#!/usr/bin/env bash

# 1. 堅牢なスクリプトの基本設定

set -euo pipefail

# 2. 変数定義

SCRIPT_NAME=$(basename "$0")
LOG_FILE="/var/log/${SCRIPT_NAME}.log"
TMP_DIR="" # 後でmktempで設定

# 3. エラーハンドラとクリーンアップ関数の定義


# trap EXIT で呼び出されるクリーンアップ関数

cleanup() {
    local exit_code=$?
    echo "$(date '+%Y-%m-%d %H:%M:%S') - INFO: スクリプト終了 (終了コード: $exit_code)." >> "$LOG_FILE"
    if [ -n "$TMP_DIR" ] && [ -d "$TMP_DIR" ]; then
        echo "$(date '+%Y-%m-%d %H:%M:%S') - INFO: 一時ディレクトリ '$TMP_DIR' を削除中..." >> "$LOG_FILE"
        rm -rf "$TMP_DIR"
        if [ $? -eq 0 ]; then
            echo "$(date '+%Y-%m-%d %H:%M:%S') - INFO: 一時ディレクトリの削除に成功しました。" >> "$LOG_FILE"
        else
            echo "$(date '+%Y-%m-%d %H:%M:%S') - ERROR: 一時ディレクトリの削除に失敗しました。" >> "$LOG_FILE"
        fi
    fi
    exit "$exit_code" # trap EXITは常に0で終了するため、元の終了コードを再設定
}

# trap ERR で呼び出されるエラーハンドラ関数

error_handler() {
    local last_command="$BASH_COMMAND"
    local line_number="$LINENO"
    echo "$(date '+%Y-%m-%d %H:%M:%S') - ERROR: スクリプトでエラーが発生しました。行: $line_number, コマンド: '$last_command'" >> "$LOG_FILE"

    # ここでエラー通知（PagerDuty, Slackなど）をトリガーすることも可能

    cleanup # クリーンアップを実行し、元のエラーコードで終了
}

# 4. trap の設定

trap error_handler ERR
trap cleanup EXIT

# 5. メイン処理開始

echo "$(date '+%Y-%m-%d %H:%M:%S') - INFO: スクリプトを開始します。" >> "$LOG_FILE"

# 実行フローの視覚化

mermaid_flow="
graph TD
    A[スクリプト開始] --> B[初期設定と環境変数];
    B --> C[エラーハンドリング設定 (trap ERR/EXIT)];
    C --> D[一時ディレクトリ作成 (mktemp)];
    D --> E{外部APIコール (curl)};
    E --|成功| F{JSONデータ処理 (jq)};
    E --|通信エラー| G[エラー処理と再試行];
    F --|有効なデータ| H[ビジネスロジック実行];
    F --|JSONパース/データエラー| G;
    H --> I[リソースクリーンアップ (trap EXIT)];
    I --> J[スクリプト正常終了];
    G --> K[エラー報告 & スクリプト終了 (trap ERR)];
    K --> I;
"
echo -e "\n\`\`\`mermaid\n$mermaid_flow\`\`\`\n" >> "$LOG_FILE" # 通常はファイルに出力せず、このブロックは説明用

# 2.2. 一時ファイルの安全な扱い (mktemp)


# mktemp -d を使用して、安全でユニークな一時ディレクトリを作成します。


# これにより、競合状態や予測可能なファイル名によるセキュリティリスクを回避します。

TMP_DIR=$(mktemp -d -t "${SCRIPT_NAME}.XXXXXXXXXX")
echo "$(date '+%Y-%m-%d %H:%M:%S') - INFO: 一時ディレクトリを作成しました: $TMP_DIR" >> "$LOG_FILE"

# 2.3. 外部コマンドとの連携 (curl, jq)

API_ENDPOINT="https://api.example.com/data"
API_TOKEN="YOUR_API_TOKEN" # 環境変数や秘密管理ツールから取得することが推奨

# curlの堅牢な利用法


# --fail-with-body: HTTP 4xx/5xxでもボディを出力し、後続のjqで解析可能に


# --show-error: エラー時にcurlの内部エラーメッセージを表示


# --silent: プログレスバーなどの余分な出力を抑制


# --retry 5 --retry-delay 3 --retry-max-time 30: 5回まで3秒間隔で再試行、最大30秒


# --cacert /etc/ssl/certs/ca-certificates.crt: サーバー証明書の検証 (システムのCAバンドルを使用)


# --tlsv1.2: TLSv1.2に限定


# --header "Authorization: Bearer $API_TOKEN": 認証ヘッダー

echo "$(date '+%Y-%m-%d %H:%M:%S') - INFO: APIからデータを取得中..." >> "$LOG_FILE"
API_RESPONSE=$(curl -sS \
    --fail-with-body \
    --show-error \
    --retry 5 \
    --retry-delay 3 \
    --retry-max-time 30 \
    --cacert /etc/ssl/certs/ca-certificates.crt \
    --tlsv1.2 \
    --header "Authorization: Bearer $API_TOKEN" \
    "$API_ENDPOINT")

if [ $? -ne 0 ]; then
    echo "$(date '+%Y-%m-%d %H:%M:%S') - ERROR: APIコールに失敗しました。" >> "$LOG_FILE"
    exit 1 # set -e により trap ERR が呼び出される
fi

echo "$(date '+%Y-%m-%d %H:%M:%S') - INFO: APIレスポンスを受信しました。" >> "$LOG_FILE"

# jqによるJSON処理とエラーチェック


# jq -e: 結果がnullまたはfalseの場合、非ゼロの終了コードを返す


# jq --exit-status: 構文エラーやJSONパースエラーで非ゼロ終了コード


# 例: "status" フィールドが "success" であることを確認

STATUS=$(echo "$API_RESPONSE" | jq -r 'if .status == "success" then "success" else error("API returned non-success status") end')

if [ $? -ne 0 ]; then
    echo "$(date '+%Y-%m-%d %H:%M:%S') - ERROR: JSON処理エラーまたはAPIステータスが'success'ではありません。詳細: $(echo "$API_RESPONSE" | jq -r '.message // "不明なエラー"')" >> "$LOG_FILE"
    exit 1 # set -e により trap ERR が呼び出される
fi

if [ "$STATUS" != "success" ]; then
    echo "$(date '+%Y-%m-%d %H:%M:%S') - ERROR: APIステータスが'success'ではありませんでした。ステータス: '$STATUS'" >> "$LOG_FILE"
    exit 1
fi

echo "$(date '+%Y-%m-%d %H:%M:%S') - INFO: APIステータスは'success'です。データの抽出を開始します。" >> "$LOG_FILE"

# データ抽出例

DATA_VALUE=$(echo "$API_RESPONSE" | jq -r '.data.value // empty')
if [ -z "$DATA_VALUE" ]; then
    echo "$(date '+%Y-%m-%d %H:%M:%S') - ERROR: 必要なデータフィールド'data.value'が見つかりません。" >> "$LOG_FILE"
    exit 1
fi

echo "$(date '+%Y-%m-%d %H:%M:%S') - INFO: 抽出されたデータ: $DATA_VALUE" >> "$LOG_FILE"

# ここにビジネスロジックを記述


# 例: データをファイルに書き込む、別のサービスに送信するなど

# 2.4. 権限分離とセキュリティ


# このスクリプトは、システム全体の重要な操作を行うものではないため、root権限で実行すべきではありません。


# systemdの設定で、非特権ユーザー（例: 'myappuser'）として実行するよう設定することが推奨されます。


# sudo を利用する場合でも、特定のコマンドのみに限定し、パスワードなしで実行可能な対象を絞るべきです。


# 例: `sudo -u myappuser /path/to/script.sh`

echo "$(date '+%Y-%m-%d %H:%M:%S') - INFO: スクリプトの主要処理が完了しました。" >> "$LOG_FILE"

# 意図的な成功終了 (trap EXIT が呼び出される)

exit 0

[Unit]
Description=My Robust API Data Processor
Documentation=https://example.com/docs/my-robust-script
After=network-online.target # ネットワークが利用可能になった後に起動
Wants=network-online.target

[Service]

# スクリプトの実行ユーザーとグループを指定し、root権限を回避

User=api-caller
Group=api-caller

# スクリプトへのフルパスを指定

ExecStart=/usr/local/bin/my-robust-script.sh

# 失敗時に自動再起動 (例: 5秒後に無限に再試行)

Restart=on-failure
RestartSec=5s

# 標準出力/エラー出力をsystemdジャーナルに転送

StandardOutput=journal
StandardError=journal

# スクリプトの環境変数を設定 (例: APIトークン)


# 環境変数に機密情報を直接書くことは非推奨。Secrets Managerなどから取得するべき。

Environment="API_TOKEN=YOUR_SECURE_TOKEN"

# 作業ディレクトリ

WorkingDirectory=/home/api-caller/scripts

# OOM Killer からの保護レベル (高ければ殺されにくい)

OOMScoreAdjust=-500

[Install]
WantedBy=multi-user.target # 通常はサービスとして起動

[Unit]
Description=Run My Robust API Data Processor every 15 minutes
Requires=my-robust-script.service

[Timer]

# スクリプトを15分ごとに実行 (例: "*-*-* *:00/15:00")

OnCalendar=*:0/15

# システム起動後も過去に実行されるべきだったタイミングがあればすぐに実行

Persistent=true

# 最後に実行された時刻からカウントする (オプション)


# OnUnitActiveSec=15min 

[Install]
WantedBy=timers.target

# systemdに新しいユニットファイルを読み込ませる

sudo systemctl daemon-reload

# サービスが実行されるユーザーを作成（存在しない場合）


# 適切な権限とホームディレクトリを設定

sudo useradd --system --no-create-home --shell /sbin/nologin api-caller || true
sudo mkdir -p /home/api-caller/scripts
sudo chown api-caller:api-caller /home/api-caller/scripts

# スクリプトを適切な場所に配置し、実行権限を付与

sudo install -m 755 my-robust-script.sh /usr/local/bin/
sudo install -m 644 my-robust-script.service /etc/systemd/system/
sudo install -m 644 my-robust-script.timer /etc/systemd/system/

# タイマーを有効化し、起動

sudo systemctl enable my-robust-script.timer
sudo systemctl start my-robust-script.timer

# タイマーとサービスの状態を確認

sudo systemctl status my-robust-script.timer
sudo systemctl status my-robust-script.service

# ログを確認 (JST: {{jst_today}}時点)


# -f はfollow (tail -f のように追従)、-u はユニット指定

journalctl -f -u my-robust-script.service