<?php
/**
 * Cloudflare Turnstile a feliratkozó formokon (opcionális, alapból ki).
 *
 * A verify() három kimenete: pass; fail (nincs token, vagy a Cloudflare a
 * látogató tokenjét utasította el → látható hiba); unavailable (hálózati
 * hiba, 5xx, olvashatatlan válasz vagy a webhely konfigurációját érintő
 * hibakód → átengedjük, a többi védelem él). Egy elgépelt secret így nem
 * állít le minden feliratkozást — helyette admin-notice jelzi.
 *
 * @package Mowl
 */

namespace Mowl\WP\Forms;

use Mowl\WP\Support\Crypto;
use Mowl\WP\Support\Log;
use Mowl\WP\Support\Options;

defined( 'ABSPATH' ) || exit;

final class Turnstile {

	public const PASS        = 'pass';
	public const FAIL        = 'fail';
	public const UNAVAILABLE = 'unavailable';

	public const RESPONSE_FIELD     = 'cf-turnstile-response';
	public const SCRIPT_URL         = 'https://challenges.cloudflare.com/turnstile/v0/api.js'; // phpcs:ignore PluginCheck.CodeAnalysis.Offloading.OffloadedContent -- a Turnstile widget-scriptje csak a Cloudflare-ről tölthető
	public const VERIFY_URL         = 'https://challenges.cloudflare.com/turnstile/v0/siteverify'; // phpcs:ignore PluginCheck.CodeAnalysis.Offloading.OffloadedContent -- a Turnstile szerveroldali ellenőrző végpontja
	public const MISCONFIGURED_FLAG = 'turnstile_misconfigured';
	public const FAILING_FLAG       = 'turnstile_failing';

	/**
	 * Ennyi egymás utáni FAIL egyetlen PASS nélkül → admin-notice. Egy hibás
	 * site key (a widget nem renderel), egy másik widget secretje vagy a
	 * bekapcsolás előtt cache-elt oldal mind ilyen sorozatot ad, a Cloudflare
	 * pedig ezeket a látogató hibájaként jelzi.
	 */
	public const FAILING_STREAK = 20;

	private const STREAK_KEY = 'mowl_turnstile_fail_streak';

	private const TIMEOUT = 5;

	/** A látogató tokenjére vonatkozó hibakódok; minden más a webhely konfigurációja. */
	private const VISITOR_ERRORS = array( 'invalid-input-response', 'timeout-or-duplicate', 'missing-input-response' );

	public static function enabled(): bool {
		$settings = FormSettings::load();
		return ! empty( $settings['turnstile_enabled'] ) && '' !== self::site_key() && null !== self::secret();
	}

	public static function site_key(): string {
		return (string) ( FormSettings::load()['turnstile_site_key'] ?? '' );
	}

	private static function secret(): ?string {
		$stored = (string) ( FormSettings::load()['turnstile_secret'] ?? '' );
		if ( '' === $stored ) {
			return null;
		}
		$plain = Crypto::decrypt( $stored );
		return null === $plain || '' === $plain ? null : $plain;
	}

	public static function verify( string $token, string $ip ): string {
		$token = trim( $token );
		if ( '' === $token ) {
			return self::fail();
		}
		$secret = self::secret();
		if ( null === $secret ) {
			return self::UNAVAILABLE;
		}

		$response = wp_remote_post(
			self::VERIFY_URL,
			array(
				'timeout' => self::TIMEOUT,
				'body'    => array(
					'secret'   => $secret,
					'response' => $token,
					'remoteip' => $ip,
				),
			)
		);

		if ( is_wp_error( $response ) ) {
			Log::add( 'warning', 'Turnstile verification unavailable', array( 'reason' => $response->get_error_message() ) );
			return self::UNAVAILABLE;
		}
		$code = (int) wp_remote_retrieve_response_code( $response );
		$data = json_decode( (string) wp_remote_retrieve_body( $response ), true );
		if ( $code < 200 || $code >= 300 || ! is_array( $data ) ) {
			Log::add( 'warning', 'Turnstile verification unavailable', array( 'reason' => 'http_' . $code ) );
			return self::UNAVAILABLE;
		}

		if ( ! empty( $data['success'] ) ) {
			Options::unflag( self::MISCONFIGURED_FLAG );
			Options::unflag( self::FAILING_FLAG );
			delete_transient( self::STREAK_KEY );
			return self::PASS;
		}

		$errors = array_values( array_map( 'strval', (array) ( $data['error-codes'] ?? array() ) ) );
		if ( array() !== $errors && array() === array_diff( $errors, self::VISITOR_ERRORS ) ) {
			return self::fail();
		}

		Log::add( 'error', 'Turnstile rejected the site configuration', array( 'codes' => $errors ) );
		Options::flag( self::MISCONFIGURED_FLAG, (string) time() );
		return self::UNAVAILABLE;
	}

	/** Egy FAIL beszámítása a sorozatba; a küszöbnél egyszer jelez. */
	private static function fail(): string {
		$streak = (int) get_transient( self::STREAK_KEY ) + 1;
		set_transient( self::STREAK_KEY, $streak, DAY_IN_SECONDS );
		if ( self::FAILING_STREAK === $streak ) {
			Log::add( 'warning', 'Turnstile: many failed checks in a row, none passed' );
			Options::flag( self::FAILING_FLAG, (string) time() );
		}
		return self::FAIL;
	}
}