package httpclient

// 本文件钉住本客户端的出镜边界（M41 #10/#11 那一族，M50 补信封 message）：
//
//   - **非 2xx 的响应体原文不进错误**：旧实现把体截到 512B 拼进 error，而调用方
//     （KOOK 适配器）会把这条 error 直接落日志 —— 上游在体里回显什么，日志里就有
//     什么。现在只留状态码、来源主机，以及信封的 code（message 默认不带）。
//   - **信封 message 默认不带**：上游会用它在被拒时回显请求正文（也就是她的话）。
//     要带必须显式 WithEnvelopeMessage()，那时仍过 upstreamText（凭据打码 + 40 rune）。
//   - **请求地址的凭据不进错误**：target 可能带 `?access_token=…` 或 `user:pass@`，
//     而 net/http 的 *url.Error 会把整条地址拼进错误串。
//
// 每条用例都是「把它改回去就变红」的形状：断言的是**错误文本**，也就是调用方实际
// 打进日志的那段字符串。

import (
	"bytes"
	"context"
	"errors"
	"log/slog"
	"net/http"
	"net/http/httptest"
	"net/url"
	"strings"
	"testing"

	"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/trace"
)

// failingTransport 让 http.Client.Do 以传输层错误收场。选定它而不是拨一个真端口，
// 是因为只有传输层失败才会让 net/http 包出 **带完整地址** 的 *url.Error ——
// 那正是要钉住的泄漏形态。
type failingTransport struct{}

func (failingTransport) RoundTrip(*http.Request) (*http.Response, error) {
	return nil, errors.New("dial tcp: connection refused")
}

// TestDoJSON_StatusErrorDoesNotEchoBodySentinel 4xx 体里放哨兵 ⇒ 错误里搜不到。
//
// 用非信封体（代理返回的 HTML 错误页就是这样）：信封类的体按设计会保留 code（message
// 默认不带），非信封体则一个字节都不留。
func TestDoJSON_StatusErrorDoesNotEchoBodySentinel(t *testing.T) {
	t.Parallel()
	const sentinel = "SENTINEL-4XX-BODY"
	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		w.WriteHeader(http.StatusBadGateway)
		_, _ = w.Write([]byte("<html><body>bad gateway " + sentinel + "</body></html>"))
	}))
	defer srv.Close()

	c := New(WithBaseURL(srv.URL), WithHTTPClient(srv.Client()), WithLogger(discardLogger()))
	_, err := c.DoJSON(context.Background(), http.MethodPost, "/message/create", map[string]any{"a": 1})
	if err == nil {
		t.Fatal("502 却报成功")
	}
	if !errors.Is(err, ErrAPI) {
		t.Fatalf("err = %v, want ErrAPI", err)
	}
	if strings.Contains(err.Error(), sentinel) {
		t.Fatalf("响应体原文进了错误（会随调用方落日志）：%v", err)
	}
	// 可诊断性不能一起丢：来源主机与状态码必须还在，且带得出「体有多大」。
	host, _, ok := strings.Cut(strings.TrimPrefix(srv.URL, "http://"), ":")
	if !ok || !strings.Contains(err.Error(), host) {
		t.Fatalf("错误里没有来源主机 %q：%v", host, err)
	}
	if !strings.Contains(err.Error(), "status=502") {
		t.Fatalf("错误里没有状态码：%v", err)
	}
	if !strings.Contains(err.Error(), "body_bytes=") {
		t.Fatalf("错误里没有响应体体积（相关性判断要用）：%v", err)
	}
}

// TestDoJSON_StatusErrorKeepsEnvelopeCode 非 2xx 的信封体仍要给出 code：这是本客户端
// 唯一认识的诊断面，替换掉体原文之后不能连它一起丢。而 message 是上游自由文本面，
// **默认不带**（M50 口径）—— 上游会用它在被拒时回显她的话。
func TestDoJSON_StatusErrorKeepsEnvelopeCode(t *testing.T) {
	t.Parallel()
	const sentinel = "invalid content: 她刚才说的那句话"
	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		w.WriteHeader(http.StatusBadRequest)
		_, _ = w.Write([]byte(`{"code":40101,"message":"` + sentinel + `","data":null}`))
	}))
	defer srv.Close()

	c := New(WithBaseURL(srv.URL), WithHTTPClient(srv.Client()), WithLogger(discardLogger()))
	_, err := c.DoJSON(context.Background(), http.MethodGet, "/gateway/index", nil)
	if err == nil {
		t.Fatal("400 却报成功")
	}
	if !strings.Contains(err.Error(), "code 40101") || !strings.Contains(err.Error(), "status=400") {
		t.Fatalf("信封的 code / 上游 status 丢了：%v", err)
	}
	// 哨兵出现在 message 里 ⇒ 错误与日志都不得带它（变异：把 envelopeDetail 改回
	// 无条件 upstreamText(message) ⇒ 本断言立刻红）。
	var logBuf bytes.Buffer
	slog.New(slog.NewJSONHandler(&logBuf, nil)).Error("send failed", "err", err)
	for _, surface := range []string{err.Error(), logBuf.String()} {
		if strings.Contains(surface, "她刚才说的那句话") {
			t.Fatalf("信封 message（上游回显的她的原话）进了错误或日志：%s", surface)
		}
	}
	// 哨兵链不变：分类靠 errors.Is，不靠文本。
	if !errors.Is(err, ErrAPI) || !errors.Is(err, trace.ErrUpstream) {
		t.Fatalf("err = %v, want both ErrAPI and trace.ErrUpstream", err)
	}
}

// TestDoJSON_NonZeroCodeDropsEnvelopeMessage 是 2xx + `code != 0` 这**另一个分支**：
// 它此前把 message 直接拼进错误（M49 探针复现的原文里 `code 1: invalid content: …`
// 走的就是跨过 apiFailure 的这一支）。code 必须留下，message 必须不带。
func TestDoJSON_NonZeroCodeDropsEnvelopeMessage(t *testing.T) {
	t.Parallel()
	const sentinel = "invalid content: 她刚才说的那句话"
	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		// 200 + 非零 code：KOOK 一类平台的「业务失败也 200」形态。
		_, _ = w.Write([]byte(`{"code":1,"message":"` + sentinel + `","data":null}`))
	}))
	defer srv.Close()

	c := New(WithBaseURL(srv.URL), WithHTTPClient(srv.Client()), WithLogger(discardLogger()))
	_, err := c.DoJSON(context.Background(), http.MethodPost, "/message/create", map[string]any{"content": "她刚才说的那句话"})
	if err == nil {
		t.Fatal("非零 code 却报成功")
	}
	if strings.Contains(err.Error(), "她刚才说的那句话") {
		t.Fatalf("200 + code!=0 分支仍把 message 拼进错误：%v", err)
	}
	if !strings.Contains(err.Error(), "code 1") {
		t.Fatalf("2xx 分支的 code 丢了（那一条没别的分类信息）：%v", err)
	}
	if !errors.Is(err, ErrAPI) {
		t.Fatalf("err = %v, want ErrAPI", err)
	}
}

// TestDoJSON_EnvelopeMessageOptInRedactsMessageSecrets opt-in（WithEnvelopeMessage）是
// 唯一能带 message 的通道：带上的那一刻仍必须清洗凭据形状。
func TestDoJSON_EnvelopeMessageOptInRedactsMessageSecrets(t *testing.T) {
	t.Parallel()
	const secret = "big-secret-value-123456"
	body := `{"code":40101,"message":"access_token=` + secret + `","data":null}`
	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		_, _ = w.Write([]byte(body))
	}))
	defer srv.Close()

	c := New(WithBaseURL(srv.URL), WithHTTPClient(srv.Client()),
		WithLogger(discardLogger()), WithToken(secret), WithEnvelopeMessage())
	_, err := c.DoJSON(context.Background(), http.MethodGet, "/gateway/index", nil)
	if err == nil {
		t.Fatal("非零 code 却报成功")
	}
	if strings.Contains(err.Error(), secret) {
		t.Fatalf("opt-in 的信封 message 没有清洗凭据形状：%v", err)
	}
	if !strings.Contains(err.Error(), "[redacted]") {
		t.Fatalf("opt-in 生效后错误里没有 message（无法证明这条通道还活着）：%v", err)
	}
}

// TestDoJSON_EnvelopeMessageOptInIsBounded 钉住 opt-in 下 message 的长度口径：40 rune
// （maxUpstreamTextRunes）+ 省略号。这条让「到底哪一层在截、截到多少」变成可断言的事实 ——
// 上界刻意比 trace.RedactText 的 80 更短（错误里那句话是提示，不是摘要）。
func TestDoJSON_EnvelopeMessageOptInIsBounded(t *testing.T) {
	t.Parallel()
	long := strings.Repeat("a", 300)
	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		w.WriteHeader(http.StatusBadRequest)
		_, _ = w.Write([]byte(`{"code":40101,"message":"` + long + `","data":null}`))
	}))
	defer srv.Close()

	c := New(WithBaseURL(srv.URL), WithHTTPClient(srv.Client()),
		WithLogger(discardLogger()), WithEnvelopeMessage())
	_, err := c.DoJSON(context.Background(), http.MethodGet, "/gateway/index", nil)
	if err == nil {
		t.Fatal("401 却报成功")
	}
	if !strings.Contains(err.Error(), strings.Repeat("a", maxUpstreamTextRunes)+"…") {
		t.Fatalf("信封 message 没有按 %d rune 截断：%v", maxUpstreamTextRunes, err)
	}
	if strings.Contains(err.Error(), strings.Repeat("a", maxUpstreamTextRunes+1)) {
		t.Fatalf("信封 message 超过了 %d rune 上限：%v", maxUpstreamTextRunes, err)
	}
}

// TestGetJSON_TransportErrorOmitsTargetCredentials 传输层失败时，错误里不得出现目标
// 地址（含 query 里的凭据）—— net/http 会把整条 URL 放在 *url.Error 里。
func TestGetJSON_TransportErrorOmitsTargetCredentials(t *testing.T) {
	t.Parallel()
	const secret = "QUERY-SECRET-VALUE"
	c := New(
		WithBaseURL("http://api.example.com"),
		WithHTTPClient(&http.Client{Transport: failingTransport{}}),
		WithLogger(discardLogger()),
	)
	_, err := c.GetJSON(context.Background(), "/gateway/index", url.Values{"access_token": {secret}})
	if err == nil {
		t.Fatal("传输层失败却报成功")
	}
	if strings.Contains(err.Error(), secret) {
		t.Fatalf("目标地址的凭据进了错误：%v", err)
	}
	if !strings.Contains(err.Error(), "api.example.com") || !strings.Contains(err.Error(), "connection refused") {
		t.Fatalf("剥掉地址时把来源或原因一起丢了：%v", err)
	}
}

// TestGetJSON_UserinfoNeverEntersError 绝对地址带 user:pass@ 时同样不得出镜。
//
// 断言用户名而不只是密码：net/http 自己在 *url.Error 里就把密码打成 xxxxx，因此
// 「密码不出现」在剥壳与不剥壳两种实现下都成立（这样的用例是空跑）；用户名才是
// 剥壳与不剥壳的分水岭。
func TestGetJSON_UserinfoNeverEntersError(t *testing.T) {
	t.Parallel()
	c := New(
		WithHTTPClient(&http.Client{Transport: failingTransport{}}),
		WithLogger(discardLogger()),
	)
	_, err := c.GetJSON(context.Background(), "https://leakuser:leakpass@api.example.com/x", nil)
	if err == nil {
		t.Fatal("传输层失败却报成功")
	}
	msg := err.Error()
	if strings.Contains(msg, "leakuser") || strings.Contains(msg, "leakpass") {
		t.Fatalf("user:pass@ 进了错误：%v", msg)
	}
	if !strings.Contains(msg, "api.example.com") {
		t.Fatalf("剥掉地址时把来源一起丢了：%v", msg)
	}
}