<?php
/**
 * Spam-szűrés a beküldésen: honeypot, időbélyeg, IP-throttle, filter.
 *
 * Nonce szándékosan nincs: a látogató kijelentkezett, és a cache-elt oldalon
 * a nonce lejárna (az MC4WP is így csinálja).
 *
 * @package Mowl
 */

namespace Mowl\WP\Forms;

use Mowl\WP\Support\CloudflareRanges;

defined( 'ABSPATH' ) || exit;

final class Spam {

	public const HONEYPOT  = 'mowl_website';
	public const TIMESTAMP = '_mowl_ts';

	/** Ennyi másodpercnél gyorsabb kitöltés bot. */
	public const MIN_AGE = 3;
	/** Agresszív oldal-cache miatt tág felső határ. */
	public const MAX_AGE = 90 * DAY_IN_SECONDS;

	private const RATE_LIMIT  = 10;
	private const RATE_WINDOW = 10 * MINUTE_IN_SECONDS;

	public static function is_spam( array $input, string $ip ): bool {
		$verdict = self::honeypot_filled( $input )
			|| ! self::timestamp_plausible( $input )
			|| self::throttled( $ip );

		/**
		 * Captcha- és antispam-pluginok beköthetnek.
		 *
		 * @param bool   $verdict igaz = spam
		 * @param array  $input   a beküldés ismert mezői, sanitizálva (SubmissionInput) —
		 *                        egy saját mezőt (pl. más captcha tokenjét) a hook maga olvassa a kérésből
		 * @param string $ip
		 */
		return (bool) apply_filters( 'mowl_spam_check', $verdict, $input, $ip );
	}

	private static function honeypot_filled( array $input ): bool {
		return '' !== trim( (string) ( $input[ self::HONEYPOT ] ?? '' ) );
	}

	private static function timestamp_plausible( array $input ): bool {
		$ts = (int) ( $input[ self::TIMESTAMP ] ?? 0 );
		if ( $ts <= 0 ) {
			return false;
		}
		$age = time() - $ts;
		return $age >= self::MIN_AGE && $age <= self::MAX_AGE;
	}

	/**
	 * A látogató IP-je: alapból REMOTE_ADDR (az X-Forwarded-For hamisítható,
	 * a throttle-t kikerülné). „Az oldal Cloudflare mögött van” kapcsolóval a
	 * CF-Connecting-IP — de csak Cloudflare-tartományból jövő kérésnél. Más
	 * CDN/proxy mögött a host a filterrel adhatja meg a valódi címet.
	 */
	public static function client_ip(): string {
		$ip = isset( $_SERVER['REMOTE_ADDR'] ) ? sanitize_text_field( wp_unslash( $_SERVER['REMOTE_ADDR'] ) ) : '0.0.0.0';

		if ( ! empty( FormSettings::load()['behind_cloudflare'] ) ) {
			$visitor = CloudflareRanges::visitor_ip();
			if ( null !== $visitor ) {
				$ip = $visitor;
			}
		}

		/**
		 * A beküldő IP-je a throttle-hoz és a consent-naplóhoz.
		 *
		 * @param string $ip REMOTE_ADDR, vagy Cloudflare mögött a CF-Connecting-IP
		 */
		$filtered = apply_filters( 'mowl_client_ip', $ip );
		return is_string( $filtered ) && '' !== trim( $filtered ) ? sanitize_text_field( $filtered ) : $ip;
	}

	/** Számláló transientben; a 11. beküldés 10 percen belül elakad. */
	private static function throttled( string $ip ): bool {
		return (int) get_transient( self::rate_key( $ip ) ) >= self::RATE_LIMIT;
	}

	/**
	 * Egy beküldés beszámítása a throttle-ba. A handler csak az alap
	 * e-mail-ellenőrzés után hívja, hogy egy hibás cím ne fogyassza a keretet.
	 */
	public static function record_attempt( string $ip ): void {
		$key = self::rate_key( $ip );
		set_transient( $key, (int) get_transient( $key ) + 1, self::RATE_WINDOW );
	}

	private static function rate_key( string $ip ): string {
		return 'mowl_rl_' . md5( $ip );
	}
}