POSA_LEAKSMS/raspberry_pi4/install.sh

#!/usr/bin/env bash
# =============================================================================
# 누수감지 센서 v2 (Raspberry Pi 4 Model B) 설치 스크립트
# 대상 OS: Raspberry Pi OS Bookworm (64-bit, aarch64)
#
# 폐쇄망(air-gapped) 지원:
#   - debs/ 또는 wheelhouse/ 가 있으면 자동으로 "오프라인 모드"로 전환.
#   - 오프라인 모드에서는 절대 네트워크에 접근하지 않는다. 번들이 일부만 있으면
#     온라인으로 몰래 빠지지 않고 명확한 오류로 중단한다(폐쇄망 규칙: 네트워크가
#     필요하면 반드시 FLAG). 사전 다운로드는 vendor.sh 로 빌드 머신에서 수행.
#   - 환경변수 OFFLINE=1/0 으로 강제 지정 가능.
#   - 로그 파일 소유자: SERVICE_USER (기본 pi).
# =============================================================================
set -euo pipefail
cd "$(dirname "$0")"

SERVICE_USER="${SERVICE_USER:-pi}"

echo "=========================================="
echo " 누수감지 센서 v2 (Pi 4) 설치"
echo "=========================================="

# 0) 보드 모델 안내 (강제 아님)
if [ -r /proc/device-tree/model ]; then
  MODEL="$(tr -d '\0' < /proc/device-tree/model)"
  echo "[INFO] 보드: ${MODEL}"
  case "${MODEL}" in
    *"Raspberry Pi 4"*) : ;;
    *) echo "[WARN] 이 폴더는 Raspberry Pi 4 Model B 전용입니다 (계속 진행은 가능)." ;;
  esac
fi

# 오프라인 모드 판정
OFFLINE="${OFFLINE:-}"
if [ -z "${OFFLINE}" ]; then
  if compgen -G "debs/*.deb" >/dev/null || [ -d wheelhouse ]; then
    OFFLINE=1
    echo "[INFO] 오프라인 번들 감지 → 폐쇄망 오프라인 설치 모드 (네트워크 미사용)"
  else
    OFFLINE=0
    echo "[INFO] 오프라인 번들 없음 → 온라인 설치 모드 (인터넷 필요)"
  fi
fi

# 1) 시스템 패키지: RPi.GPIO 대체(lgpio) + requests + venv + 카메라 앱
echo "[1/3] 시스템 패키지 설치..."
if [ "${OFFLINE}" = "1" ]; then
  if ! compgen -G "debs/*.deb" >/dev/null; then
    echo "[ERROR] 오프라인 모드인데 debs/ 가 비어있습니다. vendor.sh 산출물(debs/)을 이 폴더에 두고 재실행하세요." >&2
    exit 1
  fi
  echo "  오프라인 .deb 설치 (apt-get --no-download — 의존성 순서·해결 자동, 네트워크 미사용)"
  # --no-install-recommends: vendor.sh 가 Recommends 를 안 담으므로(--no-recommends) 맞춘다.
  sudo apt-get install -y --no-install-recommends --no-download ./debs/*.deb
else
  echo "  온라인 apt 설치 (인터넷 필요)"
  sudo apt-get update
  if apt-cache show rpicam-apps >/dev/null 2>&1; then CAM=rpicam-apps; else CAM=libcamera-apps; fi
  sudo apt-get install -y python3-rpi-lgpio python3-requests python3-venv "${CAM}"
fi

# 2) Python venv + requests
echo "[2/3] Python 가상환경 설정..."
if [ ! -d venv ]; then
  python3 -m venv --system-site-packages venv
  echo "  venv 생성 완료"
else
  echo "  venv 이미 존재 — 건너뜀"
fi
# shellcheck disable=SC1091
source venv/bin/activate
if [ "${OFFLINE}" = "1" ]; then
  if [ ! -d wheelhouse ]; then
    echo "[ERROR] 오프라인 모드인데 wheelhouse/ 가 없습니다. vendor.sh 산출물(wheelhouse/)을 두고 재실행하세요." >&2
    exit 1
  fi
  echo "  오프라인 wheel 설치 (--no-index — 네트워크 미사용)"
  pip install --no-index --find-links=wheelhouse -r requirements.txt
else
  echo "  온라인 pip 설치 (인터넷 필요)"
  pip install --upgrade pip
  pip install -r requirements.txt
fi
echo "  패키지 설치 완료"

# 3) 로그 파일 (최소 권한: 소유자만 쓰기 — leak_sensor 가 단독 기록)
echo "[3/3] 로그 파일 생성..."
sudo mkdir -p /var/log
sudo touch /var/log/leak_sensor.log
if ! sudo chown "${SERVICE_USER}:${SERVICE_USER}" /var/log/leak_sensor.log; then
  echo "[WARN] chown 실패 — SERVICE_USER=${SERVICE_USER} 존재 여부 확인 (서비스 사용자와 일치해야 파일 로깅 가능)"
fi
sudo chmod 640 /var/log/leak_sensor.log

# 3.5) config_local.py 즉시 잠금 (API_KEY 포함 — harden 전까지 world-readable 방지)
#   하드닝(harden_pi.sh)이 나중에 다시 조이지만, 그 사이 창(window)에도 노출되지
#   않도록 설치 시점에 바로 600 으로 잠근다. harden 여부와 무관하게 보호된다.
if [ -f config_local.py ]; then
  chmod 600 config_local.py
  sudo chown "${SERVICE_USER}:${SERVICE_USER}" config_local.py 2>/dev/null || true
  echo "  config_local.py 권한 600 (소유자 ${SERVICE_USER}) 설정"
fi

# 4) config_local 안내 (fail closed — 없으면 실행 시 즉시 중단됨)
if [ ! -f config_local.py ]; then
  echo ""
  echo "[!] config_local.py 가 없습니다. 다음을 실행 후 실제 값으로 채우세요:"
  echo "      cp config_local.example.py config_local.py"
fi

echo ""
echo "=========================================="
echo " 설치 완료! (OFFLINE=${OFFLINE})"
echo "=========================================="
echo " 실행:   source venv/bin/activate && python3 leak_sensor.py"
echo " 서비스: README.md 의 systemd 섹션 참고"
echo ""