<?php
/**
 * Vidal Security AI — Red de sensores (v1.21.0).
 *
 * El plugin instalado en sitios de terceros puede actuar como SENSOR de
 * la red de Vidal Security: reporta datos de ATAQUES (nunca datos del
 * sitio ni de sus usuarios) a nuestro servidor para que una IP que
 * ataca a un sitio quede marcada para todos.
 *
 * Reglas de la casa, innegociables:
 *  - Sin consentimiento expreso del administrador NO se envía nada.
 *    Al activar el plugin se muestra un aviso con la elección; el
 *    interruptor queda siempre visible en el panel.
 *  - Solo viajan datos del atacante y del ataque: IP, tipo de evento,
 *    familia/patrón del mini-WAF, ruta SIN parámetros y la huella
 *    (SHA-256) de la muestra — jamás el contenido, jamás nombres de
 *    usuario, correos ni cuerpos de peticiones.
 *  - El sitio nunca depende del servidor: los reportes se encolan en
 *    local y, si el servidor no responde, se reintenta en la siguiente
 *    hora. Sin servidor, el plugin protege igual.
 *  - Coste de IA: cero. Todo es determinista.
 *
 * @package VidalSecurityAI
 */

if ( ! defined( 'ABSPATH' ) ) {
	exit;
}

define( 'VSAI_SENSOR_ENDPOINT', 'https://v8.vidalbooking.com/flow/red-sensores' );
define( 'VSAI_SENSOR_QUEUE_MAX', 200 );

/** Configuración del sensor (opción propia, sin autocarga). */
function vsai_sensor_config() {
	$c = get_option( 'vsai_sensor', array() );
	if ( ! is_array( $c ) ) {
		$c = array();
	}
	return array_merge(
		array(
			'estado'       => '', // '' = sin decidir · 'on' · 'off'.
			'id'           => '',
			'cola'         => array(),
			'marca_waf'    => 0,
			'enviados'     => 0,
			'ultimo_envio' => 0,
		),
		$c
	);
}

/** Guarda la configuración del sensor. */
function vsai_sensor_save( $c ) {
	update_option( 'vsai_sensor', $c, false );
}

/** ¿El administrador aceptó compartir datos de ataques? */
function vsai_sensor_on() {
	$c = vsai_sensor_config();
	return 'on' === $c['estado'];
}

/** Identificador anónimo del sensor (no identifica a ninguna persona). */
function vsai_sensor_id() {
	$c = vsai_sensor_config();
	if ( '' === (string) $c['id'] ) {
		$c['id'] = 's_' . substr( hash( 'sha256', wp_generate_password( 32, true, true ) . home_url() ), 0, 20 );
		vsai_sensor_save( $c );
	}
	return (string) $c['id'];
}

/**
 * Encola un reporte de ataque, ya saneado.
 *
 * @param string $tipo   Tipo de evento (waf, login-burst, admin-creado, opcion-critica).
 * @param string $ip     IP del atacante (se valida; si no es IP, queda vacía).
 * @param string $ruta   Ruta intentada; se le quitan parámetros y fragmento.
 * @param string $familia Familia/patrón (mini-WAF) o nombre de la opción tocada.
 * @param string $muestra Muestra útil; SOLO viaja su huella SHA-256.
 */
function vsai_sensor_report( $tipo, $ip = '', $ruta = '', $familia = '', $muestra = '' ) {
	if ( ! vsai_sensor_on() ) {
		return;
	}
	$ip = (string) $ip;
	if ( '' !== $ip && ! filter_var( $ip, FILTER_VALIDATE_IP ) ) {
		$ip = '';
	}
	$ruta = (string) $ruta;
	$qpos = strpos( $ruta, '?' );
	if ( false !== $qpos ) {
		$ruta = substr( $ruta, 0, $qpos );
	}
	$fpos = strpos( $ruta, '#' );
	if ( false !== $fpos ) {
		$ruta = substr( $ruta, 0, $fpos );
	}
	$c          = vsai_sensor_config();
	$c['cola']  = is_array( $c['cola'] ) ? $c['cola'] : array();
	$c['cola'][] = array(
		'ts'      => time(),
		'tipo'    => sanitize_key( $tipo ),
		'ip'      => $ip,
		'ruta'    => substr( $ruta, 0, 120 ),
		'familia' => substr( sanitize_key( $familia ), 0, 60 ),
		'huella'  => '' !== (string) $muestra ? hash( 'sha256', (string) $muestra ) : '',
	);
	if ( count( $c['cola'] ) > VSAI_SENSOR_QUEUE_MAX ) {
		$c['cola'] = array_slice( $c['cola'], -VSAI_SENSOR_QUEUE_MAX );
	}
	vsai_sensor_save( $c );
}

/* ---------------------------------------------------------------------
 * Consentimiento: aviso en el admin + interruptor en el panel.
 * ------------------------------------------------------------------- */

/** Aviso de consentimiento mientras el administrador no elija. */
function vsai_sensor_consent_notice() {
	if ( ! current_user_can( 'manage_options' ) ) {
		return;
	}
	$c = vsai_sensor_config();
	if ( '' !== $c['estado'] ) {
		return;
	}
	vsai_sensor_id(); // El identificador existe desde el primer aviso.
	?>
	<div class="vsai-ui-12 notice notice-info">
		<p><strong><?php esc_html_e( 'Vidal Security AI — Sensor Network', 'vidal-security-ai' ); ?></strong></p>
		<p><?php esc_html_e( 'With your permission, attack reports are sent hourly to v8.vidalbooking.com: sensor ID, site host, WordPress/plugin/PHP versions, source IP, event type, pattern, path without parameters and sample fingerprint. A flagged IP can belong to a legitimate visitor. No request bodies or file contents are sent. You can stop sharing and clear the queue from this panel.', 'vidal-security-ai' ); ?></p>
		<p>
			<form class="vsai-ui-16" method="post" action="<?php echo esc_url( admin_url( 'admin-post.php' ) ); ?>">
				<input type="hidden" name="action" value="vsai_sensor_consent" />
				<input type="hidden" name="decision" value="on" />
				<?php wp_nonce_field( 'vsai_sensor_consent' ); ?>
				<button type="submit" class="button button-primary"><?php esc_html_e( 'Share attack data & protect the network', 'vidal-security-ai' ); ?></button>
			</form>
			<form class="vsai-ui-16" method="post" action="<?php echo esc_url( admin_url( 'admin-post.php' ) ); ?>">
				<input type="hidden" name="action" value="vsai_sensor_consent" />
				<input type="hidden" name="decision" value="off" />
				<?php wp_nonce_field( 'vsai_sensor_consent' ); ?>
				<button type="submit" class="button"><?php esc_html_e( 'Do not share', 'vidal-security-ai' ); ?></button>
			</form>
		</p>
	</div>
	<?php
}
add_action( 'admin_notices', 'vsai_sensor_consent_notice' );

/** Guarda la decisión del administrador (aviso o interruptor del panel). */
function vsai_sensor_consent_save() {
	if ( ! current_user_can( 'manage_options' ) ) {
		wp_die( esc_html__( 'No permission.', 'vidal-security-ai' ) );
	}
	check_admin_referer( 'vsai_sensor_consent' );
	$decision         = isset( $_POST['decision'] ) ? sanitize_key( wp_unslash( $_POST['decision'] ) ) : 'off'; // phpcs:ignore WordPress.Security.NonceVerification -- verificado con check_admin_referer.
	$c                = vsai_sensor_config();
	$c['estado']      = 'on' === $decision ? 'on' : 'off';
	if ( 'on' === $c['estado'] ) {
		$c['id'] = vsai_sensor_id();
		if ( ! wp_next_scheduled( 'vsai_sensor_send' ) ) {
			wp_schedule_event( time() + 300, 'hourly', 'vsai_sensor_send' );
		}
	} else {
		$c['cola'] = array(); // Sin consentimiento no queda nada encolado.
		wp_clear_scheduled_hook( 'vsai_sensor_send' );
	}
	vsai_sensor_save( $c );
	wp_safe_redirect( admin_url( 'admin.php?page=vidal-security-ai&notice=sensor' ) );
	exit;
}
add_action( 'admin_post_vsai_sensor_consent', 'vsai_sensor_consent_save' );

/** Sección del panel: estado del sensor, contador y el interruptor. */
function vsai_sensor_panel_html() {
	$c      = vsai_sensor_config();
	$estado = (string) $c['estado'];
	ob_start();
	?>
	<section class="vsai-card">
		<h2 class="vsai-card__title">🛰️ <?php esc_html_e( 'Sensor Network', 'vidal-security-ai' ); ?></h2>
		<?php if ( 'on' === $estado ) : ?>
			<p><?php esc_html_e( 'This site is a sensor of the Vidal Security network: it shares attack data so an IP that attacks one site gets flagged for all. Only attacker data travels — never your content, users or customers.', 'vidal-security-ai' ); ?></p>
			<ul class="vsai-list">
				<li><?php echo esc_html( sprintf( /* translators: %d: reports sent. */ __( 'Attack reports sent so far: %d', 'vidal-security-ai' ), (int) $c['enviados'] ) ); ?></li>
				<li><?php echo esc_html( sprintf( /* translators: %d: reports queued. */ __( 'Reports queued right now: %d (they leave once an hour; if the server is down they simply wait)', 'vidal-security-ai' ), count( (array) $c['cola'] ) ) ); ?></li>
				<?php if ( (int) $c['ultimo_envio'] > 0 ) : ?>
					<li><?php echo esc_html( sprintf( /* translators: %s: date/time. */ __( 'Last successful delivery: %s', 'vidal-security-ai' ), date_i18n( 'd M, H:i', (int) $c['ultimo_envio'] ) ) ); ?></li>
				<?php endif; ?>
			</ul>
		<?php elseif ( 'off' === $estado ) : ?>
			<p><?php esc_html_e( 'The sensor is OFF: this site shares nothing. Your local protections work exactly the same.', 'vidal-security-ai' ); ?></p>
		<?php else : ?>
			<p><?php esc_html_e( 'You have not chosen yet: until you decide, this site shares nothing. Use the buttons below (the same choice appears as a notice at the top of this admin).', 'vidal-security-ai' ); ?></p>
		<?php endif; ?>
		<p><strong><?php esc_html_e( 'What data travels:', 'vidal-security-ai' ); ?></strong>
		<?php esc_html_e( 'attacker IP, event type (WAF hit, login burst, new admin account, critical option change), the matched pattern family, the path tried (without parameters) and a SHA-256 fingerprint of the sample. What NEVER travels: email addresses, usernames, content, customer data or request bodies.', 'vidal-security-ai' ); ?></p>
		<form method="post" action="<?php echo esc_url( admin_url( 'admin-post.php' ) ); ?>">
			<input type="hidden" name="action" value="vsai_sensor_consent" />
			<input type="hidden" name="decision" value="<?php echo 'on' === $estado ? 'off' : 'on'; ?>" />
			<?php wp_nonce_field( 'vsai_sensor_consent' ); ?>
			<button type="submit" class="button"><?php echo 'on' === $estado ? esc_html__( 'Turn the sensor OFF', 'vidal-security-ai' ) : esc_html__( 'Turn the sensor ON', 'vidal-security-ai' ); ?></button>
		</form>
	</section>
	<?php
	return ob_get_clean();
}

/* ---------------------------------------------------------------------
 * Colectores (solo con el sensor encendido).
 * ------------------------------------------------------------------- */

/** Nuevo administrador creado: evento clásico de puerta trasera. */
function vsai_sensor_user_register( $user_id ) {
	if ( ! vsai_sensor_on() ) {
		return;
	}
	$user = get_userdata( $user_id );
	if ( ! $user || ! in_array( 'administrator', (array) $user->roles, true ) ) {
		return;
	}
	// En el admin, la IP sería la del propio administrador: no se envía.
	$ip = is_admin() ? '' : ( isset( $_SERVER['REMOTE_ADDR'] ) ? sanitize_text_field( wp_unslash( $_SERVER['REMOTE_ADDR'] ) ) : '' ); // phpcs:ignore WordPress.Security.ValidatedSanitizedInput -- saneado con sanitize_text_field y validado en vsai_sensor_report().
	vsai_sensor_report( 'admin-creado', $ip, '/wp-login.php?action=register', 'usuarios' );
}
add_action( 'user_register', 'vsai_sensor_user_register' );

/** Opciones críticas tocadas (lista cerrada; solo viaja el NOMBRE). */
function vsai_sensor_option_watch( $option ) {
	if ( ! vsai_sensor_on() ) {
		return;
	}
	$criticas = array( 'siteurl', 'home', 'admin_email', 'users_can_register', 'default_role', 'permalink_structure' );
	if ( ! in_array( $option, $criticas, true ) ) {
		return;
	}
	vsai_sensor_report( 'opcion-critica', '', '/wp-admin/options.php', (string) $option );
}
add_action( 'updated_option', 'vsai_sensor_option_watch' );

/** Ráfagas de login fallido por IP (5 en 10 min; un aviso por IP y 6 h). */
function vsai_sensor_login_failed( $username ) { // phpcs:ignore Generic.CodeAnalysis.UnusedFunctionParameter -- la firma del hook exige el parámetro; el nombre NUNCA se envía.
	if ( ! vsai_sensor_on() ) {
		return;
	}
	$ip = isset( $_SERVER['REMOTE_ADDR'] ) ? sanitize_text_field( wp_unslash( $_SERVER['REMOTE_ADDR'] ) ) : ''; // phpcs:ignore WordPress.Security.ValidatedSanitizedInput -- saneado y validado en el reporte.
	if ( '' === $ip || ! filter_var( $ip, FILTER_VALIDATE_IP ) ) {
		return;
	}
	$clave  = 'vsai_sensor_login_' . md5( $ip );
	$cuenta = (int) get_transient( $clave );
	$cuenta++;
	set_transient( $clave, $cuenta, 10 * MINUTE_IN_SECONDS );
	if ( $cuenta < 5 ) {
		return;
	}
	$freno = 'vsai_sensor_login_avisado_' . md5( $ip );
	if ( get_transient( $freno ) ) {
		return;
	}
	set_transient( $freno, 1, 6 * HOUR_IN_SECONDS );
	vsai_sensor_report( 'login-burst', $ip, '/wp-login.php', 'login' );
}
add_action( 'wp_login_failed', 'vsai_sensor_login_failed' );

/**
 * Recoge los hallazgos NUEVOS del mini-WAF desde la marca de agua.
 * Salta el «ruido probable» (contenido legítimo) y los usuarios con
 * sesión: solo ataques anónimos o de cuentas sin privilegios claros.
 */
function vsai_sensor_collect_waf() {
	$c     = vsai_sensor_config();
	$log   = (array) get_option( 'vsai_waf_log', array() );
	$marca = (int) $c['marca_waf'];
	$nueva = $marca;
	$tope  = 0;
	foreach ( $log as $e ) {
		if ( ! is_array( $e ) || ! isset( $e['ts'] ) ) {
			continue;
		}
		if ( (int) $e['ts'] <= $marca ) {
			continue;
		}
		$nueva = max( $nueva, (int) $e['ts'] );
		if ( ! empty( $e['noise'] ) || $tope >= 50 ) {
			continue;
		}
		$tope++;
		// La ruta sale del registro pero sin parámetros, y la muestra
		// viaja solo como huella (el colector central ya lo garantiza).
		vsai_sensor_report(
			'waf',
			isset( $e['ip'] ) ? (string) $e['ip'] : '',
			isset( $e['path'] ) ? (string) $e['path'] : '',
			( isset( $e['family'] ) ? (string) $e['family'] : '' ) . ( isset( $e['pattern'] ) ? '/' . (string) $e['pattern'] : '' ),
			isset( $e['snippet'] ) ? (string) $e['snippet'] : ''
		);
	}
	if ( $nueva !== $marca ) {
		$c              = vsai_sensor_config();
		$c['marca_waf'] = $nueva;
		vsai_sensor_save( $c );
	}
}

/* ---------------------------------------------------------------------
 * Envío por horas. Si el servidor no responde, la cola espera.
 * ------------------------------------------------------------------- */

function vsai_sensor_send_run() {
	if ( ! vsai_sensor_on() ) {
		return;
	}
	vsai_sensor_collect_waf();
	$c = vsai_sensor_config();
	if ( empty( $c['cola'] ) ) {
		return;
	}
	global $wp_version;
	$payload  = array(
		'sensor'   => vsai_sensor_id(),
		'sitio'    => (string) wp_parse_url( home_url(), PHP_URL_HOST ),
		'wp'       => (string) $wp_version,
		'plugin'   => defined( 'VSAI_VERSION' ) ? VSAI_VERSION : '',
		'php'      => PHP_MAJOR_VERSION . '.' . PHP_MINOR_VERSION,
		'reportes' => array_values( (array) $c['cola'] ),
	);
	$response = wp_safe_remote_post(
		VSAI_SENSOR_ENDPOINT,
		array(
			'timeout' => 12,
			'redirection' => 0,
			'limit_response_size' => 1048576,
			'headers' => array( 'Content-Type' => 'application/json' ),
			'body'    => wp_json_encode( $payload ),
		)
	);
	if ( is_wp_error( $response ) ) {
		return; // La cola espera a la siguiente hora.
	}
	$code = (int) wp_remote_retrieve_response_code( $response );
	if ( $code >= 200 && $code < 300 ) {
		vsai_ack_queue( 'vsai_sensor', (array) $c['cola'], 'cola' );
	}
}
add_action( 'vsai_sensor_send', 'vsai_sensor_send_run' );

/** Si el sensor está encendido, el cron existe aunque WP-Cron se recree. */
function vsai_sensor_cron_guard() {
	if ( vsai_sensor_on() && ! wp_next_scheduled( 'vsai_sensor_send' ) ) {
		wp_schedule_event( time() + 300, 'hourly', 'vsai_sensor_send' );
	}
}
add_action( 'admin_init', 'vsai_sensor_cron_guard' );