<?php

/**
 * Entscheidung ueber einen ausgehenden HTTP-Aufruf: durchlassen oder
 * blockieren, und warum.
 *
 * Reine Logik (keine WordPress-Aufrufe), damit sie mit PHPUnit pruefbar ist.
 * Im Zweifel wird durchgelassen: Ein Aufruf ohne erkennbaren Host ist Sache
 * des Kerns, nicht der Sperre.
 */
if ( ! defined( 'ABSPATH' ) ) {
	exit;
}

class Wp360_Staging_Guard_Http_Policy {

	const REASON_INVALID    = 'invalid';
	const REASON_UNPARSABLE = 'unparsable';
	const REASON_OWN     = 'own';
	const REASON_LIVE    = 'live';
	const REASON_LISTED  = 'listed';
	const REASON_WPORG   = 'wporg';
	const REASON_ALWAYS  = 'always';
	const REASON_BLOCKED = 'blocked';


	/**
	 * Hosts, die WordPress fuer Installation, Update-Pruefung, Uebersetzungen
	 * braucht (Spike T1, tasks/plan-staging-guard.md). Bilder und Emoji laedt der
	 * Browser, nicht der Server, deshalb stehen die Bild-Hosts nicht hier.
	 *
	 * @var string[]
	 */
	const WPORG_HOSTS = array(
		'api.wordpress.org',
		'downloads.wordpress.org',
		'wordpress.org',
	);

	/**
	 * Entscheidet ueber einen Aufruf.
	 *
	 * Reihenfolge: eigener Host (immer erlaubt, auch Loopback) > Live-Adresse
	 * (immer blockiert) > [Pro] blockierte Vorlagen > [Pro] Regeln je Pfad und
	 * Methode > Erlaubnisliste > [Pro] erlaubte Vorlagen > WordPress.org >
	 * feste Ausnahmen (Lizenzserver im Pro-Build) > blockieren.
	 *
	 * $pro (nur im Pro-Build befuellt): 'allow' und 'block' mit Hosts der
	 * gewaehlten Vorlagen, 'rules' mit den zerlegten Regeln.
	 *
	 * @param string               $url        Aufgerufene URL.
	 * @param array<string, mixed> $settings   Bereinigte Einstellungen.
	 * @param string[]             $own_hosts  Adressen der eigenen Website (siteurl, home).
	 * @param string[]             $always     Hosts, die nie blockiert werden.
	 * @param string               $method     HTTP-Methode des Aufrufs.
	 * @param array<string, mixed> $pro        Zusaetzliche Pro-Daten.
	 * @return array{allow: bool, host: string, reason: string, live: bool, log: bool}
	 */
	public static function decide( $url, array $settings, array $own_hosts, array $always = array(), $method = 'GET', array $pro = array() ) {
		$host = Wp360_Staging_Guard_Host_Matcher::host_of( $url );
		if ( '' === $host ) {
			// Eine Adresse mit http(s)-Schema, deren Host sich nicht lesen laesst
			// (Zeichen ausserhalb von ASCII ohne intl, Rueckwaertsschraegstrich),
			// wird nicht durchgelassen: Der HTTP-Client koennte sie anders deuten.
			// Alles ohne Schema ("keine URL") ueberlaesst die Sperre dem Kern.
			if ( preg_match( '#^\s*(?:https?:)?//#i', (string) $url ) ) {
				return self::result( false, '', self::REASON_UNPARSABLE, false, false );
			}

			return self::result( true, '', self::REASON_INVALID, false, false );
		}

		if ( Wp360_Staging_Guard_Host_Matcher::is_own_host( $host, $own_hosts ) ) {
			return self::result( true, $host, self::REASON_OWN, false, false );
		}

		$live_url = isset( $settings['live_url'] ) ? (string) $settings['live_url'] : '';
		if ( Wp360_Staging_Guard_Host_Matcher::is_live_host( $host, $live_url ) ) {
			return self::result( false, $host, self::REASON_LIVE, true, true );
		}


		$listed = isset( $settings['allowed_hosts'] ) ? (string) $settings['allowed_hosts'] : '';
		if ( '' !== $listed && Wp360_Staging_Guard_Host_Matcher::matches_any( $host, $listed ) ) {
			return self::result( true, $host, self::REASON_LISTED, false, true );
		}


		if ( ! empty( $settings['allow_wporg'] ) && in_array( $host, self::WPORG_HOSTS, true ) ) {
			return self::result( true, $host, self::REASON_WPORG, false, true );
		}

		if ( $always && Wp360_Staging_Guard_Host_Matcher::matches_any( $host, $always ) ) {
			return self::result( true, $host, self::REASON_ALWAYS, false, true );
		}

		return self::result( false, $host, self::REASON_BLOCKED, false, true );
	}

	/**
	 * @param bool   $allow  Durchlassen.
	 * @param string $host   Host.
	 * @param string $reason Grund.
	 * @param bool   $live   Ziel ist die Live-Adresse.
	 * @param bool   $log    Im Protokoll zaehlen.
	 * @return array{allow: bool, host: string, reason: string, live: bool, log: bool}
	 */
	private static function result( $allow, $host, $reason, $live, $log ) {
		return array(
			'allow'  => $allow,
			'host'   => $host,
			'reason' => $reason,
			'live'   => $live,
			'log'    => $log,
		);
	}
}