<?php

namespace App\Services\Auth;

use App\Models\User;
use Illuminate\Support\Facades\Session;

/**
 * Starke Anmeldung für den Admin-Bereich (Entscheidung 5, 07.10.2026).
 *
 * Super-Admins und Admins brauchen eine Session, die mit einem zweiten Faktor
 * bestätigt wurde: Passkey (Login oder Bestätigung, Benutzerverifizierung per
 * Biometrie/PIN ist Pflicht) oder Authenticator-Code (2FA-Challenge bzw.
 * Bestätigung). Magic Link, Google und Passwort allein genügen nicht — sonst
 * ließe sich die Pflicht über den bequemsten Anmeldeweg umgehen. Die Marke
 * gilt für die Lebensdauer der Session.
 */
class StrongAuthentication
{
    public const SESSION_KEY = 'auth.strong';

    public const INTENDED_KEY = 'auth.strong_intended';

    public function isRequiredFor(User $user): bool
    {
        if (! config('auth.require_strong_admin_authentication', true)) {
            return false;
        }

        return $user->is_super_admin || $user->hasRole('admin');
    }

    public function isSatisfiedBy(User $user): bool
    {
        $strong = Session::get(self::SESSION_KEY);

        return is_array($strong) && (int) ($strong['user_id'] ?? 0) === (int) $user->getKey();
    }

    /**
     * @param  string  $method  passkey oder totp
     */
    public function mark(User $user, string $method): void
    {
        Session::put(self::SESSION_KEY, [
            'user_id' => $user->getKey(),
            'method' => $method,
            'at' => now()->getTimestamp(),
        ]);
    }

    public function hasPasskeys(User $user): bool
    {
        return $user->passkeys()->exists();
    }
}