Arcrun/cypher-executor/tests/portal-admin-ai.test.ts

/**
 * GET|POST /portal/admin/ai —— arcrun-rag#10 迴歸守衛
 *
 * 🔴 為什麼有這支測試（別刪）：
 *   這條 route **以前根本不存在**，但前端設定頁一直在打它 ⇒ 用戶填 Gemini key → 404
 *   ⇒ **key 從來沒被存進任何地方**，畫面卻像存好了（藍字＝假綠）。
 *   leo 實撞成「重裝後 key 不見」，真相是「從來沒存進去，所以重填也沒用」。
 *   產物層鐵證（修復前）：bundle tier2/ui grep 'portal/admin/ai'=1、tier2/cypher=**0**。
 *   ⇒ 這支測試的存在本身就是防線：**route 消失＝測試紅**。
 *
 * 覆蓋：
 *   1. 未登入 → 401；非 admin → 403（不是 404＝route 真的在）
 *   2. GET 回 has_key 布林，**永不回傳 key 本身**（D36）
 *   3. POST 空 body → 400（不假裝成功）
 *   4. POST 只改 Claude 偏好（不帶 key）→ 成功，且不碰 credential
 */
import { SELF, env, fetchMock } from 'cloudflare:test';
import { beforeAll, afterEach, describe, it, expect } from 'vitest';
import { hashPassword } from '../src/lib/portal-auth';

const KBDB = 'https://kbdb.test';

let storedHash: string;

beforeAll(async () => {
  fetchMock.activate();
  fetchMock.disableNetConnect();
  storedHash = await hashPassword('unit-test-pw-1', 10_000);
});
afterEach(() => fetchMock.assertNoPendingInterceptors());

function json(method: string, path: string, body?: unknown, headers: Record<string, string> = {}) {
  return SELF.fetch(`http://localhost${path}`, {
    method,
    headers: { 'Content-Type': 'application/json', ...headers },
    body: body === undefined ? undefined : JSON.stringify(body),
  });
}

function mockGetRecord(recordId: string, values: Record<string, string>) {
  fetchMock
    .get(KBDB)
    .intercept({ path: `/records/${recordId}`, method: 'GET' })
    .reply(200, { success: true, record: { record_id: recordId, template_id: 'tpl_pu', values } });
}

function adminValues(overrides: Record<string, string> = {}): Record<string, string> {
  return {
    email: 'admin@example.com',
    display_name: '管理員',
    status: 'active',
    role: 'admin',
    password_hash: storedHash,
    libraries: '["*"]',
    created_at: '2026-07-14T00:00:00.000Z',
    updated_at: '2026-07-14T00:00:00.000Z',
    ...overrides,
  };
}

async function seedSession(token: string, recordId: string) {
  await env.SESSIONS_KV.put(`portal_sess:${token}`, JSON.stringify({ record_id: recordId }));
}

const authHdr = (t: string) => ({ Authorization: `Bearer ${t}` });

describe('GET /portal/admin/ai — 認證閘（route 存在的證明）', () => {
  it('未登入 → 401（不是 404 ⇒ route 真的在）', async () => {
    const res = await json('GET', '/portal/admin/ai');
    expect(res.status).toBe(401);
    expect(res.status).not.toBe(404);
  });

  it('非 admin → 403', async () => {
    await seedSession('tok-user', 'rec_user');
    mockGetRecord('rec_user', adminValues({ role: 'user', email: 'u@example.com' }));
    const res = await json('GET', '/portal/admin/ai', undefined, authHdr('tok-user'));
    expect(res.status).toBe(403);
  });
});

describe('GET /portal/admin/ai — 回應形狀（D36：永不回傳 key）', () => {
  it('回 has_key 布林＋claude 旗標，且回應完全不含金鑰值', async () => {
    await seedSession('tok-a1', 'rec_admin');
    mockGetRecord('rec_admin', adminValues());
    const res = await json('GET', '/portal/admin/ai', undefined, authHdr('tok-a1'));
    expect(res.status).toBe(200);
    const raw = await res.text();
    const d = JSON.parse(raw) as Record<string, unknown>;

    expect(typeof d.has_key).toBe('boolean');
    expect(typeof d.claude_available).toBe('boolean');
    expect(typeof d.use_claude_for_extract).toBe('boolean');

    // D36：回應裡不得出現任何疑似金鑰的欄位
    expect(raw).not.toContain('gemini_api_key_value');
    expect(d).not.toHaveProperty('key');
    expect(d).not.toHaveProperty('value');
    expect(d).not.toHaveProperty('secret_ref');
  });
});

describe('POST /portal/admin/ai — 不假裝成功', () => {
  it('空 body（沒 key 也沒偏好）→ 400，不回 success', async () => {
    await seedSession('tok-a2', 'rec_admin');
    mockGetRecord('rec_admin', adminValues());
    const res = await json('POST', '/portal/admin/ai', {}, authHdr('tok-a2'));
    expect(res.status).toBe(400);
    const d = (await res.json()) as Record<string, unknown>;
    expect(d.success).toBeUndefined();
    expect(String(d.error)).toContain('沒有要變更');
  });

  it('只改 Claude 偏好（不帶 key）→ 成功並回存後的值', async () => {
    await seedSession('tok-a3', 'rec_admin');
    mockGetRecord('rec_admin', adminValues());
    const res = await json('POST', '/portal/admin/ai', { use_claude_for_extract: true }, authHdr('tok-a3'));
    expect(res.status).toBe(200);
    const d = (await res.json()) as Record<string, unknown>;
    expect(d.success).toBe(true);
    expect(d.use_claude_for_extract).toBe(true);
    // 沒送 key ⇒ 不得回報 has_key（避免誤報「已輸入」）
    expect(d.has_key).toBeUndefined();
  });

  // 註：vitest-pool-workers 預設 isolatedStorage=true ⇒ **每個 it 之間 KV 會還原**，
  // 所以「寫在上一個 it、讀在下一個 it」測不出來（那是測試框架語意，不是程式缺陷）。
  // 要驗來回一致，必須在**同一個 it** 內完成寫→讀。
  it('偏好可讀回：同一測試內 POST 寫入 → GET 讀得到同一值', async () => {
    await seedSession('tok-a4', 'rec_admin');
    mockGetRecord('rec_admin', adminValues()); // POST 的 requirePortalAdmin 回讀
    mockGetRecord('rec_admin', adminValues()); // GET 的 requirePortalAdmin 回讀

    const post = await json('POST', '/portal/admin/ai', { use_claude_for_extract: true }, authHdr('tok-a4'));
    expect(post.status).toBe(200);

    const get = await json('GET', '/portal/admin/ai', undefined, authHdr('tok-a4'));
    const d = (await get.json()) as Record<string, unknown>;
    expect(d.use_claude_for_extract).toBe(true);
  });
});