# astroklient — wersja demonstracyjna (PRE-28).
#
# Osobna usługa o DWÓCH funkcjach: dodanie pliku bazy i zapytanie o interpretację
# urodzeniową. Pozostałe funkcje nie są tu ukryte — nie ma ich w obrazie.
#
# ⚠️ PRACUJE NA PRODUKCYJNEJ WARSTWIE DANYCH (świadoma decyzja właściciela).
# Kto ma dostęp do demo, czyta oryginalne bazy interpretacyjne, a pliki przez nie
# wgrane trafiają do produkcyjnego zbioru. Dlatego konto jest OSOBNE: demo odcina
# się skasowaniem sekretu astrololo-demo, bez ruszania kont głównej aplikacji.
apiVersion: apps/v1
kind: Deployment
metadata:
  name: astroklient
  namespace: astrololo
spec:
  replicas: 1
  selector:
    matchLabels: { app: astroklient }
  template:
    metadata:
      labels: { app: astroklient }
    spec:
      containers:
        - name: astroklient
          image: gitea.czernobog.pl/gitea/astrololo-astroklient:latest
          ports: [{ containerPort: 8005 }]
          env:
            - name: LOGIC_URL
              value: "http://logic:8001"
            # Konto demo — WŁASNE, nie astrololo-auth. Sekret tworzony POZA repo
            # (jak pozostałe), patrz README-astroklient.md.
            - name: DEMO_USER
              value: "demo"
            - name: DEMO_PASSWORD
              valueFrom:
                secretKeyRef: { name: astrololo-demo, key: DEMO_PASSWORD }
            # Token międzywarstwowy i klucz łącza — TE SAME co prezentacja:
            # demo nie jest furtką omijającą ochronę warstwy logicznej.
            - name: INTERNAL_TOKEN
              valueFrom:
                secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
            - name: LINK_KEY_PRESENTATION_LOGIC
              valueFrom:
                secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_LOGIC }
            - name: LINK_ENCRYPTION_REQUIRED
              value: "true"
            # Za Ingressem bezpośrednim rozmówcą jest pod Traefika. Bez tego limit
            # liczyłby WSZYSTKICH do jednego wiadra i pierwsza osoba, która go
            # wyklika, odcięłaby pozostałe.
            - name: TRUST_PROXY
              value: "true"
            # Niższy niż w pełnej aplikacji: demo bywa udostępniane szerzej,
            # a każde zapytanie sięga do treści baz.
            - name: RATE_LIMIT_PER_MIN
              value: "60"
          resources:
            requests: { cpu: "50m", memory: "96Mi" }
            limits:   { cpu: "300m", memory: "256Mi" }
---
apiVersion: v1
kind: Service
metadata:
  name: astroklient
  namespace: astrololo
spec:
  # ClusterIP — wejście z zewnątrz wyłącznie przez Ingress po https, tak samo
  # jak prezentacja. Druga, nieszyfrowana droga byłaby obejściem PRE-16.
  type: ClusterIP
  selector: { app: astroklient }
  ports: [{ port: 8005, targetPort: 8005 }]