<?php
declare(strict_types=1);

/**
 * Prüft die Ticket-Sperre: Administratoren dürfen ein von anderen bearbeitetes Ticket lesen und bearbeiten (Web und API), die Sperre
 * lässt sich aufheben (Admin: jede, jeder: die eigene), normale Mitarbeiter bleiben ausgesperrt, im Live-Chat wird ein Admin nie ausgesperrt.
 */

if (!extension_loaded('pdo_sqlite') || !function_exists('curl_init')) { echo "Aktivitäts-Test übersprungen: pdo_sqlite oder curl fehlt.\n"; exit(0); }

date_default_timezone_set('Europe/Berlin'); // wie in der Test-Installation
$root = dirname(__DIR__);
$work = sys_get_temp_dir() . '/deskhub-lock-' . bin2hex(random_bytes(4));
$tmp = $work . '/inst';
mkdir($tmp, 0755, true);
$webPort = random_int(33500, 33999);
$skip = '#^(config/config\.php|database/[^/]+\.sqlite[^/]*|backups|uploads|tests|plugins/[^/]+|\.git)(/|$)#';
foreach (new RecursiveIteratorIterator(new RecursiveDirectoryIterator($root, FilesystemIterator::SKIP_DOTS), RecursiveIteratorIterator::SELF_FIRST) as $f) {
    $rel = str_replace(chr(92), '/', substr($f->getPathname(), strlen($root) + 1));
    if (preg_match($skip, $rel) && !preg_match('#^(backups|uploads|plugins)/(\.htaccess|README\.md)$#', $rel)) continue;
    if ($f->isDir()) { @mkdir($tmp . '/' . $rel, 0755, true); continue; }
    @mkdir(dirname($tmp . '/' . $rel), 0755, true);
    copy($f->getPathname(), $tmp . '/' . $rel);
}
@mkdir($tmp . '/uploads');
@mkdir($tmp . '/config');
file_put_contents($tmp . '/config/config.php', '<?php return ' . var_export([
    'app_key' => bin2hex(random_bytes(32)),
    'db' => ['driver' => 'sqlite', 'sqlite_path' => $tmp . '/database/deskhub.sqlite'],
    'site' => ['name' => 'Test', 'url' => 'http://127.0.0.1', 'admin_email' => 'a@test.de', 'timezone' => 'Europe/Berlin'],
    'uploads' => ['max_size_bytes' => 10485760, 'allowed_extensions' => ['png'], 'path' => $tmp . '/uploads'],
], true) . ';');

putenv('DESKHUB_CONFIG_JSON');
putenv('DESKHUB_SQLITE_PATH');
putenv('DESKHUB_TESTING');
putenv('DESKHUB_API_ALLOW_INSECURE=1');
require_once $root . '/database/sqlite_schema.php';
require_once $root . '/database/migrate.php';
$db = new PDO('sqlite:' . $tmp . '/database/deskhub.sqlite');
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$db->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
$db->exec('PRAGMA foreign_keys = ON');
$db->exec(convert_schema_to_sqlite((string) file_get_contents($root . '/database/schema.sql')));
$mig = run_migrations($db, true);
$now = date('Y-m-d H:i:s');
$dept = (int) $db->query('SELECT id FROM departments ORDER BY id LIMIT 1')->fetchColumn();
$db->exec('DELETE FROM staff');
$ins = $db->prepare('INSERT INTO staff (name, email, password_hash, role, department_id, is_active, created_at) VALUES (?,?,?,?,?,1,?)');
$ids = [];
foreach ([['Chef', 'chef@test.de', 'admin'], ['Agent', 'agent@test.de', 'agent'], ['Andere', 'andere@test.de', 'agent']] as [$n, $e, $r]) {
    $ins->execute([$n, $e, password_hash('Sehr-Sicher-1234', PASSWORD_DEFAULT), $r, $dept, $now]);
    $ids[$n] = (int) $db->lastInsertId();
}
$db = null;

$failures = [];
$total = 0;
$check = function (bool $ok, string $what) use (&$failures, &$total): void { $total++; if (!$ok) $failures[] = $what; };
$webProc = proc_open([PHP_BINARY, '-S', "127.0.0.1:$webPort", '-t', $tmp], [['pipe', 'r'], ['file', $work . '/web.out', 'w'], ['file', $work . '/web.out', 'a']], $wp, $tmp);

try {
    for ($i = 0; $i < 50; $i++) { if (@fsockopen('127.0.0.1', $webPort)) break; usleep(100000); }
    $pdo = function () use ($tmp): PDO {
        $p = new PDO('sqlite:' . $tmp . '/database/deskhub.sqlite');
        $p->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
        $p->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
        return $p;
    };
    $call = function (string $method, string $path, ?array $json = null, ?string $bearer = null, array $form = [], string $jar = '', array $extra = []) use ($webPort): array {
        $ch = curl_init("http://127.0.0.1:$webPort$path");
        $h = array_merge($json !== null ? ['Content-Type: application/json'] : [], $extra);
        if ($bearer) $h[] = 'Authorization: Bearer ' . $bearer;
        curl_setopt_array($ch, [CURLOPT_RETURNTRANSFER => true, CURLOPT_FOLLOWLOCATION => false, CURLOPT_TIMEOUT => 60, CURLOPT_HTTPHEADER => $h]);
        if ($jar !== '') { curl_setopt($ch, CURLOPT_COOKIEJAR, $jar); curl_setopt($ch, CURLOPT_COOKIEFILE, $jar); }
        if ($method === 'POST') { curl_setopt($ch, CURLOPT_POST, true); curl_setopt($ch, CURLOPT_POSTFIELDS, $json !== null ? json_encode($json) : http_build_query($form)); }
        $b = (string) curl_exec($ch);
        $s = (int) curl_getinfo($ch, CURLINFO_RESPONSE_CODE);
        curl_close($ch);
        return [$s, json_decode($b, true) ?? $b];
    };
    $login = function (string $email) use ($call): string {
        [, $r] = $call('POST', '/api/staff/v1/login.php', ['email' => $email, 'password' => 'Sehr-Sicher-1234', 'deviceName' => 'T']);
        return (string) ($r['token'] ?? '');
    };
    $chef = $login('chef@test.de');
    $agent = $login('agent@test.de');
    $other = $login('andere@test.de');
    $check($chef !== '' && $agent !== '' && $other !== '', 'Anmeldung über die Mitarbeiter-API');

    $prio = (int) $pdo()->query('SELECT id FROM priorities ORDER BY id LIMIT 1')->fetchColumn();
    $mkTicket = function (string $number, string $source = 'web') use ($pdo, $dept, $prio): void {
        $n = date('Y-m-d H:i:s');
        $pdo()->prepare('INSERT INTO tickets (ticket_number, subject, requester_name, requester_email, department_id, priority_id, status, source, created_at, updated_at) VALUES (?,?,?,?,?,?,?,?,?,?)')
            ->execute([$number, 'Testticket ' . $number, 'Kunde', 'kunde@example.org', $dept, $prio, 'open', $source, $n, $n]);
    };
    $lockedBy = fn(string $number) => $pdo()->query("SELECT locked_by FROM tickets WHERE ticket_number = '$number'")->fetchColumn();
    $mkTicket('T-LOCK-1');

    // Mitarbeiter A öffnet das Ticket und besitzt danach die Sperre
    [$s, $r] = $call('GET', '/api/staff/v1/ticket.php?number=T-LOCK-1', null, $agent);
    $check($s === 200 && (int) $lockedBy('T-LOCK-1') === $ids['Agent'] && array_key_exists('lockedBy', $r['ticket'] ?? []) && $r['ticket']['lockedBy'] === null, 'Mitarbeiter öffnet das Ticket und bekommt die Sperre (HTTP ' . $s . ')');
    // anderer Mitarbeiter: wie bisher gesperrt
    [$s, $r] = $call('GET', '/api/staff/v1/ticket.php?number=T-LOCK-1', null, $other);
    $check($s === 409 && str_contains(json_encode($r), 'Agent'), 'Anderer Mitarbeiter bekommt weiter den Hinweis „wird gerade bearbeitet“ (HTTP ' . $s . ')');
    [$s] = $call('POST', '/api/staff/v1/ticket_message.php', ['number' => 'T-LOCK-1', 'type' => 'note', 'message' => 'Fremd'], $other);
    $check($s === 409, 'Anderer Mitarbeiter darf nicht schreiben (HTTP ' . $s . ')');
    // Admin: darf lesen, Sperre bleibt beim anderen
    [$s, $r] = $call('GET', '/api/staff/v1/ticket.php?number=T-LOCK-1', null, $chef);
    $check($s === 200 && ($r['ticket']['lockedBy'] ?? '') === 'Agent' && ($r['ticket']['canUnlock'] ?? false) === true, 'Admin kann das gesperrte Ticket lesen und sieht, wer es bearbeitet (HTTP ' . $s . ' ' . json_encode([$r['ticket']['lockedBy'] ?? 'FEHLT', $r['ticket']['canUnlock'] ?? 'FEHLT']) . ')');
    $check((int) $lockedBy('T-LOCK-1') === $ids['Agent'], 'Die Sperre des anderen bleibt dabei bestehen');
    // Admin darf bearbeiten
    [$s] = $call('POST', '/api/staff/v1/ticket_message.php', ['number' => 'T-LOCK-1', 'type' => 'reply', 'message' => 'Antwort vom Admin'], $chef);
    $check($s === 201, 'Admin kann auf ein gesperrtes Ticket antworten (HTTP ' . $s . ')');
    [$s] = $call('POST', '/api/staff/v1/ticket_message.php', ['number' => 'T-LOCK-1', 'type' => 'note', 'message' => 'Notiz vom Admin'], $chef);
    $check($s === 201, 'und Notizen schreiben (HTTP ' . $s . ')');

    // Sperre aufheben
    [$s] = $call('POST', '/api/staff/v1/ticket_unlock.php', ['number' => 'T-LOCK-1'], $other);
    $check($s === 403 && (int) $lockedBy('T-LOCK-1') === $ids['Agent'], 'Normaler Mitarbeiter darf die Sperre eines anderen nicht aufheben (HTTP ' . $s . ')');
    [$s, $r] = $call('POST', '/api/staff/v1/ticket_unlock.php', ['number' => 'T-LOCK-1'], $chef);
    $check($s === 200 && ($r['unlocked'] ?? false) === true && $lockedBy('T-LOCK-1') === null, 'Admin hebt die Sperre eines anderen auf (HTTP ' . $s . ')');
    $log = $pdo()->query("SELECT COUNT(*) FROM activity_log WHERE action LIKE 'Sperre von%'")->fetchColumn();
    $check((int) $log === 1, 'Das Aufheben steht im Ticket-Verlauf');
    [$s] = $call('GET', '/api/staff/v1/ticket.php?number=T-LOCK-1', null, $other);
    $check($s === 200 && (int) $lockedBy('T-LOCK-1') === $ids['Andere'], 'Danach kann der andere Mitarbeiter das Ticket öffnen (HTTP ' . $s . ')');
    // eigene Sperre selbst freigeben
    [$s] = $call('POST', '/api/staff/v1/ticket_unlock.php', ['number' => 'T-LOCK-1'], $other);
    $check($s === 200 && $lockedBy('T-LOCK-1') === null, 'Jeder darf die eigene Sperre freigeben');
    [$s, $r] = $call('POST', '/api/staff/v1/ticket_unlock.php', ['number' => 'T-LOCK-1'], $other);
    $check($s === 200 && ($r['unlocked'] ?? true) === false, 'Freigeben ohne Sperre ist harmlos');

    // Live-Chat: Admin wird nie ausgesperrt
    $mkTicket('T-LOCK-CHAT', 'chat');
    $call('GET', '/api/staff/v1/ticket.php?number=T-LOCK-CHAT', null, $agent);
    [$s, $r] = $call('GET', '/api/staff/v1/ticket.php?number=T-LOCK-CHAT', null, $other);
    $check($s === 200 && !empty($r['ticket']['lockedByOtherName']), 'Live-Chat: anderer Mitarbeiter ist nur Zuschauer ' . json_encode($r['ticket']['lockedByOtherName'] ?? 'FEHLT'));
    [$s, $r] = $call('GET', '/api/staff/v1/ticket.php?number=T-LOCK-CHAT', null, $chef);
    $check($s === 200 && empty($r['ticket']['lockedByOtherName']), 'Live-Chat: Admin wird nicht ausgesperrt');
    [$s] = $call('POST', '/api/staff/v1/ticket_message.php', ['number' => 'T-LOCK-CHAT', 'type' => 'reply', 'message' => 'Hallo vom Admin'], $chef);
    $check($s === 201, 'Live-Chat: Admin darf antworten (HTTP ' . $s . ')');

    // Weboberfläche
    $mkTicket('T-LOCK-WEB');
    $call('GET', '/api/staff/v1/ticket.php?number=T-LOCK-WEB', null, $agent);   // Agent hält die Sperre
    $webLogin = function (string $email) use ($call): string {
        $jar = tempnam(sys_get_temp_dir(), 'lck');
        [, $lp] = $call('GET', '/staff/login.php', null, null, [], $jar);
        preg_match('/name="csrf_token" value="([a-f0-9]+)"/', is_string($lp) ? $lp : '', $m);
        $call('POST', '/staff/login.php', null, null, ['csrf_token' => $m[1] ?? '', 'email' => $email, 'password' => 'Sehr-Sicher-1234'], $jar);
        return $jar;
    };
    $jarChef = $webLogin('chef@test.de');
    $jarOther = $webLogin('andere@test.de');
    [$s, $page] = $call('GET', '/staff/ticket_view.php?n=T-LOCK-WEB', null, null, [], $jarOther, ['Sec-Fetch-Mode: navigate']);
    $check($s === 302, 'Web: normaler Mitarbeiter wird bei gesperrtem Ticket weitergeleitet (HTTP ' . $s . ')');
    [$s, $page] = $call('GET', '/staff/ticket_view.php?n=T-LOCK-WEB', null, null, [], $jarChef, ['Sec-Fetch-Mode: navigate']);
    $page = is_string($page) ? $page : '';
    $check($s === 200 && str_contains($page, 'Sperre aufheben und übernehmen') && str_contains($page, 'Testticket T-LOCK-WEB'), 'Web: Admin öffnet das gesperrte Ticket und sieht den Hinweis mit Knopf (HTTP ' . $s . ')');
    $check((int) $lockedBy('T-LOCK-WEB') === $ids['Agent'], 'Web: die Sperre des anderen bleibt beim Lesen bestehen');
    preg_match('/name="csrf_token" value="([a-f0-9]+)"[^>]*>\s*<input type="hidden" name="action" value="admin_force_unlock"/', $page, $m);
    [$s] = $call('POST', '/staff/ticket_view.php?n=T-LOCK-WEB', null, null, ['csrf_token' => $m[1] ?? '', 'action' => 'admin_force_unlock', 'locked_by_name' => 'Agent'], $jarChef);
    $check($s === 302 && $lockedBy('T-LOCK-WEB') === null, 'Web: „Sperre aufheben und übernehmen“ funktioniert (HTTP ' . $s . ')');
    [$s, $page] = $call('GET', '/staff/ticket_view.php?n=T-LOCK-WEB', null, null, [], $jarChef, ['Sec-Fetch-Mode: navigate']);
    $check($s === 200 && (int) $lockedBy('T-LOCK-WEB') === $ids['Chef'], 'Web: danach besitzt der Admin die Sperre');
    // ── Mehrere Tabs: der CSRF-Token bleibt für die Sitzung gleich (kein "Token ungültig" nach dem Absenden in einem anderen Tab) ──
    $tokenOf = function (string $jar, string $path) use ($call): string {
        [, $p] = $call('GET', $path, null, null, [], $jar, ['Sec-Fetch-Mode: navigate']);
        preg_match('/name="csrf_token" value="([a-f0-9]+)"/', is_string($p) ? $p : '', $mm);
        return $mm[1] ?? '';
    };
    $mkTicket('T-TAB-1');
    $mkTicket('T-TAB-2');
    $tab1 = $tokenOf($jarChef, '/staff/ticket_view.php?n=T-TAB-1');
    $tab2 = $tokenOf($jarChef, '/staff/ticket_view.php?n=T-TAB-2');
    $check($tab1 !== '' && $tab1 === $tab2, 'Zwei Tabs bekommen denselben CSRF-Token');
    [$s] = $call('POST', '/staff/ticket_view.php?n=T-TAB-1', null, null, ['csrf_token' => $tab1, 'action' => 'release_lock'], $jarChef);
    $check($s === 302, 'Absenden im ersten Tab klappt (HTTP ' . $s . ')');
    [$s] = $call('POST', '/staff/ticket_view.php?n=T-TAB-2', null, null, ['csrf_token' => $tab2, 'action' => 'release_lock'], $jarChef);
    $check($s === 302, 'Danach klappt auch das Absenden im zweiten Tab mit dem älteren Token (HTTP ' . $s . ')');
    [$s, $body] = $call('POST', '/staff/ticket_view.php?n=T-TAB-2', null, null, ['csrf_token' => 'falsch', 'action' => 'release_lock'], $jarChef);
    $check($s === 403, 'Ein falscher Token wird weiterhin abgelehnt (HTTP ' . $s . ')');
    [$s] = $call('POST', '/staff/ticket_view.php?n=T-TAB-2', null, null, ['action' => 'release_lock'], $jarChef);
    $check($s === 403, 'Ohne Token wird abgelehnt (HTTP ' . $s . ')');
    $jarNew = $webLogin('chef@test.de');
    $check($tokenOf($jarNew, '/staff/availability.php') !== $tab1, 'Nach einer neuen Anmeldung gibt es einen neuen Token');
    @unlink($jarNew);

    // ── Beim Öffnen zuweisen ──
    $assignee = fn(string $number) => $pdo()->query("SELECT assigned_staff_id FROM tickets WHERE ticket_number = '$number'")->fetchColumn();
    $mkTicket('T-OPEN-1');
    [$s, $r] = $call('GET', '/api/staff/v1/ticket.php?number=T-OPEN-1', null, $agent);
    $check($s === 200 && (int) $assignee('T-OPEN-1') === $ids['Agent'] && ($r['ticket']['assignedStaff']['name'] ?? '') === 'Agent', 'Öffnen eines unzugewiesenen Tickets weist es dem Öffnenden zu (App/API) (HTTP ' . $s . ')');
    $logged = $pdo()->query("SELECT COUNT(*) FROM activity_log a JOIN tickets t ON t.id = a.ticket_id WHERE t.ticket_number = 'T-OPEN-1' AND a.action = 'Beim Öffnen automatisch zugewiesen'")->fetchColumn();
    $check((int) $logged === 1, 'Das steht im Ticket-Verlauf');
    $call('POST', '/api/staff/v1/ticket_unlock.php', ['number' => 'T-OPEN-1'], $agent);
    [$s] = $call('GET', '/api/staff/v1/ticket.php?number=T-OPEN-1', null, $other);
    $check($s === 200 && (int) $assignee('T-OPEN-1') === $ids['Agent'], 'Ein bereits zugewiesenes Ticket bleibt beim Bearbeiter, auch wenn ein anderer es öffnet');
    $call('POST', '/api/staff/v1/ticket_unlock.php', ['number' => 'T-OPEN-1'], $other);
    $mkTicket('T-OPEN-2');
    $pdo()->exec("UPDATE tickets SET status = 'closed' WHERE ticket_number = 'T-OPEN-2'");
    $call('GET', '/api/staff/v1/ticket.php?number=T-OPEN-2', null, $agent);
    $check($assignee('T-OPEN-2') === null, 'Geschlossene Tickets werden beim Öffnen nicht zugewiesen');
    $mkTicket('T-OPEN-3');
    $call('GET', '/api/staff/v1/ticket.php?number=T-OPEN-3', null, $agent);   // Agent hält die Sperre und ist zugewiesen
    $pdo()->exec("UPDATE tickets SET assigned_staff_id = NULL WHERE ticket_number = 'T-OPEN-3'");
    $call('GET', '/api/staff/v1/ticket.php?number=T-OPEN-3', null, $chef);    // Admin schaut nur, die Sperre des Agenten besteht
    $check($assignee('T-OPEN-3') === null, 'Ein Admin, der ein fremd gesperrtes Ticket nur ansieht, bekommt es nicht zugewiesen');
    $pdo()->exec("INSERT OR REPLACE INTO settings (setting_key, setting_value) VALUES ('auto_assign_on_open', '0')");
    $mkTicket('T-OPEN-4');
    $call('GET', '/api/staff/v1/ticket.php?number=T-OPEN-4', null, $other);
    $check($assignee('T-OPEN-4') === null, 'Ausgeschaltet in den Einstellungen: keine Zuweisung beim Öffnen');
    $pdo()->exec("DELETE FROM settings WHERE setting_key = 'auto_assign_on_open'");
    // Weboberfläche
    $mkTicket('T-OPEN-5');
    [$s] = $call('GET', '/staff/ticket_view.php?n=T-OPEN-5', null, null, [], $jarChef, ['Sec-Fetch-Mode: navigate']);
    $check($s === 200 && (int) $assignee('T-OPEN-5') === $ids['Chef'], 'Auch im Browser: Öffnen weist das Ticket zu (HTTP ' . $s . ')');

    // Ticketliste: Spalte mit der letzten Aktivität (Eingang im Tooltip)
    [$s, $list] = $call('GET', '/staff/tickets.php', null, null, [], $jarChef, ['Sec-Fetch-Mode: navigate']);
    $list = is_string($list) ? $list : '';
    $check($s === 200 && str_contains($list, '<th>Letzte Aktivität</th>') && str_contains($list, date('d.m.Y ')), 'Ticketliste zeigt die Spalte „Letzte Aktivität“ mit Datum und Uhrzeit (HTTP ' . $s . ', ' . strlen($list) . ' Zeichen, Tabelle: ' . (str_contains($list, '<table') ? 'ja' : 'nein') . ', leer: ' . (str_contains($list, 'Keine Tickets') ? 'ja' : 'nein') . ')');

    @unlink($jarChef);
    @unlink($jarOther);
} finally {
    if (isset($webProc) && is_resource($webProc)) { proc_terminate($webProc); proc_close($webProc); }
}

usleep(300000);
$rm = function (string $d) use (&$rm) {
    foreach (scandir($d) ?: [] as $e) { if ($e === '.' || $e === '..') continue; is_dir("$d/$e") && !is_link("$d/$e") ? $rm("$d/$e") : @unlink("$d/$e"); }
    @rmdir($d);
};
if (str_starts_with($work, sys_get_temp_dir() . '/deskhub-lock-')) $rm($work);

if ($failures) {
    fwrite(STDERR, "Fehlgeschlagen:\n - " . implode("\n - ", $failures) . "\n");
    exit(1);
}
echo "Ticket lock checks passed ({$total} Prüfungen).\n";