name: Windows Installer bauen

on:
  push:
    branches: [main]
    paths:
      - 'tauri-app/**'
      - '.github/workflows/build.yml'
    tags:
      - 'v*.*.*'
  workflow_dispatch: {}

permissions:
  contents: write

jobs:
  build-windows:
    runs-on: windows-latest
    env:
      TAURI_SIGNING_PRIVATE_KEY: ${{ secrets.TAURI_SIGNING_PRIVATE_KEY }}
      TAURI_SIGNING_PRIVATE_KEY_PASSWORD: ${{ secrets.TAURI_SIGNING_PRIVATE_KEY_PASSWORD }}
    steps:
      - name: Code auschecken
        uses: actions/checkout@v4

      - name: Node.js einrichten
        uses: actions/setup-node@v4
        with:
          node-version: 20

      - name: Rust einrichten
        uses: dtolnay/rust-toolchain@stable

      - name: Node Abhängigkeiten installieren
        working-directory: tauri-app
        run: npm install

      - name: Sidecar Werkzeuge herunterladen (auto-editor, DeepFilterNet, FFmpeg)
        shell: pwsh
        run: |
          $ErrorActionPreference = "Stop"
          $binDir = "tauri-app/src-tauri/binaries"
          New-Item -ItemType Directory -Force -Path $binDir | Out-Null
          $triple = "x86_64-pc-windows-msvc"

          # Prueft, dass eine heruntergeladene Datei tatsaechlich ein echtes Windows
          # Programm ist, statt z.B. einer kleinen, fehlgeschlagenen Downloadantwort
          # (Fehlerseite, abgebrochene Uebertragung), die sonst unbemerkt als exe
          # eingepackt wuerde und erst beim Nutzer mit "os error" fehlschlaegt.
          function Assert-ValidExe($path) {
            if (-not (Test-Path $path)) {
              Write-Error "$path wurde nicht angelegt, Download ist fehlgeschlagen."
            }
            $size = (Get-Item $path).Length
            if ($size -lt 1MB) {
              Write-Error "$path ist mit $size Bytes verdaechtig klein fuer ein echtes Programm, vermutlich ist beim Download eine Fehlerseite statt der Datei angekommen. Abgebrochen, bevor eine kaputte Datei eingepackt wird."
            }
            $stream = [System.IO.File]::OpenRead($path)
            $header = New-Object byte[] 2
            $stream.Read($header, 0, 2) | Out-Null
            $stream.Close()
            if ($header[0] -ne 0x4D -or $header[1] -ne 0x5A) {
              Write-Error "$path beginnt nicht mit der erwarteten MZ Kennung einer Windows exe Datei, vermutlich keine echte ausfuehrbare Datei."
            }
            Write-Host "  $path geprueft, $size Bytes, gueltige exe Kennung."
          }

          Write-Host "Lade auto-editor..."
          Invoke-WebRequest -Uri "https://github.com/WyattBlue/auto-editor/releases/latest/download/auto-editor-windows-x86_64.exe" `
            -OutFile "$binDir/auto-editor-$triple.exe"
          Assert-ValidExe "$binDir/auto-editor-$triple.exe"

          Write-Host "Lade FFmpeg (gyan.dev essentials build)..."
          Invoke-WebRequest -Uri "https://www.gyan.dev/ffmpeg/builds/ffmpeg-release-essentials.zip" -OutFile "ffmpeg.zip"
          Expand-Archive -Path "ffmpeg.zip" -DestinationPath "ffmpeg-extracted"
          $ffmpegExe = Get-ChildItem -Path "ffmpeg-extracted" -Recurse -Filter "ffmpeg.exe" | Select-Object -First 1
          Copy-Item $ffmpegExe.FullName "$binDir/ffmpeg-$triple.exe"
          Assert-ValidExe "$binDir/ffmpeg-$triple.exe"

          Write-Host "Ermittle aktuelle DeepFilterNet Windows Datei..."
          $release = Invoke-RestMethod -Uri "https://api.github.com/repos/Rikorose/DeepFilterNet/releases/latest" -Headers @{ "User-Agent" = "novaphonic-build" }
          # Bewusst "windows" statt nur "win" im Muster: "win" allein steckt zufaellig
          # auch im Wort "darwin" (Apple macOS), das hatte vorher versehentlich die
          # falsche, nicht-Windows-Datei ausgewaehlt.
          $winAsset = $release.assets | Where-Object { $_.name -match "(?i)deep-filter-.*x86_64-pc-windows-msvc\.exe$" } | Select-Object -First 1
          if (-not $winAsset) {
            Write-Error "Kein passendes DeepFilterNet Windows Asset in der aktuellen Release gefunden. Bitte https://github.com/Rikorose/DeepFilterNet/releases manuell pruefen und diesen Schritt anpassen."
          }
          Write-Host "Gefunden: $($winAsset.name)"
          Invoke-WebRequest -Uri $winAsset.browser_download_url -OutFile "deepfilter-download" -Headers @{ "User-Agent" = "novaphonic-build" }
          if ($winAsset.name -match "\.zip$") {
            Expand-Archive -Path "deepfilter-download" -DestinationPath "deepfilter-extracted"
            $dfExe = Get-ChildItem -Path "deepfilter-extracted" -Recurse -Filter "*.exe" | Select-Object -First 1
            Copy-Item $dfExe.FullName "$binDir/deep-filter-$triple.exe"
          } else {
            Copy-Item "deepfilter-download" "$binDir/deep-filter-$triple.exe"
          }
          Assert-ValidExe "$binDir/deep-filter-$triple.exe"

      - name: Nur bauen, kein Release (normaler Push ohne Versions-Tag)
        if: ${{ !startsWith(github.ref, 'refs/tags/v') }}
        working-directory: tauri-app
        run: npm run tauri build

      - name: Installer als Artefakt hochladen (nur bei normalem Push)
        if: ${{ !startsWith(github.ref, 'refs/tags/v') }}
        uses: actions/upload-artifact@v4
        with:
          name: novaphonic-windows-installer
          path: |
            tauri-app/src-tauri/target/release/bundle/nsis/*.exe

      - name: Bauen, signieren und GitHub Release veröffentlichen (nur bei Versions-Tag)
        if: startsWith(github.ref, 'refs/tags/v')
        uses: tauri-apps/tauri-action@v0
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        with:
          projectPath: tauri-app
          tagName: ${{ github.ref_name }}
          releaseName: 'NovaPhonic ${{ github.ref_name }}'
          releaseBody: 'Automatisch erstelltes Release. Enthält den Windows Installer sowie das Update Manifest für die In App Aktualisierung.'
          releaseDraft: false
          prerelease: false
          includeUpdaterJson: true