<?php
declare(strict_types=1);

namespace app\mcp\service;

use app\adminapi\service\AdminTokenService;
use app\common\cache\AdminTokenCache;
use app\common\model\auth\AdminSession;
use think\cache\driver\File as FileCache;

/**
 * AI 后台浏览器会话：用已绑定的 AI 授权换一个“AI 浏览器”专用终端的后台登录，供行知服务器上的内置浏览器
 * 打开本后台页面（不用输入密码）。
 *  - 独立终端（terminal=8）：与电脑(1)、手机(2)、企微客服(7) 的登录互不影响，不会把员工自己的后台挤下线；
 *    admin_session 按“账号 + 终端”唯一，同一账号的 AI 浏览器共用一个会话。
 *  - 前提：AI 授权有效（未撤销、未过期、账号可用、仍有 ai.mcp/access）且账号有 ai.mcp/console（默认不授予任何角色）。
 *  - 创建时不写登录缓存：后台按“登录 IP”校验请求，缓存由浏览器的第一次请求建立，记录的就是浏览器实际的出口 IP。
 *  - 行知关闭浏览器、空闲超时、AI 授权被撤销时立即作废（改到期时间并清缓存）。
 * 这是完整的后台登录（按账号自身的菜单权限和数据范围），不经过 MCP 的只读保护和脱敏；
 * 行知对其中每一个会修改数据的请求都先请用户审批，后台自己的操作日志也能按终端区分出 AI 浏览器。
 */
class ConsoleService
{
    /** 后台登录终端：AI 浏览器（系统已用 1 电脑、2 手机、7 企微客服桌面端） */
    public const TERMINAL = 8;

    public const PERMISSION = 'ai.mcp/console';

    /** 后台前端把登录令牌存在 localStorage 的这个键里（admin/src/utils/cache.ts：前缀 like_admin_ + token） */
    private const STORAGE_KEY = 'like_admin_token';

    public static function open(Identity $identity): array
    {
        if (!McpConfig::consoleEnabled()) {
            throw new McpException('后台浏览器未启用', 'console_disabled', 403);
        }
        if (!$identity->can(self::PERMISSION)) {
            throw new McpException('当前账号没有“允许 AI 使用后台浏览器”权限（ai.mcp/console），请联系管理员在角色里勾选', 'no_console_permission', 403);
        }
        // 第三个参数 1：同一终端已有未过期的会话就沿用，不轮换令牌（不影响其他终端）
        AdminTokenService::setToken($identity->adminId, self::TERMINAL, 1);
        $session = AdminSession::where(['admin_id' => $identity->adminId, 'terminal' => self::TERMINAL])->findOrEmpty();
        if ($session->isEmpty()) {
            throw new McpException('后台会话创建失败，请稍后再试', 'console_failed', 500);
        }
        $now = time();
        $session->expire_time = $now + McpConfig::consoleTtlMinutes() * 60;
        $session->update_time = $now;
        $session->save();
        // setToken 按本次请求的 IP 写了登录缓存；删掉，让浏览器第一次请求时按它自己的 IP 重建
        self::forgetLogin((string) $session->token);
        return [
            'token' => (string) $session->token,
            'expire_time' => (int) $session->expire_time,
            'terminal' => self::TERMINAL,
            'local_storage' => [self::STORAGE_KEY => json_encode(['expire' => '', 'value' => (string) $session->token])],
            'start_path' => '/admin/',
        ];
    }

    /** 作废该账号的 AI 浏览器会话；没有有效会话时返回 false */
    public static function closeForAdmin(int $adminId): bool
    {
        $session = AdminSession::where(['admin_id' => $adminId, 'terminal' => self::TERMINAL])->findOrEmpty();
        if ($session->isEmpty() || (int) $session->expire_time <= time()) {
            return false;
        }
        // 到期时间记为上一秒：setToken 只在“已过期”(expire_time < 当前秒) 时换新令牌，同一秒内重新打开也不会复用旧令牌
        $session->expire_time = time() - 1;
        $session->update_time = time();
        $session->save();
        self::forgetLogin((string) $session->token);
        return true;
    }

    /**
     * 清掉后台对这个令牌的登录缓存（后台先查缓存、查不到才回表看到期时间，所以作废会话必须清缓存）。
     * 文件缓存按应用分目录（config/cache.php 的 path 为空）：后台请求用 runtime/adminapi/cache，
     * 本模块在 runtime/mcp/cache，所以文件缓存时要按后台的目录再删一次；redis 等共享缓存删一次即可。
     */
    private static function forgetLogin(string $token): void
    {
        (new AdminTokenCache())->deleteAdminInfo($token);
        if ((string) config('cache.default') !== 'file') {
            return;
        }
        $options = (array) config('cache.stores.file');
        if (($options['path'] ?? '') !== '') {
            return; // 配了固定目录：所有应用共用，上面已经删过
        }
        $options['path'] = app()->getRootPath() . 'runtime' . DIRECTORY_SEPARATOR . 'adminapi' . DIRECTORY_SEPARATOR . 'cache';
        (new FileCache(app(), $options))->delete('token_admin_' . $token);
    }
}