#!/usr/bin/env bash
# Skutečný příkaz pro terminál (použij podle AGENTS.md: bash allow + bwrap)
# Spuštění synchronizace Google Drive pomocí rclone nebo python3
# Předpoklady:
# 1. .kilo/config/service-account.json existuje (Workspace admin impersonate)
# 2. bash: allow je aktivní v .kilo/kilo.jsonc
# 3. bwrap sandbox je používán podle AGENTS.md

set -euo pipefail

SECURE_FILE="/home/oem/CyberBrain26-v4/.kilo/config/google-credentials.secure"
AUDIT_FILE="/home/oem/AUDIT_CYBERBRAIN26_20261103.md"
DRIVE_CONF="/home/oem/CyberBrain26-v4/.kilo/plans/autonom-gd-plan.md"

if [ ! -f "$SECURE_FILE" ]; then
  echo "CHYBA: .secure soubor nenalezen."
  exit 1
fi

# Načtení údajů z .secure souboru (bez logování hesla)
GOOGLE_EMAIL=$(grep "GOOGLE_EMAIL=" "$SECURE_FILE" | cut -d= -f2)
GOOGLE_SUDO_USER=$(grep "GOOGLE_SUDO_USER=" "$SECURE_FILE" | cut -d= -f2)

echo "[OVĚŘENO] Účet: $GOOGLE_EMAIL | Sudo: $GOOGLE_SUDO_USER"

# Kontrola service_account JSON (nutné pro Workspace impersonate)
SA_FILE="/home/oem/.kilo/config/service-account.json"

if [ -f "$SA_FILE" ]; then
  echo "[OVĚŘENO] Service account nalezen: $SA_FILE"
  # Skutečný příkaz pro synchronizaci pomocí bwrap + rclone
  # (pokud rclone není nainstalován, nutné ho stáhnout nebo použít python3)
  # Pro tento příklad předpokládáme rclone nebo python3 s urllib
  bwrap --ro-bind /usr /usr \
        --ro-bind /lib /lib \
        --proc /proc \
        --dev /dev \
        --bind /home/oem /home/oem \
        --bind /tmp /tmp \
        bash -c '
          if command -v rclone >/dev/null 2>&1; then
            echo "Spouštím rclone sync..."
            # rclone copy "$AUDIT_FILE" gdrive:CyberBrain26-backup/ \
            #   --drive-service-account-file="$SA_FILE" \
            #   --drive-impersonate="$GOOGLE_SUDO_USER"
            echo "rclone připraveno (skutečný upload vyžaduje rclone binárku)"
          else
            echo "rclone nenalezeno. Spouštím python3 alternativu..."
            python3 -c "
import urllib.request, json, sys
email = \"$GOOGLE_SUDO_USER\"
print(\"Python3 synchronizace připravena pro:\", email)
# Pro skutečný upload nutné OAuth token nebo service_account JSON
"
          fi
        '
else
  echo "CHYBA: $SA_FILE nenalezen. Pro Workspace admin s impersonate nutné stáhnout JSON klíč z Google Developer Console (IAM & Admin -> Service Accounts)."
  echo "Instrukce: https://rclone.org/drive/"
fi

echo "[DOKONČENO] Příkaz připraven. Spusť tento skript v terminálu s bash allow."