using System.Text.Json;

namespace ClawdDotNet.Core.Deploymentcenter;

/// <summary>Ein für diese Instanz ausgestelltes Sub-Token.</summary>
/// <param name="Token">Der Klartext — wird nur einmal ausgeliefert.</param>
/// <param name="TokenId">Kennung zum Widerrufen in der Verwaltung.</param>
/// <param name="Scopes">Welche Rechte tatsächlich durchgereicht wurden.</param>
public sealed record ProvisionedToken(string Token, string TokenId, IReadOnlyList<string> Scopes);

/// <summary>
/// Tauscht das anwendungsweite Master-Token gegen ein eigenes Sub-Token je Instanz
/// (<c>POST /api/tokens/v1/provision</c>).
///
/// <para>Das ersetzt die frühere Selbstregistrierung über <c>POST /api/register</c> —
/// diesen Endpunkt gibt es im Deploymentcenter nicht (und im alten WatchDog-Server war
/// er der einzige Weg, überhaupt an einen Token zu kommen). Der Zweck bleibt derselbe
/// und ist es wert, erhalten zu bleiben: Auf den Instanzen liegt danach nicht das
/// Master-Token, sondern ein eingeschränktes, einzeln widerrufbares.</para>
///
/// <para>Rechte lassen sich dabei nur einschränken, nie erweitern — was das
/// Master-Token nicht hat, bekommt auch das Sub-Token nicht.</para>
/// </summary>
public sealed class TokenProvisioner(DeploymentcenterApi api)
{
    /// <summary>Was eine Instanz braucht: Heartbeats senden und Fehler melden.</summary>
    public static readonly string[] InstanceScopes = ["watchdog:ping", "bugtracker:report"];

    public async Task<ProvisionedToken> ProvisionAsync(
        string clientName,
        string instanceId,
        IReadOnlyList<string> scopes,
        string environment = "production",
        CancellationToken ct = default)
    {
        var payload = new
        {
            client_name = clientName,
            instance_id = instanceId,
            scopes,
            environment
        };

        var response = await api.PostAsync("/api/tokens/v1/provision", payload, ct)
            .ConfigureAwait(false);

        var token = response.TryGetProperty("sub_token", out var t) && t.ValueKind == JsonValueKind.String
            ? t.GetString()
            : null;

        if (string.IsNullOrWhiteSpace(token))
        {
            throw new DeploymentcenterException(
                "no_token",
                "Die Provisionierung lieferte kein Token.",
                System.Net.HttpStatusCode.OK);
        }

        var tokenId = response.TryGetProperty("token_id", out var i) && i.ValueKind == JsonValueKind.String
            ? i.GetString() ?? ""
            : "";

        var granted = new List<string>();
        if (response.TryGetProperty("scopes", out var s) && s.ValueKind == JsonValueKind.Array)
        {
            granted.AddRange(s.EnumerateArray()
                .Where(e => e.ValueKind == JsonValueKind.String)
                .Select(e => e.GetString()!));
        }

        return new ProvisionedToken(token, tokenId, granted);
    }
}
