const express = require('express');
const cookieParser = require('cookie-parser');
const path = require('path');
const helmet = require('helmet');
// rateLimit.js: mutationLimiter (POST-роуты) и exportLimiter (GET /export)
const { mutationLimiter, exportLimiter } = require('./src/middleware/rateLimit');
// csrf.js: фабрика для инициализации CSRF-защиты (double-submit cookie pattern)
const { initCsrf } = require('./src/middleware/csrf');
require('dotenv').config();
const { checkConnection } = require('./src/db');
const { initAuth, requireAdmin } = require('./src/auth');
const { aggregateCIDRs } = require('./src/validators');
const q = require('./src/queries');
// config.js: MOCK_USERS (мок-пользователи для dev) и backUrl (хелпер редиректа)
const { MOCK_USERS, backUrl } = require('./src/config');

const app = express();
const PORT = process.env.PORT || 3000;

app.set('view engine', 'ejs');
app.set('views', path.join(__dirname, 'views'));

// ── Безопасность HTTP-заголовков ───────────────────────────────────────────────
// helmet выставляет: X-Content-Type-Options, X-Frame-Options, Strict-Transport-Security,
// Referrer-Policy и пр. CSP отключён явно — EJS использует inline-стили/скрипты.
app.use(helmet({ contentSecurityPolicy: false }));

app.use(express.static(path.join(__dirname, 'public')));
app.use(express.urlencoded({ extended: true, limit: '32kb' }));
app.use(cookieParser());

async function start() {
  const auth = await initAuth();

  // ── CSRF защита ────────────────────────────────────────────────────────────
  // initCsrf() читает CSRF_SECRET и NODE_ENV из process.env.
  // Возвращает: doubleCsrfProtection (middleware на POST) и
  //             generateCsrfToken (вызов в GET-роутах для передачи токена в шаблон).
  const { doubleCsrfProtection, generateCsrfToken } = initCsrf();

  // ── Публичные маршруты (до auth.middleware) ──────────────────────────────────

  // k8s liveness probe — простая проверка что сервер жив
  app.get('/healthz', (req, res) => res.send('OK'));

  // JWKS endpoint для валидации токенов внешними сервисами (только в mock-режиме)
  if (auth.jwksHandler) app.get('/.well-known/jwks.json', auth.jwksHandler);

  // GET /export: агрегированный список CIDR, без авторизации.
  // src/routes/export.js содержит логику и комментарии.
  app.use(require('./src/routes/export').createRouter({
    q,
    exportLimiter,
    aggregateCIDRs,
  }));

  // GET /login, POST /login, GET /logout.
  // src/routes/auth.js содержит логику и комментарии.
  app.use(require('./src/routes/auth').createRouter({
    auth,
    doubleCsrfProtection,
    generateCsrfToken,
    MOCK_USERS,
  }));

  // ── Все маршруты ниже требуют валидного JWT (проверяет auth.middleware) ───────
  app.use(auth.middleware);

  // GET /, POST /add, POST /edit/:id, POST /delete/:id.
  // src/routes/entries.js содержит логику и комментарии.
  app.use(require('./src/routes/entries').createRouter({
    q,
    doubleCsrfProtection,
    mutationLimiter,
    generateCsrfToken,
    backUrl,
  }));

  // ── Журнал аудита (только admin) ──────────────────────────────────────────────
  // ТЗ 4.6: «журнал доступен для просмотра только администратору»
  app.get('/audit', requireAdmin, async (req, res) => {
    try {
      // Если передан ?company=X — показываем только эту компанию
      const companyId = req.query.company ? parseInt(req.query.company, 10) : null;
      const companies = await q.getAllCompanies();
      const rows = await q.getAudit(companyId || null);
      res.render('audit', {
        user: req.user,
        rows,
        companies,
        selectedCompanyId: companyId,
        error: req.query.error || null,
      });
    } catch (e) {
      console.error('GET /audit error:', e);
      res.render('audit', {
        user: req.user, rows: [], companies: [],
        selectedCompanyId: null, error: 'Ошибка загрузки: ' + e.message,
      });
    }
  });

  // ── Страница управления лимитами (только admin) ───────────────────────────────
  app.get('/admin', requireAdmin, async (req, res) => {
    try {
      const companies = await q.getAllCompanies();
      const defaultLimit = parseInt(process.env.DEFAULT_LIMIT, 10) || 15;
      res.render('admin', {
        user: req.user,
        companies,
        defaultLimit,
        message: req.query.message || null,
        error: req.query.error || null,
        // CSRF-токен для форм /admin/limit/:id на странице
        csrfToken: generateCsrfToken(req, res),
      });
    } catch (e) {
      console.error('GET /admin error:', e);
      res.status(500).send('Ошибка: ' + e.message);
    }
  });

  // ── Изменение лимита компании (только admin) ──────────────────────────────────
  // ТЗ 4.5: «администратор может задать индивидуальный лимит»
  app.post('/admin/limit/:companyId', requireAdmin, mutationLimiter, doubleCsrfProtection, async (req, res) => {
    const companyId = parseInt(req.params.companyId, 10);
    if (!Number.isFinite(companyId) || companyId <= 0) {
      return res.redirect('/admin?error=' + encodeURIComponent('Некорректный ID компании'));
    }

    try {
      const raw = req.body.limit;
      let newLimit;
      if (raw === '' || raw === null || raw === undefined) {
        // Пустое поле = сброс на глобальный дефолт
        newLimit = null;
      } else {
        newLimit = parseInt(raw, 10);
        if (!Number.isFinite(newLimit) || newLimit < 0) {
          throw new Error('Лимит должен быть целым числом ≥ 0, или пустым для сброса');
        }
      }

      await q.setLimit(companyId, newLimit);
      const label = newLimit === null ? 'сброшен на дефолт' : `установлен: ${newLimit}`;
      res.redirect('/admin?message=' + encodeURIComponent(`Лимит ${label}`));
    } catch (e) {
      res.redirect('/admin?error=' + encodeURIComponent(e.message));
    }
  });

  // ── CSRF error handler ────────────────────────────────────────────────────────
  // doubleCsrfProtection вызывает next(err) с кодом 403 при невалидном токене.
  // Ловим ДО общего обработчика — возвращаем понятное сообщение пользователю.
  // eslint-disable-next-line no-unused-vars
  app.use((err, req, res, next) => {
    if (err && (err.status === 403 || err.code === 'EBADCSRFTOKEN')) {
      return res.status(403).send(
        '<p style="font-family:sans-serif;padding:2rem">' +
        'Недействительный CSRF-токен. ' +
        '<a href="javascript:history.back()">Вернитесь назад</a> и повторите действие.' +
        '</p>'
      );
    }
    console.error('Unhandled error:', err);
    res.status(500).send('Внутренняя ошибка сервера');
  });

  // ── Старт сервера ─────────────────────────────────────────────────────────────
  checkConnection()
    .then(() => console.log('DB connected'))
    .catch(e => console.error('DB not ready:', e.message));

  app.listen(PORT, () => console.log('Server on port ' + PORT));
}

start().catch(e => { console.error('Startup error:', e); process.exit(1); });