package web

import (
	"fmt"
	"net/http"
	"strconv"
	"time"

	"munin/internal/auth"
	"munin/internal/store"
)

// handleHome leitet nach der Anmeldung an die passende Startseite weiter.
func (s *Server) handleHome(w http.ResponseWriter, r *http.Request) {
	sess, _ := SessionFrom(r)

	if sess.IsPlatformAdmin {
		http.Redirect(w, r, "/admin/projects", http.StatusSeeOther)
		return
	}
	http.Redirect(w, r, "/p/"+sess.Project.Slug+"/", http.StatusSeeOther)
}

// handleLoginForm zeigt das Anmeldeformular.
func (s *Server) handleLoginForm(w http.ResponseWriter, r *http.Request) {
	s.render(w, r, "login.html", http.StatusOK, pageData{Title: "Anmelden"})
}

// handleLoginSubmit prüft den eingegebenen Key und setzt den Session-Cookie.
func (s *Server) handleLoginSubmit(w http.ResponseWriter, r *http.Request) {
	ip := auth.ClientIP(r)
	key := r.FormValue("key")

	subject, ok := s.resolveLoginKey(r, key)
	if !ok {
		// Erst nach einem Fehlversuch die Sperre prüfen und hochzählen — wer den
		// richtigen Key hat, kommt immer durch (siehe Kommentar an APIAuth).
		if allowed, retryAfter := s.limiter.Allow(ip); !allowed {
			sekunden := int(retryAfter.Seconds()) + 1
			w.Header().Set("Retry-After", strconv.Itoa(sekunden))
			http.Error(w, fmt.Sprintf("Zu viele Anmeldeversuche. Bitte in %d Sekunden erneut versuchen.", sekunden),
				http.StatusTooManyRequests)
			return
		}

		s.limiter.RecordFailure(ip)
		s.store.LogAudit(r.Context(), store.AuditEvent{
			Actor: "unbekannt", Action: store.ActionAuthFailure, Source: store.SourceWeb, IP: ip,
		})

		s.render(w, r, "login.html", http.StatusUnauthorized, pageData{
			Title: "Anmelden",
			Error: "Ungültiger Key.",
		})
		return
	}

	s.limiter.Reset(ip)
	s.setSessionCookie(w, r, subject)
	http.Redirect(w, r, "/", http.StatusSeeOther)
}

// resolveLoginKey prüft einen Key beim Anmelden und gibt das Session-Subject zurück.
func (s *Server) resolveLoginKey(r *http.Request, key string) (string, bool) {
	if key == "" {
		return "", false
	}

	// Der Plattform-Admin meldet sich mit dem ADMIN_TOKEN an. Verglichen werden
	// die Hashes, damit auch hier keine Zeichenkette Zeichen für Zeichen
	// verglichen wird und die Antwortzeit nichts verrät.
	if auth.HashKey(key) == s.adminTokenHash {
		s.store.LogAudit(r.Context(), store.AuditEvent{
			Actor: "platform-admin", Action: store.ActionLoginSuccess,
			Source: store.SourceWeb, IP: auth.ClientIP(r),
		})
		return auth.SubjectPlatformAdmin, true
	}

	if !auth.LooksLikeKey(key) {
		return "", false
	}

	resolved, err := s.store.ResolveKeyHash(r.Context(), auth.HashKey(key))
	if err != nil {
		return "", false
	}

	s.store.LogAudit(r.Context(), store.AuditEvent{
		ProjectID: resolved.Project.ID, APIKeyID: resolved.Key.ID, Actor: resolved.Key.Name,
		Action: store.ActionLoginSuccess, Source: store.SourceWeb, IP: auth.ClientIP(r),
	})

	return auth.SubjectKeyPrefix + resolved.Key.ID, true
}

// handleLogout löscht den Session-Cookie.
func (s *Server) handleLogout(w http.ResponseWriter, r *http.Request) {
	cookie := &http.Cookie{
		Name:    auth.SessionCookieName,
		Value:   "",
		Expires: time.Unix(0, 0),
		MaxAge:  -1,
	}
	// Ein Lösch-Cookie muss dieselben Merkmale tragen wie das Original, sonst
	// behandelt der Browser es als ein anderes Cookie und das alte bleibt liegen.
	s.cookies.Apply(cookie, r)
	http.SetCookie(w, cookie)

	http.Redirect(w, r, "/login", http.StatusSeeOther)
}

// setSessionCookie signiert das Subject und setzt es als Cookie.
func (s *Server) setSessionCookie(w http.ResponseWriter, r *http.Request, subject string) {
	cookie := &http.Cookie{
		Name:    auth.SessionCookieName,
		Value:   s.signer.SignSession(subject),
		Expires: time.Now().Add(auth.SessionTTL),
	}
	s.cookies.Apply(cookie, r)
	http.SetCookie(w, cookie)
}