<?php
declare(strict_types=1);

/**
 * Prüft „Von allen Geräten abmelden“ über die echte Weboberfläche und die Mitarbeiter-API: eigene Abmeldung („alle anderen“ und „auch hier“),
 * Abmeldung durch einen Administrator, und dass App-Anmeldungen danach nicht mehr gelten.
 */

if (!extension_loaded('pdo_sqlite') || !function_exists('curl_init')) { echo "Abmelde-Web-Test übersprungen: pdo_sqlite oder curl fehlt.\n"; exit(0); }

date_default_timezone_set('Europe/Berlin');
$root = dirname(__DIR__);
$work = sys_get_temp_dir() . '/deskhub-sow-' . bin2hex(random_bytes(4));
$tmp = $work . '/inst';
mkdir($tmp, 0755, true);
$webPort = random_int(34500, 34999);
$skip = '#^(config/config\.php|database/[^/]+\.sqlite[^/]*|backups|uploads|tests|plugins/[^/]+|\.git)(/|$)#';
foreach (new RecursiveIteratorIterator(new RecursiveDirectoryIterator($root, FilesystemIterator::SKIP_DOTS), RecursiveIteratorIterator::SELF_FIRST) as $f) {
    $rel = str_replace(chr(92), '/', substr($f->getPathname(), strlen($root) + 1));
    if (preg_match($skip, $rel) && !preg_match('#^(backups|uploads|plugins)/(\.htaccess|README\.md)$#', $rel)) continue;
    if ($f->isDir()) { @mkdir($tmp . '/' . $rel, 0755, true); continue; }
    @mkdir(dirname($tmp . '/' . $rel), 0755, true);
    copy($f->getPathname(), $tmp . '/' . $rel);
}
@mkdir($tmp . '/uploads');
@mkdir($tmp . '/config');
file_put_contents($tmp . '/config/config.php', '<?php return ' . var_export([
    'app_key' => bin2hex(random_bytes(32)),
    'db' => ['driver' => 'sqlite', 'sqlite_path' => $tmp . '/database/deskhub.sqlite'],
    'site' => ['name' => 'Test', 'url' => 'http://127.0.0.1', 'admin_email' => 'a@test.de', 'timezone' => 'Europe/Berlin'],
    'uploads' => ['max_size_bytes' => 10485760, 'allowed_extensions' => ['png'], 'path' => $tmp . '/uploads'],
], true) . ';');

putenv('DESKHUB_CONFIG_JSON');
putenv('DESKHUB_SQLITE_PATH');
putenv('DESKHUB_TESTING');
putenv('DESKHUB_API_ALLOW_INSECURE=1');
require_once $root . '/database/sqlite_schema.php';
require_once $root . '/database/migrate.php';
$db = new PDO('sqlite:' . $tmp . '/database/deskhub.sqlite');
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$db->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
$db->exec('PRAGMA foreign_keys = ON');
$db->exec(convert_schema_to_sqlite((string) file_get_contents($root . '/database/schema.sql')));
run_migrations($db, true);
$now = date('Y-m-d H:i:s');
$dept = (int) $db->query('SELECT id FROM departments ORDER BY id LIMIT 1')->fetchColumn();
$db->exec('DELETE FROM staff');
$ins = $db->prepare('INSERT INTO staff (name, email, password_hash, role, department_id, is_active, created_at) VALUES (?,?,?,?,?,1,?)');
foreach ([['Chef', 'chef@test.de', 'admin'], ['Eva', 'eva@test.de', 'agent'], ['Max', 'max@test.de', 'agent']] as [$n, $e, $r]) {
    $ins->execute([$n, $e, password_hash('Sehr-Sicher-1234', PASSWORD_DEFAULT), $r, $dept, $now]);
}
$evaId = (int) $db->query("SELECT id FROM staff WHERE email = 'eva@test.de'")->fetchColumn();
$db = null;

$failures = [];
$total = 0;
$check = function (bool $ok, string $what) use (&$failures, &$total): void { $total++; if (!$ok) $failures[] = $what; };
$webProc = proc_open([PHP_BINARY, '-S', "127.0.0.1:$webPort", '-t', $tmp], [['pipe', 'r'], ['file', $work . '/web.out', 'w'], ['file', $work . '/web.out', 'a']], $wp, $tmp);

try {
    for ($i = 0; $i < 50; $i++) { if (@fsockopen('127.0.0.1', $webPort)) break; usleep(100000); }
    $pdo = function () use ($tmp): PDO {
        $p = new PDO('sqlite:' . $tmp . '/database/deskhub.sqlite');
        $p->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
        $p->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
        return $p;
    };
    $call = function (string $method, string $path, array $form, string $jar, ?string $bearer = null, ?array $json = null) use ($webPort): array {
        $ch = curl_init("http://127.0.0.1:$webPort$path");
        $h = ['Sec-Fetch-Mode: navigate'];
        if ($json !== null) $h[] = 'Content-Type: application/json';
        if ($bearer) $h[] = 'Authorization: Bearer ' . $bearer;
        curl_setopt_array($ch, [CURLOPT_RETURNTRANSFER => true, CURLOPT_FOLLOWLOCATION => false, CURLOPT_TIMEOUT => 60, CURLOPT_HEADER => true, CURLOPT_HTTPHEADER => $h]);
        if ($jar !== '') { curl_setopt($ch, CURLOPT_COOKIEJAR, $jar); curl_setopt($ch, CURLOPT_COOKIEFILE, $jar); }
        if ($method === 'POST') { curl_setopt($ch, CURLOPT_POST, true); curl_setopt($ch, CURLOPT_POSTFIELDS, $json !== null ? json_encode($json) : http_build_query($form)); }
        $raw = (string) curl_exec($ch);
        $s = (int) curl_getinfo($ch, CURLINFO_RESPONSE_CODE);
        $hs = (int) curl_getinfo($ch, CURLINFO_HEADER_SIZE);
        curl_close($ch);
        return [$s, substr($raw, $hs), substr($raw, 0, $hs)];
    };
    $login = function (string $email) use ($call): string {
        $jar = tempnam(sys_get_temp_dir(), 'sow');
        [, $lp] = $call('GET', '/staff/login.php', [], $jar);
        preg_match('/name="csrf_token" value="([a-f0-9]+)"/', $lp, $m);
        $call('POST', '/staff/login.php', ['csrf_token' => $m[1] ?? '', 'email' => $email, 'password' => 'Sehr-Sicher-1234'], $jar);
        return $jar;
    };
    $csrf = function (string $path, string $jar) use ($call): string {
        [, $p] = $call('GET', $path, [], $jar);
        preg_match('/name="csrf_token" value="([a-f0-9]+)"/', $p, $mm);
        return $mm[1] ?? '';
    };
    $loggedIn = function (string $jar) use ($call): bool {
        [$s, $b] = $call('GET', '/staff/profile.php?tab=security', [], $jar);
        return $s === 200 && str_contains($b, 'Von allen Geräten abmelden');
    };
    $apiToken = function (string $email) use ($call): string {
        [, $b] = $call('POST', '/api/staff/v1/login.php', [], '', null, ['email' => $email, 'password' => 'Sehr-Sicher-1234', 'deviceName' => 'Test-Gerät']);
        return (string) (json_decode($b, true)['token'] ?? '');
    };
    $apiOk = fn(string $tok) => $call('GET', '/api/staff/v1/me.php', [], '', $tok)[0];

    $jarA = $login('eva@test.de');
    $jarB = $login('eva@test.de');
    $jarMax = $login('max@test.de');
    $jarChef = $login('chef@test.de');
    $tokEva = $apiToken('eva@test.de');
    $tokMax = $apiToken('max@test.de');
    $check($loggedIn($jarA) && $loggedIn($jarB) && $loggedIn($jarMax) && $tokEva !== '' && $apiOk($tokEva) === 200, 'Vorher: zwei Browser, eine App-Anmeldung und Max sind angemeldet');
    [, $page] = $call('GET', '/staff/profile.php?tab=security', [], $jarA);
    $check(str_contains($page, 'Angemeldete Apps') && str_contains($page, 'Test-Gerät') && str_contains($page, 'Alle anderen Geräte abmelden'), 'Profil zeigt die angemeldeten Apps und beide Knöpfe');

    sleep(1);
    // Eigene Abmeldung: alle anderen Geräte
    $t = $csrf('/staff/profile.php?tab=security', $jarA);
    [$s] = $call('POST', '/staff/profile.php?tab=security', ['csrf_token' => $t, 'action' => 'sign_out_everywhere', 'scope' => 'others'], $jarA);
    $check($s === 302, 'Web: „Alle anderen Geräte abmelden“ wird angenommen (HTTP ' . $s . ')');
    $check($loggedIn($jarA), 'Web: die Sitzung, von der aus abgemeldet wurde, bleibt angemeldet');
    $check(!$loggedIn($jarB), 'Web: der andere Browser ist abgemeldet');
    $check($apiOk($tokEva) === 401, 'API: die App-Anmeldung gilt nicht mehr (HTTP ' . $apiOk($tokEva) . ')');
    $check($loggedIn($jarMax) && $apiOk($tokMax) === 200, 'Andere Mitarbeiter bleiben angemeldet');
    $check($pdo()->query("SELECT COUNT(*) FROM login_events WHERE event = 'signout' AND staff_id = {$evaId}")->fetchColumn() == 1, 'Protokoll: ein Eintrag „Überall abgemeldet“');

    // Danach neu anmelden geht wieder
    sleep(2);
    $jarB2 = $login('eva@test.de');
    $check($loggedIn($jarB2), 'Nach dem Abmelden ist eine neue Anmeldung wieder gültig');
    $tokEva2 = $apiToken('eva@test.de');
    $check($apiOk($tokEva2) === 200, 'auch in der App');

    // Eigene Abmeldung: überall, auch hier
    sleep(1);
    $t = $csrf('/staff/profile.php?tab=security', $jarA);
    [$s, , $hdr] = $call('POST', '/staff/profile.php?tab=security', ['csrf_token' => $t, 'action' => 'sign_out_everywhere', 'scope' => 'all'], $jarA);
    $check($s === 302 && str_contains($hdr, 'login.php'), 'Web: „auch hier“ führt zur Anmeldeseite (HTTP ' . $s . ')');
    $check(!$loggedIn($jarA) && !$loggedIn($jarB2) && $apiOk($tokEva2) === 401, 'danach ist wirklich nichts mehr angemeldet');

    // Administrator meldet einen Mitarbeiter ab
    sleep(2);
    $jarE = $login('eva@test.de');
    $tokE = $apiToken('eva@test.de');
    $check($loggedIn($jarE) && $apiOk($tokE) === 200, 'Eva ist wieder angemeldet');
    [, $page] = $call('GET', '/staff/staff_manage.php', [], $jarChef);
    $check(str_contains($page, 'Überall abmelden'), 'Mitarbeiterverwaltung zeigt „Überall abmelden“');
    $check(preg_match('/\.sm-menu-list\s*\{\s*position:fixed/', $page) === 1, 'Aktionsmenü ist frei positioniert (wird vom Tabellenrahmen nicht abgeschnitten)');
    $t = $csrf('/staff/staff_manage.php', $jarChef);
    [$s] = $call('POST', '/staff/staff_manage.php', ['csrf_token' => $t, 'action' => 'sign_out_all', 'id' => $evaId], $jarChef);
    $check($s === 302, 'Administrator: „Überall abmelden“ wird angenommen (HTTP ' . $s . ')');
    $check(!$loggedIn($jarE) && $apiOk($tokE) === 401, 'Eva ist danach überall abgemeldet');
    $check($loggedIn($jarChef) && $loggedIn($jarMax), 'Administrator und Max bleiben angemeldet');
    $ev = $pdo()->query("SELECT detail FROM login_events WHERE event = 'signout' ORDER BY id DESC LIMIT 1")->fetchColumn();
    $check(str_contains((string) $ev, 'Administrator'), 'Protokoll nennt den Administrator');
    // Normaler Mitarbeiter darf das bei anderen nicht
    $maxId = (int) $pdo()->query("SELECT id FROM staff WHERE email = 'max@test.de'")->fetchColumn();
    $jarE2 = $login('eva@test.de');
    $t = $csrf('/staff/profile.php', $jarE2);
    $call('POST', '/staff/staff_manage.php', ['csrf_token' => $t, 'action' => 'sign_out_all', 'id' => $maxId], $jarE2);
    $check($loggedIn($jarMax) && $apiOk($tokMax) === 200, 'Ein normaler Mitarbeiter kann niemand anderen abmelden');
    foreach ([$jarA, $jarB, $jarB2, $jarMax, $jarChef, $jarE, $jarE2] as $j) @unlink($j);
} finally {
    if (is_resource($webProc)) { proc_terminate($webProc); proc_close($webProc); }
    $rm = function (string $d) use (&$rm): void { foreach (glob($d . '/{,.}*', GLOB_BRACE) ?: [] as $e) { $b = basename($e); if ($b === '.' || $b === '..') continue; is_dir($e) ? $rm($e) : @unlink($e); } @rmdir($d); };
    $rm($work);
}

if ($failures) {
    fwrite(STDERR, "Fehlgeschlagen:\n - " . implode("\n - ", $failures) . "\n");
    exit(1);
}
echo "Sign out web checks passed ({$total} Prüfungen).\n";