'use strict';

/**
 * tests/tz-compliance.js — проверка соответствия ТЗ через API
 * Запуск: node tests/tz-compliance.js
 * Требует: DEV_MODE=true, .env с БД
 */

require('dotenv').config();
const supertest = require('supertest');
const { pool } = require('../src/db');
let pass = 0, fail = 0;
const errors = [];

function log(ok, name, detail = '') {
  if (ok) { console.log('  ✅', name); pass++; }
  else { const msg = '  ❌ ' + name + (detail ? ': ' + detail : ''); console.error(msg); errors.push(msg); fail++; }
}

function bearer(t) { return { Authorization: 'Bearer ' + t }; }

(async () => {
  console.log('\n══════════════════════════════════════════');
  console.log('  ТЗ Compliance Check — v0.5.0');
  console.log('══════════════════════════════════════════\n');

  const mod = require('../server');
  const app = await mod.start();
  const auth = await require('../src/auth').initAuth();
  const req = supertest(app);
  const { MOCK_USERS } = require('../src/config');

  const admin = MOCK_USERS.find(u => u.id === 'admin');
  const user = MOCK_USERS.find(u => u.id === 'test');
  const tokAdmin = auth.issueMockToken({ clientId: admin.clientId, companyId: admin.companyId, companyName: admin.companyName, email: admin.email });
  const tokUser = auth.issueMockToken({ clientId: user.clientId, companyId: user.companyId, companyName: user.companyName, email: user.email });

  const C = { A: '8.8.4.1', B: '8.8.4.2', C: '8.8.4.3', SUB: '9.9.9.0/24' };
  function cidr(ip) { return ip.includes('/') ? ip : ip + '/32'; }

  // ── Pre-cleanup — удаляем только тестовые CIDR ──
  const testCIDRs = [cidr(C.A), cidr(C.B), cidr(C.C), cidr(C.SUB), '9.9.9.0/24',
    '85.0.0.0/22', '85.0.0.0/24', '85.0.0.0/32', '86.0.0.0/24', '87.0.0.1/32', '1.2.4.1/32',
    '85.0.0.0/21', '85.0.0.0/33', '::1', '192.168.1.1'];
  for (const c of testCIDRs) {
    await pool.query("UPDATE whitelist_entries SET deleted_at=NOW(), deleted_by='tz-cleanup' WHERE value_cidr=$1 AND deleted_at IS NULL", [c]);
  }
  console.log('  Pre-cleanup: тестовые CIDR удалены\n');

  // ══════════════════════════════════════════════════
  // 4.1. Просмотр списка записей
  // ══════════════════════════════════════════════════
  console.log('── ТЗ 4.1: Просмотр списка ──');
  {
    const r = await req.get('/api/v1/entries').set(bearer(tokUser));
    log(r.status === 200, '4.1a: GET /entries → 200');
    const b = r.body || {};
    log(Array.isArray(b.entries), '4.1b: entries[] — массив');
    log(typeof b.limit === 'number', '4.1c: limit — число', `limit=${b.limit}`);
    log(typeof b.used === 'number', '4.1d: used — число (X из N)', `used=${b.used}`);
    log(b.used === b.entries.length, '4.1e: used === entries.length', `used=${b.used} len=${b.entries.length}`);
  }

  // 4.1f: Soft-deleted filter for admin
  {
    // Создаём и удаляем запись
    const cr = await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: C.A, comment: 'tz-del-test' });
    const eid = cr.body?.entry?.id;
    if (eid) {
      await req.delete('/api/v1/entries/' + eid).set(bearer(tokUser));
      // Admin: проверяем что GET /entries НЕ показывает удалённую запись
      const ar = await req.get('/api/v1/entries?company=' + (await (async () => {
        const c = await pool.query('SELECT id FROM companies WHERE client_id=$1', [user.clientId]);
        return c.rows[0]?.id;
      })())).set(bearer(tokAdmin));
      const found = (ar.body?.entries || []).find(e => e.id === eid);
      log(!found, '4.1f: soft-deleted скрыты от admin (по умолчанию)');
    }
    // Чистка
    await pool.query('UPDATE whitelist_entries SET deleted_at=NOW() WHERE value_cidr=$1 AND deleted_at IS NULL', [cidr(C.A)]);
  }

  // ══════════════════════════════════════════════════
  // 4.2. Создание записи
  // ══════════════════════════════════════════════════
  console.log('── ТЗ 4.2: Создание записи ──');
  let entryId;
  {
    const r = await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: C.A, comment: 'tz-create' });
    log(r.status === 201, '4.2a: POST /entries → 201', `status=${r.status}`);
    const b = r.body || {};
    log(!!b.entry?.id, '4.2b: ответ содержит entry.id');
    log(b.entry?.value_cidr === cidr(C.A), '4.2c: value_cidr сохранён верно');
    log(typeof b.wasNormalized === 'boolean', '4.2d: wasNormalized в ответе');
    entryId = b.entry?.id;
  }

  // 4.2e: Проверка лимита
  {
    // Узнаём текущий лимит и использовано
    const r = await req.get('/api/v1/entries').set(bearer(tokUser));
    const limit = r.body?.limit || 15;
    const used = r.body?.used || 1;
    log(used <= limit, `4.2e: used(${used}) ≤ limit(${limit})`);
  }

  // 4.2f: Дубликат → 409
  {
    const r = await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: C.A, comment: 'dup' });
    log(r.status === 409, '4.2f: дубликат → 409', `status=${r.status}`);
  }

  // 4.2g: Запрещённый диапазон → 400
  {
    const r = await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: '192.168.1.1', comment: 'private' });
    log(r.status === 400, '4.2g: приватный IP → 400', `status=${r.status}`);
  }

  // 4.2h: Пустое значение → 400
  {
    const r = await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: '', comment: '' });
    log(r.status === 400, '4.2h: пустое значение → 400', `status=${r.status}`);
  }

  // 4.2i: Comment > 255 → 400
  {
    const r = await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: C.B, comment: 'x'.repeat(256) });
    log(r.status === 400, '4.2i: comment > 255 → 400', `status=${r.status}`);
  }

  // ══════════════════════════════════════════════════
  // 4.3. Редактирование записи
  // ══════════════════════════════════════════════════
  console.log('── ТЗ 4.3: Редактирование ──');
  {
    const r = await req.patch('/api/v1/entries/' + entryId).set(bearer(tokUser)).send({ value: C.B, comment: 'updated' });
    log(r.status === 200, '4.3a: PATCH /entries/:id → 200', `status=${r.status}`);
    log(r.body?.entry?.value_cidr === cidr(C.B), '4.3b: value обновлён');
    log(r.body?.entry?.comment === 'updated', '4.3c: comment обновлён');
  }

  // 4.3d: Редактирование с пересечением → 409
  {
    // Создаём вторую запись
    await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: C.C, comment: 'for-overlap' });
    // Пытаемся обновить вторую на пересекающуюся с первой
    const r = await req.patch('/api/v1/entries/' + entryId).set(bearer(tokUser)).send({ value: '8.8.4.2/31', comment: '' });
    log(r.status === 409, '4.3d: пересечение при edit → 409', `status=${r.status}`);
    await pool.query('UPDATE whitelist_entries SET deleted_at=NOW() WHERE value_cidr=$1 AND deleted_at IS NULL', [cidr(C.C)]);
  }

  // 4.3e: Чужой пользователь не может редактировать
  {
    const r = await req.patch('/api/v1/entries/' + entryId).set(bearer(tokUser + 'WRONG')).send({ value: C.A, comment: '' });
    log(r.status === 401, '4.3e: невалидный токен → 401', `status=${r.status}`);
  }

  // ══════════════════════════════════════════════════
  // 4.4. Удаление (soft delete)
  // ══════════════════════════════════════════════════
  console.log('── ТЗ 4.4: Soft delete ──');
  {
    const r = await req.delete('/api/v1/entries/' + entryId).set(bearer(tokUser));
    log([200, 204].includes(r.status), '4.4a: DELETE /entries/:id → 200/204', `status=${r.status}`);

    // Проверяем что запись не в списке
    const r2 = await req.get('/api/v1/entries').set(bearer(tokUser));
    const found = (r2.body?.entries || []).find(e => e.id === entryId);
    log(!found, '4.4b: удалённая запись не видна в GET /entries');

    // Проверяем что удаление освободило место в лимите
    const r3 = await req.get('/api/v1/entries').set(bearer(tokUser));
    log((r3.body?.used || 0) <= (r3.body?.limit || 15), '4.4c: used ≤ limit после удаления');
  }

  // ══════════════════════════════════════════════════
  // 4.5. Лимиты
  // ══════════════════════════════════════════════════
  console.log('── ТЗ 4.5: Лимиты ──');
  {
    // 4.5a: Глобальный лимит по умолчанию = 15
    const r = await req.get('/api/v1/entries').set(bearer(tokUser));
    log(r.body?.limit > 0, '4.5a: limit > 0 (глобальный default)', `limit=${r.body?.limit}`);

    // 4.5b: Admin может установить per-company limit
    const comps = await req.get('/api/v1/companies').set(bearer(tokAdmin));
    const userCo = (comps.body?.companies || []).find(c => c.client_id === user.clientId);
    if (userCo) {
      // Установить лимит 3
      const r2 = await req.patch('/api/v1/companies/' + userCo.id + '/limit').set(bearer(tokAdmin)).send({ limit: 3 });
      log(r2.status === 200, '4.5b: admin setLimit → 200', `status=${r2.status}`);
      // Сбросить
      await req.patch('/api/v1/companies/' + userCo.id + '/limit').set(bearer(tokAdmin)).send({ limit: null });
    }

    // 4.5c: Обычный юзер не может менять лимит
    const r3 = await req.patch('/api/v1/companies/1/limit').set(bearer(tokUser)).send({ limit: 999 });
    log(r3.status === 403, '4.5c: user setLimit → 403', `status=${r3.status}`);
  }

  // ══════════════════════════════════════════════════
  // 4.6. Журнал аудита
  // ══════════════════════════════════════════════════
  console.log('── ТЗ 4.6: Журнал аудита ──');
  {
    const r = await req.get('/api/v1/audit').set(bearer(tokAdmin));
    log(r.status === 200, '4.6a: GET /audit → 200 (admin)');
    log(Array.isArray(r.body?.rows), '4.6b: rows[] — массив');
    log(Array.isArray(r.body?.companies), '4.6c: companies[] — массив');

    // Проверяем что CREATE попал в аудит
    const createAudit = (r.body?.rows || []).find(a => a.action === 'CREATE');
    log(!!createAudit, '4.6d: CREATE записан в audit_log', createAudit ? `entry_id=${createAudit.entry_id}` : '');

    // User не может смотреть аудит
    const r2 = await req.get('/api/v1/audit').set(bearer(tokUser));
    log(r2.status === 403, '4.6e: user GET /audit → 403');
  }

  // ══════════════════════════════════════════════════
  // 4.7. Внешняя выдача (export)
  // ══════════════════════════════════════════════════
  console.log('── ТЗ 4.7: Export ──');
  {
    // 4.7a: /exp публичный (временный обходной путь)
    const r = await req.get('/exp');
    log(r.status === 200, '4.7a: GET /exp → 200 (без авторизации)');
    log((r.headers['content-type'] || '').includes('text/plain'), '4.7b: Content-Type text/plain');

    // 4.7c: /exp содержит только активные записи (проверим через добавление)
    const cr = await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: C.A, comment: 'export-test' });
    const r2 = await req.get('/exp');
    log(r2.text.includes(cidr(C.A)), '4.7c: /exp содержит добавленный CIDR');
  }

  // ══════════════════════════════════════════════════
  // 5. Валидация (Приложение А)
  // ══════════════════════════════════════════════════
  console.log('── ТЗ 5 + Приложение А: Валидация ──');

  // 5a: Маски /22-/32 (разные префиксы чтобы не пересекались)
  {
    for (const [m, prefix] of [[22, '85.0.0.0'], [24, '86.0.0.0'], [32, '87.0.0.1']]) {
      const r = await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: `${prefix}/${m}`, comment: `mask-${m}` });
      log(r.status === 201, `5.m${m}: /${m} → 201`, `status=${r.status}`);
    }
    for (const m of [21, 33]) {
      const r = await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: `85.0.0.0/${m}`, comment: `bad-${m}` });
      log(r.status === 400, `5.m${m}: /${m} → 400`, `status=${r.status}`);
    }
  }

  // 5b: Нормализация host bits
  {
    const r = await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: '9.9.9.5/24', comment: 'normalize' });
    log(r.status === 201, '5.na: 9.9.9.5/24 → 201');
    log(r.body?.entry?.value_cidr === '9.9.9.0/24', '5.nb: нормализован в 9.9.9.0/24', `got=${r.body?.entry?.value_cidr}`);
    log(r.body?.wasNormalized === true, '5.nc: wasNormalized=true');
  }

  // 5c: Все 14 запрещённых диапазонов
  {
    const blocked = [
      '10.0.0.1', '172.16.0.1', '192.168.0.1', '100.64.0.1',
      '127.0.0.1', '169.254.0.1', '192.0.0.1', '192.0.2.1',
      '198.51.100.1', '203.0.113.1', '198.18.0.1',
      '224.0.0.1', '240.0.0.1', '255.255.255.255',
    ];
    let allBlocked = true;
    for (const ip of blocked) {
      const r = await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: ip, comment: 'blocked' });
      if (r.status !== 400) { allBlocked = false; break; }
    }
    log(allBlocked, '5.bl: все 14 запрещённых → 400');
  }

  // 5d: IPv6 → 400
  {
    const r = await req.post('/api/v1/entries').set(bearer(tokUser)).send({ value: '::1', comment: 'ipv6' });
    log(r.status === 400, '5.ip6: IPv6 → 400');
  }

  // 5e: Дубликаты внутри компании → 409
  // (уже проверено в 4.2f)

  // ══════════════════════════════════════════════════
  // 3. Роли и права
  // ══════════════════════════════════════════════════
  console.log('── ТЗ 3: Роли и права ──');

  // 3a: Admin видит все компании
  {
    const r = await req.get('/api/v1/companies').set(bearer(tokAdmin));
    const companies = r.body?.companies || [];
    log(companies.length >= 1, '3.aa: admin видит все компании', `count=${companies.length}`);
  }

  // 3b: Admin может CRUD в чужой компании
  {
    const userCo = (await pool.query('SELECT id FROM companies WHERE client_id=$1', [user.clientId])).rows[0];
    if (userCo) {
      const r = await req.post('/api/v1/entries?company=' + userCo.id).set(bearer(tokAdmin)).send({ value: '1.2.4.1', comment: 'admin-crud' });
      log(r.status === 201, '3.ba: admin POST /entries?company= → 201', `status=${r.status}`);
      const eid = r.body?.entry?.id;
      if (eid) {
        await req.delete('/api/v1/entries/' + eid + '?company=' + userCo.id).set(bearer(tokAdmin));
      }
    }
  }

  // 3c: Обычный юзер не видит чужие компании
  {
    const r = await req.get('/api/v1/companies').set(bearer(tokUser));
    log(r.status === 403, '3.ca: user GET /companies → 403');
  }

  // ══════════════════════════════════════════════════
  // CLEANUP
  // ══════════════════════════════════════════════════
  console.log('\n── Cleanup ──');
  for (const c of [C.A, C.B, C.C, C.SUB, '9.9.9.0/24', '85.0.0.0/22', '85.0.0.0/24', '85.0.0.0/32', '86.0.0.0/24', '87.0.0.1/32', '1.2.4.1']) {
    await pool.query('UPDATE whitelist_entries SET deleted_at=NOW() WHERE value_cidr=$1 AND deleted_at IS NULL', [cidr(c)]);
  }
  await pool.end();

  console.log('\n══════════════════════════════════════════');
  console.log(`  ${pass} PASS, ${fail} FAIL`);
  if (errors.length) { console.log('\nПровалы:'); errors.forEach(e => console.log(' ', e)); }
  console.log('══════════════════════════════════════════');
  process.exit(fail > 0 ? 1 : 0);
})().catch(e => { console.error('FATAL:', e.message); pool.end(); process.exit(1); });