api

type DirectoryConfig struct {
	Enabled         bool   `json:"enabled"`
	URL             string `json:"url"` // ldaps://host:636
	BindDN          string `json:"bind_dn"`
	BaseDN          string `json:"base_dn"`
	UserFilter      string `json:"user_filter"`       // напр. (&(objectClass=user)(objectCategory=person))
	SyncIntervalMin int    `json:"sync_interval_min"` // 0 = только вручную
	HasPassword     bool   `json:"has_password"`      // только в ответе: задан ли bind-пароль
	// StartTLS — поднять TLS на уже открытом ldap://-соединении. Третий режим поверх
	// схемы URL: ldaps:// = неявный TLS, ldap:// = открытый канал, ldap:// + start_tls =
	// апгрейд. Взаимоисключающ с ldaps:// (двойной TLS бессмыслен) — validate отбивает.
	StartTLS bool `json:"start_tls"`
	// HasCACert — только в ответе: задан ли корневой сертификат каталога. Сам PEM
	// наружу не отдаётся никогда (симметрично bind-паролю): он не секрет, но его
	// наличие достаточно, а лишний вынос содержимого — лишняя поверхность.
	HasCACert bool `json:"has_ca_cert"`
	// LoginEnabled — разрешить вход в панель по паролю каталога. ОТДЕЛЬНЫЙ флаг, а не
	// следствие Enabled: синк персон и приём пароля на вход — разные по риску вещи, и
	// включение каталога ради инвентаря не должно молча открывать второй путь
	// аутентификации. Нулевое значение = сегодняшнее поведение, поэтому уже
	// сохранённые config.json миграции не требуют (та же логика, что у StartTLS).
	LoginEnabled bool `json:"login_enabled"`
}

type DirectoryService interface {
	GetConfig(ctx context.Context) (DirectoryConfig, error)
	// SetConfig: bindPassword=="" и caCertPEM=="" НЕ трогают уже сохранённые значения —
	// UI не показывает ни пароль, ни PEM и шлёт пустые строки при правке прочих полей.
	SetConfig(ctx context.Context, cfg DirectoryConfig, bindPassword, caCertPEM string) error
	TestConnection(ctx context.Context) error
	SyncNow(ctx context.Context) (DirectorySyncResult, error)
	// Authenticate проверяет пару логин/пароль по каталогу: ищет ровно одну запись под
	// сервисным bind, затем делает simple bind её DN с присланным паролем.
	//
	// ok=false, err==nil — каталог ответил «не тот пароль/нет такого». err!=nil —
	// каталог недоступен или настроен не так; звонящий обязан различать эти два случая
	// и НЕ выдавать токен во втором. Ответ каталога никогда не заменяет проверку того,
	// что аккаунт в панели существует: заводить пользователей вход по LDAP не должен.
	Authenticate(ctx context.Context, login, password string) (ok bool, err error)
}

type DirectorySyncResult struct {
	Synced   int `json:"synced"`   // персон записано/обновлено
	Disabled int `json:"disabled"` // помечено disabled (исчезли из выдачи)
	Matched  int `json:"matched"`  // устройств привязано к владельцу
}

type Handler struct {
	// contains filtered or unexported fields
}

type LockModePolicy interface {
	ValidateMode(mode string) error
}

type OIDCProviderInput struct {
	Name         string `json:"name"`
	ClientID     string `json:"client_id"`
	ClientSecret string `json:"client_secret"` // "" при обновлении = не менять
	IssuerURL    string `json:"issuer_url"`
	RedirectURI  string `json:"redirect_uri"`
	Enabled      bool   `json:"enabled"`
}

type OIDCProviderView struct {
	ID          string `json:"id"`
	Name        string `json:"name"`
	ClientID    string `json:"client_id"`
	IssuerURL   string `json:"issuer_url"`
	RedirectURI string `json:"redirect_uri"`
	Enabled     bool   `json:"enabled"`
	HasSecret   bool   `json:"has_secret"` // секрет задан; сам PEM/secret не отдаётся
}

type OIDCService interface {
	// ListProviders возвращает провайдеров тенанта (без секретов).
	ListProviders(ctx context.Context, tenantID string) ([]OIDCProviderView, error)
	// CreateProvider создаёт нового IdP в тенанте. clientSecret шифруется внутри.
	CreateProvider(ctx context.Context, tenantID string, in OIDCProviderInput) (OIDCProviderView, error)
	// UpdateProvider обновляет провайдера тенанта. Если in.ClientSecret == "", секрет не меняется.
	UpdateProvider(ctx context.Context, tenantID, id string, in OIDCProviderInput) error
	// DeleteProvider удаляет провайдера тенанта.
	DeleteProvider(ctx context.Context, tenantID, id string) error
	// BeginFlow генерирует PKCE + state, сохраняет в Redis (TTL 10мин), возвращает URL
	// авторизации IdP, на который нужно перенаправить пользователя.
	BeginFlow(ctx context.Context, providerID string) (authURL string, err error)
	// HandleCallback принимает code+state из IdP, верифицирует state, обменивает code
	// на ID-token, извлекает email и ищет пользователя В ТЕНАНТЕ ПРОВАЙДЕРА.
	// Возвращает (userID, email, role) для выдачи JWT, или error.
	// ErrNotRegistered — email не найден в users (аккаунты OIDC не создаёт).
	HandleCallback(ctx context.Context, providerID, code, state string) (userID, email, role string, err error)
}

type RouterOption func(*Handler)

type ScreenPurger interface {
	// PurgeDevice — все записи одного устройства.
	PurgeDevice(ctx context.Context, tenantID, deviceID string) error
	// PurgeTenant — все записи тенанта (его устройства перестают существовать).
	PurgeTenant(ctx context.Context, tenantID string) error
}