<?php

declare(strict_types=1);

/**
 * POST /api/password-reset/request.php {email}
 * → ВСЕГДА 200 {ok:true} для несуществующих/невалидных email
 * (anti-enumeration) | 403 | 413 | 422 (невалидный JSON) | 429 | 503
 * {error:"mail_unavailable"}.
 *
 * Существующему email: токен bin2hex(random_bytes(32)), в БД — sha256
 * токена и expires = time() + 3600; письмо mail() со ссылкой
 * {base_url}/password-reset.html?token=… (plain text, From: mail_from).
 * Rate limit: 5 за 10 минут на IP.
 * Контракт: docs/INTERFACES.md, раздел «Кабинет 2.0 … (этап 8.1)».
 */

require __DIR__ . '/../../lib/http.php';
require __DIR__ . '/../../lib/db.php';
require __DIR__ . '/../../lib/ratelimit.php';

http_security_headers();

/**
 * Отправка письма восстановления. В тестовом режиме (GOLEARN_TEST=1)
 * письмо пишется в файл (путь из GOLEARN_TEST_MAIL, дефолт
 * /tmp/go-learn-mail.log) вместо mail(); в проде env отсутствует.
 */
function send_reset_mail(string $to, string $subject, string $text, string $from): bool
{
    if (getenv('GOLEARN_TEST') === '1') {
        $file = getenv('GOLEARN_TEST_MAIL');
        if (!is_string($file) || $file === '') {
            $file = '/tmp/go-learn-mail.log';
        }
        $data = "To: {$to}\nFrom: {$from}\nSubject: {$subject}\n\n{$text}\n----\n";
        return file_put_contents($file, $data, FILE_APPEND | LOCK_EX) !== false;
    }
    return mail($to, $subject, $text, 'From: ' . $from);
}

try {
    method_must('POST');

    $pdo = db();
    $ip = client_ip();
    rate_check($pdo, $ip, 'reset_request', GOLEARN_RATE_MAX_RESET_REQUEST);
    require_client_header();
    rate_record($pdo, $ip, 'reset_request');

    $body = read_json_object();
    $email = trim((string)($body->email ?? ''));

    // Anti-enumeration: невалидный/несуществующий email — тот же 200.
    if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
        json_out(['ok' => true]);
    }

    $stmt = $pdo->prepare('SELECT id FROM users WHERE email = ?');
    $stmt->execute([$email]);
    if ($stmt->fetch() === false) {
        json_out(['ok' => true]);
    }

    $token = bin2hex(random_bytes(32));
    $stmt = $pdo->prepare(
        'INSERT INTO password_resets (email, token_hash, expires_at)
            VALUES (?, ?, ?)'
    );
    $stmt->execute([$email, hash('sha256', $token), time() + 3600]);

    $config = golearn_config();
    $baseUrl = rtrim((string)($config['base_url'] ?? ''), '/');
    $mailFrom = (string)($config['mail_from'] ?? '');
    $link = $baseUrl . '/password-reset.html?token=' . $token;

    $subject = 'Восстановление пароля — Го';
    $text = "Здравствуйте!\n\n"
        . "Вы запросили восстановление пароля на сайте обучения игре Го.\n"
        . "Чтобы задать новый пароль, перейдите по ссылке:\n\n"
        . $link . "\n\n"
        . "Ссылка действует 1 час. Если вы не запрашивали восстановление,\n"
        . "просто проигнорируйте это письмо — пароль не изменится.\n";

    if (!send_reset_mail($email, $subject, $text, $mailFrom)) {
        error_out(503, 'mail_unavailable');
    }

    json_out(['ok' => true]);
} catch (Throwable $e) {
    error_log('password-reset/request: ' . $e->getMessage());
    error_out(500, 'internal');
}