import jwt from 'jsonwebtoken';
import pool from '../config/database.js';

// Verifiziert JWT und stellt req.user bereit
// req.user enthält: { id, email, name, rolle, tenant_id }
// tenant_id ist NULL für SuperAdmins.
export const authenticateToken = (req, res, next) => {
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1];

  if (!token) {
    return res.status(401).json({ error: 'Kein Token bereitgestellt' });
  }

  jwt.verify(token, process.env.JWT_SECRET, (err, user) => {
    if (err) {
      return res.status(403).json({ error: 'Ungültiger oder abgelaufener Token' });
    }
    req.user = user;
    next();
  });
};

// Stellt sicher, dass der User einen Tenant hat und der Tenant aktiv ist.
// SuperAdmins ohne Tenant werden mit 403 abgelehnt (sollen tenants-Route nutzen).
export const requireTenant = async (req, res, next) => {
  if (!req.user) return res.status(401).json({ error: 'Nicht authentifiziert' });
  if (!req.user.tenant_id) {
    return res.status(403).json({ error: 'Tenant-Kontext erforderlich (SuperAdmin nicht erlaubt)' });
  }
  try {
    const [rows] = await pool.query(
      'SELECT id, status, demo_expires_at, typ FROM tenants WHERE id = ?',
      [req.user.tenant_id]
    );
    if (rows.length === 0) return res.status(403).json({ error: 'Tenant nicht gefunden' });
    const t = rows[0];
    if (t.status !== 'aktiv') return res.status(403).json({ error: `Tenant-Status: ${t.status}` });
    if (t.typ === 'demo' && t.demo_expires_at && new Date(t.demo_expires_at) < new Date()) {
      await pool.query("UPDATE tenants SET status='abgelaufen' WHERE id = ?", [t.id]);
      return res.status(403).json({ error: 'Demo-Zugang abgelaufen' });
    }
    req.tenant = t;
    next();
  } catch (e) {
    console.error('requireTenant-Fehler:', e);
    res.status(500).json({ error: 'Serverfehler' });
  }
};

export const requireRole = (roles) => (req, res, next) => {
  if (!req.user) return res.status(401).json({ error: 'Nicht authentifiziert' });
  if (!roles.includes(req.user.rolle)) {
    return res.status(403).json({ error: 'Keine Berechtigung' });
  }
  next();
};

export const requireSuperAdmin = (req, res, next) => {
  if (!req.user) return res.status(401).json({ error: 'Nicht authentifiziert' });
  if (req.user.rolle !== 'superadmin') {
    return res.status(403).json({ error: 'SuperAdmin erforderlich' });
  }
  next();
};