using System;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Authentication;
using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;

namespace ManagerService.Security
{
    /// <summary>
    /// Exige <b>une clé d'API valide</b> (<c>X-Api-Key</c>) ou un utilisateur du manager
    /// déjà authentifié. À poser sur les routes que les apps visiteur consomment.
    ///
    /// <b>Pourquoi un filtre et pas <c>[Authorize(AppReadAccess)]</c>.</b> ASP.NET Core
    /// <b>combine</b> les <c>[Authorize]</c> de la classe et de l'action : sur un
    /// contrôleur qui exige <c>ContentEditor</c>, ajouter une policy plus permissive sur
    /// l'action ne l'assouplit pas — la clé authentifierait la requête, puis l'autorisation
    /// la refuserait, et l'app recevrait un 403 sans corps. Seul <c>[AllowAnonymous]</c>
    /// court-circuite la policy de classe. L'action garde donc son <c>[AllowAnonymous]</c>,
    /// et <b>ce filtre redevient le contrôle d'accès</b>.
    ///
    /// C'est exactement ce que <c>ConfigurationController.Export</c> faisait à la main
    /// depuis le commit <c>9cc45c5</c> ; ceci le rend réutilisable au lieu de le recopier
    /// vingt-quatre fois.
    ///
    /// ⚠️ <b>Ce que ce filtre ne fait pas : le cloisonnement.</b> Il vérifie qu'une clé est
    /// valide, pas qu'elle donne accès à <i>cette</i> ressource-là — ça demande de résoudre
    /// l'instance de la ressource, ce qui diffère à chaque endpoint. Les routes qui savent
    /// le faire le font en plus, dans leur corps (voir <c>Export</c> et
    /// <c>InstanceController.GetDetail</c>). Et la clé s'obtient anonymement, par le slug
    /// ou par le pincode : ceci ferme l'énumération par identifiant et rend l'accès
    /// révocable, ça ne rend pas le contenu confidentiel.
    /// </summary>
    [AttributeUsage(AttributeTargets.Method | AttributeTargets.Class)]
    public class RequireAppKeyAttribute : Attribute, IAsyncAuthorizationFilter
    {
        public const string ApiKeyScheme = "ApiKey";

        public async Task OnAuthorizationAsync(AuthorizationFilterContext context)
        {
            var http = context.HttpContext;

            // Le schéma ApiKey n'est pas le schéma par défaut : sur une action
            // [AllowAnonymous] il faut le déclencher explicitement.
            var apiKey = await http.AuthenticateAsync(ApiKeyScheme);
            if (apiKey.Succeeded) return;

            // Le back-office appelle les mêmes routes avec son jeton.
            if (http.User?.Identity?.IsAuthenticated == true
                && http.User.HasClaim(Service.Security.ClaimTypes.Permission,
                                      Service.Security.Permissions.Viewer))
                return;

            context.Result = new ObjectResult("Authentication required") { StatusCode = 401 };
        }
    }
}