bash <<'SCRIPT'
set -euo pipefail

# ─────────────────────────────────────────────────────────────────
# Setup 1 phát — Oekathon 2026 (macOS)
# Cài: VS Code · Git · Node · Claude Code · GitHub CLI
# Khai báo: danh tính git · đăng nhập GitHub
# Không dùng sudo. Không tải script lạ. Có kiểm tra chữ ký / mã băm.
# ─────────────────────────────────────────────────────────────────

# Cả khối này đang được nạp qua stdin (dòng `bash <<'SCRIPT'`), nên mọi câu hỏi
# phải đọc thẳng từ /dev/tty — không thì `read` sẽ nuốt luôn phần script còn lại.
exec 3</dev/tty || { echo "❌ Không mở được /dev/tty. Chạy đoạn này trong cửa sổ Terminal thật."; exit 1; }

BIN="$HOME/.local/bin"; mkdir -p "$BIN"; export PATH="$BIN:$PATH"
TMP="$(mktemp -d)"; trap 'rm -rf "$TMP"' EXIT
ARCH=arm64; [ "$(uname -m)" = "arm64" ] || ARCH=x64

buoc(){ printf '\n\033[1;36m==> %s\033[0m\n' "$1"; }
ok(){   printf '   ✅ %s\n' "$1"; }
canh(){ printf '   ⚠️  %s\n' "$1"; }

# ── 1 · Visual Studio Code ───────────────────────────────────────
buoc "1/7 · Visual Studio Code"
if [ -d "/Applications/Visual Studio Code.app" ] || [ -d "$HOME/Applications/Visual Studio Code.app" ]; then
  ok "đã có sẵn, bỏ qua."
else
  [ "$ARCH" = arm64 ] && U="https://update.code.visualstudio.com/latest/darwin-arm64/stable" \
                      || U="https://update.code.visualstudio.com/latest/darwin-universal/stable"
  echo "   Đang tải từ update.code.visualstudio.com ..."
  curl -fL --progress-bar --proto '=https' --tlsv1.2 -o "$TMP/vsc.zip" "$U"
  mkdir -p "$TMP/out"
  # ditto chứ không phải unzip: unzip làm hỏng chữ ký, bước kiểm tra dưới sẽ báo lỗi oan.
  ditto -x -k "$TMP/vsc.zip" "$TMP/out"
  APP="$(find "$TMP/out" -maxdepth 1 -name '*.app' -print -quit)"
  echo "   Kiểm tra chữ ký số ..."
  codesign --verify --strict "$APP"
  spctl --assess --type execute "$APP"
  # Hai lệnh trên chỉ chứng minh "có ai đó được Apple tin cậy đã ký".
  # Dòng dưới mới ép ĐÚNG Microsoft — sai là dừng, không cài.
  codesign -dv --verbose=2 "$APP" 2>&1 | grep -q '^TeamIdentifier=UBF8T346G9' || {
    echo "   ❌ Người ký KHÔNG phải Microsoft. Dừng, không cài."; exit 1; }
  ditto "$APP" "/Applications/Visual Studio Code.app" 2>/dev/null \
    && ok "cài vào /Applications" \
    || { mkdir -p "$HOME/Applications"; ditto "$APP" "$HOME/Applications/Visual Studio Code.app"; ok "cài vào ~/Applications"; }
  rm -rf "$TMP/out" "$TMP/vsc.zip"
fi

# ── 2 · Git ──────────────────────────────────────────────────────
buoc "2/7 · Git"
if command -v git >/dev/null 2>&1; then
  ok "$(git --version)"
else
  canh "chưa có git — Apple sẽ mở cửa sổ cài Xcode Command Line Tools."
  echo "   Bấm Install, đợi xong (vài phút), rồi chạy lại đoạn này."
  xcode-select --install || true
  exit 1
fi

# ── 3 · Node 20+ ─────────────────────────────────────────────────
buoc "3/7 · Node (cần cho Claude Code)"
NODE_OK=0
command -v node >/dev/null 2>&1 && [ "$(node -p 'process.versions.node.split(".")[0]')" -ge 20 ] && NODE_OK=1
if [ "$NODE_OK" = 1 ]; then
  ok "$(node -v) — đạt yêu cầu."
else
  BASE="https://nodejs.org/dist/latest-v22.x"
  echo "   Đang tải Node LTS từ nodejs.org ..."
  curl -fsSL --proto '=https' --tlsv1.2 "$BASE/SHASUMS256.txt" -o "$TMP/SHASUMS256.txt"
  F="$(grep -o "node-v[0-9.]*-darwin-$ARCH\.tar\.xz" "$TMP/SHASUMS256.txt" | head -1)"
  [ -n "$F" ] || { echo "   ❌ Không tìm được bản Node cho máy này."; exit 1; }
  curl -fL --progress-bar --proto '=https' --tlsv1.2 -o "$TMP/$F" "$BASE/$F"
  echo "   Đối chiếu mã băm SHA-256 do nodejs.org công bố ..."
  ( cd "$TMP" && grep " $F\$" SHASUMS256.txt | shasum -a 256 -c - ) >/dev/null || {
    echo "   ❌ Mã băm KHÔNG khớp — file có thể đã bị đổi. Dừng, không cài."; exit 1; }
  rm -rf "$HOME/.local/node"; mkdir -p "$HOME/.local/node"
  tar -xJf "$TMP/$F" -C "$HOME/.local/node" --strip-components=1
  ln -sf "$HOME/.local/node/bin/node" "$BIN/node"
  ln -sf "$HOME/.local/node/bin/npm"  "$BIN/npm"
  ln -sf "$HOME/.local/node/bin/npx"  "$BIN/npx"
  ok "$("$BIN/node" -v) — cài vào ~/.local/node (không cần sudo)"
fi

# ── 4 · Claude Code ──────────────────────────────────────────────
buoc "4/7 · Claude Code"
if command -v claude >/dev/null 2>&1; then
  ok "đã có sẵn."
else
  # --prefix ~/.local: cài vào thư mục riêng của bạn nên không cần sudo.
  echo "   npm install -g @anthropic-ai/claude-code ..."
  npm install -g --prefix "$HOME/.local" @anthropic-ai/claude-code >/dev/null 2>&1 \
    && ok "xong — gõ 'claude' để dùng." \
    || canh "cài Claude Code không thành công. Bỏ qua được: bạn vẫn dùng Claude trên web."
fi

# ── 5 · GitHub CLI ───────────────────────────────────────────────
buoc "5/7 · GitHub CLI (để đăng nhập GitHub, khỏi cần SSH key)"
if command -v gh >/dev/null 2>&1; then
  ok "$(gh --version | head -1)"
else
  V="$(curl -fsSLI -o /dev/null -w '%{url_effective}' https://github.com/cli/cli/releases/latest | sed 's#.*/tag/v##')"
  [ -n "$V" ] || { echo "   ❌ Không đọc được phiên bản gh mới nhất."; exit 1; }
  Z="gh_${V}_macOS_${ARCH}.zip"
  R="https://github.com/cli/cli/releases/download/v${V}"
  echo "   Đang tải gh $V ..."
  curl -fL --progress-bar --proto '=https' --tlsv1.2 -o "$TMP/$Z" "$R/$Z"
  curl -fsSL --proto '=https' --tlsv1.2 -o "$TMP/gh_sums.txt" "$R/gh_${V}_checksums.txt"
  echo "   Đối chiếu mã băm SHA-256 do GitHub công bố ..."
  ( cd "$TMP" && grep " $Z\$" gh_sums.txt | shasum -a 256 -c - ) >/dev/null || {
    echo "   ❌ Mã băm KHÔNG khớp. Dừng, không cài."; exit 1; }
  ditto -x -k "$TMP/$Z" "$TMP/gh"
  cp "$(find "$TMP/gh" -type f -name gh -perm -u+x -print -quit)" "$BIN/gh"
  ok "$("$BIN/gh" --version | head -1) — cài vào ~/.local/bin"
fi

# ── PATH ─────────────────────────────────────────────────────────
RC="$HOME/.zshrc"; [ -n "${BASH_VERSION:-}" ] && [ ! -f "$RC" ] && RC="$HOME/.bash_profile"
grep -qs 'HOME/.local/bin' "$RC" || {
  printf '\n# Oekathon setup\nexport PATH="$HOME/.local/bin:$PATH"\n' >> "$RC"
  ok "đã thêm ~/.local/bin vào PATH trong $(basename "$RC")"
}

# ── 6 · Danh tính git ────────────────────────────────────────────
buoc "6/7 · Danh tính git (quyết định % đóng góp của bạn được tính cho ai)"
CUR_N="$(git config --global user.name  || true)"
CUR_E="$(git config --global user.email || true)"
if [ -n "$CUR_N" ] && [ -n "$CUR_E" ]; then
  ok "đã khai: $CUR_N <$CUR_E>"
  echo "   Sai thì sửa bằng: git config --global user.email 'email@moi'"
else
  printf '   Họ tên của bạn: '   ; IFS= read -r N <&3
  printf '   Email GitHub    : ' ; IFS= read -r E <&3
  [ -n "$N" ] && git config --global user.name  "$N"
  [ -n "$E" ] && git config --global user.email "$E"
  ok "đã khai: $(git config --global user.name) <$(git config --global user.email)>"
fi

# ── 7 · Đăng nhập GitHub ─────────────────────────────────────────
buoc "7/7 · Đăng nhập GitHub"
if gh auth status >/dev/null 2>&1; then
  ok "đã đăng nhập: $(gh api user --jq .login 2>/dev/null || echo '?')"
else
  echo "   gh sẽ hiện một mã 8 ký tự và mở trình duyệt — dán mã đó vào là xong."
  gh auth login --hostname github.com --git-protocol https --web <&3 || \
    canh "chưa đăng nhập xong. Chạy lại sau bằng: gh auth login --web"
fi
gh auth setup-git >/dev/null 2>&1 || true

# ── Bảng tự kiểm ─────────────────────────────────────────────────
kt(){ if eval "$2" >/dev/null 2>&1; then printf '   ✅ %-22s %s\n' "$1" "$(eval "$3" 2>/dev/null || echo '')"
      else printf '   ❌ %-22s %s\n' "$1" "$4"; fi; }
printf '\n\033[1;32m════ Máy bạn giờ có gì ════\033[0m\n'
kt "VS Code"      '[ -d "/Applications/Visual Studio Code.app" ] || [ -d "$HOME/Applications/Visual Studio Code.app" ]' 'echo' "chạy lại đoạn lệnh"
kt "Git"          'command -v git'    'git --version'          "chạy lại đoạn lệnh"
kt "Node"         'command -v node'   'node -v'                "chạy lại đoạn lệnh"
kt "Claude Code"  'command -v claude' 'echo "gõ: claude"'      "không bắt buộc — dùng Claude trên web cũng được"
kt "GitHub CLI"   'command -v gh'     'echo'                   "chạy lại đoạn lệnh"
kt "Danh tính git" 'git config --global user.email' 'git config --global user.email' "git config --global user.email 'ban@example.com'"
kt "Đăng nhập GitHub" 'gh auth status' 'gh api user --jq .login' "gh auth login --web"

cat <<'CON'

════ Còn 3 việc phải tự bấm (không script nào làm hộ được) ════
   1. Đăng nhập tài khoản Claude ......... https://claude.ai
   2. Bật connector GitHub cho Claude .... https://claude.ai/settings/connectors
   3. Thêm repo của đội vào connector .... https://github.com/settings/installations

   Mở CỬA SỔ TERMINAL MỚI trước khi gõ 'claude' hay 'gh' lần đầu.
CON
SCRIPT

bash <<'SCRIPT'
set -euo pipefail

# Cài Visual Studio Code từ trang chủ Microsoft, kiểm tra/cài Git (qua Xcode Command Line Tools của Apple).
# Không dùng sudo. Không tải script lạ. Kiểm tra chữ ký số trước khi cài.
#
# Cả khối chạy trong MỘT tiến trình bash riêng (dòng `bash <<'SCRIPT'` ở trên),
# nên nếu có lỗi thì chỉ tiến trình đó dừng — cửa sổ Terminal của bạn vẫn còn,
# và bạn đọc được thông báo lỗi.

if [ "$(uname -m)" = "arm64" ]; then
  VSCODE_URL="https://update.code.visualstudio.com/latest/darwin-arm64/stable"
else
  VSCODE_URL="https://update.code.visualstudio.com/latest/darwin-universal/stable"
fi

TMP="$(mktemp -d)"
trap 'rm -rf "$TMP"' EXIT

cai_app() {
  ten="$1"; url="$2"; app="$3"; team="$4"

  if [ -d "/Applications/$app" ] || [ -d "$HOME/Applications/$app" ]; then
    echo "✅ $ten đã có sẵn trên máy, bỏ qua."
    return
  fi

  echo "==> Đang tải $ten ..."
  curl -fL --proto '=https' --tlsv1.2 -o "$TMP/app.zip" "$url"

  echo "==> Đang giải nén ..."
  mkdir -p "$TMP/out"
  # Dùng ditto (công cụ gốc của macOS), KHÔNG dùng unzip:
  # unzip làm hỏng chữ ký của app, khiến bước kiểm tra bên dưới báo lỗi oan.
  ditto -x -k "$TMP/app.zip" "$TMP/out"
  src="$(find "$TMP/out" -maxdepth 1 -name '*.app' -print -quit)"

  echo "==> Kiểm tra chữ ký số ..."
  codesign --verify --strict "$src"
  spctl --assess --type execute "$src"

  # Hai lệnh trên chỉ chứng minh "có ai đó được Apple tin cậy đã ký".
  # Dòng dưới mới ép ĐÚNG nhà phát hành — sai là dừng, không cài.
  if ! codesign -dv --verbose=2 "$src" 2>&1 | grep -q "^TeamIdentifier=$team"; then
    echo "❌ Người ký KHÔNG đúng (cần TeamIdentifier=$team). Dừng, không cài."
    exit 1
  fi
  echo "    Chữ ký hợp lệ và đúng nhà phát hành ($team)."

  echo "==> Đang chép vào thư mục Applications ..."
  # Chép bằng ditto luôn, để giữ nguyên chữ ký và quyền của app.
  if ditto "$src" "/Applications/$app" 2>/dev/null; then
    echo "✅ $ten đã cài vào /Applications"
  else
    mkdir -p "$HOME/Applications"
    ditto "$src" "$HOME/Applications/$app"
    echo "✅ $ten đã cài vào ~/Applications (thư mục riêng của bạn)"
  fi

  rm -rf "$TMP/out" "$TMP/app.zip"
}

cai_app "Visual Studio Code" "$VSCODE_URL" "Visual Studio Code.app" "UBF8T346G9"

echo ""
echo "==> Kiểm tra git ..."
if command -v git &>/dev/null; then
  echo "✅ git đã có sẵn ($(git --version))."
else
  echo "⚠️  Chưa có git — mở cài đặt Xcode Command Line Tools (chứa git)."
  echo "    Một cửa sổ cài đặt của Apple sẽ hiện ra, bấm Install và đợi xong (vài phút),"
  echo "    đừng đóng Terminal khi cửa sổ đó còn mở."
  xcode-select --install
fi

echo ""
echo "🎉 Xong. Mở Launchpad là thấy VS Code; gõ 'git --version' trong Terminal để kiểm tra lại git."
SCRIPT