<?php
/**
 * Los avisos de vuelta y la pestaña de las listas: de donde vienen.
 *
 * Las dos cosas se leian de la direccion (`$_GET`) sin comprobar la procedencia, y el revisor del directorio de
 * wordpress.org lo señalo. Un nonce no autoriza (para eso esta `current_user_can()`, que se comprueba en cada
 * pantalla), pero si demuestra que la peticion sale de una pantalla nuestra y no de un enlace fabricado fuera.
 *
 * Lo que se pinta con esto esta siempre en una lista blanca: el nonce no protege un dato, protege la procedencia.
 */

defined( 'ABSPATH' ) || exit;

/**
 * Una direccion con el aviso y su nonce.
 *
 * @param string $url   La direccion de vuelta.
 * @param string $clave El aviso que se quiere pintar.
 * @return string
 */
function andamio_kit_url_con_aviso( $url, $clave ) {
	return add_query_arg(
		array(
			'andamio_kit_aviso' => sanitize_key( (string) $clave ),
			'ak_aviso'          => wp_create_nonce( 'ak_aviso' ),
		),
		$url
	);
}

/**
 * El aviso que trae la direccion, si la peticion viene de una pantalla nuestra. Si no, cadena vacia.
 *
 * @return string
 */
function andamio_kit_aviso_de_vuelta() {
	if ( ! isset( $_GET['andamio_kit_aviso'], $_GET['ak_aviso'] ) ) {
		return '';
	}

	$nonce = sanitize_text_field( wp_unslash( $_GET['ak_aviso'] ) );

	if ( ! wp_verify_nonce( $nonce, 'ak_aviso' ) ) {
		return '';
	}

	return sanitize_key( wp_unslash( $_GET['andamio_kit_aviso'] ) );
}

/**
 * Una direccion de pestaña de las listas, con su nonce.
 *
 * @param string $url La direccion de la pestaña.
 * @return string
 */
function andamio_kit_url_con_lista( $url ) {
	return add_query_arg( 'ak_lista', wp_create_nonce( 'ak_lista' ), $url );
}

/**
 * La lista que pide la direccion, solo si viene de una pestaña nuestra.
 *
 * @return string La clave de la taxonomia, o cadena vacia.
 */
function andamio_kit_lista_pedida() {
	if ( ! isset( $_GET['lista'], $_GET['ak_lista'] ) ) {
		return '';
	}

	$nonce = sanitize_text_field( wp_unslash( $_GET['ak_lista'] ) );

	if ( ! wp_verify_nonce( $nonce, 'ak_lista' ) ) {
		return '';
	}

	return sanitize_key( wp_unslash( $_GET['lista'] ) );
}