# Dockerfile - 构建完全静态的 ligent
#
# 用法 (podman 和 docker 都行, 命令一样): 
#
#   podman build -t ligent-static .
#   podman run --rm ligent-static --version
#   podman create --name tmp ligent-static && podman cp tmp:/ligent-static . && podman rm tmp
#
# 或者直接跑 make 目标: 
#   make docker-build      # 构建镜像
#   make docker-extract    # 把产物拷到当前目录 (./ligent-static)
#
# 只在构建期需要网络 (下载 zlib/OpenSSL/curl 源码); 运行期不需要任何东西. 
#
#
# 为什么用 Alpine 做构建环境
# --------------------------
# ligent 的静态目标要一份**用 musl 编出来的** libcurl (发行版那份是给 glibc 的, 
# 混着链会得到一堆 undefined reference to __libc_start_main). 
# Alpine 本身就是 musl 的发行版, `apk add build-base` 得到的 gcc 直接就是
# musl 目标, 省掉了"装 musl 工具链 + 配 spec 文件"这一整段麻烦, 
# 而且 musl-gcc 这个包装脚本在 Alpine 上根本不存在也不需要. 
#
# 具体地: Alpine 的 gcc 默认 `--target=x86_64-alpine-linux-musl`, 
# 所以 tools/build-static-deps.sh 里的 CC 检测会落到 x86_64-linux-musl-gcc
# 分支 (我们显式给它 CC=cc), 产出的 .a 天然就是 musl 的. 
#
#
# 为什么分多阶段
# --------------
# 最终镜像里只有那个静态二进制. 构建工具链 (gcc/perl/make)加上 zlib/OpenSSL/curl
# 的源码和中间产物有好几百 MB, 全都不该进最终镜像 —— 而 ligent 是静态链接的, 
# 最终镜像连 libc 都不需要, scratch 就够. 
#
#
# 关于构建缓存
# ------------
# 依赖的编译 (OpenSSL 那步最慢, 几分钟)单独占一层, 且只依赖脚本本身. 
# 源码 COPY 放在它后面: 改一行 C 代码不会让"重编 OpenSSL"这件事再发生一遍. 
# 这是这个 Dockerfile 里唯一一处为了速度而做的结构调整, 值得. 

# ------------------------------------------------------------------ 构建阶段
FROM docker.io/library/alpine:3.20 AS build

# build-base: gcc/make/binutils (Alpine 的 gcc 就是 musl 目标的)
# perl:       OpenSSL 的 Configure 是 perl 写的
# curl:       tools/build-static-deps.sh 用来下载源码包
# linux-headers: 依赖要内核 UAPI 头 (linux/mman.h 这些). 
#            注意在本机上这一项是用 -idirafter /usr/include 解决的, 
#            容器里显式装出来更干净. 
# tar/xz:     解压源码包
RUN apk add --no-cache \
        build-base \
        perl \
        curl \
        tar \
        xz \
        linux-headers

WORKDIR /src

# 先只拷贝依赖脚本, 让"编依赖"这一步能独立于源码变化被缓存. 
# 版本号通过 build-arg 传进来 (CI 里从 git tag 取), 这样镜像内构建不依赖 .git ——
# .dockerignore 把 .git 排除了, 容器里本来也看不到它. 
COPY tools/build-static-deps.sh /src/tools/build-static-deps.sh

# CC=cc: Alpine 的 cc 就是 musl 目标的 gcc, 不需要 musl-gcc 包装脚本. 
# 这一步会联网下载并编译 zlib + OpenSSL + curl, 约几分钟. 
RUN CC=cc sh /src/tools/build-static-deps.sh

# 再拷源码. 放在依赖之后, 改 C 代码不会触发依赖重编. 
COPY src/  /src/src/
COPY Makefile /src/Makefile
COPY tools/get-version.sh /src/tools/get-version.sh

# 版本号由外面注入. 容器里没有 .git, get-version.sh 会回退到源码文件的 mtime
# —— 那是"这份源码的日期", 不是"tag 的日期", 所以 CI 应当显式传进来: 
#   podman build --build-arg VERSION=$(git describe --tags --abbrev=0) .
#   podman build --build-arg VERSION=$(date -u +%Y.%m.%d) .
ARG VERSION=
ARG GIT_HASH=unknown
ARG GIT_BRANCH=unknown
# 完整的 Unix 时间戳 (秒). 不要传 "2026-09-22" 这种只有日期的串 ——
# date(1) 会把它解析成那天 00:00:00 UTC, 产物的构建时间就永远是午夜. 
ARG BUILD_EPOCH=

RUN set -eux; \
    # 传了就用传进来的, 没传就让脚本自己算 (会回退到源码日期)
    if [ -n "$VERSION" ];    then export LIGENT_VERSION_OVERRIDE="$VERSION"; fi; \
    if [ -n "$GIT_HASH" ];   then export LIGENT_HASH_OVERRIDE="$GIT_HASH"; fi; \
    if [ -n "$GIT_BRANCH" ]; then export LIGENT_BRANCH_OVERRIDE="$GIT_BRANCH"; fi; \
    if [ -n "$BUILD_EPOCH" ]; then export SOURCE_DATE_EPOCH="$BUILD_EPOCH"; fi; \
    \
    # 静态目标. STATIC_CC=cc: 同上, Alpine 的 cc 已经是 musl 目标.  \
    make static STATIC_CC=cc; \
    \
    # 自检: 产物必须真的存在、真的是静态的、真的能跑.  \
    # 不检查的话, "构建成功"可能只是"链接器没报错", 而产物是个空壳 \
    #  (比如依赖没链全, 或者 -s 把符号表剥没了导致入口找不到).  \
    test -x /src/ligent-static; \
    if ldd /src/ligent-static 2>&1 | grep -qv "not a dynamic executable\|statically linked\|Not a valid dynamic program"; then \
        echo "产物不是静态链接的: " >&2; ldd /src/ligent-static >&2; exit 1; \
    fi; \
    V=$(/src/ligent-static --version); \
    echo "容器内产物版本: $V"; \
    # 版本号还是回退默认值 => -D 没生效, 构建是"看起来成功". 
    # 这里只在**没传 VERSION** 时警告: 那种情况下回退是预期行为 (比如有人
    # 直接 podman build 不带参数), 传了却没用上才是真问题. 
    if [ -n "$VERSION" ] && echo "$V" | grep -q '0.0.0-unknown'; then \
        echo "错误: 传了 VERSION=$VERSION 但产物仍报回退版本号" >&2; exit 1; \
    fi

# ------------------------------------------------------------------ 运行阶段
# scratch 就够了: ligent-static 是完全静态的, 连 libc 都不需要. 
# 没有任何攻击面可言 —— 镜像里只有一个二进制文件, 没有 shell、没有包管理器. 
FROM scratch

# CA 证书是**唯一**需要的外部文件: TLS 握手要它. 
# 注意 ligent 用的是编进 libcurl 的默认路径 /etc/ssl/certs/ca-certificates.crt
#  (libcurl 库不读 CURL_CA_BUNDLE, 那是 curl 命令行工具的行为), 
# 所以证书必须放在那个位置才行, 放别处不会被读到. 
COPY --from=build /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/ca-certificates.crt

COPY --from=build /src/ligent-static /ligent

# 说明一下这个镜像是干什么的、怎么用. 
# 用 LABEL 而不是放个 README 文件: scratch 里没有 cat, 放文件也读不了. 
LABEL org.opencontainers.image.title="ligent" \
      org.opencontainers.image.description="纯 C 实现的 AI Agent (静态构建)" \
      org.opencontainers.image.licenses="MIT" \
      org.opencontainers.image.source="https://github.com/pluvium27/ligent"

# 默认进 REPL 需要 tty; 不带参数跑会因为没有 API key 而给出提示, 
# 所以这里不做 ENTRYPOINT 的花活, 直接就是那个二进制. 
ENTRYPOINT ["/ligent"]