using EnvelopeGenerator.API.Models;
using EnvelopeGenerator.Domain.Constants;
using Microsoft.AspNetCore.Authentication;
using Microsoft.AspNetCore.Authentication.Cookies;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Options;

namespace EnvelopeGenerator.API.Controllers;

/// <summary>
/// Controller verantwortlich für die Benutzer-Authentifizierung, einschließlich Anmelden, Abmelden und Überprüfung des Authentifizierungsstatus.
/// </summary>
[Route("api/[controller]")]
[ApiController]
public partial class AuthController(IOptions<AuthTokenKeys> authTokenKeyOptions, IAuthorizationService authService) : ControllerBase
{
    private readonly AuthTokenKeys authTokenKeys = authTokenKeyOptions.Value;

    /// <summary>
    /// Überprüft, ob der Benutzer über die angegebene Berechtigung verfügt.
    /// </summary>
    /// <param name="policyName"></param>
    /// <returns></returns>
    protected async Task<bool> IsUserInPolicyAsync(string policyName)
    {
        var result = await authService.AuthorizeAsync(User, policyName);
        return result.Succeeded;
    }

    /// <summary>
    /// Entfernt das Authentifizierungs-Cookie des Benutzers (AuthCookie)
    /// </summary>
    /// <returns>
    /// Gibt eine HTTP 200 oder 401.
    /// </returns>
    /// <remarks>
    /// Sample request:
    ///
    ///     POST /api/auth/logout
    ///
    /// </remarks>
    /// <response code="200">Erfolgreich gelöscht, wenn der Benutzer ein berechtigtes Cookie hat.</response>
    /// <response code="401">Wenn es kein zugelassenes Cookie gibt, wird „nicht zugelassen“ zurückgegeben.</response>
    [ProducesResponseType(typeof(void), StatusCodes.Status200OK)]
    [ProducesResponseType(typeof(void), StatusCodes.Status401Unauthorized)]
    [Authorize(Policy = AuthPolicy.SenderOrReceiver)]
    [HttpPost("logout")]
    public async Task<IActionResult> Logout()
    {
        if (await IsUserInPolicyAsync(AuthPolicy.Sender))
            Response.Cookies.Delete(authTokenKeys.Cookie);
        else if (await IsUserInPolicyAsync(AuthPolicy.ReceiverOrReceiverTFA))
            await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
        else
            return Unauthorized();

        return Ok();
    }

    /// <summary>
    /// Prüft, ob der Benutzer ein autorisiertes Token hat.
    /// </summary>
    /// <returns>Wenn ein autorisiertes Token vorhanden ist HTTP 200 asynchron 401</returns>
    /// <remarks>
    /// Sample request:
    ///
    ///     GET /api/auth
    ///
    /// </remarks>
    /// <response code="200">Wenn es einen autorisierten Cookie gibt.</response>
    /// <response code="401">Wenn kein Cookie vorhanden ist oder nicht autorisierte.</response>
    [ProducesResponseType(typeof(void), StatusCodes.Status200OK)]
    [ProducesResponseType(typeof(void), StatusCodes.Status401Unauthorized)]
    [HttpGet("check")]
    [Authorize]
    public IActionResult Check(string? role = null)
        => role is not null && !User.IsInRole(role)
            ? Unauthorized()
            : Ok();
}