<?php

namespace App\Http\Middleware;

use App\Models\User;
use App\Services\Auth\SessionRevocation;
use Closure;
use Illuminate\Auth\SessionGuard;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;
use Symfony\Component\HttpFoundation\Response;

/**
 * Meldet eine Session ab, die vor der letzten Sperre ihres Kontos entstanden
 * ist (SessionRevocation, Audit K-04). Die Marke steht am geladenen User;
 * bis zum Release nach v1.6.0 kommt ein Cache-Zugriff dazu (Übergang).
 */
class EnsureSessionIsNotRevoked
{
    public function __construct(private readonly SessionRevocation $revocation) {}

    public function handle(Request $request, Closure $next): Response
    {
        if (! $request->hasSession()) {
            return $next($request);
        }

        /** @var SessionGuard $guard */
        $guard = Auth::guard('web');

        if (! $guard->hasUser() && ! $request->session()->has($guard->getName())) {
            return $next($request);
        }

        $user = $guard->user();

        if (! $user instanceof User || ! $this->revocation->isRevoked($user, $request->session())) {
            return $next($request);
        }

        // Ohne logout(): das würde remember_token erneut rotieren und damit
        // auch die gerade gültige Anmeldung des Kontoinhabers treffen.
        $guard->logoutCurrentDevice();
        $request->session()->invalidate();
        $request->session()->regenerateToken();

        if ($request->expectsJson()) {
            abort(401);
        }

        return redirect()->guest(route('login'));
    }
}