<?php

namespace App\Services\Auth;

use App\Enums\SecurityChange;
use App\Models\User;
use Illuminate\Contracts\Session\Session;
use Illuminate\Support\Facades\Hash;
use Illuminate\Support\Str;

/**
 * Einziger Weg für den Passwortwechsel eines angemeldeten Kontos
 * (Sicherheitsaudit 07.10.2026, S-04). Neben dem neuen Hash wird der
 * Remember-Token rotiert und jede andere Browser-Session beendet — die
 * aktuelle bleibt angemeldet. API-Tokens bleiben bewusst bestehen
 * (Entscheidung 1: Integrationen sollen nicht unangekündigt brechen); der
 * Hinweis an die Kontoadresse nennt sie.
 */
class PasswordChanger
{
    public function __construct(
        private readonly SessionRevocation $sessions,
        private readonly SecurityNotifier $notifier,
    ) {}

    public function change(User $user, string $plainPassword, ?Session $currentSession = null): void
    {
        $user->forceFill([
            'password' => Hash::make($plainPassword),
            'remember_token' => Str::random(60),
        ])->save();

        if ($currentSession !== null) {
            $this->sessions->revokeOthersFor($user, $currentSession);
        } else {
            $this->sessions->revokeAllFor($user);
        }

        $this->notifier->notify($user, SecurityChange::PasswordChanged);
    }
}