核心佈建：在 Mac Mini 從零到能用

# 設定檔由高到低（高的蓋低的）：
# 1) 組織強制（managed）  /Library/Application Support/ClaudeCode/managed-settings.json
# 2) CLI 參數             claude --setting ...
# 3) 專案個人            <repo>/.claude/settings.local.json   ← 個人、不進 git
# 4) 專案共用            <repo>/.claude/settings.json         ← 進 git，全隊共用
# 5) 使用者              ~/.claude/settings.json              ← 每台機器各自，優先序最低

# 企業佈建心法：
#  · 安全護欄 → 放第 1 層 managed（使用者無法覆蓋）
#  · 團隊習慣（顯示、別名、權限預設）→ 放第 5 層 user，由佈建腳本寫入
#  · 專案規範 → 放第 4 層，跟著 repo 走

#!/usr/bin/env bash
# provision-claude-code.sh — 在 Mac Mini 佈建 Claude Code 團隊統一環境
# 可重複執行（idempotent）：跑第二次只會補沒做的、不會弄壞既有設定
set -euo pipefail

# ── 1. Node（沒有就擋下，請先裝 nvm 或 brew install node）──
export NVM_DIR="$HOME/.nvm"; [ -s "$NVM_DIR/nvm.sh" ] && . "$NVM_DIR/nvm.sh"
command -v node >/dev/null || { echo "✗ 找不到 Node，請先安裝（nvm / Homebrew）"; exit 1; }

# ── 2. 安裝或更新 Claude Code，並檢查版本下限 ──
MIN="2.1.110"   # /tui 等功能的下限；要凍結升級時機可另設 DISABLE_AUTOUPDATER=1
npm install -g @anthropic-ai/claude-code
CUR="$(claude --version | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | head -1)"
[ "$(printf '%s\n%s\n' "$MIN" "$CUR" | sort -V | head -1)" = "$MIN" ] \
  || { echo "✗ Claude Code $CUR 低於下限 $MIN，請更新後重跑"; exit 1; }
echo "✓ Claude Code $CUR（≥ $MIN）"

# ── 3. 寫入團隊統一 user 設定（安全 deep-merge，保留既有設定）──
mkdir -p "$HOME/.claude"
TEAM_SETTINGS='{"tui":"fullscreen","theme":"dark","env":{"CLAUDE_CODE_SCROLL_SPEED":"3"},"permissions":{"allow":["Bash(git status)","Bash(git diff:*)","Bash(npm run *)","Read"],"ask":["Bash(git push:*)"],"deny":["Read(./.env)","Read(./**/*.key)","Read(./**/*.pem)"]}}'
if [ -f "$HOME/.claude/settings.json" ]; then
  echo "$TEAM_SETTINGS" | jq -s '.[0] * .[1]' "$HOME/.claude/settings.json" - \
    > "$HOME/.claude/settings.json.tmp" && mv "$HOME/.claude/settings.json.tmp" "$HOME/.claude/settings.json"
else
  echo "$TEAM_SETTINGS" | jq . > "$HOME/.claude/settings.json"
fi
echo "✓ 已寫入 ~/.claude/settings.json"

# ── 4. cc 別名（已存在就不重複加）──
grep -q "alias cc=" "$HOME/.zshrc" 2>/dev/null || echo "alias cc='claude'" >> "$HOME/.zshrc"
echo "✓ cc 別名就緒（開新分頁或 source ~/.zshrc 生效）"

echo "── 完成。接著請各帳號執行一次 'claude' 完成登入 ──"

# 組織強制護欄：使用者無法覆蓋的安全底線（最高優先序）
#  需 sudo；只放「絕不允許」的事，不要放顯示偏好
sudo mkdir -p "/Library/Application Support/ClaudeCode"
sudo tee "/Library/Application Support/ClaudeCode/managed-settings.json" >/dev/null <<'JSON'
{
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./**/*.key)",
      "Read(./**/*.pem)",
      "Bash(rm -rf:*)",
      "Bash(curl:* | sh)"
    ]
  }
}
JSON
echo "✓ 組織護欄已佈署，全機使用者一致且無法關閉"

# 企業預設：micro（現代終端機編輯器，支援滑鼠、Ctrl+S 存檔，SSH 也能用）
brew install micro 2>/dev/null || true

# 指定 Ctrl+G 要開哪個編輯器（nano 為免裝備援；進階者可用 vim）
grep -q "EDITOR=" "$HOME/.zshrc" || echo "export EDITOR='micro'" >> "$HOME/.zshrc"
source "$HOME/.zshrc"

# Ctrl+G 已是內建動作，不需要 wrapper script：
#   按 Ctrl+G → 用 $EDITOR 開啟目前輸入 → 存檔關閉 → 內容自動帶回對話

# 個人：執行 claude，瀏覽器登入（Pro / Max / Team / Enterprise 皆同）
claude

# 無頭 Mac Mini（SSH、開不了瀏覽器）：產生一年期 OAuth token
claude setup-token
export CLAUDE_CODE_OAUTH_TOKEN="貼上 token"   # 放機器層環境或 secrets

# 走 API 計費 / 自動化：用金鑰，建議 apiKeyHelper 從 vault 動態取，不要硬寫
export ANTHROPIC_API_KEY="sk-ant-..."

# 選平台（依需求，不綁特定家）：
#   純前端 / 靜態頁     → Cloudflare Pages 或 Vercel
#   有後端 / DB / 要常駐 → Vercel / Railway / Zeabur 擇一
# 鐵則：金鑰一律放平台環境變數，別 hardcode 進 repo

# 範例 A：Vercel（你現有官網、EECP 都在這）
npm i -g vercel && vercel deploy --prod

# 範例 B：Cloudflare Pages（靜態）
npm i -g wrangler && wrangler pages deploy ./dist