<?php
/**
 * 生成「发布包签名」密钥对（一次）
 *
 * 产出：
 *  - 私钥 runtime/package_private.pem   **仅限打包机，绝不入库/进包**（.gitignore 已忽略 /runtime）
 *  - 公钥 ywxapp/data/package_public.pem 随版本发布，客户机用它验签
 *  - 同时把公钥写回 ywxapp\service\PackageVerifier::BUILTIN_PUBLIC_KEY，
 *    作为「公钥文件被误删/被篡改」时的兜底锚点（否则删掉文件就能绕过验签）。
 *
 * 用法：
 *   php scripts/package_keygen.php                    # 生成 4096 位密钥对（已存在则要求 --force）
 *   php scripts/package_keygen.php --force            # 强制轮换（旧包将全部验签失败，务必先给客户推过渡版本）
 *   php scripts/package_keygen.php --bits=2048
 *
 * 轮换策略（重要）：
 *   直接换 key 会让所有客户机拒绝安装旧包。正确做法是先发布一个「同时内置新旧公钥」的过渡版本，
 *   待覆盖率达标后再用新私钥发新版；本脚本的 --force 只用于「私钥已泄漏」应急。
 */

declare(strict_types=1);

require_once __DIR__ . DIRECTORY_SEPARATOR . 'lib' . DIRECTORY_SEPARATOR . 'package_signature.php';

$root  = dirname(__DIR__) . DIRECTORY_SEPARATOR;
$bits  = 4096;
$force = false;
foreach (array_slice($argv, 1) as $arg) {
    if ($arg === '--force') {
        $force = true;
    } elseif (strpos($arg, '--bits=') === 0) {
        $bits = (int) substr($arg, 7);
        if ($bits < 2048) {
            fwrite(STDERR, "密钥长度至少 2048 位\n");
            exit(1);
        }
    }
}

$privFile = $root . 'runtime' . DIRECTORY_SEPARATOR . 'package_private.pem';
$pubFile  = $root . 'ywxapp' . DIRECTORY_SEPARATOR . 'data' . DIRECTORY_SEPARATOR . 'package_public.pem';
$builtin  = $root . 'ywxapp' . DIRECTORY_SEPARATOR . 'service' . DIRECTORY_SEPARATOR . 'PackageVerifier.php';

if (is_file($privFile) && ! $force) {
    fwrite(STDERR, "私钥已存在：{$privFile}\n如需轮换请加 --force（会让旧发布包全部验签失败，先确认发布策略）\n");
    exit(1);
}

if (! extension_loaded('openssl')) {
    fwrite(STDERR, "缺少 openssl 扩展\n");
    exit(1);
}

$res = openssl_pkey_new([
    'private_key_bits' => $bits,
    'private_key_type' => OPENSSL_KEYTYPE_RSA,
]);
if ($res === false) {
    fwrite(STDERR, "生成密钥失败：" . openssl_error_string() . "\n");
    exit(1);
}
if (! openssl_pkey_export($res, $privatePem)) {
    fwrite(STDERR, "导出私钥失败\n");
    exit(1);
}
$details = openssl_pkey_get_details($res);
$publicPem = $details['key'] ?? '';
if ($publicPem === '') {
    fwrite(STDERR, "导出公钥失败\n");
    exit(1);
}

if (! is_dir(dirname($privFile))) {
    mkdir(dirname($privFile), 0755, true);
}
if (! is_dir(dirname($pubFile))) {
    mkdir(dirname($pubFile), 0755, true);
}
file_put_contents($privFile, $privatePem);
chmod($privFile, 0600);
file_put_contents($pubFile, $publicPem);

// 写回内置公钥常量：文件可被整包升级覆盖，常量是最后的信任锚
$builtinOk = false;
if (is_file($builtin)) {
    $src = (string) file_get_contents($builtin);
    // 用正则而不是字符串定位：Windows 下仓库可能检出 CRLF，
    // 硬匹配 "\nPEM;\n" 会漏。$count 用于判断是否真的替换到了。
    $new = preg_replace_callback(
        "/(private const BUILTIN_PUBLIC_KEY\s*=\s*<<<'PEM'\R)(.*?)(\R\s*PEM;)/s",
        static function (array $m) use ($publicPem): string {
            $raw = trim($publicPem);
            // PEM 里含 - 与字母数字，作为 replacement 无需转义，但统一按行尾惯例 CRLF/LF 保持不变
            return $m[1] . $raw . $m[3];
        },
        $src,
        1,
        $count
    );
    if ($count > 0 && $new !== null) {
        file_put_contents($builtin, $new);
        $builtinOk = true;
    }
}

echo "=== 发布包签名密钥已生成 ===\n";
echo "[私钥] {$privFile}  (仅打包机保留，切勿入库/进包)\n";
echo "[公钥] {$pubFile}  (随版本发布给客户机)\n";
echo "[内置] {$builtin}  → " . ($builtinOk ? '已写入 BUILTIN_PUBLIC_KEY' : '写入失败，请手工粘贴公钥到该常量') . "\n";
echo "[位数] {$bits}\n\n";
echo "下一步：\n";
echo "  1) 备份私钥到离线介质（丢了无法签发新版本，只能换 key 并强制轮换）\n";
echo "  2) php scripts/package_framework.php 1.1.2    # 打包时会自动给三个 zip 追加签名\n";
echo "  3) php scripts/package_verify.php build/framework/ywxapp-1.1.2.zip 1.1.2   # 发布前自检\n";