<?php
declare(strict_types=1);

/**
 * Prüft die automatische Abmeldung nach Inaktivität: Hintergrund-Abfragen der offenen Seiten verlängern die Sitzung nicht, nur echte Bedienung
 * (vom Nutzer ausgelöste Seitenaufrufe, Ping bei Klicks und Tastatur); abgelaufene Sitzungen führen zur Anmeldung bzw. antworten mit 401.
 */

if (!extension_loaded('pdo_sqlite') || !function_exists('curl_init')) { echo "Aktivitäts-Test übersprungen: pdo_sqlite oder curl fehlt.\n"; exit(0); }

date_default_timezone_set('Europe/Berlin'); // wie in der Test-Installation
$root = dirname(__DIR__);
$work = sys_get_temp_dir() . '/deskhub-session-' . bin2hex(random_bytes(4));
$tmp = $work . '/inst';
mkdir($tmp, 0755, true);
$webPort = random_int(34500, 34999);
$skip = '#^(config/config\.php|database/[^/]+\.sqlite[^/]*|backups|uploads|tests|plugins/[^/]+|\.git)(/|$)#';
foreach (new RecursiveIteratorIterator(new RecursiveDirectoryIterator($root, FilesystemIterator::SKIP_DOTS), RecursiveIteratorIterator::SELF_FIRST) as $f) {
    $rel = str_replace(chr(92), '/', substr($f->getPathname(), strlen($root) + 1));
    if (preg_match($skip, $rel) && !preg_match('#^(backups|uploads|plugins)/(\.htaccess|README\.md)$#', $rel)) continue;
    if ($f->isDir()) { @mkdir($tmp . '/' . $rel, 0755, true); continue; }
    @mkdir(dirname($tmp . '/' . $rel), 0755, true);
    copy($f->getPathname(), $tmp . '/' . $rel);
}
@mkdir($tmp . '/uploads');
@mkdir($tmp . '/config');
file_put_contents($tmp . '/config/config.php', '<?php return ' . var_export([
    'app_key' => bin2hex(random_bytes(32)),
    'db' => ['driver' => 'sqlite', 'sqlite_path' => $tmp . '/database/deskhub.sqlite'],
    'site' => ['name' => 'Test', 'url' => 'http://127.0.0.1', 'admin_email' => 'a@test.de', 'timezone' => 'Europe/Berlin'],
    'uploads' => ['max_size_bytes' => 10485760, 'allowed_extensions' => ['png'], 'path' => $tmp . '/uploads'],
], true) . ';');

putenv('DESKHUB_CONFIG_JSON');
putenv('DESKHUB_SQLITE_PATH');
putenv('DESKHUB_TESTING');
putenv('DESKHUB_API_ALLOW_INSECURE=1');
require_once $root . '/database/sqlite_schema.php';
require_once $root . '/database/migrate.php';
$db = new PDO('sqlite:' . $tmp . '/database/deskhub.sqlite');
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$db->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
$db->exec('PRAGMA foreign_keys = ON');
$db->exec(convert_schema_to_sqlite((string) file_get_contents($root . '/database/schema.sql')));
$mig = run_migrations($db, true);
$now = date('Y-m-d H:i:s');
$dept = (int) $db->query('SELECT id FROM departments ORDER BY id LIMIT 1')->fetchColumn();
$db->exec('DELETE FROM staff');
$ins = $db->prepare('INSERT INTO staff (name, email, password_hash, role, department_id, is_active, created_at) VALUES (?,?,?,?,?,1,?)');
$ids = [];
foreach ([['Chef', 'chef@test.de', 'admin'], ['Agent', 'agent@test.de', 'agent'], ['Andere', 'andere@test.de', 'agent']] as [$n, $e, $r]) {
    $ins->execute([$n, $e, password_hash('Sehr-Sicher-1234', PASSWORD_DEFAULT), $r, $dept, $now]);
    $ids[$n] = (int) $db->lastInsertId();
}
$db = null;

$failures = [];
$total = 0;
$check = function (bool $ok, string $what) use (&$failures, &$total): void { $total++; if (!$ok) $failures[] = $what; };
$webProc = proc_open([PHP_BINARY, '-S', "127.0.0.1:$webPort", '-t', $tmp], [['pipe', 'r'], ['file', $work . '/web.out', 'w'], ['file', $work . '/web.out', 'a']], $wp, $tmp);

try {
    for ($i = 0; $i < 50; $i++) { if (@fsockopen('127.0.0.1', $webPort)) break; usleep(100000); }
    $savePath = rtrim((string) (ini_get('session.save_path') ?: sys_get_temp_dir()), '/\\');
    if (str_contains($savePath, ';')) $savePath = substr($savePath, strrpos($savePath, ';') + 1);
    $call = function (string $method, string $path, string $jar, array $headers = [], array $form = []) use ($webPort): array {
        $ch = curl_init("http://127.0.0.1:$webPort$path");
        curl_setopt_array($ch, [CURLOPT_RETURNTRANSFER => true, CURLOPT_FOLLOWLOCATION => false, CURLOPT_TIMEOUT => 60, CURLOPT_HTTPHEADER => $headers, CURLOPT_COOKIEJAR => $jar, CURLOPT_COOKIEFILE => $jar]);
        if ($method === 'POST') { curl_setopt($ch, CURLOPT_POST, true); curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($form)); }
        $b = (string) curl_exec($ch);
        $s = (int) curl_getinfo($ch, CURLINFO_RESPONSE_CODE);
        $loc = (string) curl_getinfo($ch, CURLINFO_REDIRECT_URL);
        curl_close($ch);
        return [$s, $b, $loc];
    };
    $USER_NAV = ['Sec-Fetch-Mode: navigate', 'Sec-Fetch-Dest: document', 'Sec-Fetch-User: ?1'];   // Klick, Adresszeile, F5
    $SCRIPT_NAV = ['Sec-Fetch-Mode: navigate', 'Sec-Fetch-Dest: document'];                         // location.reload() ohne Nutzeraktion
    $POLL = ['Sec-Fetch-Mode: cors', 'Sec-Fetch-Dest: empty', 'Accept: */*'];                       // fetch() im Hintergrund
    $login = function () use ($call, $USER_NAV): string {
        $jar = tempnam(sys_get_temp_dir(), 'ses');
        [, $lp] = $call('GET', '/staff/login.php', $jar, $USER_NAV);
        preg_match('/name="csrf_token" value="([a-f0-9]+)"/', $lp, $m);
        $call('POST', '/staff/login.php', $jar, $USER_NAV, ['csrf_token' => $m[1] ?? '', 'email' => 'chef@test.de', 'password' => 'Sehr-Sicher-1234']);
        return $jar;
    };
    $sessionFile = function (string $jar) use ($savePath): string {
        preg_match('/PHPSESSID\s+([A-Za-z0-9,-]+)/', (string) file_get_contents($jar), $m);
        return $savePath . '/sess_' . ($m[1] ?? 'unbekannt');
    };
    $lastActivity = function (string $jar) use ($sessionFile): ?int {
        $f = $sessionFile($jar);
        return is_file($f) && preg_match('/staff_last_activity\|i:(\d+);/', (string) file_get_contents($f), $m) ? (int) $m[1] : null;
    };
    $setAge = function (string $jar, int $seconds) use ($sessionFile): bool {
        $f = $sessionFile($jar);
        if (!is_file($f)) return false;
        $c = (string) file_get_contents($f);
        $c = preg_replace('/staff_last_activity\|i:\d+;/', 'staff_last_activity|i:' . (time() - $seconds) . ';', $c, 1, $n);
        file_put_contents($f, $c);
        return $n === 1;
    };

    $jar = $login();
    $check($lastActivity($jar) !== null && abs(time() - $lastActivity($jar)) < 5, 'Anmeldung setzt die Aktivitätszeit (Sitzungsdatei gefunden: ' . $sessionFile($jar) . ')');

    // A: Hintergrund-Abrufe verlängern die Sitzung nicht
    $setAge($jar, 29 * 60);
    [$s] = $call('GET', '/staff/availability_status.php', $jar, $POLL);
    $age = time() - (int) $lastActivity($jar);
    $check($s === 200 && $age >= 29 * 60 - 3, 'Hintergrund-Abruf (Liste/Chat/Anwesenheit) verlängert die Sitzung nicht (Alter ' . $age . ' s, HTTP ' . $s . ')');
    // B: nach Ablauf bekommen Hintergrund-Abrufe 401 statt einer Weiterleitung
    $setAge($jar, 31 * 60);
    [$s, $body] = $call('GET', '/staff/availability_status.php', $jar, $POLL);
    $check($s === 401 && str_contains($body, 'sessionExpired'), 'Nach 31 Minuten ohne Bedienung antwortet ein Hintergrund-Abruf mit 401 (HTTP ' . $s . ')');
    [$s, , $loc] = $call('GET', '/staff/tickets.php', $jar, $USER_NAV);
    $check($s === 302 && str_contains($loc, 'login'), 'und der Mitarbeiter ist abgemeldet (Seitenaufruf führt zur Anmeldung)');

    // C: abgelaufene Sitzung, Seitenaufruf
    $jar = $login();
    $setAge($jar, 31 * 60);
    [$s, , $loc] = $call('GET', '/staff/tickets.php', $jar, $USER_NAV);
    $check($s === 302 && str_contains($loc, 'login'), 'Seitenaufruf nach 31 Minuten führt zur Anmeldung (HTTP ' . $s . ')');
    [$s, $body] = $call('GET', '/staff/session_ping.php?check=1', $jar, $POLL);
    $check($s === 401, 'Die Abfrage der Restzeit meldet ebenfalls „abgelaufen“ (HTTP ' . $s . ')');

    // C2: Seite wird vom Browser selbst neu geladen (Tab nach dem Ruhezustand, Neuladen per Skript): bei abgelaufener Sitzung Anmeldeseite, nie die rohe Fehlermeldung
    $jar = $login();
    $setAge($jar, 31 * 60);
    [$s, $body, $loc] = $call('GET', '/staff/reports.php', $jar, $SCRIPT_NAV);
    $check($s === 302 && str_contains($loc, 'login') && !str_contains($body, 'sessionExpired'), 'Vom Browser selbst ausgelöster Seitenaufruf bei abgelaufener Sitzung führt zur Anmeldung statt zur Fehlermeldung (HTTP ' . $s . ')');
    $jar = $login();
    $setAge($jar, 31 * 60);
    [$s, $body, $loc] = $call('GET', '/staff/reports.php', $jar, ['Accept: text/html,application/xhtml+xml']);
    $check($s === 302 && str_contains($loc, 'login'), 'Auch ältere Browser ohne Sec-Fetch-Kopfzeilen werden bei einem Seitenaufruf zur Anmeldung geleitet (HTTP ' . $s . ')');

    // C3: Ein Hintergrund-Abruf beendet die abgelaufene Sitzung zuerst; die nächste Seite zeigt trotzdem den Grund auf der Anmeldeseite
    $jar = $login();
    $setAge($jar, 31 * 60);
    $call('GET', '/staff/availability_status.php', $jar, $POLL);
    [$s, , $loc] = $call('GET', '/staff/reports.php', $jar, $USER_NAV);
    [$s2, $loginPage] = $call('GET', '/staff/login.php', $jar, $USER_NAV);
    $check($s === 302 && str_contains($loc, 'login') && $s2 === 200 && str_contains($loginPage, 'wegen Inaktivität abgemeldet'), 'Die Anmeldeseite nennt den Grund („wegen Inaktivität abgemeldet“), auch wenn ein Hintergrund-Abruf die Sitzung zuerst beendet hat');

    // D: echter Seitenaufruf (Klick/F5) verlängert, per Skript ausgelöstes Neuladen nicht
    $jar = $login();
    $setAge($jar, 29 * 60);
    [$s] = $call('GET', '/staff/tickets.php', $jar, $SCRIPT_NAV);
    $age = time() - (int) $lastActivity($jar);
    $check($s === 200 && $age >= 29 * 60 - 3, 'Vom Skript ausgelöstes Neuladen der Seite verlängert die Sitzung nicht (Alter ' . $age . ' s)');
    [$s] = $call('GET', '/staff/tickets.php', $jar, $USER_NAV);
    $age = time() - (int) $lastActivity($jar);
    $check($s === 200 && $age < 5, 'Ein vom Nutzer ausgelöster Seitenaufruf verlängert die Sitzung (Alter ' . $age . ' s)');

    // E: Ping bei Klicks/Tastatur verlängert; die Abfrage der Restzeit nicht
    $setAge($jar, 29 * 60);
    [$s, $body] = $call('GET', '/staff/session_ping.php?check=1', $jar, $POLL);
    $d = json_decode($body, true);
    $age = time() - (int) $lastActivity($jar);
    $check($s === 200 && ($d['remaining'] ?? -1) > 0 && ($d['remaining'] ?? 9999) <= 62 && $age >= 29 * 60 - 3, 'Restzeit-Abfrage liefert ca. 60 s und verlängert nichts (Rest ' . json_encode($d['remaining'] ?? null) . ' s)');
    [$s, $body] = $call('POST', '/staff/session_ping.php', $jar, $POLL);
    $age = time() - (int) $lastActivity($jar);
    $check($s === 200 && $age < 5, 'Der Ping der Seite bei Klicks und Tastatur verlängert die Sitzung (Alter ' . $age . ' s)');
    [$s] = $call('GET', '/staff/session_ping.php', $jar, $POLL);
    $check($s === 405, 'Ohne ?check=1 ist GET weiterhin nicht erlaubt');
    @unlink($jar);

    // F: Sitzungsdaten bleiben länger liegen als die Inaktivitätszeit
    file_put_contents($tmp . '/gc_probe.php', "<?php require __DIR__ . '/includes/bootstrap.php'; echo ini_get('session.gc_maxlifetime');");
    $pj = tempnam(sys_get_temp_dir(), 'ses');
    [, $gcBody] = $call('GET', '/gc_probe.php', $pj);
    $gc = (int) $gcBody;
    @unlink($pj);
    $check($gc >= 30 * 60 + 600, 'PHP räumt Sitzungsdaten erst nach der Inaktivitätszeit plus Reserve auf (gc_maxlifetime ' . $gc . ' s)');

    // G: Anmeldeseite, deren Sitzung serverseitig aufgeräumt wurde (zu lange offen): freundliche Meldung statt „CSRF-Token ungültig“, danach klappt die Anmeldung
    foreach ([['/staff/login.php', 'chef@test.de', 302], ['/login.php', 'kunde@test.de', 200]] as [$loginPath, $mail, $okStatus]) {
        $gj = tempnam(sys_get_temp_dir(), 'ses');
        [, $page] = $call('GET', $loginPath, $gj, $USER_NAV);
        preg_match('/name="csrf_token" value="([a-f0-9]+)"/', $page, $tk);
        @unlink($sessionFile($gj));          // der Server hat die Sitzung inzwischen gelöscht
        [$s, $body] = $call('POST', $loginPath, $gj, $USER_NAV, ['csrf_token' => $tk[1] ?? '', 'email' => $mail, 'password' => 'Sehr-Sicher-1234']);
        $check($s === 200 && str_contains($body, 'zu lange geöffnet') && !str_contains($body, 'CSRF-Token fehlt'), "{$loginPath}: nach aufgeräumter Sitzung kommt eine freundliche Meldung statt der CSRF-Fehlerseite (HTTP {$s})");
        preg_match('/name="csrf_token" value="([a-f0-9]+)"/', $body, $tk2);
        $check(($tk2[1] ?? '') !== '' && ($tk2[1] ?? '') !== ($tk[1] ?? ''), "{$loginPath}: die Meldung bringt ein neues, gültiges Formular mit");
        if ($loginPath === '/staff/login.php') {
            [$s2, , $loc2] = $call('POST', $loginPath, $gj, $USER_NAV, ['csrf_token' => $tk2[1] ?? '', 'email' => $mail, 'password' => 'Sehr-Sicher-1234']);
            $check($s2 === 302 && str_contains($loc2, 'reports'), 'zweiter Versuch mit dem neuen Formular meldet an (HTTP ' . $s2 . ')');
        }
        @unlink($gj);
    }
    // G2: Bei anderen Formularen bleibt die Prüfung streng (kein Umgehen des Schutzes)
    $gj = tempnam(sys_get_temp_dir(), 'ses');
    [$s, $body] = $call('POST', '/staff/login.php', $gj, $USER_NAV, ['csrf_token' => 'erfunden', 'email' => 'chef@test.de', 'password' => 'Sehr-Sicher-1234']);
    $check($s === 200 && str_contains($body, 'zu lange geöffnet'), 'ein falscher Token meldet nie an, auch nicht mit richtigem Passwort (HTTP ' . $s . ')');
    [$s, $body] = $call('POST', '/staff/profile.php', $gj, $USER_NAV, ['csrf_token' => 'erfunden']);
    $check(in_array($s, [302, 403], true), 'geschützte Formulare ohne gültigen Token werden weiter abgewiesen (HTTP ' . $s . ')');
    @unlink($gj);
    // H: Die Anmeldeseiten halten ihre Sitzung am Leben
    foreach (['/staff/login.php', '/login.php'] as $loginPath) {
        $gj = tempnam(sys_get_temp_dir(), 'ses');
        [, $page] = $call('GET', $loginPath, $gj, $USER_NAV);
        $check(str_contains($page, 'session_ping.php?check=1') && str_contains($page, '8 * 60 * 1000'), "{$loginPath}: ein kurzer Abruf alle 8 Minuten hält die Sitzung am Leben");
        @unlink($gj);
    }
    // I: Die Live-Anzeige neuer Tickets verlängert die Sitzung nie und endet mit ihr
    $jar = $login();
    [$s, $body] = $call('GET', '/staff/live_tickets.php?since=0', $jar, $POLL);
    $d = json_decode($body, true);
    $check($s === 200 && isset($d['counts']['open']), 'Live-Anzeige liefert bei angemeldeter Sitzung die Zahlen (HTTP ' . $s . ')');
    $setAge($jar, 29 * 60);
    $call('GET', '/staff/live_tickets.php?since=0', $jar, $POLL);
    $age = time() - (int) $lastActivity($jar);
    $check($age >= 29 * 60 - 3, 'Live-Anzeige verlängert die Sitzung nicht (Alter ' . $age . ' s)');
    $setAge($jar, 31 * 60);
    [$s, $body] = $call('GET', '/staff/live_tickets.php?since=0', $jar, $POLL);
    $check($s === 401 && str_contains($body, 'sessionExpired'), 'nach Ablauf der Sitzung antwortet die Live-Anzeige mit 401 (HTTP ' . $s . ')');
    @unlink($jar);
    [$s] = $call('GET', '/staff/live_tickets.php?since=0', $pj = tempnam(sys_get_temp_dir(), 'ses'), $POLL);
    $check($s === 401, 'ohne Anmeldung antwortet die Live-Anzeige mit 401');
    @unlink($pj);
} finally {
    if (isset($webProc) && is_resource($webProc)) { proc_terminate($webProc); proc_close($webProc); }
}

usleep(300000);
$rm = function (string $d) use (&$rm) {
    foreach (scandir($d) ?: [] as $e) { if ($e === '.' || $e === '..') continue; is_dir("$d/$e") && !is_link("$d/$e") ? $rm("$d/$e") : @unlink("$d/$e"); }
    @rmdir($d);
};
if (str_starts_with($work, sys_get_temp_dir() . '/deskhub-session-')) $rm($work);

if ($failures) {
    fwrite(STDERR, "Fehlgeschlagen:\n - " . implode("\n - ", $failures) . "\n");
    exit(1);
}
echo "Session timeout checks passed ({$total} Prüfungen).\n";