<?php

namespace App\Services\Auth;

use Illuminate\Support\Facades\RateLimiter;

/**
 * Obergrenze für fehlgeschlagene Anmeldungen je IP-Adresse über alle Konten
 * hinweg (Sicherheitsaudit 07.10.2026, Phase 4). Das Limit je Adresse und IP
 * (5 pro Minute) bremst kein Durchprobieren vieler fremder Adressen von einer
 * Quelle — davon kamen laut Monitoring rund 250 Versuche am Tag. Gezählt
 * wird über das `Failed`-Event, damit Livewire-Anmeldung und Fortifys
 * `POST /login` denselben Zähler teilen. Erfolgreiche Anmeldungen setzen ihn
 * bewusst nicht zurück — sonst reichte ein eigenes Konto zum Entsperren.
 * Wirkt erst, seit gefälschte X-Forwarded-For-Header ignoriert werden
 * (config/trustedproxy.php).
 */
class LoginIpThrottle
{
    public const MAX_FAILURES = 20;

    public const DECAY_SECONDS = 900;

    public function recordFailure(?string $ip): void
    {
        RateLimiter::hit($this->key($ip), self::DECAY_SECONDS);
    }

    public function isBlocked(?string $ip): bool
    {
        return RateLimiter::tooManyAttempts($this->key($ip), self::MAX_FAILURES);
    }

    public function availableIn(?string $ip): int
    {
        return RateLimiter::availableIn($this->key($ip));
    }

    private function key(?string $ip): string
    {
        return 'login-failures-ip|'.($ip ?? 'unknown');
    }
}