<?php

declare(strict_types=1);

namespace MonetaPhpShop;

/**
 * Можно ли сохранить настройки модуля из этого запроса.
 *
 * Ядро PHPShop проверяет права, только если имя действия в `actionList[...]` содержит суффикс
 * `.modules.edit`, а имя присылает клиент: `actionUpdate` без суффикса ядро вызывает любому
 * вошедшему в админку (`PHPShopGUI::getAction()`, проверено на стенде 7.0). Токена против CSRF
 * у ядра нет, cookie сессии на стенде — без `SameSite`. Поэтому модуль сам проверяет право
 * «Модули: редактирование» и то, что запрос отправлен со страницы этого же магазина.
 */
final class SettingsWriteGuard
{
    public const DENIED_RIGHTS = 'rights';
    public const DENIED_METHOD = 'method';
    public const DENIED_ORIGIN = 'origin';

    /**
     * Причина отказа или null, если сохранять можно.
     *
     * Только POST: ядро берёт `actionList` из `$_REQUEST`, и без этой проверки настройки
     * сохранял бы обычный переход по ссылке. У GET браузер не шлёт Origin, а Referer со страницы
     * того же сайта проверку источника прошёл бы — ссылка на витрине сбросила бы настройки.
     *
     * @param bool                 $canEditModules право «Модули: редактирование» у администратора
     * @param array<string, mixed> $server         `$_SERVER`
     */
    public static function denialReason(bool $canEditModules, array $server): ?string
    {
        if (!$canEditModules) {
            return self::DENIED_RIGHTS;
        }
        if (self::header($server, 'REQUEST_METHOD') !== 'POST') {
            return self::DENIED_METHOD;
        }

        return self::isSameOrigin($server) ? null : self::DENIED_ORIGIN;
    }

    /**
     * Origin (браузер ставит его сам, страница чужого сайта подменить не может), а если его нет —
     * Referer, должен указывать на тот же хост, на который пришёл запрос. Без обоих — отказ:
     * так же ядро не пускает без Referer восстановление пароля в админку.
     *
     * Хост запроса — `Host` и, за обратным прокси, `X-Forwarded-Host`: подставить свой заголовок
     * в межсайтовый запрос браузер странице не даст.
     *
     * @param array<string, mixed> $server
     */
    public static function isSameOrigin(array $server): bool
    {
        $origin = self::header($server, 'HTTP_ORIGIN');
        $source = ($origin !== '') ? $origin : self::header($server, 'HTTP_REFERER');
        $sourceHost = self::urlHost($source);
        if ($sourceHost === null) {
            return false;
        }

        $requestHosts = explode(',', self::header($server, 'HTTP_X_FORWARDED_HOST'));
        $requestHosts[] = self::header($server, 'HTTP_HOST');
        foreach ($requestHosts as $requestHost) {
            $requestHost = trim($requestHost);
            if ($requestHost !== '' && self::normalizeHost($requestHost) === $sourceHost) {
                return true;
            }
        }

        return false;
    }

    /**
     * Хост и порт из абсолютного адреса http(s) или null. Origin `null` (песочница, data:) — null.
     */
    private static function urlHost(string $url): ?string
    {
        $parts = parse_url($url);
        if (!is_array($parts) || !isset($parts['scheme'], $parts['host'])) {
            return null;
        }
        if (!in_array(strtolower($parts['scheme']), ['http', 'https'], true)) {
            return null;
        }

        return self::normalizeHost($parts['host'] . (isset($parts['port']) ? ':' . $parts['port'] : ''));
    }

    /**
     * Нижний регистр, без стандартных портов: браузер не пишет `:443` в Origin, а `Host` за
     * прокси иногда пишет.
     */
    private static function normalizeHost(string $host): string
    {
        return (string) preg_replace('/:(80|443)\z/', '', strtolower($host));
    }

    /**
     * @param array<string, mixed> $server
     */
    private static function header(array $server, string $name): string
    {
        $value = $server[$name] ?? '';

        return is_string($value) ? trim($value) : '';
    }
}