\[\?$h" "$K" 2>/dev/null || ssh-keyscan -t ed25519 "$h" 2>/dev/null >> "$K" || true
done
chown "$U:$U" "$K" 2>/dev/null || true; chmod 600 "$K" 2>/dev/null || true
echo "  ✓ known_hosts con $(grep -c . "$K" 2>/dev/null || echo 0) entradas"

# ── 4. las herramientas del STORE, en el PATH de adentro ────────────────────────────────────────
# MEDIDO el 2026-09-18 construyendo DESDE la jaula. Cuatro binarios que hacen falta adentro y que no
# tienen por qué venir del gestor de paquetes de la imagen: ya están sellados en `/store`, que la
# instancia tiene concedido, y son musl estáticos — corren igual dentro de una imagen glibc.
#
#   · `takana`  el que construye. `/opt/takana/target/release/takana` del anfitrión es un enlace a
#               `/usr/bin/takana`, que ADENTRO es el /usr/bin de Arch y no lo tiene.
#   · `patch`   takana aplica los parches FUERA del sandbox, así que lo busca en ESTE PATH. Sin él,
#               toda receta con parches muere en `spawn patch: No such file or directory` — `wtype`
#               (sin parches) pasaba y `zsh` (con seis) no. El del lab NO sirve: es musl DINÁMICO y
#               no arranca en una jaula glibc.
#   · `gh`      el espejo a GitHub empuja por HTTPS con su token como credential helper.
#   · `hcloud`  para ver la flota de Hetzner sin salir de la jaula.
#
# Los wrappers viven en /work/<usuario>/bin, que es bind del anfitrión y SOBREVIVE al recreate; lo
# que se pierde es el enlace en el PATH, y eso es lo que repone esto. Cada wrapper elige el artefacto
# MÁS RECIENTE del store en vez de un hash cableado, para sobrevivir a un re-sellado.
BIN=/work/$U/bin
if [ -d "$BIN" ]; then
  install -d -o "$U" -g "$U" "$UP/usr/bin"
  for t in takana patch gh hcloud rsync python3 jq cargo; do
    [ -x "$BIN/$t" ] || continue
    ln -sfn "$BIN/$t" "$UP/usr/bin/$t" 2>/dev/null || true
  done
  ln -sfn "$BIN/python3" "$UP/usr/bin/python" 2>/dev/null || true
  echo "  ✓ herramientas del store enlazadas al PATH desde $BIN"
fi

# ── 5. el cargador de musl, para que los artefactos DINÁMICOS arranquen ─────────────────────────
# No todo lo del store es estático: `python3` y `cargo` son musl DINÁMICOS y piden
# `/lib/ld-musl-x86_64.so.1`, que una imagen glibc no tiene. Sin esto fallan con un `No such file or
# directory` que señala al binario y no al cargador, que es lo que despista.
#
# ⚠ Y no alcanza con el cargador: `cargo` pide además `libz.so.1` y `libgcc_s.so.1` POR NOMBRE, y en
# una imagen glibc esos nombres existen — con otro contenido. Coge las de glibc y muere en
# `Error relocating /lib/libz.so.1: __snprintf_chk: symbol not found` (símbolos de fortify que musl
# no tiene). Por eso su wrapper exporta LD_LIBRARY_PATH al lab; acá sólo va el cargador.
LAB=${LAB:-/work/$U/dev-fs/alpine}
if [ -f "$LAB/lib/ld-musl-x86_64.so.1" ]; then
  install -D -o "$U" -g "$U" -m 755 "$LAB/lib/ld-musl-x86_64.so.1" "$UP/usr/lib/ld-musl-x86_64.so.1"
  echo "  ✓ cargador de musl en /usr/lib (lo alcanza /lib, que es symlink a usr/lib)"
else
  echo "  · sin lab en $LAB — el cargador de musl no se pone (python3/cargo del store no arrancarán)"
fi

echo "jaula $INST preparada — lo del manifiesto (paquetes, concesiones) lo pone `takana qorpa provision`"