import { Codex } from "@openai/codex-sdk";

const codex = new Codex({
  apiKey: process.env.OPENAI_API_KEY,
});

async function runAuditedRefactor() {
  // 1. 创建一个新的重构 Thread
  const thread = await codex.threads.create({
    model: "o3",
    instructions: "你是一个严格遵循 TypeScript 最佳实践的代码重构专家。",
  });

  console.log(`[Codex] Thread 初始化完成, ID: ${thread.id}`);

  // 2. 第一阶段：使用严格 read_only 模式执行安全排查
  const analysisTurn = await thread.turn({
    message: "检查 src/services/ 目录下是否存在未经捕获的全局 Promise 抛错。",
    sandbox: "read_only",
  });

  console.log("[Codex] 分析结果:", analysisTurn.output);

  // 3. 业务代码校验：如果确实存在风险，才申请升级沙箱写权限
  if (analysisTurn.output.includes("存在潜在漏洞")) {
    console.log("[Codex] 检测到隐患，提升沙箱权限至 workspace_write 进行单点修复...");

    const fixTurn = await thread.turn({
      message: "将发现漏洞的文件进行 try-catch 规范封装，不要改动其他任何逻辑。",
      sandbox: "workspace_write",
      // 将写权限精确锁定在单个模块，坚决不开放全目录
      writable_roots: ["src/services/payment.ts"],
    });

    console.log("[Codex] 修复执行完毕:", fixTurn.output);
  }

  // 4. 第三阶段：权限收回，再次执行只读测试审查
  const verifyTurn = await thread.turn({
    message: "检查最新的变更，确认没有产生循环依赖。",
    sandbox: "read_only",
  });

  console.log("[Codex] 验证收尾:", verifyTurn.output);
}

runAuditedRefactor().catch(console.error);

// 在前一个任务中保存 thread.id
const savedThreadId = "th_98a7bc12e4f0";

// 在后续的 Webhook 任务或新脚本中无缝恢复
const resumedThread = await codex.threads.resume(savedThreadId);

await resumedThread.turn({
  message: "人工审批已通过，请继续执行第二阶段的单元测试补充。",
  sandbox: "workspace_write",
});

import glob from "glob";

const targetFiles = glob.sync("src/modules/**/*.ts");

for (const filePath of targetFiles) {
  // 每个文件开启一个独立隔离的 Thread
  const thread = await codex.threads.create({ model: "o3" });
  
  await thread.turn({
    message: `将 ${filePath} 中的传统回调异步模式重构为 async/await。`,
    sandbox: "workspace_write",
    // 强制限制模型只能碰这一个文件
    writable_roots: [filePath],
  });
  
  console.log(`[Batch] 完成重构: ${filePath}`);
}

const reviewThread = await codex.threads.create({ model: "o3" });

const result = await reviewThread.turn({
  message: `仔细审查此 PR 的 Diff 内容，若发现 SQL 注入风险，明确返回 'SECURITY_RISK'：\n${prDiff}`,
  sandbox: "read_only", // 保证审查任务绝不修改仓库状态
});

if (result.output.includes("SECURITY_RISK")) {
  console.error("检测到安全红线，阻断流水线合并！");
  process.exit(1);
}