<?php
//  ---------------------------------------------------------------------------------
//    _____   _             _                   _   _____
//   |  __ \ | |           | |    /\           (_) |  __ \
//   | |__) || |__    __ _ | |   /  \    _ __   _  | |__) |_ __  ___
//   |  ___/ | '_ \  / _` || |  / /\ \  | '_ \ | | |  ___/| '__|/ _ \
//   | |     | | | || (_| || | / ____ \ | |_) || | | |    | |  | (_) |
//   |_|     |_| |_| \__,_||_|/_/    \_\| .__/ |_| |_|    |_|   \___/
//                                      | |
//                                      |_|
//   PhalApi Pro 专业版
//   广州果创网络科技有限公司
//
//  ---------------------------------------------------------------------------------
//
//   一、协议的许可和权利
//    1. 您可以在完全遵守本协议的基础上，将本软件应用于商业用途；
//    2. 您可以在协议规定的约束和限制范围内修改本产品源代码或界面风格以适应您的要求；
//    3. 您拥有使用本产品中的全部内容资料、商品信息及其他信息的所有权，并独立承担与其内容相关的
//       法律义务；
//    4. 获得商业授权之后，您可以将本软件应用于商业用途，自授权时刻起，在技术支持期限内拥有通过
//       指定的方式获得指定范围内的技术支持服务；
//
//   二、协议的约束和限制
//    1. 未获商业授权之前，禁止将本软件用于商业用途（包括但不限于企业法人经营的产品、经营性产品
//       以及以盈利为目的或实现盈利产品）；
//    2. 未获商业授权之前，禁止在本产品的整体或在任何部分基础上发展任何派生版本、修改版本或第三
//       方版本用于重新开发；
//    3. 如果您未能遵守本协议的条款，您的授权将被终止，所被许可的权利将被收回并承担相应法律责任；
//
//   三、有限担保和免责声明
//    1. 本软件及所附带的文件是作为不提供任何明确的或隐含的赔偿或担保的形式提供的；
//    2. 用户出于自愿而使用本软件，您必须了解使用本软件的风险，在尚未获得商业授权之前，我们不承
//       诺提供任何形式的技术支持、使用担保，也不承担任何因使用本软件而产生问题的相关责任；
//    3. 广州果创网络科技有限公司不对使用本产品构建的商城中的内容信息承担责任，但在不侵犯用户隐
//       私信息的前提下，保留以任何方式获取用户信息及商品信息的权利；
//
//   有关本产品最终用户授权协议、商业授权与技术服务的详细内容，均由广州果创网络科技有限公司独家
//   提供。广州果创网络科技有限公司拥有在不事先通知的情况下，修改授权协议的权力，修改后的协议对
//   改变之日起的新授权用户生效。电子文本形式的授权协议如同双方书面签署的协议一样，具有完全的和
//   等同的法律效力。您一旦开始修改、安装或使用本产品，即被视为完全理解并接受本协议的各项条款，
//   在享有上述条款授予的权力的同时，受到相关的约束和限制。协议许可范围以外的行为，将直接违反本
//   授权协议并构成侵权，我们有权随时终止授权，责令停止损害，并保留追究相关责任的权力。
//
//  ---------------------------------------------------------------------------------

namespace App\Api;

use App\Common\Api;
use Base\Common\ToolUtil;
use PhalApi\Exception\BadRequestException;
use Base\Domain\User as UserDomain;
use Base\Domain\Apps as AppsDomain;

/**
 * 授权模块
 */
class Auth extends Api {
    
    protected $isNeedToCheckSecret = true;
    protected $aud = 'app';

    public function getRules() {
        return array(
            'applyToken' => array(
                'appKey' => array('name' => 'app_key', 'require' => true, 'desc' => 'app_key，用于区分客户端应用'),
                'appSecret' => array('name' => 'app_secret', 'require' => true, 'desc' => '应用密钥'),
                'accessToken' => array('name' => 'access_token', 'is_doc_hide' => true),
                'uid' => array('name' => 'uid', 'type' => 'int', 'default' => 0, 'default' => '', 'desc' => '授权的用户id，如果用户已登录可加传此参数，以便后续服务端判断用户是否已登录'),
            ),
            'userLogin' => array(
                'username' => array('name' => 'username', 'require' => true, 'min' => 1, 'max' => 50, 'desc' => '账号'),
                'password' => array('name' => 'password', 'require' => true, 'min' => 6, 'max' => 20, 'desc' => '密码'),
                'appKey' => array('name' => 'app_key', 'require' => true, 'desc' => 'app_key，用于区分客户端应用'),
                'accessToken' => array('name' => 'access_token', 'is_doc_hide' => true),
            ),
            'appUserLogin' => array(
                'appKey' => array('name' => 'app_key', 'require' => true, 'desc' => 'app_key，用于区分客户端应用'),
                'appSecret' => array('name' => 'app_secret', 'require' => true, 'desc' => '应用密钥'),
                'username' => array('name' => 'username', 'require' => true, 'min' => 1, 'max' => 50, 'desc' => '账号'),
                'password' => array('name' => 'password', 'require' => true, 'min' => 6, 'max' => 20, 'desc' => '密码'),
                'accessToken' => array('name' => 'access_token', 'is_doc_hide' => true),
            ),
            'refreshAccessToken' => array(
                'accessToken' => array('name' => 'access_token', 'require' => true, 'desc' => '旧的access_token'),
            ),
        );
    }

    /**
     * 申请访问令牌 <span class="ui label green small">必备</span>
     * @desc 通过应用校验进行授权，根据客户端应用的app_key和app_secret创建新的访问令牌
     * @return string access_token 新的访问令牌，申请失败时返回空字符串
     * @return int expire_at 过期时间戳
     */
    public function applyToken() {
        $rs = array('access_token' => '', 'expire_at' => 0);

        $config = \PhalApi\DI()->config;
        $key = $config->get('app.jwt.key');
        $time = time();

        $appsDomain = new AppsDomain();
        $appInfo = $appsDomain->getApp($this->appKey);
        if (!$appInfo) {
            throw new BadRequestException(\PhalApi\T("application failed, app_key does not exist"));
        }
        if ($appInfo['app_status'] != 1) {
            throw new BadRequestException(\PhalApi\T("application failed, app has been unregistered or disabled"));
        }
        if ($appInfo['verify_status'] != 1) {
            throw new BadRequestException(\PhalApi\T("application failed, app approval failed"));
        }
        if ($this->isNeedToCheckSecret && $appInfo['app_secret'] != $this->appSecret) {
            throw new BadRequestException(\PhalApi\T("application failed, app_secret error"));
        }

        $token = array(
            "iss" => ToolUtil::createISS($key),        // 该JWT的签发者
            "aud" => $this->aud,        // 接收该JWT的一方
            "sub" => $this->appKey,                    // 该JWT所面向的用户
            "uid" => $this->uid,
            "iat" => $time,                         // 在什么时候签发的
            "exp" => $time + $config->get('app.jwt.exp', 86400),        // 什么时候过期，这里是一个Unix时间戳

        );

        $jwt = \lmxdawn\jwt\JWT::encode($token, $key, 'HS256');

        $rs['access_token'] = $jwt;
        $rs['expire_at'] = $token['exp'];

        return $rs;
    }
    
    
    /**
     * 会员登录
     * @desc 通过会员登录进行授权，根据会员的账号和密码进行会员登录，登录成功后分配新的访问令牌
     * @return string access_token 新的访问令牌，申请失败时返回空字符串，包含登录的用户ID
     * @return int expire_at 过期时间戳
     */
    public function userLogin() {
        $user = new UserDomain();
        if (!$user->userLogin($this->username, $this->password)) {
            // 禁用，账号不存在，密码错误在domain记录了
            throw new BadRequestException(\PhalApi\T("login failed, wrong account or password, or account is disabled"));
        }
        
        $profile = $user->profile($this->username);
        $this->uid = intval($profile['id']);
        
        $this->isNeedToCheckSecret = false; // 取消验证
        $this->aud = 'user';
        
        return $this->applyToken();
    }
    
    /**
     * 应用会员登录
     * @desc 最严格的授权方式，同时进行应用和会员的验证，应用由服务端传送，会员登录由客户端实现。
     * @return string access_token 新的访问令牌，申请失败时返回空字符串，包含登录的用户ID
     * @return int expire_at 过期时间戳
     */
    public function appUserLogin() {
        $user = new UserDomain();
        if (!$user->userLogin($this->username, $this->password)) {
            // 禁用，账号不存在，密码错误在domain记录了
            throw new BadRequestException(\PhalApi\T("login failed, wrong account or password, or account is disabled"));
        }
        
        $profile = $user->profile($this->username);
        $this->uid = intval($profile['id']);
        
        return $this->applyToken();
    }
    
    /**
     * 刷新访问令牌
     * @desc 根据已经取到的access_token，延长有效时间，生成新的访问令牌
     * @return string access_token 新的访问令牌，申请失败时返回空字符串
     * @return int expire_at 过期时间戳
     */
    public function refreshAccessToken() {
        $rs = array('access_token' => '', 'expire_at' => 0);

        $config = \PhalApi\DI()->config;
        $key = $config->get('app.jwt.key');
        $decodedArray = array();

        try{
            $decoded = \lmxdawn\jwt\JWT::decode($this->accessToken, $key, array('HS256'));

            $decodedArray = (array) $decoded;
        } catch (\Exception $exception) {
            throw new BadRequestException(\PhalApi\T("invalid access_token"));
        }
        
        $exp = $decodedArray['exp'];
        
        // 重新检测相应的状态是否仍然正常
        $type = $decodedArray['aud'];
        $appKey = $decodedArray['sub'];
        $uid = $decodedArray['uid'];
        if ($type == 'app') {
            $appsDomain = new AppsDomain();
            $appInfo = $appsDomain->getApp($appKey);
            if (!$appInfo || $appInfo['app_status'] != 1) {
                throw new BadRequestException(\PhalApi\T("app does not exist or is disabled"));
            }
        } else if ($type == 'user') {
            $user = new UserDomain();
            if (!$user->isUserActive($uid)) {
                throw new BadRequestException(\PhalApi\T("user does not exist or is blocked"));
            }
        } else {
            throw new BadRequestException(\PhalApi\T("invalid access_token type {type}", array('type' => $type)));
        }
        
        $time = time();
        $decodedArray['iat'] = $time;
        $decodedArray['exp'] = $time + $config->get('app.jwt.exp', 86400);
        
        $jwt = \lmxdawn\jwt\JWT::encode($decodedArray, $key, 'HS256');
        
        $rs['access_token'] = $jwt;
        $rs['expire_at'] = $decodedArray['exp'];

        return $rs;
    }
}
