/**
 * src/routes/entries.js — основные маршруты работы с белым списком IP.
 *
 * Маршруты:
 *   GET  /           — главная страница: список адресов (admin видит все компании)
 *   POST /add        — добавление новой записи
 *   POST /edit/:id   — редактирование существующей записи
 *   POST /delete/:id — удаление записи
 *
 * Все маршруты требуют авторизации (auth.middleware уже применён в server.js выше).
 * POST-маршруты дополнительно проверяются:
 *   - mutationLimiter: не более 30 запросов/мин с одного IP
 *   - doubleCsrfProtection: проверка CSRF-токена из скрытого поля формы
 *
 * Admin vs user логика:
 *   Admin (isAdmin === true, clientId === ADMIN_CLIENT_ID):
 *     - На главной видит все компании, может переключаться через ?company=<id>
 *     - В POST-запросах принимает company_id из тела формы
 *   Обычный пользователь:
 *     - Видит только свою компанию (из JWT-токена)
 *     - company_id из тела формы игнорируется (нельзя переключиться)
 *
 * @param {{ q, doubleCsrfProtection, mutationLimiter, generateCsrfToken, backUrl, requireAdmin }} deps
 * @returns {import('express').Router}
 */

'use strict';

const { Router } = require('express');

function createRouter({ q, doubleCsrfProtection, mutationLimiter, generateCsrfToken, backUrl }) {
  const router = Router();

  // ── GET / ─────────────────────────────────────────────────────────────────────
  // Главная страница: список активных CIDR для компании.
  // Admin: видит все компании + переключатель ?company=<числовой PK>.
  // User: только своя компания.
  router.get('/', async (req, res) => {
    const { clientId, companyName, isAdmin } = req.user;

    // Генерируем CSRF-токен здесь, один раз для всей страницы.
    // Он попадёт в три формы: /add, /edit (modal), /delete (каждая строка).
    const csrfToken = generateCsrfToken(req, res);

    try {
      if (isAdmin) {
        // ── Ветка admin ───────────────────────────────────────────────────────
        // Загружаем все компании (с active_count через LEFT JOIN)
        const companies = await q.getAllCompanies();

        // ?company=X — числовой PK выбранной компании.
        // Если параметра нет — берём первую компанию из списка.
        const selectedId = req.query.company
          ? parseInt(req.query.company, 10)
          : (companies[0] ? companies[0].id : null);

        // Ищем объект компании по id. Если id не найден — берём первую.
        const selectedCompany = companies.find(c => c.id === selectedId) || companies[0] || null;

        const entries = selectedCompany ? await q.listEntries(selectedCompany.id) : [];
        const limit   = selectedCompany ? await q.getLimit(selectedCompany) : 0;

        return res.render('index', {
          entries,
          limit,
          used:            entries.length,
          user:            req.user,
          isAdmin:         true,
          companies,       // для dropdown-переключателя
          selectedCompany, // текущая выбранная компания
          error:           req.query.error   || null,
          message:         req.query.message || null,
          wasNormalized:   req.query.wasNormalized === '1',
          csrfToken,
        });
      }

      // ── Ветка обычного пользователя ────────────────────────────────────────
      // getOrCreateCompany: создаёт запись в companies если её ещё нет.
      // clientId и companyName берутся из JWT (нельзя подменить через форму).
      const company = await q.getOrCreateCompany(clientId, companyName);
      const limit   = await q.getLimit(company);
      const entries = await q.listEntries(company.id);

      res.render('index', {
        entries,
        limit,
        used:            entries.length,
        user:            req.user,
        isAdmin:         false,
        companies:       null,    // пользователь не видит список компаний
        selectedCompany: company, // его единственная компания
        error:           req.query.error   || null,
        message:         req.query.message || null,
        wasNormalized:   req.query.wasNormalized === '1',
        csrfToken,
      });

    } catch (e) {
      console.error('GET / error:', e);
      // При ошибке рендерим страницу с сообщением, не падаем с 500
      res.render('index', {
        entries: [], limit: 15, used: 0,
        user: req.user, isAdmin,
        companies: null, selectedCompany: null,
        error:    'Ошибка загрузки данных: ' + e.message,
        message:  null,
        wasNormalized: false,
        csrfToken,
      });
    }
  });

  // ── POST /add ─────────────────────────────────────────────────────────────────
  // Добавление новой записи в белый список.
  // createEntry: валидирует CIDR, проверяет лимит, пишет в audit_log (транзакция).
  router.post('/add', mutationLimiter, doubleCsrfProtection, async (req, res) => {
    const { value, comment } = req.body;
    const { clientId, companyName, email, isAdmin } = req.user;

    let company;
    try {
      // Определяем компанию: admin — из скрытого поля company_id,
      // обычный пользователь — только своя (из токена, нельзя подменить).
      if (isAdmin && req.body.company_id) {
        const id = parseInt(req.body.company_id, 10);
        if (!Number.isFinite(id) || id <= 0) throw new Error('Некорректный company_id');
        company = await q.getCompanyById(id);
        if (!company) throw new Error('Компания не найдена');
      } else {
        company = await q.getOrCreateCompany(clientId, companyName);
      }

      // createEntry возвращает { entry, wasNormalized }
      // wasNormalized=true если IP был нормализован (напр. 192.168.1.1/24 → 192.168.1.0/24)
      const result = await q.createEntry(company.id, value, comment, email);
      const msg = result.wasNormalized
        ? `Адрес нормализован в ${result.entry.value_cidr}`
        : 'Добавлено';

      res.redirect(backUrl(isAdmin, company.id, {
        message:      msg,
        wasNormalized: result.wasNormalized ? '1' : '0',
      }));
    } catch (e) {
      // Ошибки: лимит исчерпан, дубликат, невалидный CIDR, etc.
      const cid = company ? company.id : req.body.company_id;
      res.redirect(backUrl(isAdmin, cid, { error: e.message }));
    }
  });

  // ── POST /edit/:id ────────────────────────────────────────────────────────────
  // Обновление существующей записи.
  // updateEntry: валидирует CIDR, проверяет принадлежность записи компании,
  //              пишет в audit_log (транзакция).
  router.post('/edit/:id', mutationLimiter, doubleCsrfProtection, async (req, res) => {
    const { value, comment } = req.body;
    const { clientId, companyName, email, isAdmin } = req.user;

    // parseInt с radix=10 — защита от октальных и hex-значений
    const entryId = parseInt(req.params.id, 10);

    let company;
    try {
      if (isAdmin && req.body.company_id) {
        const id = parseInt(req.body.company_id, 10);
        if (!Number.isFinite(id) || id <= 0) throw new Error('Некорректный company_id');
        company = await q.getCompanyById(id);
        if (!company) throw new Error('Компания не найдена');
      } else {
        company = await q.getOrCreateCompany(clientId, companyName);
      }

      const result = await q.updateEntry(entryId, company.id, value, comment, email);
      const msg = result.wasNormalized
        ? `Адрес нормализован в ${result.entry.value_cidr}`
        : 'Сохранено';

      res.redirect(backUrl(isAdmin, company.id, {
        message:      msg,
        wasNormalized: result.wasNormalized ? '1' : '0',
      }));
    } catch (e) {
      const cid = company ? company.id : req.body.company_id;
      res.redirect(backUrl(isAdmin, cid, { error: e.message }));
    }
  });

  // ── POST /delete/:id ─────────────────────────────────────────────────────────
  // Удаление записи.
  // deleteEntry: проверяет принадлежность записи компании, пишет в audit_log.
  router.post('/delete/:id', mutationLimiter, doubleCsrfProtection, async (req, res) => {
    const { clientId, companyName, email, isAdmin } = req.user;
    const entryId = parseInt(req.params.id, 10);

    let company;
    try {
      if (isAdmin && req.body.company_id) {
        const id = parseInt(req.body.company_id, 10);
        if (!Number.isFinite(id) || id <= 0) throw new Error('Некорректный company_id');
        company = await q.getCompanyById(id);
        if (!company) throw new Error('Компания не найдена');
      } else {
        company = await q.getOrCreateCompany(clientId, companyName);
      }

      await q.deleteEntry(entryId, company.id, email);
      res.redirect(backUrl(isAdmin, company.id, { message: 'Запись удалена' }));
    } catch (e) {
      const cid = company ? company.id : req.body.company_id;
      res.redirect(backUrl(isAdmin, cid, { error: e.message }));
    }
  });

  return router;
}

module.exports = { createRouter };