VibeFinance/test.ps1

# ── VibeFinance testscript (PowerShell) ──────────────────────────────────
# Draait de volledige testsuite voor de 2-container opzet. Alles gebeurt in
# Docker, dus je hebt geen Node op de host nodig.
#
#   1. Dependency-check (staan package.json's op de laatste versies?)
#   2. Backend-tests    (Dockerfile target 'test' → node --test, zonder database)
#   3. Productiebuild   (Vite-build + app-image; faalt de frontend, faalt dit)
#   4. Imagescan        (Trivy op het gebouwde image; OS- én npm-pakketten)
#   5. Smoketest        (productie-image + postgres, /api/health en / opvragen)
#
# De smoketest publiceert geen hostpoorten en gebruikt een eigen netwerk, dus
# hij botst niet met een draaiende dev-stack.
#
# Gebruik:
#   .\test.ps1              # alle stappen
#   .\test.ps1 -Unit        # dependency-check + backend-tests
#   .\test.ps1 -NoSmoke     # zonder de stack te starten
#   .\test.ps1 -Strict      # faal als een dependency achterloopt; scan ook op
#                           #   MEDIUM en LOW in plaats van alleen CRITICAL/HIGH
#   .\test.ps1 -SkipDeps    # dependency-check overslaan (bijv. offline)
#   .\test.ps1 -SkipScan    # imagescan overslaan (bijv. offline)

param(
    [switch]$Unit,
    [switch]$NoSmoke,
    [switch]$Strict,
    [switch]$SkipDeps,
    [switch]$SkipScan
)

$ErrorActionPreference = "Stop"

$appVersion = (Get-Content (Join-Path $PSScriptRoot "package.json") -Raw | ConvertFrom-Json).version
$testImage  = "vibefinance/app:test-$appVersion"
$prodImage  = "vibefinance/app:build-$appVersion"
$smokeNet   = "vibefinance-smoke-net"
$smokeDb    = "vibefinance-smoke-db"
$smokeApp   = "vibefinance-smoke-app"

function Write-Step {
    param([string]$Label)
    Write-Host ""
    Write-Host "── $Label" -ForegroundColor Cyan
}

# ── 1. Dependency-check ───────────────────────────────────────────────────
# Vergelijkt de versies in frontend/ en backend/package.json met het
# npm-register. Bewuste uitzonderingen staan in docker/update-exceptions.json.
if (-not $SkipDeps) {
    Write-Step "[1/5] Dependency-check"

    $checkArgs = @("node", "docker/check-updates.mjs")
    if ($Strict) { $checkArgs += "--strict" }

    docker run --rm -v "${PSScriptRoot}:/repo" -w /repo node:22-alpine @checkArgs
    $checkCode = $LASTEXITCODE

    if ($checkCode -ne 0) {
        if ($Strict) {
            Write-Error "Dependencies lopen achter — bijwerken of -SkipDeps gebruiken."
            exit 1
        }
        Write-Host "Let op: er zijn nieuwere versies beschikbaar (zie hierboven)." -ForegroundColor Yellow
    }
} else {
    Write-Step "[1/5] Dependency-check overgeslagen (-SkipDeps)"
}

# ── 2. Backend-tests ──────────────────────────────────────────────────────
Write-Step "[2/5] Backend-tests"
docker build --target test -t $testImage $PSScriptRoot
if ($LASTEXITCODE -ne 0) { Write-Error "Testimage bouwen mislukt"; exit 1 }

docker run --rm $testImage
if ($LASTEXITCODE -ne 0) { Write-Error "Backend-tests mislukt"; exit 1 }
Write-Host "Backend-tests geslaagd" -ForegroundColor Green

if ($Unit) {
    Write-Host ""
    Write-Host "Alleen unit-tests gevraagd — klaar." -ForegroundColor Green
    exit 0
}

# ── 3. Productiebuild (inclusief Vite-build) ──────────────────────────────
Write-Step "[3/5] Productie-image bouwen"
docker build --target production `
    --build-arg APP_VERSION=$appVersion `
    --build-arg VITE_APP_VERSION=$appVersion `
    --build-arg VITE_API_URL=/api `
    -t $prodImage $PSScriptRoot
if ($LASTEXITCODE -ne 0) { Write-Error "Productiebuild mislukt"; exit 1 }
Write-Host "Productie-image gebouwd: $prodImage" -ForegroundColor Green

# ── 4. Imagescan ──────────────────────────────────────────────────────────
# Stap 1 kijkt naar de package.json's; deze kijkt naar wat er daadwerkelijk in
# het image zit — de Alpine-pakketten en alles wat het base-image meelevert.
# Dat onderscheid is niet theoretisch: bij de scan van 1.0.10 kwamen alle 39
# bevindingen daarvandaan (OpenSSL in Alpine, en npm's eigen dependencies) en
# geen enkele uit deze applicatie. Een dependency-check had er nul van gezien.
#
# --ignore-unfixed: alleen falen op iets waar een fix voor bestaat. Anders
# blokkeert een CVE zonder patch je release zonder dat je er iets aan kunt doen.
if (-not $SkipScan) {
    Write-Step "[4/5] Imagescan (Trivy)"

    $trivyCache = Join-Path $env:USERPROFILE ".cache\trivy"
    New-Item -ItemType Directory -Force -Path $trivyCache | Out-Null

    # Normaal blokkeren alleen CRITICAL en HIGH; -Strict trekt de lat naar alles.
    $ernst = if ($Strict) { "CRITICAL,HIGH,MEDIUM,LOW" } else { "CRITICAL,HIGH" }

    # Uitvoer opvangen en alleen tonen als er iets is: Trivy print bij succes
    # een tabelregel voor élk schoon pakket, en dat is honderden regels ruis
    # waarin een echte melding juist wegvalt.
    $scanUit = docker run --rm `
        -v /var/run/docker.sock:/var/run/docker.sock `
        -v "${trivyCache}:/root/.cache" `
        aquasec/trivy:latest image `
        --scanners vuln --severity $ernst --ignore-unfixed --exit-code 1 --quiet `
        $prodImage 2>&1
    if ($LASTEXITCODE -ne 0) {
        $scanUit | ForEach-Object { Write-Host $_ }
        Write-Error "Imagescan vond op te lossen kwetsbaarheden ($ernst)"
        exit 1
    }
    Write-Host "Imagescan schoon ($ernst)" -ForegroundColor Green

    # Het postgres-image scannen we niet als gate: alle bevindingen daarin zitten
    # in /usr/local/bin/gosu, en die binary wordt nooit uitgevoerd omdat de
    # compose-bestanden de container al als `postgres` starten (zie BEHEER.md).
    # Wat wél misgaat is achterstand: het image stond vier maanden op 18.4 met
    # 143 bevindingen omdat niemand pullde. Daar waarschuwen we voor — falen zou
    # onterecht zijn, want een release van de app hangt er niet van af.
    $pgTag = "postgres:18-alpine"
    $lokaal = (docker image inspect $pgTag --format '{{index .RepoDigests 0}}' 2>$null)
    if ($lokaal) {
        $remote = (docker buildx imagetools inspect $pgTag --format '{{.Manifest.Digest}}' 2>$null)
        if ($remote -and $lokaal -notlike "*$remote*") {
            Write-Host "Let op: $pgTag is nieuwer in de registry — draai 'docker compose pull postgres'." -ForegroundColor Yellow
        } else {
            Write-Host "$pgTag is actueel" -ForegroundColor Green
        }
    }
} else {
    Write-Step "[4/5] Imagescan overgeslagen (-SkipScan)"
}

if ($NoSmoke) {
    Write-Host ""
    Write-Host "Smoketest overgeslagen (-NoSmoke) — klaar." -ForegroundColor Green
    exit 0
}
# ── 5. Smoketest op het productie-image + postgres ────────────────────────
Write-Step "[5/5] Smoketest (app + postgres)"

function Remove-SmokeStack {
    docker rm -f $smokeApp $smokeDb 2>$null | Out-Null
    docker network rm $smokeNet 2>$null | Out-Null
}

# Eventuele resten van een eerdere run opruimen
Remove-SmokeStack

try {
    docker network create $smokeNet | Out-Null

    docker run -d --name $smokeDb --network $smokeNet `
        -e POSTGRES_DB=vibefinance `
        -e POSTGRES_USER=vibefinance `
        -e POSTGRES_PASSWORD=smokepassword `
        postgres:18-alpine | Out-Null
    if ($LASTEXITCODE -ne 0) { throw "Database-container starten mislukt" }

    Write-Host "  Wachten op postgres..." -ForegroundColor DarkGray
    $dbGereed = $false
    foreach ($poging in 1..30) {
        docker exec $smokeDb pg_isready -U vibefinance 2>$null | Out-Null
        if ($LASTEXITCODE -eq 0) { $dbGereed = $true; break }
        Start-Sleep -Seconds 2
    }
    if (-not $dbGereed) { throw "Postgres werd niet bereikbaar" }

    docker run -d --name $smokeApp --network $smokeNet `
        -e NODE_ENV=production `
        -e JWT_SECRET=smoke-secret `
        -e UPDATE_CHECK_URL= `
        -e DATABASE_URL=postgresql://vibefinance:smokepassword@$smokeDb`:5432/vibefinance `
        $prodImage | Out-Null
    if ($LASTEXITCODE -ne 0) { throw "App-container starten mislukt" }

    Write-Host "  Wachten op de app..." -ForegroundColor DarkGray
    $health = $null
    foreach ($poging in 1..30) {
        $health = (docker exec $smokeApp wget -qO- http://127.0.0.1:3001/api/health 2>$null) -join ""
        if ($LASTEXITCODE -eq 0 -and $health -match '"status"') { break }
        $health = $null
        Start-Sleep -Seconds 2
    }
    if (-not $health) {
        docker logs --tail 40 $smokeApp
        throw "App werd niet gezond"
    }
    Write-Host "  /api/health      : ok" -ForegroundColor Green

    # wget levert meerdere regels; samenvoegen tot één string, want -match op een
    # array filtert de array in plaats van een test te doen.
    $index = (docker exec $smokeApp wget -qO- http://127.0.0.1:3001/) -join "`n"
    if ($LASTEXITCODE -ne 0 -or $index -notmatch 'id="root"') { throw "Root gaf geen index.html terug" }
    Write-Host "  /                : index.html" -ForegroundColor Green

    $spa = (docker exec $smokeApp wget -qO- http://127.0.0.1:3001/voortgang) -join "`n"
    if ($LASTEXITCODE -ne 0 -or $spa -notmatch 'id="root"') { throw "SPA-fallback werkt niet" }
    Write-Host "  /voortgang       : index.html (SPA-fallback)" -ForegroundColor Green

    $api404 = (docker exec $smokeApp wget -qO- --server-response http://127.0.0.1:3001/api/bestaat-niet 2>&1) -join "`n"
    if ($api404 -notmatch "404") { throw "Onbekende API-route gaf geen 404" }
    Write-Host "  /api/bestaat-niet: 404" -ForegroundColor Green

    Write-Host ""
    Write-Host "Smoketest geslaagd" -ForegroundColor Green
}
finally {
    Remove-SmokeStack
}

Write-Host ""
Write-Host "════════════════════════════════════════" -ForegroundColor Cyan
Write-Host "  Alle tests geslaagd - $appVersion" -ForegroundColor Green
Write-Host "════════════════════════════════════════" -ForegroundColor Cyan
Write-Host ""

# Expliciete 0: zie release.ps1 — voorkomt een geërfde exitcode.
exit 0