<?php

declare(strict_types=1);

namespace DomainWarn\WordPress\Service;

/**
 * Sieht das aus wie eine security.txt? Die Website gibt die Datei von DomainWarn unter ihrer eigenen Adresse aus –
 * angenommen wird deshalb nur, was erkennbar eine ist: Text statt HTML, nicht zu groß, mit einer Contact-Zeile (nach
 * RFC 9116 Pflicht). Eine Fehlerseite, die ein Proxy unterwegs als 200 ausliefert, landet so nie auf der Website.
 *
 * Der Inhalt selbst bleibt unangetastet: Ausgegeben werden genau die Bytes, die DomainWarn geliefert hat – auch eine
 * signierte Datei (OpenPGP) bleibt so gültig.
 *
 * Diese Klasse ist bewusst dieselbe wie in der Shopware-Erweiterung.
 */
final class SecurityTxtFile
{
    /** Mehr ist keine security.txt; die von DomainWarn hat ein paar hundert Bytes. */
    public const MAX_BYTES = 32768;

    /**
     * Die Datei aus einer Antwort von DomainWarn, oder null, wenn die Antwort keine brauchbare security.txt ist.
     * Gefolgt wird keiner Weiterleitung (der Transport tut das nie): Das Ziel ist vorher gegen die Basis geprüft.
     */
    public static function fromResponse(TransportResponse $response): ?string
    {
        $type = strtolower(trim((string) $response->header('content-type')));
        if ($response->status !== 200 || ($type !== '' && ! str_starts_with($type, 'text/plain'))) {
            return null;
        }

        return self::plausible($response->body) ? $response->body : null;
    }

    /** Text in UTF-8, höchstens MAX_BYTES, mit Contact-Zeile, ohne HTML und ohne Steuerzeichen außer Zeilenenden. */
    public static function plausible(string $body): bool
    {
        if ($body === '' || strlen($body) > self::MAX_BYTES || preg_match('//u', $body) !== 1) {
            return false;
        }
        if (preg_match('/[\x00-\x08\x0b\x0c\x0e-\x1f\x7f]/', $body) === 1) {
            return false;
        }
        // ein HTML-Dokument (Fehlerseite, Anmeldeseite eines Proxys) – auch wenn es als text/plain kommt
        if (preg_match('/<\s*(?:!doctype|html|head|body|script)\b/i', $body) === 1) {
            return false;
        }

        return preg_match('/^contact:[ \t]*\S/mi', $body) === 1;
    }

    /**
     * Zeitpunkt aus der Expires-Zeile (RFC 3339, etwa 2027-03-01T00:00:00.000Z), oder null, wenn sie fehlt oder
     * nicht lesbar ist.
     */
    public static function expires(string $body): ?int
    {
        if (preg_match('/^expires:[ \t]*(\d{4}-\d{2}-\d{2}[Tt ]\d{2}:\d{2}:\d{2}(?:\.\d+)?(?:[Zz]|[+-]\d{2}:\d{2}))[ \t]*\r?$/mi', $body, $m) !== 1) {
            return null;
        }
        try {
            return (new \DateTimeImmutable($m[1]))->getTimestamp();
        } catch (\Exception) {
            return null;
        }
    }
}