package com.xindazhou.framework.security.core.filter;

import cn.hutool.core.util.ObjectUtil;
import cn.hutool.core.util.StrUtil;
import com.xindazhou.framework.common.exception.ServiceException;
import com.xindazhou.framework.common.pojo.CommonResult;
import com.xindazhou.framework.common.util.json.JsonUtils;
import com.xindazhou.framework.common.util.servlet.ServletUtils;
import com.xindazhou.framework.security.config.SecurityProperties;
import com.xindazhou.framework.security.core.LoginUser;
import com.xindazhou.framework.security.core.jwt.OAuth2JwtUtil;
import com.xindazhou.framework.security.core.util.SecurityFrameworkUtils;
import com.xindazhou.framework.web.core.handler.GlobalExceptionHandler;
import com.xindazhou.framework.web.core.util.WebFrameworkUtils;
import com.xindazhou.framework.common.biz.system.oauth2.OAuth2TokenCommonApi;
import com.xindazhou.framework.common.biz.system.oauth2.dto.OAuth2AccessTokenCheckRespDTO;
import com.auth0.jwt.interfaces.DecodedJWT;
import jakarta.servlet.FilterChain;
import jakarta.servlet.ServletException;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import lombok.RequiredArgsConstructor;
import lombok.extern.slf4j.Slf4j;
import org.springframework.security.access.AccessDeniedException;
import org.springframework.web.filter.OncePerRequestFilter;

import java.io.IOException;
import java.net.URLDecoder;
import java.nio.charset.StandardCharsets;

/**
 * Token 过滤器，验证 token 的有效性
 * 验证通过后，获得 {@link LoginUser} 信息，并加入到 Spring Security 上下文
 *
 * @author hmy
 */
@RequiredArgsConstructor
@Slf4j
public class TokenAuthenticationFilter extends OncePerRequestFilter {

    private final SecurityProperties securityProperties;

    private final GlobalExceptionHandler globalExceptionHandler;

    private final OAuth2TokenCommonApi oauth2TokenApi;

    @Override
    @SuppressWarnings("NullableProblems")
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
            throws ServletException, IOException {
        // 情况一，基于 header[login-user] 获得用户，例如说来自 Gateway 或者其它服务透传
        LoginUser loginUser = buildLoginUserByHeader(request);
        if (loginUser != null) {
            log.debug("[TokenAuthenticationFilter] 通过 header[login-user] 获取到用户: userId={}", loginUser.getId());
        }

        // 情况二，基于 Token 获得用户
        // 注意，这里主要满足直接使用 Nginx 直接转发到 Spring Cloud 服务的场景。
        if (loginUser == null) {
            String token = SecurityFrameworkUtils.obtainAuthorization(request,
                    securityProperties.getTokenHeader(), securityProperties.getTokenParameter());
            if (StrUtil.isNotEmpty(token)) {
                log.debug("[TokenAuthenticationFilter] 从请求中获取到 token: {}", token.substring(0, Math.min(20, token.length())) + "...");
                Integer userType = WebFrameworkUtils.getLoginUserType(request);
                try {
                    // 1.1 基于 token 构建登录用户
                    loginUser = buildLoginUserByToken(token, userType);
                    if (loginUser != null) {
                        log.debug("[TokenAuthenticationFilter] 通过 token 获取到用户: userId={}", loginUser.getId());
                    }
                    // 1.2 模拟 Login 功能，方便日常开发调试
                    if (loginUser == null) {
                        loginUser = mockLoginUser(request, token, userType);
                        if (loginUser != null) {
                            log.debug("[TokenAuthenticationFilter] 通过 mock 获取到用户: userId={}", loginUser.getId());
                        }
                    }
                } catch (Throwable ex) {
                    log.error("[TokenAuthenticationFilter] 构建登录用户失败: {}", ex.getMessage(), ex);
                    CommonResult<?> result = globalExceptionHandler.allExceptionHandler(request, ex);
                    ServletUtils.writeJSON(response, result);
                    return;
                }
            } else {
                log.warn("[TokenAuthenticationFilter] 请求中没有 token，URL: {}", request.getRequestURI());
            }
        }

        // 设置当前用户
        if (loginUser != null) {
            SecurityFrameworkUtils.setLoginUser(loginUser, request);
            log.debug("[TokenAuthenticationFilter] 已设置 LoginUser 到 SecurityContext, userId={}", loginUser.getId());
        } else {
            log.warn("[TokenAuthenticationFilter] 无法获取 LoginUser，URL: {}", request.getRequestURI());
        }
        // 继续过滤链
        chain.doFilter(request, response);
    }

    private LoginUser buildLoginUserByToken(String token, Integer userType) {
        try {
            // 1. 优先本地验证 JWT（性能好，无需查数据库）
            DecodedJWT jwt = OAuth2JwtUtil.verifyToken(token);
            if (jwt != null) {
                // JWT 验证通过，从 JWT 中提取用户信息
                Long userId = OAuth2JwtUtil.getUserId(jwt);
                Integer userTypeFromJwt = OAuth2JwtUtil.getUserType(jwt);
                Long tenantId = OAuth2JwtUtil.getTenantId(jwt);
                java.util.List<String> scopes = OAuth2JwtUtil.getScopes(jwt);
                java.time.LocalDateTime expiresTime = OAuth2JwtUtil.getExpiresTime(jwt);
                
                if (userId == null || userTypeFromJwt == null) {
                    log.warn("[TokenAuthenticationFilter] JWT Token 中缺少用户信息: userId={}, userType={}", userId, userTypeFromJwt);
                    return null;
                }
                
                // 用户类型不匹配，无权限
                if (userType != null && ObjectUtil.notEqual(userTypeFromJwt, userType)) {
                    throw new AccessDeniedException("错误的用户类型");
                }
                
                // 2. 检查 Token 是否被撤销（查数据库）
                Boolean isRevoked = oauth2TokenApi.isTokenRevoked(token).getCheckedData();
                if (Boolean.TRUE.equals(isRevoked)) {
                    log.warn("[TokenAuthenticationFilter] Token 已被撤销: userId={}", userId);
                    return null;
                }
                
                // 3. 构建登录用户（从 JWT 中提取的信息）
                LoginUser loginUser = new LoginUser()
                        .setId(userId)
                        .setUserType(userTypeFromJwt)
                        .setTenantId(tenantId)
                        .setScopes(scopes)
                        .setExpiresTime(expiresTime);
                
                // 4. 可选：从数据库获取额外的用户信息（如昵称等）
                try {
                    OAuth2AccessTokenCheckRespDTO accessToken = oauth2TokenApi.checkAccessToken(token).getCheckedData();
                    if (accessToken != null) {
                        loginUser.setInfo(accessToken.getUserInfo()); // 额外的用户信息
                    }
                } catch (Exception e) {
                    // 如果查数据库失败，不影响登录（因为 JWT 已经验证通过）
                    log.debug("[TokenAuthenticationFilter] 获取额外用户信息失败，使用 JWT 中的信息: {}", e.getMessage());
                }
                
                return loginUser;
            }
            
            // 5. 如果 JWT 验证失败，尝试使用旧的 UUID Token 验证方式（兼容旧 Token）
            log.debug("[TokenAuthenticationFilter] JWT 验证失败，尝试使用旧的 UUID Token 验证方式");
            OAuth2AccessTokenCheckRespDTO accessToken = oauth2TokenApi.checkAccessToken(token).getCheckedData();
            if (accessToken == null) {
                return null;
            }
            // 用户类型不匹配，无权限
            if (userType != null && ObjectUtil.notEqual(accessToken.getUserType(), userType)) {
                throw new AccessDeniedException("错误的用户类型");
            }
            // 构建登录用户
            return new LoginUser().setId(accessToken.getUserId()).setUserType(accessToken.getUserType())
                    .setInfo(accessToken.getUserInfo()) // 额外的用户信息
                    .setTenantId(accessToken.getTenantId()).setScopes(accessToken.getScopes())
                    .setExpiresTime(accessToken.getExpiresTime());
        } catch (ServiceException serviceException) {
            // 校验 Token 不通过时，考虑到一些接口是无需登录的，所以直接返回 null 即可
            return null;
        }
    }

    /**
     * 模拟登录用户，方便日常开发调试
     *
     * 注意，在线上环境下，一定要关闭该功能！！！
     *
     * @param request 请求
     * @param token 模拟的 token，格式为 {@link SecurityProperties#getMockSecret()} + 用户编号
     * @param userType 用户类型
     * @return 模拟的 LoginUser
     */
    private LoginUser mockLoginUser(HttpServletRequest request, String token, Integer userType) {
        if (!securityProperties.getMockEnable()) {
            return null;
        }
        // 必须以 mockSecret 开头
        if (!token.startsWith(securityProperties.getMockSecret())) {
            return null;
        }
        // 构建模拟用户
        Long userId = Long.valueOf(token.substring(securityProperties.getMockSecret().length()));
        return new LoginUser().setId(userId).setUserType(userType)
                .setTenantId(WebFrameworkUtils.getTenantId(request));
    }

    private LoginUser buildLoginUserByHeader(HttpServletRequest request) {
        String loginUserStr = request.getHeader(SecurityFrameworkUtils.LOGIN_USER_HEADER);
        if (StrUtil.isEmpty(loginUserStr)) {
            return null;
        }
        try {
            loginUserStr = URLDecoder.decode(loginUserStr, StandardCharsets.UTF_8); // 解码，解决中文乱码问题
            LoginUser loginUser = JsonUtils.parseObject(loginUserStr, LoginUser.class);
            // 用户类型不匹配，无权限
            // 注意：只有 /admin-api/* 和 /app-api/* 有 userType，才需要比对用户类型
            // 类似 WebSocket 的 /ws/* 连接地址，是不需要比对用户类型的
            Integer userType = WebFrameworkUtils.getLoginUserType(request);
            if (userType != null
                    && loginUser != null
                    && ObjectUtil.notEqual(loginUser.getUserType(), userType)) {
                throw new AccessDeniedException("错误的用户类型");
            }
            return loginUser;
        } catch (Exception ex) {
            log.error("[buildLoginUserByHeader][解析 LoginUser({}) 发生异常]", loginUserStr, ex);  ;
            throw ex;
        }
    }

}
