package moduleauth

import (
	"context"
	"crypto/ed25519"
	"crypto/rand"
	"encoding/base64"
	"encoding/json"
	"time"
)

// TestIssuer signiert Modul-Tokens mit einem einmalig erzeugten Testschluessel
// (nur fuer Tests anderer Pakete gedacht, siehe INT-18: mailapi/mailrulesapi
// koennen ErrInvalidToken/echte Signaturpruefung nicht ohne einen Aussteller
// testen, ein echter Kontodienst ist in Unit-Tests nicht verfuegbar).
type TestIssuer struct {
	kid string
	pub ed25519.PublicKey
	prv ed25519.PrivateKey
}

// NewTestVerifierAndIssuer erzeugt ein Ed25519-Testschluesselpaar, einen
// Verifier, der ausschliesslich diesen Schluessel kennt, und den passenden
// Aussteller. audience/issuer leer = keine Bindung geprueft (Verhalten wie
// im Uebergang vor API-18/API-15 verdrahtet sind).
func NewTestVerifierAndIssuer() (*Verifier, *TestIssuer) {
	pub, prv, err := ed25519.GenerateKey(rand.Reader)
	if err != nil {
		panic(err)
	}
	iss := &TestIssuer{kid: "test-key", pub: pub, prv: prv}
	v := NewVerifier(time.Minute, "", func(context.Context) (map[string]ed25519.PublicKey, error) {
		return map[string]ed25519.PublicKey{iss.kid: iss.pub}, nil
	})
	return v, iss
}

func b64json(v any) string {
	raw, _ := json.Marshal(v)
	return base64.RawURLEncoding.EncodeToString(raw)
}

// Token stellt ein gueltiges Modul-Token fuer subject/tenant/role aus,
// optional mit audience/issuer (leer = Claim wird weggelassen).
func (t *TestIssuer) Token(subject, tenant, role, audience, issuer string) string {
	return t.TokenExpiringAt(subject, tenant, role, audience, issuer, time.Now().Add(time.Hour))
}

// TokenExpiringAt wie Token, aber mit fest vorgegebenem Ablaufzeitpunkt
// (fuer Tests, die ein bereits abgelaufenes Token brauchen).
func (t *TestIssuer) TokenExpiringAt(subject, tenant, role, audience, issuer string, exp time.Time) string {
	now := time.Now()
	claims := map[string]any{
		"sub": subject, "tenant": tenant, "role": role,
		"iat": now.Unix(), "exp": exp.Unix(),
	}
	if audience != "" {
		claims["aud"] = audience
	}
	if issuer != "" {
		claims["iss"] = issuer
	}
	h := b64json(map[string]string{"alg": "EdDSA", "kid": t.kid, "typ": "JWT"})
	signing := h + "." + b64json(claims)
	return signing + "." + base64.RawURLEncoding.EncodeToString(ed25519.Sign(t.prv, []byte(signing)))
}