<?php

declare(strict_types=1);

namespace Sentinelo\Core;

use Sentinelo\AgentCore\Crypto\AuthenticatedCipher;

/**
 * Chiffrement des secrets au repos (clé d'API, identifiants cloud) et des archives de
 * sauvegarde avant qu'elles ne quittent le serveur.
 *
 * Le SCHÉMA n'est plus ici : il vit dans {@see AuthenticatedCipher}, au cœur partagé,
 * parce que l'agent PrestaShop en avait besoin et que la seule alternative était de le
 * recopier — deux implémentations d'un encrypt-then-MAC finissent par diverger, et rien
 * ne dit laquelle des deux serait alors la fausse.
 *
 * Ce qui reste ici est ce qui est réellement propre à WordPress, et rien d'autre : la
 * matière de clé (AUTH_KEY + SECURE_AUTH_KEY) et les valeurs d'exemple de
 * wp-config-sample.php. C'est exactement la frontière que décrit le port
 * {@see \Sentinelo\AgentCore\Port\Crypto} : « Crypto est un port parce que la matière de
 * clé n'est pas portable ».
 *
 * L'API statique est conservée telle quelle — elle a une trentaine d'appelants dans le
 * plugin, et un déplacement de schéma n'est pas le moment de les réécrire.
 */
class Encryption
{
    private static ?AuthenticatedCipher $cipher = null;

    /**
     * Valeurs livrées dans wp-config-sample.php. Ce sont des constantes publiques :
     * les accepter comme matière de clé reviendrait à n'avoir aucune clé.
     */
    private const PLACEHOLDER_KEY_MATERIAL = [
        'put your unique phrase here',
        'define your unique phrase here',
    ];

    public static function encrypt(string $data): string
    {
        return self::cipher()->encrypt($data);
    }

    public static function decrypt(string $encrypted): string
    {
        return self::cipher()->decrypt($encrypted);
    }

    public static function encryptFile(string $src, string $dst): void
    {
        self::cipher()->encryptFile($src, $dst);
    }

    public static function decryptFile(string $src, string $dst): void
    {
        self::cipher()->decryptFile($src, $dst);
    }

    /**
     * Le chiffreur, construit sur la matière de clé WordPress.
     *
     * La validation est faite ICI, avant de déléguer, pour que le message reste
     * actionnable : « régénérez les salts WordPress » dit quoi faire, là où un message
     * neutre venu du cœur laisserait l'exploitant chercher. Le cœur refait le contrôle
     * de longueur de son côté — un garde-fou n'est pas moins utile parce qu'il est
     * doublé.
     */
    /**
     * Le chiffreur, exposé pour le chemin reprenable.
     *
     * `cipher()` reste privé : c'est l'API par verbe (chiffre ceci, déchiffre cela)
     * qui doit servir partout. La reprise, elle, a besoin de l'objet lui-même
     * parce qu'elle rend et reprend un état — l'exposer ici évite de dupliquer la
     * validation de la matière de clé, qui est la seule chose de valeur ici.
     */
    public static function cipherForResume(): AuthenticatedCipher
    {
        return self::cipher();
    }

    private static function cipher(): AuthenticatedCipher
    {
        if (self::$cipher !== null) {
            return self::$cipher;
        }

        $authKey       = defined('AUTH_KEY') ? (string) AUTH_KEY : '';
        $secureAuthKey = defined('SECURE_AUTH_KEY') ? (string) SECURE_AUTH_KEY : '';
        $raw           = $authKey . $secureAuthKey;

        self::assertUsableKeyMaterial($raw);

        return self::$cipher = new AuthenticatedCipher($raw, self::PLACEHOLDER_KEY_MATERIAL);
    }

    private static function assertUsableKeyMaterial(string $raw): void
    {
        if (strlen(trim($raw)) < AuthenticatedCipher::MIN_KEY_MATERIAL) {
            throw new \RuntimeException(
                'Sentinelo: clé de chiffrement indisponible — AUTH_KEY / SECURE_AUTH_KEY '
                . 'sont absents ou trop courts. Régénérez les salts WordPress avant '
                . 'de stocker un secret ou de lancer un backup.'
            );
        }

        $needle = strtolower($raw);
        foreach (self::PLACEHOLDER_KEY_MATERIAL as $placeholder) {
            if (str_contains($needle, $placeholder)) {
                throw new \RuntimeException(
                    'Sentinelo: AUTH_KEY / SECURE_AUTH_KEY contiennent encore les valeurs '
                    . "d'exemple de wp-config-sample.php. Régénérez les salts WordPress : "
                    . 'ces valeurs sont publiques et n\'offrent aucune confidentialité.'
                );
            }
        }
    }
}