/**
 * Secure Config — 敏感配置项加密存储（P0-1）
 *
 * 使用 Electron safeStorage（操作系统级密钥链：Windows DPAPI / macOS Keychain / Linux libsecret）
 * 对 API Key 等敏感配置值做静态加密，落盘前加密、读取时解密。
 *
 * 加密格式：`metona-enc:v1:<base64(safeStorage.encryptString(value))>`
 *
 * 兜底策略：
 * - safeStorage 不可用（如部分 Linux 无 keyring）→ 明文存储并打 WARN（保持可用性）
 * - 解密失败（跨机器拷贝配置/重装系统导致密钥失效）→ 返回空串，用户需重新录入
 */

import { safeStorage } from 'electron';
import log from 'electron-log';

/** 加密值前缀标记（版本化，便于未来算法升级） */
const ENCRYPTION_PREFIX = 'metona-enc:v1:';

/** 敏感配置 key 匹配模式（与 IPC 层审计脱敏规则保持一致） */
const SENSITIVE_KEY_PATTERNS = ['apikey', 'api_key', 'apitoken', 'token', 'secret', 'password', 'auth_key'];

/** 判断配置 key 是否为敏感项（需要加密存储） */
export function isSensitiveConfigKey(key: string): boolean {
  return SENSITIVE_KEY_PATTERNS.some((p) => key.toLowerCase().includes(p));
}

/** 判断值是否已是加密格式 */
export function isEncryptedValue(value: unknown): value is string {
  return typeof value === 'string' && value.startsWith(ENCRYPTION_PREFIX);
}

/**
 * 加密配置值（写入持久层前调用）
 *
 * 仅对非空字符串生效；其他类型（number/boolean/null）原样返回。
 * safeStorage 不可用时降级为明文（记录 WARN）。
 */
export function encryptConfigValue(value: unknown): unknown {
  if (typeof value !== 'string' || value.length === 0) return value;
  if (isEncryptedValue(value)) return value; // 已加密，幂等
  try {
    if (!safeStorage.isEncryptionAvailable()) {
      log.warn('[SecureConfig] safeStorage 不可用，敏感配置将以明文存储');
      return value;
    }
    const encrypted = safeStorage.encryptString(value);
    return ENCRYPTION_PREFIX + encrypted.toString('base64');
  } catch (err) {
    log.error('[SecureConfig] 加密失败，回退明文存储:', err);
    return value;
  }
}

/**
 * 解密配置值（从持久层读取后调用）
 *
 * 非加密格式原样返回；解密失败返回空串（密钥链变更场景，
 * 返回空串使 createAdapter 判定"未配置"，引导用户重新录入而非崩溃）。
 */
export function decryptConfigValue(value: unknown): unknown {
  if (!isEncryptedValue(value)) return value;
  try {
    const buf = Buffer.from(value.slice(ENCRYPTION_PREFIX.length), 'base64');
    return safeStorage.decryptString(buf);
  } catch (err) {
    log.error('[SecureConfig] 解密失败（可能因系统密钥链变更），请重新录入 API Key:', err);
    return '';
  }
}