<?php

namespace App\Providers;

use Illuminate\Cache\RateLimiting\Limit;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\RateLimiter;
use Illuminate\Support\ServiceProvider;
use Laravel\Passport\Bridge\ClientRepository as PassportClientRepository;
use Laravel\Passport\Passport;

class AppServiceProvider extends ServiceProvider
{
    /**
     * Register any application services.
     */
    public function register(): void
    {
        // Acepta también el client_secret anterior durante su periodo de
        // gracia al rotar — ver App\Services\Passport\ClientRepository.
        $this->app->bind(PassportClientRepository::class, \App\Services\Passport\ClientRepository::class);
    }

    /**
     * Bootstrap any application services.
     */
    public function boot(): void
    {
        Passport::enablePasswordGrant();
        Passport::$deviceCodeGrantEnabled = false;

        Passport::tokensExpireIn(now()->addDays(15));
        Passport::refreshTokensExpireIn(now()->addDays(30));
        Passport::personalAccessTokensExpireIn(now()->addMonths(6));

        Passport::tokensCan([
            'users:read' => 'Leer usuarios',
            'users:write' => 'Crear, editar y borrar usuarios',
            'account:read' => 'Leer tus clientes OAuth, tokens y apps autorizadas',
            'account:write' => 'Gestionar tus clientes OAuth, tokens y apps autorizadas',
        ]);

        // Sin scope por defecto: los datos de usuarios son sensibles, el cliente
        // tiene que pedir explícitamente el acceso que necesita.

        // La pantalla de consentimiento la renderiza la SPA Vue (ver Authorize.vue).
        // Passport inyecta client/user/scopes/authToken; se los pasamos al shell Blade
        // como JSON para que el JS los lea (ver resources/views/app.blade.php).
        Passport::authorizationView('app');

        // Los listeners de app/Listeners se auto-descubren por su handle()
        // tipado (Laravel 11+) — no hace falta Event::listen() acá. Registrarlo
        // a mano ADEMÁS del auto-discovery duplica cada evento (se vio con
        // event:list: cada listener aparecía dos veces), lo que duplicaba
        // filas en login_events y disparaba cada webhook dos veces.

        $this->configureRateLimiting();
    }

    /**
     * Límites para endpoints sensibles a fuerza bruta: login, registro y
     * emisión de tokens OAuth. Password grant vive en el mismo endpoint que
     * refresh/client_credentials, así que el límite de /oauth/token se aplica
     * por (ip, client_id) — no penaliza a todos los clientes por igual si uno
     * solo está siendo atacado.
     */
    private function configureRateLimiting(): void
    {
        RateLimiter::for('login', function (Request $request) {
            $key = strtolower((string) $request->input('email')).'|'.$request->ip();

            return Limit::perMinute(5)->by($key);
        });

        RateLimiter::for('register', function (Request $request) {
            return Limit::perMinute(5)->by($request->ip());
        });

        RateLimiter::for('oauth-token', function (Request $request) {
            $key = $request->ip().'|'.$request->input('client_id');

            return Limit::perMinute(20)->by($key);
        });

        RateLimiter::for('password-reset', function (Request $request) {
            $key = strtolower((string) $request->input('email')).'|'.$request->ip();

            return Limit::perMinute(5)->by($key);
        });
    }
}