#!/usr/bin/env bash
set -Eeuo pipefail

SCRIPT_NAME="tailscale-headscale-linux.sh"
SCRIPT_PROJECT="linux-worker"
SCRIPT_VERSION="v0.3.1"
SCRIPT_UPDATED="2026-07-04"

DEFAULT_LOGIN_SERVER="https://mesh.yohan.fun"
CONFIG_DIR="/etc/agentmeshos"
CONFIG_FILE="${CONFIG_DIR}/tailscale-client.conf"
PENDING_REG_FILE="${CONFIG_DIR}/tailscale-pending-registration.txt"
STATE_FILE="/var/lib/tailscale/tailscaled.state"

SUDO=""
if [ "$(id -u)" -ne 0 ]; then
  if ! command -v sudo >/dev/null 2>&1; then
    echo "当前不是 root 用户，且系统未安装 sudo。请使用 root 执行本脚本。"
    exit 1
  fi
  SUDO="sudo"
fi

LOGIN_SERVER="${DEFAULT_LOGIN_SERVER}"
HOSTNAME_VALUE="agentmeshos-worker-$(hostname -s 2>/dev/null || hostname)"

if [ -f "${CONFIG_FILE}" ]; then
  # shellcheck disable=SC1090
  . "${CONFIG_FILE}"
fi

require_tty() {
  if [ ! -r /dev/tty ]; then
    echo "未检测到可交互终端。请在 SSH/终端中执行本脚本，不要在无交互环境中运行。"
    exit 1
  fi
}

read_tty() {
  local __var_name="$1"
  IFS= read -r "${__var_name}" </dev/tty
}

read_tty_secret() {
  local __var_name="$1"
  stty -echo </dev/tty 2>/dev/null || true
  IFS= read -r "${__var_name}" </dev/tty
  stty echo </dev/tty 2>/dev/null || true
  printf "\n"
}

pause() {
  printf "\n按 Enter 返回菜单..."
  read_tty _
}

print_cmd() {
  printf "\n将执行命令：\n%s\n\n" "$*"
}

confirm_danger() {
  local prompt="$1"
  printf "%s\n请输入 YES 确认：" "${prompt}"
  read_tty answer
  [ "${answer}" = "YES" ]
}

ensure_config_dir() {
  ${SUDO} mkdir -p "${CONFIG_DIR}"
  ${SUDO} chmod 755 "${CONFIG_DIR}"
}

save_config() {
  ensure_config_dir
  local tmp
  tmp="$(mktemp)"
  {
    echo "LOGIN_SERVER=\"${LOGIN_SERVER}\""
    echo "HOSTNAME_VALUE=\"${HOSTNAME_VALUE}\""
    echo "LAST_UPDATED=\"$(date -Iseconds)\""
  } > "${tmp}"
  print_cmd "${SUDO:-sudo} install -m 600 ${tmp} ${CONFIG_FILE}"
  ${SUDO} install -m 600 "${tmp}" "${CONFIG_FILE}"
  rm -f "${tmp}"
  echo "配置已保存到 ${CONFIG_FILE}。接入 key 不会保存到本机配置文件。"
}

install_curl_if_needed() {
  if command -v curl >/dev/null 2>&1; then
    return
  fi

  echo "未检测到 curl，正在尝试安装 curl。"
  if command -v apt-get >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} apt-get update && ${SUDO:-sudo} apt-get install -y curl ca-certificates"
    ${SUDO} apt-get update
    ${SUDO} apt-get install -y curl ca-certificates
  elif command -v dnf >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} dnf install -y curl ca-certificates"
    ${SUDO} dnf install -y curl ca-certificates
  elif command -v yum >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} yum install -y curl ca-certificates"
    ${SUDO} yum install -y curl ca-certificates
  elif command -v pacman >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} pacman -Sy --noconfirm curl ca-certificates"
    ${SUDO} pacman -Sy --noconfirm curl ca-certificates
  elif command -v apk >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} apk add --no-cache curl ca-certificates"
    ${SUDO} apk add --no-cache curl ca-certificates
  else
    echo "无法自动安装 curl。请先手动安装 curl 后重试。"
    exit 1
  fi
}

install_or_update_tailscale() {
  install_curl_if_needed
  print_cmd "curl -fsSL https://tailscale.com/install.sh | ${SUDO:-sudo} sh"
  curl -fsSL https://tailscale.com/install.sh | ${SUDO} sh

  if command -v systemctl >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} systemctl enable --now tailscaled"
    ${SUDO} systemctl enable --now tailscaled
  elif command -v service >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} service tailscaled start"
    ${SUDO} service tailscaled start || true
  fi
}

prompt_login_server() {
  printf "控制服务器地址 [%s]：" "${LOGIN_SERVER}"
  read_tty input
  if [ -n "${input}" ]; then
    LOGIN_SERVER="${input}"
  fi

  case "${LOGIN_SERVER}" in
    https://*) ;;
    *)
      echo "控制服务器必须使用 https:// 开头。"
      return 1
      ;;
  esac
}

prompt_hostname() {
  printf "本机节点名 [%s]：" "${HOSTNAME_VALUE}"
  read_tty input
  if [ -n "${input}" ]; then
    HOSTNAME_VALUE="${input}"
  fi
}

join_with_auth_key() {
  if ! command -v tailscale >/dev/null 2>&1; then
    echo "未检测到 tailscale，请先选择 1 安装 / 更新客户端。"
    return
  fi

  prompt_login_server || return
  prompt_hostname
  printf "粘贴 Headplane 生成的 auth key（例如 hskey-auth-...）："
  read_tty_secret AUTH_KEY
  if [ -z "${AUTH_KEY}" ]; then
    echo "接入 key 不能为空。"
    return
  fi

  print_cmd "${SUDO:-sudo} tailscale up --login-server=${LOGIN_SERVER} --auth-key=*** --hostname=${HOSTNAME_VALUE}"
  ${SUDO} tailscale up \
    --login-server="${LOGIN_SERVER}" \
    --auth-key="${AUTH_KEY}" \
    --hostname="${HOSTNAME_VALUE}"
  save_config
}

start_manual_registration() {
  if ! command -v tailscale >/dev/null 2>&1; then
    echo "未检测到 tailscale，请先选择 1 安装 / 更新客户端。"
    return
  fi

  show_manual_registration_guide
  prompt_login_server || return
  prompt_hostname

  print_cmd "${SUDO:-sudo} tailscale up --login-server=${LOGIN_SERVER} --hostname=${HOSTNAME_VALUE}"
  local tmp_output
  tmp_output="$(mktemp)"

  cat <<EOF
说明：
  tailscale up 在手动注册模式下会输出注册网址，然后等待主节点批准。
  为了避免菜单一直卡住，本脚本会等待 20 秒，捕获输出并保存。
  如果你已经看到 register/hskey-authreq 或 nodekey 信息，可以直接复制到 Headplane。
EOF

  set +e
  if command -v timeout >/dev/null 2>&1; then
    timeout 20s ${SUDO} tailscale up \
      --login-server="${LOGIN_SERVER}" \
      --hostname="${HOSTNAME_VALUE}" 2>&1 | tee "${tmp_output}"
    local tailscale_status=${PIPESTATUS[0]}
  else
    ${SUDO} tailscale up \
      --login-server="${LOGIN_SERVER}" \
      --hostname="${HOSTNAME_VALUE}" 2>&1 | tee "${tmp_output}" &
    local tailscale_pid=$!
    sleep 20
    if kill -0 "${tailscale_pid}" 2>/dev/null; then
      kill "${tailscale_pid}" 2>/dev/null || true
      wait "${tailscale_pid}" 2>/dev/null || true
      local tailscale_status=124
    else
      wait "${tailscale_pid}"
      local tailscale_status=$?
    fi
  fi
  set -e

  ensure_config_dir
  {
    echo "生成时间：$(date -Iseconds)"
    echo "控制服务器：${LOGIN_SERVER}"
    echo "节点名称：${HOSTNAME_VALUE}"
    echo
    echo "原始输出："
    cat "${tmp_output}"
  } > "${tmp_output}.saved"
  print_cmd "${SUDO:-sudo} install -m 600 ${tmp_output}.saved ${PENDING_REG_FILE}"
  ${SUDO} install -m 600 "${tmp_output}.saved" "${PENDING_REG_FILE}"
  rm -f "${tmp_output}" "${tmp_output}.saved"

  cat <<EOF

已把本次手动注册输出保存到：
  ${PENDING_REG_FILE}

如果上面的输出里出现以下任一内容，都属于手动注册所需信息：

- https://mesh.yohan.fun/register/hskey-authreq-...
- register/nodekey_xxx 链接
- nodekey_xxx
- Auth ID
- Machine Key

Headplane 里的「Add Device」就是给这种手动批准流程用的。

如果本次命令状态是 124，表示脚本主动停止等待，属于预期行为；
此时只要上面已经出现注册网址或 Machine Key，就可以继续到 Headplane 批准。
EOF

  show_pending_registration_info
  if [ "${tailscale_status}" -eq 124 ]; then
    return 0
  fi
  return "${tailscale_status}"
}

show_manual_registration_guide() {
  cat <<EOF
========================================
 手动注册傻瓜说明
========================================

适用场景：
  不想先在 Headplane 里创建 auth key，或者希望每台机器由主节点人工批准。

你要做的事情分两边：

客户端 Linux Worker：
  1. 先安装 Tailscale 客户端。
  2. 在本菜单选择「16. 手动注册并生成待批准信息」。
  3. 脚本会执行不带 auth key 的 tailscale up。
  4. 终端会输出注册链接、nodekey、Auth ID 或 Machine Key。
  5. 如果看不清，回到菜单选择「15. 查看当前机器待批准注册信息」。

主节点 Headplane：
  1. 打开 https://mesh.yohan.fun/admin/
  2. 进入 Machines / Nodes。
  3. 点击 Add Device / Register Machine Key。
  4. 粘贴客户端显示的 nodekey / Machine Key / 注册信息。
  5. 选择 Owner，例如 agentmeshos。
  6. Confirm 后，客户端节点就会加入网络。

注意：
  - 这不是生成 auth key 的流程。
  - 这是“客户端先申请，主节点再批准”的流程。
  - 如果机器之前连过其他控制面，先执行菜单 8 logout，再重新手动注册。
========================================
EOF
}

show_pending_registration_info() {
  echo "当前机器待批准注册信息检查："
  echo

  if [ -f "${PENDING_REG_FILE}" ]; then
    echo "已找到上次手动注册保存的信息：${PENDING_REG_FILE}"
    echo
    ${SUDO} sed -n '1,220p' "${PENDING_REG_FILE}" || true
    echo
    echo "可优先复制上面输出中的 register/hskey-authreq、register/nodekey、nodekey、Auth ID 或 Machine Key 到 Headplane。"
  else
    echo "未找到已保存的待批准注册信息。"
    echo "如果你还没发起过手动注册，请先选择菜单 16。"
  fi

  echo
  if command -v tailscale >/dev/null 2>&1; then
    echo "当前 Tailscale 状态："
    tailscale status || true
    echo
    echo "当前 Tailscale 偏好摘要："
    tailscale debug prefs 2>/dev/null | sed -n '1,80p' || true
  else
    echo "未检测到 tailscale，无法读取当前客户端状态。"
  fi
}

change_login_server() {
  prompt_login_server || return
  prompt_hostname
  save_config
  echo "控制服务器已更新。若需要立即重连，请选择 4 更换接入 key 并重新连接。"
}

change_key_and_reconnect() {
  join_with_auth_key
}

show_status() {
  if ! command -v tailscale >/dev/null 2>&1; then
    echo "未检测到 tailscale。"
    return
  fi

  print_cmd "tailscale status"
  tailscale status || true
  printf "\n"
  print_cmd "tailscale ip -4"
  tailscale ip -4 || true
}

show_config() {
  echo "脚本配置："
  echo "LOGIN_SERVER=${LOGIN_SERVER}"
  echo "HOSTNAME_VALUE=${HOSTNAME_VALUE}"
  echo "CONFIG_FILE=${CONFIG_FILE}"
  printf "\nTailscale 当前偏好：\n"
  if command -v tailscale >/dev/null 2>&1; then
    print_cmd "tailscale debug prefs"
    tailscale debug prefs || true
  else
    echo "未检测到 tailscale。"
  fi
}

disconnect_node() {
  if ! command -v tailscale >/dev/null 2>&1; then
    echo "未检测到 tailscale。"
    return
  fi
  print_cmd "${SUDO:-sudo} tailscale down"
  ${SUDO} tailscale down
}

logout_node() {
  if ! command -v tailscale >/dev/null 2>&1; then
    echo "未检测到 tailscale。"
    return
  fi
  if confirm_danger "退出当前 tailnet 会清除本机登录状态，确认继续吗？"; then
    print_cmd "${SUDO:-sudo} tailscale logout"
    ${SUDO} tailscale logout
  else
    echo "已取消。"
  fi
}

clear_state() {
  if ! confirm_danger "清空本机 Tailscale 状态会删除 ${STATE_FILE}，节点需要重新接入，确认继续吗？"; then
    echo "已取消。"
    return
  fi

  if command -v systemctl >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} systemctl stop tailscaled"
    ${SUDO} systemctl stop tailscaled || true
  fi

  print_cmd "${SUDO:-sudo} rm -f ${STATE_FILE}"
  ${SUDO} rm -f "${STATE_FILE}"

  if command -v systemctl >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} systemctl start tailscaled"
    ${SUDO} systemctl start tailscaled
  fi
}

restart_service() {
  if command -v systemctl >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} systemctl restart tailscaled"
    ${SUDO} systemctl restart tailscaled
    print_cmd "${SUDO:-sudo} systemctl status tailscaled --no-pager"
    ${SUDO} systemctl status tailscaled --no-pager || true
  elif command -v service >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} service tailscaled restart"
    ${SUDO} service tailscaled restart
  else
    echo "未检测到 systemctl 或 service，请手动重启 tailscaled。"
  fi
}

uninstall_tailscale() {
  if ! confirm_danger "卸载会移除 Tailscale 客户端，并可选择清理本机状态，确认继续吗？"; then
    echo "已取消。"
    return
  fi

  if command -v systemctl >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} systemctl stop tailscaled"
    ${SUDO} systemctl stop tailscaled || true
    print_cmd "${SUDO:-sudo} systemctl disable tailscaled"
    ${SUDO} systemctl disable tailscaled || true
  fi

  if command -v apt-get >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} apt-get remove -y tailscale"
    ${SUDO} apt-get remove -y tailscale
  elif command -v dnf >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} dnf remove -y tailscale"
    ${SUDO} dnf remove -y tailscale
  elif command -v yum >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} yum remove -y tailscale"
    ${SUDO} yum remove -y tailscale
  elif command -v pacman >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} pacman -Rns --noconfirm tailscale"
    ${SUDO} pacman -Rns --noconfirm tailscale
  elif command -v apk >/dev/null 2>&1; then
    print_cmd "${SUDO:-sudo} apk del tailscale"
    ${SUDO} apk del tailscale
  else
    echo "未识别包管理器，请手动卸载 tailscale。"
  fi

  if confirm_danger "是否同时删除 /var/lib/tailscale 和 ${CONFIG_FILE}？"; then
    print_cmd "${SUDO:-sudo} rm -rf /var/lib/tailscale ${CONFIG_FILE}"
    ${SUDO} rm -rf /var/lib/tailscale "${CONFIG_FILE}"
  fi
}

show_recommended_commands() {
  cat <<EOF
推荐接入流程：

1. 在 Headplane 管理后台创建 Pre-Auth Key：
   - 地址：https://mesh.yohan.fun/admin/
   - User：选择当前 Worker 归属用户，例如 agentmeshos
   - ACL Tags：当前阶段先留空
   - Reusable：关闭，避免同一个 key 被多台机器复用
   - Ephemeral：关闭，避免节点状态随会话消失

2. 在 Linux Worker 执行：
   推荐使用自托管只读脚本入口：
   curl -fsSL https://docs.yohan.fun/scripts/tailscale-headscale-linux.sh | sudo bash

   私有仓库过渡方式：
   read -rsp 'GitHub 只读 Token: ' GITHUB_TOKEN; echo; curl -fsSL \
     -H "Authorization: Bearer \${GITHUB_TOKEN}" \
     -H "Accept: application/vnd.github.raw" \
     https://api.github.com/repos/michaellab7284/AgentMeshOS/contents/scripts/clients/tailscale-headscale-linux.sh?ref=main | sudo bash; unset GITHUB_TOKEN

   禁止把 GitHub API Key、PAT 或其他密钥写进脚本、菜单、README 或仓库文件。

3. 菜单中选择：
   1 安装 / 更新 Tailscale 客户端
   2 输入 auth key 并加入自托管控制面
   14 查看手动注册傻瓜说明
   15 查看当前机器是否已有待批准注册信息
   16 手动注册，限时捕获 Machine Key / 注册链接，再到 Headplane 批准

4. 实际接入命令格式：
   自动接入：
   sudo tailscale up --login-server=${LOGIN_SERVER} --auth-key=hskey-auth-xxxx --hostname=${HOSTNAME_VALUE}

   手动批准：
   sudo tailscale up --login-server=${LOGIN_SERVER} --hostname=${HOSTNAME_VALUE}

禁止执行无 --login-server 的 tailscale up，避免节点接入官方 Tailscale 控制面。

说明：
- 本脚本负责 Linux Worker 本机客户端安装、接入、断开、清空和卸载。
- 如果要从 Headscale 控制面删除节点，请在 Headplane 管理后台的 Machines / Nodes 页面操作。
- 本机执行 logout、清空状态或卸载，只处理当前 Linux 客户端，不会自动删除控制面里的历史节点记录。
- Headplane 的 Add Device / Register Machine Key 属于“手动批准”流程，不是“生成 auth key”流程。
EOF
}

show_menu() {
  clear || true
  cat <<EOF
========================================
 AgentMeshOS Linux Worker 接入菜单
========================================
脚本版本：${SCRIPT_NAME} ${SCRIPT_VERSION}（${SCRIPT_UPDATED}）
归属项目：${SCRIPT_PROJECT}
当前控制服务器：${LOGIN_SERVER}
当前节点名：${HOSTNAME_VALUE}

1. 安装 / 更新 Tailscale 客户端
2. 输入 auth key 并加入自托管控制面
3. 更换控制服务器并保存
4. 更换接入 key 并重新连接
5. 查看节点状态和 Tailnet IP
6. 查看当前配置和 Tailscale 偏好
7. 断开连接 tailscale down
8. 退出当前 tailnet tailscale logout
9. 清空本机 Tailscale 状态
10. 重启 tailscaled 服务
11. 卸载 / 重装前清理 Tailscale 客户端
12. 显示推荐 Worker 接入命令
13. 保存当前控制服务器和节点名
14. 查看手动注册傻瓜说明
15. 查看当前机器是否已有待批准注册信息
16. 手动注册并生成 Machine Key / 注册链接
0. 退出
========================================
EOF
}

main() {
  require_tty
  while true; do
    show_menu
    printf "请选择操作："
    read_tty choice
    case "${choice}" in
      1) install_or_update_tailscale; pause ;;
      2) join_with_auth_key; pause ;;
      3) change_login_server; pause ;;
      4) change_key_and_reconnect; pause ;;
      5) show_status; pause ;;
      6) show_config; pause ;;
      7) disconnect_node; pause ;;
      8) logout_node; pause ;;
      9) clear_state; pause ;;
      10) restart_service; pause ;;
      11) uninstall_tailscale; pause ;;
      12) show_recommended_commands; pause ;;
      13) prompt_login_server && prompt_hostname && save_config; pause ;;
      14) show_manual_registration_guide; pause ;;
      15) show_pending_registration_info; pause ;;
      16) start_manual_registration; pause ;;
      0) echo "已退出。"; exit 0 ;;
      *) echo "无效选项。"; pause ;;
    esac
  done
}

main "$@"