"""迁移里用到的数据库角色名。

为什么要有这个模块：RLS 的隔离强度取决于「应用角色不是表 owner、没有 BYPASSRLS」。
开发和生产的库在同一个 PG 实例上（fnsvr-01:8432），如果两边共用 `dadao_app` 角色，
拿到开发口令的人就能直连生产库——所以生产用独立角色，由迁移时的环境变量注入。

默认值就是开发/测试的角色名，所以本地和 CI 行为不变。
"""

from __future__ import annotations

import os
import re

# PostgreSQL 标识符：小写字母/数字/下划线，且不能以数字开头
_ROLE_RE = re.compile(r"^[a-z_][a-z0-9_]{0,62}$")


def _role_from_env(env_name: str, default: str) -> str:
    value = os.getenv(env_name, default)
    if not _ROLE_RE.match(value):
        raise RuntimeError(f"{env_name} 不是合法的 PostgreSQL 角色名：{value!r}")
    return value


# 迁移角色（owner，可建表，绕过 RLS）与应用角色（只能读写数据，受 RLS 约束）
OWNER_ROLE = _role_from_env("OWNER_DB_ROLE", "dadao_owner")
APP_ROLE = _role_from_env("APP_DB_ROLE", "dadao_app")