#!/usr/bin/env bash
# 收紧 cx-postgres 的 pg_hba.conf：postgres 超户【只允许 docker 内网】、公网一律 reject，然后 reload。
#
# 策略（在第一条 "host all all all" 规则【之前】插入 3 行，pg_hba 首个匹配即生效）：
#   1) host all postgres 172.16.0.0/12 scram-sha-256  —— docker 内网(pgloader 迁移用)放行，需密码
#   2) host all postgres 0.0.0.0/0     reject          —— 其余(公网)一律拒绝超户
#   3) host all postgres ::/0          reject
# 业务角色(jnpf_app 等)不匹配上述 user=postgres 规则，继续走末尾 host-all-all-all scram，照常远程可连。
# 为何放行 172.16/12：Part C 的 S1 重迁 pgloader 从 docker 内网(172.x)用 postgres 灌数据，需保留；
# 公网(非私有网段)命中 reject，纵深防御(即便超户密码泄露也无法从公网登录)。
# 本地 127.0.0.1/socket 的 trust 规则更靠前，不受影响(docker exec 照常)。
#
# 幂等：已插入则跳过。容器内 psql 走 socket=trust，无需密码。
set -euo pipefail
CONTAINER="${CONTAINER:-cx-postgres}"

docker exec -i "$CONTAINER" bash -s <<'INNER'
set -euo pipefail
PGDATA="$(ls -d /var/lib/postgresql/*/docker 2>/dev/null | head -1)"
HBA="$PGDATA/pg_hba.conf"
[ -f "$HBA" ] || { echo "!! 找不到 pg_hba.conf ($HBA)"; exit 1; }
if grep -qE 'postgres[[:space:]]+172\.16\.0\.0/12' "$HBA"; then
  echo "pg_hba 已含 postgres 内网放行+公网 reject，跳过"
else
  awk '
    !done && $1=="host" && $2=="all" && $3=="all" && $4=="all" {
      print "host    all             postgres        172.16.0.0/12           scram-sha-256"
      print "host    all             postgres        0.0.0.0/0               reject"
      print "host    all             postgres        ::/0                    reject"
      done=1
    }
    { print }
  ' "$HBA" > "$HBA.new"
  mv "$HBA.new" "$HBA"
  echo "已在 host-all-all-all 前插入 postgres 内网放行+公网 reject"
fi
INNER

docker exec "$CONTAINER" psql -U postgres -c "SELECT pg_reload_conf();"