<?php
/**
 * Обход сайта порциями: очередь адресов, копилка находок, останов и продолжение.
 *
 * Почему порциями, а не всё сразу: сайт клиента может быть на тысячу страниц,
 * и проверка на его же хостинге. Кладём чужой сервер — плагин удаляют в тот же
 * день, а отзыв остаётся навсегда (у конкурента такой уже есть).
 *
 * Почему состояние лежит в базе, а не в браузере: человек закрыл вкладку,
 * ушёл пить чай, вернулся — обход продолжается с того же места. Это записано
 * требованием в карте работ, а не придумано здесь.
 *
 * @package finalwork-accessibility
 */

defined( 'ABSPATH' ) || exit;

/** Опция с состоянием обхода. Чистится вместе со всеми onsite_a11y_* при удалении. */
define( 'ONSITE_A11Y_OPCIYA_OBHODA', 'onsite_a11y_obhod' );

/** Сколько страниц берём за раз. Пять — компромисс: и не ползёт, и не душит сервер. */
define( 'ONSITE_A11Y_PACHKA', 5 );

/**
 * Пустое состояние обхода.
 *
 * Списка всех адресов в базе нет: на сайте в десять тысяч записей он весил бы
 * сотни килобайт и переписывался бы после каждой страницы. Вместо него курсор —
 * номер последней выданной записи — и потолок: самый большой номер на момент
 * старта. Адреса берутся из базы по пять, когда до них доходит очередь.
 */
function onsite_a11y_pustoy_obhod() {
	return array(
		'idet'     => false,
		'ochered'  => array(), // выданная пачка: номер записи => адрес (0 — главная)
		'proydeno' => 0,       // сколько страниц проверено
		'kursor'   => 0,       // записи с номером до него включительно уже выданы
		'potolok'  => 0,       // записи новее старта в этот обход не входят
		'ostatok'  => 0,       // сколько записей ещё не выдано (пересчитывается с каждой пачкой)
		'nahodki'  => array(), // схлопнутые: ключ правило+есть+надо
		'nachat'   => 0,
		'obnovlen' => 0,
	);
}

function onsite_a11y_sostoyanie_obhoda() {
	$s = get_option( ONSITE_A11Y_OPCIYA_OBHODA );
	// Состояние старого вида (список адресов) продолжить нельзя — только начать заново.
	return is_array( $s ) && isset( $s['kursor'] ) ? array_merge( onsite_a11y_pustoy_obhod(), $s ) : onsite_a11y_pustoy_obhod();
}

/**
 * Записи и страницы с номером больше курсора и не больше потолка — первые $skolko
 * по возрастанию номера и сколько их всего.
 *
 * Берём главную, записи и страницы. Служебное не берём намеренно: вложения,
 * страницы авторов, архивы дат и рубрик — это одна и та же разметка в десятках
 * вариантов, находки там повторяются, а время обхода растёт кратно.
 *
 * Статичная главная страница уже проверена как главная — её не берём второй раз.
 *
 * @return array{0: WP_Post[], 1: int}
 */
function onsite_a11y_zapisi_posle( $kursor, $potolok, $skolko ) {
	// Номер статичной главной, 0 — главная лентой записей (записи с номером 0 не бывает).
	// Отсекаем её тем же условием, а не post__not_in: так found_posts сразу без неё.
	$glavnaya = 'page' === get_option( 'show_on_front' ) ? (int) get_option( 'page_on_front' ) : 0;
	$uslovie  = function ( $where ) use ( $kursor, $potolok, $glavnaya ) {
		global $wpdb;
		return $where . $wpdb->prepare( " AND {$wpdb->posts}.ID > %d AND {$wpdb->posts}.ID <= %d AND {$wpdb->posts}.ID <> %d", $kursor, $potolok, $glavnaya );
	};

	$argumenty = array(
		'post_type'           => array( 'post', 'page' ),
		'post_status'         => 'publish',
		'posts_per_page'      => max( 1, $skolko ),
		'orderby'             => 'ID',
		'order'               => 'ASC',
		'ignore_sticky_posts' => true,
		'suppress_filters'    => false,
	);

	add_filter( 'posts_where', $uslovie );
	$q = new WP_Query( $argumenty );
	remove_filter( 'posts_where', $uslovie, 10 );

	return array( $skolko > 0 ? $q->posts : array(), (int) $q->found_posts );
}

/** Сколько страниц в обходе: проверенные, выданные и ещё не выданные. */
function onsite_a11y_vsego( $s ) {
	return (int) $s['proydeno'] + count( $s['ochered'] ) + (int) $s['ostatok'];
}

/**
 * Начать обход заново или продолжить прерванный.
 *
 * Продолжение — это НЕ новый обход: очередь и находки остаются, поэтому
 * прерванная проверка не начинается с нуля.
 */
function onsite_a11y_ajax_nachat() {
	onsite_a11y_proverit_pravo();
	check_ajax_referer( 'onsite_a11y_obhod', 'klyuch' );

	$zanovo = isset( $_POST['zanovo'] ) && '1' === sanitize_text_field( wp_unslash( $_POST['zanovo'] ) );
	$s      = onsite_a11y_sostoyanie_obhoda();

	if ( $zanovo || ! $s['ochered'] && ! $s['proydeno'] ) {
		$s = onsite_a11y_pustoy_obhod();

		$posledniy = get_posts(
			array(
				'post_type'        => array( 'post', 'page' ),
				'post_status'      => 'publish',
				'numberposts'      => 1,
				'orderby'          => 'ID',
				'order'            => 'DESC',
				'suppress_filters' => false,
				'fields'           => 'ids',
			)
		);
		$s['potolok'] = $posledniy ? (int) $posledniy[0] : 0;
		list( , $s['ostatok'] ) = onsite_a11y_zapisi_posle( 0, $s['potolok'], 0 );
		$s['ochered'] = array( 0 => esc_url_raw( home_url( '/' ) ) );
		$s['nachat']  = time();
	}

	$s['idet']     = true;
	$s['obnovlen'] = time();
	update_option( ONSITE_A11Y_OPCIYA_OBHODA, $s, false );

	wp_send_json_success( onsite_a11y_kratko( $s ) );
}
add_action( 'wp_ajax_onsite_a11y_nachat', 'onsite_a11y_ajax_nachat' );

/**
 * Отдать следующую пачку адресов.
 *
 * Пока выданная пачка не проверена целиком, отдаём её остаток: обход,
 * остановленный посреди пачки, продолжается с непроверенной страницы, а
 * проверенные второй раз не выдаются. Новую пачку берём из базы, только когда
 * старая кончилась.
 */
function onsite_a11y_ajax_pachka() {
	onsite_a11y_proverit_pravo();
	check_ajax_referer( 'onsite_a11y_obhod', 'klyuch' );

	$s = onsite_a11y_sostoyanie_obhoda();
	if ( ! $s['idet'] ) {
		wp_send_json_success( array_merge( onsite_a11y_kratko( $s ), array( 'pachka' => array() ) ) );
	}

	if ( ! $s['ochered'] ) {
		list( $zapisi, $naydeno ) = onsite_a11y_zapisi_posle( $s['kursor'], $s['potolok'], ONSITE_A11Y_PACHKA );
		foreach ( $zapisi as $zapis ) {
			$s['kursor'] = (int) $zapis->ID;
			$adres       = get_permalink( $zapis );
			if ( $adres ) {
				$s['ochered'][ $s['kursor'] ] = esc_url_raw( $adres );
			}
		}
		$s['ostatok'] = max( 0, $naydeno - count( $zapisi ) );
		if ( ! $s['ochered'] ) {
			$s['idet'] = false; // в базе больше ничего — обход закончен
		}
		$s['obnovlen'] = time();
		update_option( ONSITE_A11Y_OPCIYA_OBHODA, $s, false );
	}

	$pachka = array_values( array_slice( $s['ochered'], 0, ONSITE_A11Y_PACHKA, true ) );
	wp_send_json_success( array_merge( onsite_a11y_kratko( $s ), array( 'pachka' => $pachka ) ) );
}
add_action( 'wp_ajax_onsite_a11y_pachka', 'onsite_a11y_ajax_pachka' );

/**
 * Принять находки по одной странице и убрать её из очереди.
 *
 * Одинаковые проблемы с разных страниц схлопываются в одну запись со счётчиком
 * страниц: полсотни строк «нет alt» по одной на страницу человек не читает,
 * а одна строка «встречается на 37 страницах» — читает.
 */
function onsite_a11y_ajax_prinyat() {
	onsite_a11y_proverit_pravo();
	check_ajax_referer( 'onsite_a11y_obhod', 'klyuch' );

	$adres = isset( $_POST['adres'] ) ? esc_url_raw( wp_unslash( $_POST['adres'] ) ) : '';
	/*
	 * Находки приходят одной строкой JSON и очищаются сразу на входе. Угловые
	 * скобки и знак процента obhod.js пересылает юникод-кодами JSON (u003c, u003e, u0025):
	 * очистка вырезала бы «<label for="…">» из подсказки (цех ловил) и «%d0» из
	 * селектора, а коды она не трогает — json_decode возвращает текст целиком.
	 * Дальше каждое поле чистится ещё раз по отдельности, ниже.
	 */
	$syrye = isset( $_POST['nahodki'] ) ? json_decode( sanitize_textarea_field( wp_unslash( $_POST['nahodki'] ) ), true ) : array();
	if ( ! $adres ) {
		wp_send_json_error( array( 'soobshenie' => __( 'The page address is missing.', 'finalwork-accessibility' ) ) );
	}

	$s = onsite_a11y_sostoyanie_obhoda();

	// Адреса нет в выданной пачке — эту страницу уже приняли. Второй раз не
	// считаем ни её, ни её находки.
	$nomer = array_search( $adres, $s['ochered'], true );
	if ( false === $nomer ) {
		wp_send_json_success( onsite_a11y_kratko( $s ) );
	}

	// Из очереди адрес убираем в любом случае: даже если страница не открылась,
	// иначе обход встанет на ней навсегда.
	unset( $s['ochered'][ $nomer ] );
	++$s['proydeno'];

	if ( is_array( $syrye ) ) {
		foreach ( $syrye as $n ) {
			if ( empty( $n['pravilo'] ) || empty( $n['selektor'] ) ) {
				continue; // без адреса находка это мнение — правило проекта
			}
			$klyuch = md5( $n['pravilo'] . '|' . $n['est'] . '|' . $n['nado'] );

			if ( ! isset( $s['nahodki'][ $klyuch ] ) ) {
				$s['nahodki'][ $klyuch ] = array(
					'pravilo'   => sanitize_text_field( $n['pravilo'] ),
					'vazhnost'  => sanitize_text_field( $n['vazhnost'] ),
					'zhestkaya' => ! empty( $n['zhestkaya'] ),
					'vruchnuyu' => ! empty( $n['vruchnuyu'] ),
					'est'       => onsite_a11y_ochistit_podskazku( $n['est'] ),
					'nado'      => onsite_a11y_ochistit_podskazku( $n['nado'] ),
					'selektor'  => onsite_a11y_ochistit_podskazku( $n['selektor'] ),
					'spravka'   => isset( $n['spravka'] ) ? esc_url_raw( $n['spravka'] ) : '',
					'stranicy'  => array(),
					'elementov' => 0,
				);
			}

			$zapis = &$s['nahodki'][ $klyuch ];
			if ( ! in_array( $adres, $zapis['stranicy'], true ) ) {
				$zapis['stranicy'][] = $adres;
			}
			$zapis['elementov'] += isset( $n['elementov'] ) ? (int) $n['elementov'] : 1;
			unset( $zapis );
		}
	}

	if ( ! $s['ochered'] && ! $s['ostatok'] ) {
		$s['idet'] = false; // очередь пуста и в базе ничего не осталось — обход закончен
	}
	$s['obnovlen'] = time();
	update_option( ONSITE_A11Y_OPCIYA_OBHODA, $s, false );

	wp_send_json_success( onsite_a11y_kratko( $s ) );
}
add_action( 'wp_ajax_onsite_a11y_prinyat', 'onsite_a11y_ajax_prinyat' );

/**
 * Остановить обход. Очередь и находки остаются — продолжение пойдёт с этого места.
 */
function onsite_a11y_ajax_stop() {
	onsite_a11y_proverit_pravo();
	check_ajax_referer( 'onsite_a11y_obhod', 'klyuch' );

	$s             = onsite_a11y_sostoyanie_obhoda();
	$s['idet']     = false;
	$s['obnovlen'] = time();
	update_option( ONSITE_A11Y_OPCIYA_OBHODA, $s, false );

	wp_send_json_success( onsite_a11y_kratko( $s ) );
}
add_action( 'wp_ajax_onsite_a11y_stop', 'onsite_a11y_ajax_stop' );

/**
 * Текущее состояние: прогресс и находки.
 */
function onsite_a11y_ajax_sostoyanie() {
	onsite_a11y_proverit_pravo();
	check_ajax_referer( 'onsite_a11y_obhod', 'klyuch' );

	$s     = onsite_a11y_sostoyanie_obhoda();
	$otvet = onsite_a11y_kratko( $s );

	$spisok = array_values( $s['nahodki'] );
	usort(
		$spisok,
		function ( $a, $b ) {
			$va = ( $a['zhestkaya'] ? 2 : 0 ) + ( $a['vruchnuyu'] ? 0 : 1 );
			$vb = ( $b['zhestkaya'] ? 2 : 0 ) + ( $b['vruchnuyu'] ? 0 : 1 );
			if ( $va === $vb ) {
				return count( $b['stranicy'] ) - count( $a['stranicy'] );
			}
			return $vb - $va;
		}
	);
	foreach ( $spisok as &$n ) {
		$n['stranic'] = count( $n['stranicy'] );
		// Возвращаем скобки: в базе текст экранирован, человеку нужен обычный вид.
		$n['est']      = onsite_a11y_vernut_podskazku( $n['est'] );
		$n['nado']     = onsite_a11y_vernut_podskazku( $n['nado'] );
		$n['selektor'] = onsite_a11y_vernut_podskazku( $n['selektor'] );
	}
	unset( $n );

	$otvet['nahodki'] = $spisok;
	wp_send_json_success( $otvet );
}
add_action( 'wp_ajax_onsite_a11y_sostoyanie', 'onsite_a11y_ajax_sostoyanie' );

/**
 * Очистка текста находки — с сохранением угловых скобок.
 *
 * Тут была дыра, которую поймал цех: обычная очистка WordPress вырезает всё,
 * похожее на тег, а вся ценность подсказки как раз в тегах. «<label for="…">
 * или aria-label у <select>» превращалось в «или aria-label у» — из 77 записей
 * справочника портились 22, включая две критические. В самой проверке текст был
 * целый: ломалось при ЗАПИСИ, поэтому в прошлый раз и не заметили.
 *
 * Поэтому скобки экранируем ДО очистки: в базе они лежат как сущности, очистка
 * их не трогает, а на выходе мы возвращаем их обратно.
 */
function onsite_a11y_ochistit_podskazku( $tekst ) {
	$tekst = (string) $tekst;
	$tekst = str_replace( array( '<', '>' ), array( '&lt;', '&gt;' ), $tekst );
	return sanitize_text_field( $tekst );
}

/**
 * Обратное превращение — для выдачи наружу.
 *
 * В базе текст лежит экранированным, а тому, кто его показывает, нужен
 * человеческий вид: «<label for="…">», а не «&lt;label for=…&gt;».
 */
function onsite_a11y_vernut_podskazku( $tekst ) {
	return html_entity_decode( (string) $tekst, ENT_QUOTES, 'UTF-8' );
}

/**
 * Короткая сводка о ходе работы — то, что показывается человеку.
 */
function onsite_a11y_kratko( $s ) {
	return array(
		'idet'     => (bool) $s['idet'],
		'vsego'    => onsite_a11y_vsego( $s ),
		'proydeno' => (int) $s['proydeno'],
		'ostalos'  => count( $s['ochered'] ) + (int) $s['ostatok'],
		'nahodok'  => count( $s['nahodki'] ),
		'seychas'  => $s['ochered'] ? reset( $s['ochered'] ) : '',
	);
}

/**
 * Право на обход. Каждый обработчик зовёт её первой строкой, а сразу за ней —
 * check_ajax_referer( 'onsite_a11y_obhod', 'klyuch' ).
 *
 * Одноразовый ключ проверяется в САМОМ обработчике, а не здесь: без ключа чужая
 * страница смогла бы запустить обход от имени вошедшего администратора (подделка
 * запроса, за неё каталог снимает плагин), и проверка каталога засчитывает ключ,
 * только когда видит его в той же функции, что читает $_POST.
 */
function onsite_a11y_proverit_pravo() {
	if ( ! current_user_can( ONSITE_A11Y_PRAVO ) ) {
		wp_send_json_error( array( 'soobshenie' => __( 'You do not have permission to run the scan.', 'finalwork-accessibility' ) ), 403 );
	}
}