#!/bin/sh
# build-static-deps.sh - 造一份"musl 工具链编出来的静态 libcurl", 给 make static 用. 
#
# 为什么需要它：发行版的 libcurl.a 是针对 glibc 编的, 跟 musl 混link会得到一堆
# "undefined reference to __libc_start_main". 所以必须自己用 musl 工具链把
# libcurl 和它的依赖 (zlib、OpenSSL)编一遍. 
#
# 产物在 build/static-prefix/, 之后 `make static` 就能链了. 
#
# 用法:
#   ./tools/build-static-deps.sh                 # 用默认版本
#   ZLIB=1.3.1 OPENSSL=3.0.15 CURL=8.11.1 ./tools/build-static-deps.sh
#   CC=x86_64-linux-musl-gcc ./tools/build-static-deps.sh
#   PREFIX=/opt/musl-static ./tools/build-static-deps.sh
#
# 需要: musl 工具链、make、perl (OpenSSL 的 Configure 是 perl 写的)、以及
# **能联网** (要下载三个源码包). 构建大约几分钟. 
set -eu

ZLIB_VER=${ZLIB:-1.3.1}
OPENSSL_VER=${OPENSSL:-3.0.15}
CURL_VER=${CURL:-8.11.1}

ROOT=$(cd "$(dirname "$0")/.." && pwd)
PREFIX=${PREFIX:-$ROOT/build/static-prefix}
SRC=${SRC:-$ROOT/build/static-src}
JOBS=${JOBS:-$( (nproc 2>/dev/null) || echo 2 )}

# musl-gcc 是包装脚本; 交叉工具链要自己指定
if [ -z "${CC:-}" ]; then
    if command -v musl-gcc >/dev/null 2>&1; then
        CC=musl-gcc
    elif command -v x86_64-linux-musl-gcc >/dev/null 2>&1; then
        CC=x86_64-linux-musl-gcc
    else
        echo "找不到 musl 工具链. " >&2
        echo "  Artix/Arch: sudo pacman -S musl      # 提供 musl-gcc" >&2
        echo "  或指定:     CC=x86_64-linux-musl-gcc $0" >&2
        exit 1
    fi
fi

need() {
    command -v "$1" >/dev/null 2>&1 || { echo "缺少 $1, 装一下" >&2; exit 1; }
}
need make
need "$CC"
need perl          # OpenSSL 的 Configure
# 下载靠它. 以前这里写的是 `need curl || true` —— 那是**假的容错**：need 失败时
# 直接 exit, `|| true` 根本执行不到 (那句注释"下面会再确认"也不成立). 于是缺
# curl 时脚本会一路跑到 fetch, 最后报"所有候选地址都不可用 / 要么是没网, 要么
# 是版本号写错了", 把人引去查网络和版本号 —— 而真正的原因是工具没装. 
need curl
need tar

# ---------------------------------------------------------------- 架构
# OpenSSL 的 Configure 要一个明确的 target 名, 它**不做**自动探测. 以前这里
# 写死 linux-x86_64, 于是在 aarch64/riscv64 上会去编 x86 的汇编, 直接失败 ——
# 而这个脚本的产物恰恰是"拷到别的机器也能跑"的静态件. 
# 认不出来时**不猜**：猜错的后果是编出一堆看着像成功、其实不对的东西. 
OPENSSL_TARGET=${OPENSSL_TARGET:-}
if [ -z "$OPENSSL_TARGET" ]; then
    case "$(uname -m)" in
        x86_64|amd64)   OPENSSL_TARGET=linux-x86_64 ;;
        i?86)           OPENSSL_TARGET=linux-elf ;;
        aarch64|arm64)  OPENSSL_TARGET=linux-aarch64 ;;
        armv7l|armv6l)  OPENSSL_TARGET=linux-armv4 ;;
        riscv64)        OPENSSL_TARGET=linux64-riscv64 ;;
        ppc64le)        OPENSSL_TARGET=linux-ppc64le ;;
        s390x)          OPENSSL_TARGET=linux64-s390x ;;
        loongarch64)    OPENSSL_TARGET=linux64-loongarch64 ;;   # 3.1+ 才有
        *)
            echo "认不出这台机器的架构 ($(uname -m)), 而 OpenSSL 的 Configure" >&2
            echo "需要一个明确的 target 名. 请显式指定, 例如：" >&2
            echo "    OPENSSL_TARGET=linux-aarch64 $0" >&2
            echo " (可用的 target 见 OpenSSL 源码里的 Configurations/10-main.conf)" >&2
            exit 1 ;;
    esac
fi

# 刻意**不带** -fno-pie. 依赖库编成默认的 PIE 兼容代码就行 —— PIC 代码放进
# 非 PIE 可执行文件是合法的, 最后那一步由 ligent 自己用 -no-pie 决定. 
# 反过来 (依赖 -fno-pie、链接却不带 -no-pie)会立刻炸：这些项目在 make 里
# 还会顺手链几个测试程序, 而那些链接用的是默认的 PIE, 于是
#   relocation R_X86_64_32 against ... can not be used when making a PIE object
# 而且 zlib 的 configure 探测 vsnprintf 也会因此失败, 悄悄退化成不安全的
# vsprintf 版本 (实测踩过). 
# 体积优先. 静态产物是"拷过去就能跑"的发布件, 不是拿来调试的, 所以这里的
# 取舍和普通构建相反 —— 目标是越小越好. 三组开关要一起上才有意义：
#   -Os                            别做以体积换速度的展开/内联
#   -ffunction-sections            依赖库也按函数分段, 这样最后链接时
#   -fdata-sections                --gc-sections 才**丢得掉**没被引用的部分
#   -fno-*-unwind-tables           C 代码不需要 C++ 异常和栈回溯, .eh_frame 全省
# 实测 (连同 Makefile 那侧的 strip 等一起)：6.24 MB → 3.29 MB. 
# 其中这一半的功劳很大：libcurl+OpenSSL 的 .text 从 3.45 MB 掉到 2.41 MB ——
# 静态归档里本来就有一大堆我们永远走不到的算法和协议实现. 
# 想回到调试友好 (-O2、保留 unwind 表)：CFLAGS_COMMON="-O2 $0"
CFLAGS_COMMON=${CFLAGS_COMMON:-"-Os -ffunction-sections -fdata-sections -fno-asynchronous-unwind-tables -fno-unwind-tables"}

# musl-gcc 只搜 /usr/lib/musl/include, **不搜 /usr/include**, 于是内核的 UAPI
# 头 (linux/mman.h、asm/*.h 这些)找不到 —— OpenSSL 就死在这一步：
#   fatal error: linux/mman.h: No such file or directory
# 用 -idirafter：musl 自己的头优先, /usr/include 只在 musl 没有时兜底. 
# 直接写 -I 会让 glibc 的头盖过 musl 的, 那是另一个坑. 
UAPI_INC="-idirafter /usr/include"

# ---- configure 参数 (抽出来是为了进 WANT, 见下面的 stamp 机制)----
#
# 以前这些参数直接写在各自的 configure 调用处, 于是"改了参数"这件事**只有人
# 记得把 BUILD_DEFS 加一**才能被发现; 忘了就继续用旧参数编出来的库, 症状是
# "我明明加了个 --disable-x, 怎么产物一点没变". 

# zlib 只要 --static：我们要的是 libz.a
ZLIB_CONFIGURE_ARGS="--static"

# OpenSSL：no-shared 只出 .a; no-tests 少编一堆测试程序 (省几分钟); 
# no-legacy 去掉已淘汰的算法 (体积). 
OPENSSL_CONFIGURE_ARGS="no-shared no-tests no-legacy"

# curl：ligent 只用 chat/completions 一个端点, 所以只要能发 HTTPS 的那部分. 
#   --disable-*  FTP/邮件/字典/… 这些协议编进来纯属占地
#   --without-*  静态链接下每个"可选增强"都会再拖一串依赖进来 (libpsl、idn2、
#                brotli、zstd、nghttp2/3…), 而 ligent 一个都不用
#   --with-ca-*  把 CA 路径编进去 —— 静态件跑到别的机器上时得知道去哪找根证书
CURL_CONFIGURE_ARGS="
--disable-shared --enable-static
--with-openssl=$PREFIX --with-zlib=$PREFIX
--disable-ldap --disable-ldaps --disable-rtsp --disable-dict
--disable-telnet --disable-tftp --disable-pop3 --disable-imap
--disable-smtp --disable-gopher --disable-mqtt --disable-manual
--without-libpsl --without-libidn2 --without-brotli --without-zstd
--without-nghttp2 --without-ngtcp2 --without-nghttp3
--with-ca-bundle=/etc/ssl/certs/ca-certificates.crt
--with-ca-path=/etc/ssl/certs"

mkdir -p "$SRC" "$PREFIX"

# 编译选项变了就得把依赖整个重建. 否则下面每个守卫都会看到 libz.a 已存在而
# 直接跳过, 于是你一直用着旧选项编出来的库, 而且**看不出来** —— 症状是
# "我明明加了 -Os, 怎么产物一点没小". 
# 这和 Makefile 里"对象目录按编译器/插桩分标签"是同一个坑的两处：make 和这个
# 脚本都只看文件在不在, 看不见命令行变了. 
STAMP="$PREFIX/.build-flags"
# BUILD_DEFS：配方版本号, 留给"改了脚本逻辑、但 WANT 里的文本一个字都没变"的
# 改动 (比如换了一种绕坑的处理方式). 凡是会改变产物内容的改动都要加一. 
#
# 注意它现在**不再是唯一的触发源**：编译选项、三个版本号、OpenSSL target、
# 每个库的 configure 参数都直接进了下面的 WANT, 改它们会自动触发重建, 不需要
# 谁记得来这里加一 —— 以前 configure 参数不在 WANT 里, 全靠这个手写数字兜着, 
# 而人是会忘的 (忘了就是"一直用旧参数编出来的库, 看不出来"). 
# 已有的历史值：1 = 加了体积优先的 CFLAGS; 2 = configure 期间藏起 .pc 文件; 
#              3 = 架构与 configure 参数进指纹 (本版). 
BUILD_DEFS=3

# 多行参数折叠成一行：好塞进戳文件, 也好肉眼比对
flatten() {
    printf '%s' "$1" | tr -s '[:space:]' ' ' | sed 's/^ *//; s/ *$//'
}

WANT="defs=$BUILD_DEFS | CC=$CC | zlib=$ZLIB_VER openssl=$OPENSSL_VER curl=$CURL_VER \
 | target=$OPENSSL_TARGET | cflags=$CFLAGS_COMMON | uapi=$UAPI_INC \
 | zlib:[$(flatten "$ZLIB_CONFIGURE_ARGS")] \
 | openssl:[$(flatten "$OPENSSL_CONFIGURE_ARGS")] \
 | curl:[$(flatten "$CURL_CONFIGURE_ARGS")]"
if [ ! -f "$STAMP" ] && [ -f "$PREFIX/lib/libz.a" ]; then
    # 有库却没有选项记录 —— 那是**旧版脚本**编的, 不知道用的什么选项. 
    # 这一条不能省：没有它, 下面的判断会认为"stamp 不存在 = 不用重建", 
    # 然后我们就给旧库写上一个声称是新选项的 stamp, 把它洗白成"新的". 
    echo "== 这个前缀没有编译选项记录 (旧版脚本编的), 重建以确认选项一致"
    rm -rf "$PREFIX"
    mkdir -p "$PREFIX"
elif [ -f "$STAMP" ] && [ "$(cat "$STAMP" 2>/dev/null)" != "$WANT" ]; then
    echo "== 编译选项变了, 重建依赖"
    echo "   原: $(cat "$STAMP")"
    echo "   新: $WANT"
    rm -rf "$PREFIX"
    mkdir -p "$PREFIX"
fi
printf '%s' "$WANT" > "$STAMP"

# ---- 被打断时把藏起来的 .pc 放回去 ----
# curl 那一段会在 configure 期间把 pkgconfig 目录藏起来 (原因见下面那段长注释). 
# 那一步要几分钟, 中途 Ctrl-C 很常见 —— 不兜住的话, 用户的 openssl.pc 就会在这
# 段时间里"消失" (他编别的东西时会找不到). 下一轮跑本脚本虽然会自愈, 但空窗期
# 是真实存在的, 而且没人知道自己在等什么. 
PCDIR="$PREFIX/lib/pkgconfig"
PCHIDE="$PREFIX/lib/pkgconfig.hidden"
restore_pc() {
    if [ -d "$PCHIDE" ] && [ ! -d "$PCDIR" ]; then
        echo "== 把 pkgconfig 目录放回原位 (上一次跑本脚本被打断过)" >&2
        mv "$PCHIDE" "$PCDIR"
    fi
}
trap 'restore_pc' EXIT INT TERM HUP

# fetch <输出文件> <url...> —— 多个地址依次试. 
# 各家下载站的目录结构会变 (zlib 就把旧版本挪到了 /fossils/), 写死一个地址
# 迟早会 404, 而那时的报错是 curl 的一句 "error: 404", 看不出该改哪. 
fetch() {
    out=$1; shift
    [ -f "$out" ] && { echo "  已有 $(basename "$out"), 跳过下载"; return; }
    for url in "$@"; do
        echo "  下载 $url"
        if curl -fL --retry 3 --connect-timeout 20 -o "$out.part" "$url"; then
            mv "$out.part" "$out"
            return 0
        fi
        echo "    这个地址不行, 换下一个"
        rm -f "$out.part"
    done
    echo "  下载 $(basename "$out") 失败：所有候选地址都不可用. " >&2
    echo "  要么是没网, 要么是版本号写错了. 可以指定版本重来, 例如：" >&2
    echo "    ZLIB=1.3.1 OPENSSL=3.5.0 CURL=8.11.1 $0" >&2
    exit 1
}

echo "== 目标前缀: $PREFIX"
echo "== 工具链  : $CC ($($CC --version 2>&1 | head -1))"
echo

# ---------------------------------------------------------------- zlib
if [ ! -f "$PREFIX/lib/libz.a" ]; then
    echo "== 编 zlib $ZLIB_VER"
    fetch "$SRC/zlib-$ZLIB_VER.tar.gz" \
          "https://zlib.net/zlib-$ZLIB_VER.tar.gz" \
          "https://zlib.net/fossils/zlib-$ZLIB_VER.tar.gz" \
          "https://github.com/madler/zlib/releases/download/v$ZLIB_VER/zlib-$ZLIB_VER.tar.gz"
    rm -rf "$SRC/zlib-$ZLIB_VER"
    tar -xzf "$SRC/zlib-$ZLIB_VER.tar.gz" -C "$SRC"
    ( cd "$SRC/zlib-$ZLIB_VER" &&
      CC="$CC" CFLAGS="$CFLAGS_COMMON" \
      ./configure $ZLIB_CONFIGURE_ARGS --prefix="$PREFIX" &&
      make -j"$JOBS" libz.a && make install )
else
    echo "== zlib 已就绪"
fi

# ------------------------------------------------------------- OpenSSL
# curl 要 HTTPS 就得有个 TLS 后端. 选 OpenSSL 是因为它最普遍; 想更小的话
# 可以换 mbedTLS (configure 里把 --with-openssl 换成 --with-mbedtls). 
# 守卫必须看 OpenSSL **实际**装到哪. x86_64 上 OpenSSL 3 默认装 lib64, 
# 而下面 --libdir=lib 把它拉回 lib —— 只查 lib 就会每次重编 OpenSSL (几分钟). 
if [ ! -f "$PREFIX/lib/libssl.a" ]; then
    echo
    echo "== 编 OpenSSL $OPENSSL_VER (这一步最慢)"
    fetch "$SRC/openssl-$OPENSSL_VER.tar.gz" \
          "https://www.openssl.org/source/openssl-$OPENSSL_VER.tar.gz" \
          "https://github.com/openssl/openssl/releases/download/openssl-$OPENSSL_VER/openssl-$OPENSSL_VER.tar.gz"
    rm -rf "$SRC/openssl-$OPENSSL_VER"
    tar -xzf "$SRC/openssl-$OPENSSL_VER.tar.gz" -C "$SRC"
    ( cd "$SRC/openssl-$OPENSSL_VER" &&
      CC="$CC" ./Configure "$OPENSSL_TARGET" $OPENSSL_CONFIGURE_ARGS \
          --prefix="$PREFIX" --openssldir="$PREFIX/ssl" --libdir=lib \
          $CFLAGS_COMMON "$UAPI_INC" &&
      make -j"$JOBS" && make install_sw )
else
    echo "== OpenSSL 已就绪"
fi

# ---------------------------------------------------------------- curl
if [ ! -x "$PREFIX/bin/curl-config" ]; then
    echo
    echo "== 编 curl $CURL_VER"
    fetch "$SRC/curl-$CURL_VER.tar.gz" \
          "https://curl.se/download/curl-$CURL_VER.tar.gz" \
          "https://github.com/curl/curl/releases/download/curl-$CURL_VER/curl-$CURL_VER.tar.gz"
    rm -rf "$SRC/curl-$CURL_VER"
    tar -xzf "$SRC/curl-$CURL_VER.tar.gz" -C "$SRC"

    # ---- configure 期间把 .pc 文件藏起来, 别让它走 pkg-config ----
    #
    # curl 的 configure 是这么挑 OpenSSL 的 (--with-openssl 给的是自定义前缀)：
    #     OPENSSL_PCDIR="$OPT_OPENSSL/lib/pkgconfig"
    #     if test -f "$OPENSSL_PCDIR/openssl.pc"; then PKGTEST="yes"   # 用 pkg-config
    #     ...
    #     if test "$PKGTEST" != "yes"; then
    #         SSL_LDFLAGS="-L$PREFIX_OPENSSL/lib"    # 直接给目录, 路径原样
    #
    # 走 pkg-config 那条路会出事：configure 开头就 `LC_ALL=C; export LC_ALL`
    #  (autoconf 的标准开头, 脚本外面设 LC_ALL 压不住它), 而 pkg-config 在
    # C locale 下用 isprint() 判断字节要不要转义 —— 每个 >= 0x80 的字节都被判成
    # "不可打印", 于是它给路径里每个非 ASCII 字节前面加个反斜杠：
    #     -L/…/开发/…  ->  -L/…/\开\发/…
    # \ 后面跟 E5 不是合法续字节, 所以那串是**非法 UTF-8**. curl 拿到就写进
    # curl-config、libcurl.pc 和一堆 Makefile (实测 26 个文件). 
    #
    # 后果不只是难看：之后 `make static` 里 `curl-config --static-libs` 一打印, 
    # 坏字节就顺着工具输出进了对话历史, 服务端会以
    #     invalid unicode code point
    # 拒掉**整个**请求, 而且坏数据已在历史里, 之后每次请求都失败. 
    #
    # 本仓库路径带中文, 所以必中; 纯 ASCII 路径的人永远碰不到. 
    # 让 .pc 暂时消失, curl 就退回上面那条"直接给目录"的路, 路径干干净净. 
    # 藏而不是删：这些 .pc 是 OpenSSL/zlib 正常安装的一部分, 别人可能要用. 
    # PCDIR/PCHIDE 和恢复用的 trap 在脚本开头 (restore_pc)：这几步要几分钟, 
    # 中途 Ctrl-C 很常见, 不能让 .pc 在没人知道的情况下"消失"一段. 
    restore_pc                     # 上一次被打断留下的隐藏目录, 先放回去
    if [ -d "$PCDIR" ]; then mv "$PCDIR" "$PCHIDE"; fi

    rc=0
    # shellcheck disable=SC2086  # configure 参数就该按空白摊开成多个词
    ( cd "$SRC/curl-$CURL_VER" &&
      CC="$CC" CFLAGS="$CFLAGS_COMMON" \
      CPPFLAGS="-I$PREFIX/include $UAPI_INC" LDFLAGS="-L$PREFIX/lib" \
      ./configure --prefix="$PREFIX" $CURL_CONFIGURE_ARGS \
      && make -j"$JOBS" && make install ) || rc=$?

    restore_pc
    if [ "$rc" -ne 0 ]; then
        echo "curl 构建失败 (退出码 $rc)" >&2
        exit "$rc"
    fi
else
    echo "== curl 已就绪"
fi

# ------------------------------------------------------------ 自检
# 光看文件在不在不够 —— 要真的**链一个用 curl 的静态程序**, 才能证明这份
# 前缀是可用的 (静态链接最常栽在依赖顺序和缺库上, 而那只在链接时暴露). 
echo
echo "== 自检：编一个最小程序并静态链接"
CHECK="$SRC/check.c"
cat > "$CHECK" <<'EOF'
#include <curl/curl.h>
int main(void) {
    CURL *c = curl_easy_init();
    if (!c) return 1;
    curl_easy_setopt(c, CURLOPT_URL, "https://example.com/");
    curl_easy_cleanup(c);
    return 0;
}
EOF
LIBS=$("$PREFIX/bin/curl-config" --static-libs)
# shellcheck disable=SC2086
"$CC" -static -o "$SRC/check" "$CHECK" -I"$PREFIX/include" $LIBS -pthread
if ldd "$SRC/check" 2>&1 | grep -q "not a dynamic executable\|statically linked\|不是动态可执行文件"; then
    echo "  静态链接成功, 且确实不依赖动态库"
else
    echo "  注意：ldd 没说它是静态的, 检查一下下面这行输出：" >&2
    ldd "$SRC/check" 2>&1 | head -3 >&2
fi

# curl-config 的输出必须是**合法 UTF-8**. 
# 它在 `make static` 里会被原样打印出来 (recipe 里那句 `echo "  依赖: $LIBS"`), 
# 于是会进工具输出、进对话历史、最后进请求体. 一旦含非法字节, 服务端会以
# "invalid unicode code point" 拒掉整个请求 —— 而且坏数据已经留在历史里, 
# 之后每次请求都会失败. 上面 curl 那段的长注释解释了坏字节是怎么来的. 
# 用 iconv 做往返校验：截断的/被转义的序列都会被它拒掉. 没有 iconv 就跳过. 
if command -v iconv >/dev/null 2>&1; then
    if "$PREFIX/bin/curl-config" --static-libs 2>/dev/null \
         | iconv -f UTF-8 -t UTF-8 > /dev/null 2>&1; then
        echo "  curl-config --static-libs 输出是合法 UTF-8"
    else
        echo "  错误：curl-config --static-libs 的输出含非法 UTF-8. " >&2
        echo "  这通常意味着 configure 走了 pkg-config 那条路 (见上面 curl 那段). " >&2
        echo "  删掉这个前缀重跑本脚本：rm -rf \"$PREFIX\"" >&2
        exit 1
    fi
fi

echo
echo "依赖就绪：$PREFIX"
echo "接下来： make static"