package middleware

import (
	"net/http"
	"net/url"
	"strings"
)

// CSP nennt die Ursprünge, die zusätzlich zu 'self' erlaubt sind.
//
// Jedes Feld ist eine bewusst enge Ausnahme mit einem konkreten Anlass. Leer
// heißt: keine Ausnahme — dann gilt für diese Richtung allein 'self'.
type CSP struct {
	// FrameSrc: Seiten, die in einem <iframe> erscheinen dürfen.
	// Gebraucht für den Office-Server; `default-src 'self'` deckt auch
	// `frame-src` ab, ohne Ausnahme blockt der Browser ihn also, noch bevor
	// eine Anfrage hinausgeht. Gemessen als „Framing 'http://…:9980/'
	// violates … default-src 'self'".
	FrameSrc []string

	// ScriptSrc: fremde Ursprünge, von denen Skripte geladen werden dürfen.
	// ConnectSrc: fremde Ursprünge, die per fetch/XHR erreichbar sein sollen.
	// Beide gebraucht für eine eingebettete Leiste, die von woanders kommt und
	// sich ihre Daten selbst holt — das Skript über das eine, die Anfrage über
	// das andere. Nur eines von beiden zu setzen ergibt selten Sinn.
	ScriptSrc  []string
	ConnectSrc []string
}

// SecurityHeaders adds security headers that the app controls.
// HSTS is intentionally omitted — it belongs on the edge reverse proxy.
//
// Ausnahmen werden **einzeln benannt** und nie als Platzhalter aufgenommen:
// Sie sollen so schmal sein wie ihr Anlass. Ein Eintrag, der sich nicht als
// Adresse lesen lässt, wird verworfen statt durchgereicht.
func SecurityHeaders(csp CSP) func(http.Handler) http.Handler {
	directive := func(name string, extra []string) string {
		out := name + " 'self'"
		for _, raw := range extra {
			if origin := originOf(raw); origin != "" {
				out += " " + origin
			}
		}
		return out
	}

	policy := strings.Join([]string{
		"default-src 'self'",
		directive("script-src", csp.ScriptSrc),
		"style-src 'self' 'unsafe-inline'",
		"img-src 'self' data: blob:",
		directive("connect-src", csp.ConnectSrc),
		directive("frame-src", csp.FrameSrc),
	}, "; ")

	return func(next http.Handler) http.Handler {
		return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
			h := w.Header()
			h.Set("X-Content-Type-Options", "nosniff")
			h.Set("X-Frame-Options", "DENY")
			h.Set("Referrer-Policy", "strict-origin-when-cross-origin")
			h.Set("Content-Security-Policy", policy)
			next.ServeHTTP(w, r)
		})
	}
}

// originOf reduziert eine Adresse auf Schema und Host. Ein Pfad in einer
// CSP-Quelle wäre nicht falsch, aber enger als gemeint – und ein Tippfehler
// darin fiele erst auf, wenn der Rahmen leer bleibt.
func originOf(raw string) string {
	raw = strings.TrimSpace(raw)
	if raw == "" {
		return ""
	}
	u, err := url.Parse(raw)
	if err != nil || u.Scheme == "" || u.Host == "" {
		return ""
	}
	return u.Scheme + "://" + u.Host
}