<?php

namespace App\Http\Middleware;

use App\Models\User;
use App\Services\Api\ApiAccessEligibilityService;
use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

/**
 * API-Zugang nur mit laufender Buchung (08.10.2026): aktives Abo,
 * aktive Zahlungsoption oder Bestandsschutz — dieselbe Regel wie beim
 * Erzeugen eines Tokens (ApiAccessEligibilityService), jetzt bei jedem
 * Aufruf. Endet die Buchung, sperren die Tokens; sie bleiben erhalten und
 * funktionieren wieder, sobald erneut gebucht ist. Gilt für API v1 und die
 * Legacy-Aliasse unter /service.
 */
class EnsureApiAccessIsBooked
{
    public function __construct(private readonly ApiAccessEligibilityService $eligibility) {}

    /**
     * @param  Closure(Request): (Response)  $next
     */
    public function handle(Request $request, Closure $next): Response
    {
        $user = $request->user();

        if ($user instanceof User && ! $this->eligibility->hasApiAccess($user)) {
            return response()->json([
                'message' => 'API access requires an active subscription or booking.',
            ], 403);
        }

        return $next($request);
    }
}