#!/bin/bash
# role-guard.sh — 角色封路：誰能寫什麼（JDD 規則 J1＋J2＋J3）
#
# 掛 PreToolUse（matcher: Write|Edit|MultiEdit）。
#
# ── 為什麼三條規則合成一支 hook ─────────────────────────
#   J1 orchestrator 不准寫 code
#   J2 orchestrator 不准寫技術軌文件（任務池／規格）
#   J3 engineer     不准改考卷（旅程／根文件／任何考題）
#   三條都是「同一個 hook 事件 × 同一份身分判定 × 同一張路徑表」。
#   拆三支＝解析三次 JSON、三處維護同一張表，改一條規則要記得改三個檔。
#   規則編號保留在程式碼與錯誤訊息裡，追溯不會少。
#
# ── J3 是命門 ───────────────────────────────────────
#   考生不能改考卷。這條沒守住，整套 PM 軌就是裝飾品：
#   考題沒過的人，只要改一下考題就「過了」，而且沒有人會發現。
#   所以 J3 攔的不只是檔案，還包括 md 檔裡的 Gherkin 區塊——
#   考題常常就住在別的文件裡。
#
# 誠實限制：擋的是「直接寫檔」這個語法層動作。
#   用 bash 繞道（sed -i / cat > / python 改檔）擋不到。
#   價值是「想跳過會被抓到 ＋ 留痕可審」，不是技術防偽。絕不聲稱不可能繞過。

set -uo pipefail

HOOK_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
# shellcheck source=lib/role-lib.sh
. "$HOOK_DIR/lib/role-lib.sh" 2>/dev/null || exit 0   # 函式庫不在就放行（容錯）

INPUT="$(cat)"
FILE_PATH="$(sdt_file_path "$INPUT")"
[ -z "$FILE_PATH" ] && exit 0          # 拿不到路徑 → 放行，寧可漏擋不誤殺

REL="$(sdt_rel_path "$FILE_PATH")"
ROLE="$(sdt_role)"

# 身分矩陣先驗（成員 repo × orchestrator 這格不存在）
sdt_assert_identity || exit 2

# ── 路徑分類 ───────────────────────────────────────
is_code_path() {
  case "$1" in
    src/*|*/src/*) return 0 ;;
    *.py|*.ts|*.tsx|*.js|*.jsx|*.go|*.rs|*.java|*.rb|*.c|*.h|*.cpp|*.sh|*.bash|*.zsh) return 0 ;;
    *.sql|*.vue|*.svelte|*.swift|*.kt|*.php) return 0 ;;
  esac
  return 1
}

is_tech_track_doc() {   # 技術軌文件：任務池與規格
  case "$1" in
    *tasks.md|*requirements.md|*design.md) return 0 ;;
  esac
  return 1
}

is_exam_paper() {       # 考卷：旅程／根文件／獨立考題檔
  case "$1" in
    *journeys.md|*root.md|*.feature) return 0 ;;
  esac
  return 1
}

# md 檔內含 Gherkin 區塊？（考題常寄住在別的文件裡）
content_has_gherkin() {
  local c
  c="$(sdt_write_content "$INPUT")"
  [ -z "$c" ] && return 1
  # ```gherkin 圍籬，或 journeys.md 的考題行式（- **G-1.1**），或 Given/When/Then 三件成組
  printf '%s' "$c" | grep -qiE '```[[:space:]]*gherkin' && return 0
  printf '%s' "$c" | grep -qE '^\s*-?\s*\*\*G-[0-9]+\.[0-9]+\*\*' && return 0
  if printf '%s' "$c" | grep -qE '^\s*-?\s*Given ' \
  && printf '%s' "$c" | grep -qE '^\s*-?\s*When '  \
  && printf '%s' "$c" | grep -qE '^\s*-?\s*Then '; then
    return 0
  fi
  return 1
}

block() {   # $1=規則編號  $2=標題  $3=正確做法（多行）
  cat >&2 <<EOF
❌ BLOCKED by role-guard（規則 $1）

$2

  身分：role=$ROLE（來源：AGENT_ROLE 環境變數／依安裝位置推定）
  路徑：$REL

$3
EOF
  exit 2
}

# ── J1／J2：orchestrator 的禁區 ─────────────────────
if [ "$ROLE" = "orchestrator" ]; then
  if is_code_path "$REL"; then
    block "J1" "總管（PM）不寫 code。" \
"  你的工作是決定「要點亮哪幾站、考題是什麼」，不是自己下去寫。

  正確做法：
    · 把它變成一個掛站號的任務，交給該 repo 的 engineer
    · 你要的結果寫成考題（Gherkin），不是寫成實作

  為什麼擋：PM 自己下去寫 code，就沒有人在看「零件之間有沒有人掉進縫裡」了
  ——那正是這個角色唯一不能被取代的價值。"
  fi
  if is_tech_track_doc "$REL"; then
    block "J2" "總管（PM）不寫技術軌文件（任務池／規格）。" \
"  任務池與規格屬於 engineer。你對它們**只讀**。

  正確做法：
    · 要調整優先順序 → 改 sprint.md 的指定站，讓認領流程自己去挑任務
    · 覺得少了任務 → 說出「哪一站的考題會掛」，由 engineer 認領或新增
    · 要改驗收標準 → 改 journeys.md 的考題（那是你的檔）

  為什麼擋：你一旦動手改任務清單，就等於繞過「先認領→不足才新增」的順序，
  很快會長出第二份平行的任務池，兩邊不同步。"
  fi
fi

# ── J3：engineer 不准改考卷（命門）─────────────────
if [ "$ROLE" = "engineer" ]; then
  if is_exam_paper "$REL"; then
    block "J3" "考生不能改考卷。" \
"  journeys.md／root.md／考題檔是 PM 的檔案，engineer 只能讀當期指定站的段落。

  正確做法：
    · 考題沒過 → 去把東西做對，不是把題目改掉
    · 真的認為題目出錯了（判準不合理、站定義有誤）→ **回報 PM**，由他決定改不改
    · 你需要的是「這站到底要什麼」→ 讀，不要寫

  為什麼這條是命門：考題沒過的人只要改一下考題就「過了」，
  而且沒有任何人會發現。這樣整套驗收就是裝飾品。"
  fi
  # md 檔本身不是考卷，但內容含考題 → 一樣擋（考題常寄住在別的文件裡）
  case "$REL" in
    *.md)
      if content_has_gherkin; then
        block "J3" "考生不能改考卷（這次寫入的內容含考題）。" \
"  這個檔名不是考卷，但你要寫進去的內容裡有 Gherkin 考題（Given／When／Then 或 G-x.y）。

  正確做法：
    · 要記錄「我做到哪了」→ 寫 wiki／status，不要在文件裡複寫考題
    · 要提出新考題 → 回報 PM，由他寫進 journeys.md

  為什麼擋：考題散落成兩份就會不同步，
  而不同步的那一刻起，「全綠」代表什麼就沒人說得準了。"
      fi
      ;;
  esac
fi

exit 0