<?php
require_once __DIR__ . '/../../connect.php';

// هذا المسار: السائق يقيّم الراكب — المُرسِل هو السائق، وليس الراكب.
// نفرض هوية السائق من التوكن (driverID) بدل الثقة بأي قيمة من العميل،
// و passenger_id هو "الهدف" (الراكب المُقيَّم) القادم من الطلب لكن يجب
// التحقق أنه فعلاً راكب هذه الرحلة قبل قبوله (لمنع IDOR).
if ($role !== 'driver') {
    jsonError("Only drivers can rate passengers");
    exit;
}
$driverID = $user_id;
$passenger_id = filterRequest("passenger_id");
$rideId = filterRequest("rideId");
$rating = filterRequest("rating");
$comment = filterRequest("comment");

try {
    if (empty($passenger_id) || empty($rideId) || empty($rating)) {
        throw new Exception("Required fields are missing");
    }

    // 🔥 التحقق من ملكية الرحلة: يجب أن تخص هذا السائق وهذا الراكب فعلاً،
    // وأن تكون منتهية، قبل قبول التقييم — يمنع تقييم رحلات عشوائية (IDOR).
    $stmtRide = $con->prepare("SELECT driver_id, passenger_id, status FROM ride WHERE id = ?");
    $stmtRide->execute([$rideId]);
    $ride = $stmtRide->fetch(PDO::FETCH_ASSOC);

    if (!$ride) {
        jsonError("Ride not found");
        exit;
    }
    if ((string)$ride['driver_id'] !== (string)$driverID) {
        jsonError("This ride does not belong to you");
        exit;
    }
    if ((string)$ride['passenger_id'] !== (string)$passenger_id) {
        jsonError("Passenger does not match this ride");
        exit;
    }
    if ($ride['status'] !== 'Finished') {
        jsonError("Ride must be finished before rating");
        exit;
    }

    // 🔥 منع تكرار التقييم لنفس الرحلة من نفس السائق
    $stmtDup = $con->prepare("SELECT COUNT(*) FROM `ratingPassenger` WHERE rideId = ? AND driverID = ?");
    $stmtDup->execute([$rideId, $driverID]);
    if ($stmtDup->fetchColumn() > 0) {
        jsonError("This ride has already been rated");
        exit;
    }

    $sql = "INSERT INTO `ratingPassenger` (
        `passenger_id`, `driverID`, `rideId`, `rating`, `comment`
    ) VALUES (
        :passenger_id, :driverID, :rideId, :rating, :comment
    )";

    $stmt = $con->prepare($sql);
    $stmt->bindParam(':passenger_id', $passenger_id);
    $stmt->bindParam(':driverID', $driverID);
    $stmt->bindParam(':rideId', $rideId);
    $stmt->bindParam(':rating', $rating);
    $stmt->bindParam(':comment', $comment);

    $stmt->execute();

    if ($stmt->rowCount() > 0) {
        jsonSuccess(null, "Rate inserted successfully");
    } else {
        jsonError("Failed to save rating information");
    }

} catch (PDOException $e) {
    error_log("[rate/add] DB Error: " . $e->getMessage() . " | RideID: $rideId");
    jsonError("Database Error: Could not save rating");
} catch (Exception $e) {
    error_log("[rate/add] General Error: " . $e->getMessage());
    jsonError("Error: Could not save rating");
}
?>