<?php

namespace App\Http\Middleware;

use App\Models\User;
use App\Services\Auth\StrongAuthentication;
use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

/**
 * Admin-Bereich nur mit starker Anmeldung (Entscheidung 5, 07.10.2026):
 * Super-Admins und Admins bestätigen ihre Session einmalig per Passkey oder
 * Authenticator-Code. Seitenaufrufe führen zur Bestätigungsseite und danach
 * zurück; Livewire- und JSON-Folgeanfragen werden abgewiesen. Editoren und
 * Kunden sind nicht betroffen. Läuft auch als persistente Livewire-Middleware.
 */
class EnsureStrongAdminAuthentication
{
    public function __construct(private readonly StrongAuthentication $strong) {}

    public function handle(Request $request, Closure $next): Response
    {
        $user = $request->user();

        if (! $user instanceof User || ! $this->strong->isRequiredFor($user) || $this->strong->isSatisfiedBy($user)) {
            return $next($request);
        }

        if (! $request->isMethod('GET') || $request->expectsJson()) {
            abort(403, __('Bitte bestätigen Sie Ihre Anmeldung mit Passkey oder Authenticator-Code.'));
        }

        $request->session()->put(StrongAuthentication::INTENDED_KEY, $request->fullUrl());

        return redirect()->route('strong-auth.confirm');
    }
}