package byok

import (
	"encoding/hex"
	"strings"
	"testing"

	"hunjing/shenshi/internal/store"
)

func testMaster() string {
	b := make([]byte, 32)
	for i := range b {
		b[i] = byte(i)
	}
	return hex.EncodeToString(b)
}

func TestVaultRoundTripAndMask(t *testing.T) {
	v, err := NewVault(testMaster(), store.NewMem())
	if err != nil {
		t.Fatal(err)
	}
	m, err := v.Register("u1", "主力", "anthropic", "https://api.anthropic.com", "sk-ant--secret123", "claude-x")
	if err != nil {
		t.Fatal(err)
	}
	if !strings.Contains(m.APIKeyMask, "****") || strings.Contains(m.APIKeyMask, "secret") {
		t.Fatalf("掩码泄露明文: %s", m.APIKeyMask)
	}

	// 解密往返
	k, plain, err := v.Resolve("u1", m.ID)
	if err != nil {
		t.Fatal(err)
	}
	if plain != "sk-ant--secret123" || k.Model != "claude-x" {
		t.Fatalf("往返失真: %s %s", plain, k.Model)
	}
	if k.LastUsed == nil {
		t.Fatal("使用时间应被记录")
	}

	// 列表脱敏
	keys, _ := v.List("u1")
	if len(keys) != 1 || strings.Contains(keys[0].APIKeyMask, "secret") {
		t.Fatalf("列表脱敏失败: %+v", keys)
	}

	// 撤回后失效
	if err := v.Revoke("u1", m.ID); err != nil {
		t.Fatal(err)
	}
	if _, _, err := v.Resolve("u1", m.ID); err == nil {
		t.Fatal("撤回后仍可解析")
	}
}

func TestVaultFailClosedWithoutMasterKey(t *testing.T) {
	if _, err := NewVault("", store.NewMem()); err == nil {
		t.Fatal("未配置主密钥应拒绝启用（fail-closed）")
	}
}

func TestVaultRejectsBadMasterKey(t *testing.T) {
	if _, err := NewVault("too-short", store.NewMem()); err == nil {
		t.Fatal("非 32 字节主密钥应被拒绝")
	}
}

func TestVaultCrossUserIsolation(t *testing.T) {
	v, _ := NewVault(testMaster(), store.NewMem())
	m, _ := v.Register("u1", "k", "gemini", "https://gen.example.com", "AIza-key", "gemini-x")
	if _, _, err := v.Resolve("u2", m.ID); err == nil {
		t.Fatal("u2 不应解析 u1 的密钥")
	}
}