import { useAuth } from 'react-oidc-context'

/**
 * Permission helpers для schema + record workflow. Phase 1d — **ACTIVE**:
 * читает {@code realm_access.roles} из JWT и гейтит actions.
 *
 * <p>Naming convention: colon-separated {@code ordinis:<domain>:<action>}
 * pattern (consistent с scope ACL {@code ordinis:client:public}). Backend
 * parser в {@code WorkflowRoles.java}.
 *
 * <p>Backend enforcement (см. {@code WorkflowRoles}):
 * <ul>
 *   <li>{@code 403 forbidden_role} — actor не имеет требуемой realm role.</li>
 *   <li>{@code 403 self_approve_forbidden} — actor == maker (maker-checker).</li>
 * </ul>
 *
 * <p>Frontend hide'ит соответствующие кнопки на UI level для UX, backend
 * гейт остаётся primary defence. Если user имеет роль в Keycloak —
 * кнопки видны и действия пройдут backend; если не имеет — кнопки скрыты,
 * backend всё равно 403'нет на прямой API call.
 *
 * <p><b>Migration note (Phase 1d enforcement):</b> Keycloak realm `nstart`
 * должен иметь созданные роли:
 * <ul>
 *   <li>{@code ordinis:schema:reviewer} — schema decide</li>
 *   <li>{@code ordinis:schema:publisher} — schema publish</li>
 *   <li>{@code ordinis:record:reviewer} — record approve/reject</li>
 * </ul>
 * и actual reviewer-users должны их получить. До этого все decide /
 * publish операции вернут {@code 403 forbidden_role}.
 */

export const ROLE_SCHEMA_REVIEWER = 'ordinis:schema:reviewer'
export const ROLE_SCHEMA_PUBLISHER = 'ordinis:schema:publisher'
export const ROLE_RECORD_REVIEWER = 'ordinis:record:reviewer'
export const ROLE_ADMIN = 'ordinis:admin'

/**
 * Достаёт roles из JWT. Поддерживает оба claim path:
 * - {@code realm_access.roles} — Keycloak realm-роли
 * - {@code resource_access.ordinis.roles} — Keycloak client-роли
 *
 * <p>Backend читает один из двух через {@code OrdinisAuthProperties.rolesClaim}
 * (default {@code realm_access.roles}, на prod/staging
 * {@code resource_access.ordinis.roles}). Frontend читает оба и объединяет
 * — UI gate должен работать независимо от config'а.
 */
function tokenRoles(profile: unknown): string[] {
  if (!profile || typeof profile !== 'object') return []
  const p = profile as {
    realm_access?: { roles?: unknown }
    resource_access?: { ordinis?: { roles?: unknown } }
  }
  const fromRealm = Array.isArray(p.realm_access?.roles)
    ? (p.realm_access.roles as unknown[]).filter((r): r is string => typeof r === 'string')
    : []
  const fromClient = Array.isArray(p.resource_access?.ordinis?.roles)
    ? (p.resource_access.ordinis.roles as unknown[]).filter(
        (r): r is string => typeof r === 'string',
      )
    : []
  return [...fromRealm, ...fromClient]
}

/**
 * True если у actor'а есть указанная role или super-role {@link ROLE_ADMIN}.
 * Admin grants full workflow access — convenience override для small teams.
 */
function hasRole(profile: unknown, role: string): boolean {
  const roles = tokenRoles(profile)
  return roles.includes(role) || roles.includes(ROLE_ADMIN)
}

/** Может ли актор approve / request_changes / reject schema draft. */
export function useCanReviewSchema(): boolean {
  const auth = useAuth()
  return auth.isAuthenticated && hasRole(auth.user?.profile, ROLE_SCHEMA_REVIEWER)
}

/** Может ли актор approve / reject record draft. */
export function useCanReviewRecord(): boolean {
  const auth = useAuth()
  return auth.isAuthenticated && hasRole(auth.user?.profile, ROLE_RECORD_REVIEWER)
}

/** Может ли актор publish approved schema draft (bump live version). */
export function useCanPublishSchema(): boolean {
  const auth = useAuth()
  return auth.isAuthenticated && hasRole(auth.user?.profile, ROLE_SCHEMA_PUBLISHER)
}

/**
 * Может ли актор create schema draft (maker side). Maker не gated
 * специальной ролью — любой authenticated с required scope. Backend
 * проверяет scope ACL для конкретного словаря.
 */
export function useCanCreateSchemaDraft(): boolean {
  const auth = useAuth()
  return auth.isAuthenticated
}
