<?php
// ============================================================
// login.php — تجديد توكن الراكب
// ============================================================

require_once __DIR__ . '/core/bootstrap.php';

header('Content-Type: application/json');


$startTime = microtime(true);

/**
 * هل البصمة المخزّنة بالصيغة القديمة (AES-GCM) التي يستحيل مطابقتها؟
 *
 *  • ''            ⇒ مستخدم بلا بصمة مسجّلة بعد            → يُسمح بالترحيل
 *  • 'GCM:…'       ⇒ ناتج AES-GCM خام (addToken/verify_otp) → يُسمح بالترحيل
 *  • 64 محرف hex   ⇒ hash لناتج GCM كتبه الترحيل القديم     → يُسمح بالترحيل
 *  • غير ذلك       ⇒ AES-CBC حتمي (الصيغة الجديدة)          → مقارنة صارمة
 */
function isLegacyGcmFingerprint(string $storedFp): bool
{
    if ($storedFp === '') {
        return true;
    }
    if (str_starts_with($storedFp, 'GCM:')) {
        return true;
    }
    return (bool)preg_match('/^[0-9a-f]{64}$/i', $storedFp);
}

try {
    $limiter = new RateLimiter($redis);
    $limiter->enforce(RateLimiter::identifier(), 'login');

    $passengerId = filterRequest('id');
    $fingerprint = filterRequest('fingerPrint') ?? filterRequest('fingerprint'); 
    $audience    = filterRequest('aud');

    if (empty($passengerId) || empty($fingerprint) || empty($audience)) {
        jsonError('Missing required parameters', 400);
    }

    // ── التحقق من الـ audience (نفس منطق loginFirstTime.php) ────────
    // يمنع استخراج توكن بـ audience المحفظة من مسار الراكب العادي.
    $allowed1 = getenv('allowed1');
    $allowed2 = getenv('allowed2');
    $allowedAudiences = array_values(array_filter([$allowed1, $allowed2]));

    if (!in_array($audience, $allowedAudiences, true)) {
        securityLog("Login rejected: invalid audience", [
            'passengerId' => $passengerId,
            'audience'    => $audience,
        ]);
        jsonError('Invalid audience', 400);
    }

    $con = Database::get('main');

    // التحقق من الجهاز من خلال البصمة
    $stmt = $con->prepare('
        SELECT passengerID, fingerPrint
        FROM tokens
        WHERE passengerID = :pid
        LIMIT 1
    ');
    $stmt->execute([':pid' => $passengerId]);
    $row = $stmt->fetch();

    $fpVerified = false;
    if ($row) {
        $fpPepper = getenv('FP_PEPPER') ?: '';
        $storedFp = $row['fingerPrint'] ?? $row['fingerprint'] ?? '';

        // دعم الطريقة الجديدة (hash) والقديمة (مباشر)
        if ($fpPepper) {
            $expectedHash = hash('sha256', $fingerprint . $fpPepper);
            $fpVerified = hash_equals($storedFp, $expectedHash);
            if (!$fpVerified) {
                $fpVerified = hash_equals($storedFp, $fingerprint);
            }
        } else {
            $fpVerified = hash_equals($storedFp, $fingerprint);
        }

        // ── ترحيل لمرة واحدة: بصمات AES-GCM القديمة ────────────────
        // النسخ القديمة من تطبيق الراكب كانت تشفّر البصمة بـ AES-GCM
        // بـ IV عشوائي، فالناتج يختلف في كل مرة ولا يمكن مطابقته إطلاقاً.
        // النسخة الجديدة تستخدم AES-CBC بـ IV ثابت (ناتج حتمي).
        // لذلك نقبل استبدال البصمة مرة واحدة فقط عندما تكون المخزّنة
        // بصيغة GCM القديمة؛ وأي بصمة بالصيغة الجديدة تُقارن بصرامة
        // ويتكفّل مسار الـ OTP بتغيير الجهاز.
        // ⚠️ يُحذف هذا الفرع بعد اكتمال ترحيل المستخدمين.
        if (!$fpVerified && !empty($fingerprint) && isLegacyGcmFingerprint($storedFp)) {
            // نخزّن القيمة الخام (كما يفعل addToken.php و verify_otp.php)
            // كي تبقى الصيغة قابلة للتمييز في الطلبات القادمة.
            $updateStmt = $con->prepare('UPDATE tokens SET fingerPrint = :fp WHERE passengerID = :pid');
            $updateStmt->execute([':fp' => $fingerprint, ':pid' => $passengerId]);
            $fpVerified = true;
            securityLog("Legacy GCM fingerprint migrated to CBC", [
                'passengerId' => $passengerId,
            ]);
        }
    }

    // وقت رد ثابت لمنع Timing Attack
    $elapsed = microtime(true) - $startTime;
    if ($elapsed < 0.1) usleep((int)((0.1 - $elapsed) * 1000000));

    if (!$fpVerified) {
        securityLog("Invalid login fingerprint", ['passengerId' => $passengerId]);
        jsonError('Invalid credentials', 401);
    }

    $limiter->reset(RateLimiter::identifier(), 'login');

    $jwtService = new JwtService($redis);
    $jwt = $jwtService->generateAccessToken($passengerId, 'passenger', $audience, $fingerprint);
    // $refresh = $jwtService->generateRefreshToken($passengerId);

    jsonSuccess([
        'jwt' => $jwt,
        // 'refresh_token' => $refresh['token'],
        'expires_in' => 3600
    ]);

} catch (PDOException $e) {
    securityLog("Login PDO Error", ['msg' => $e->getMessage()]);
    jsonError('Database error', 500);
} catch (Exception $e) {
    securityLog("Login Error", ['msg' => $e->getMessage()]);
    jsonError('Server error', 500);
} catch (\Throwable $e) {
    securityLog("Login Fatal Error", ['msg' => $e->getMessage()]);
    jsonError('Server error', 500);
}