package honeypot

import (
	"html"
	"net/http"
	"strings"
)

// LoginPageVars 是假登录页的渲染参数。
type LoginPageVars struct {
	// Action 是表单提交地址（当前诱饵路径本身）。
	Action string
	// Title / Heading 覆盖家族默认的标题与品牌名（留空即用家族设定）。
	Title   string
	Heading string
	// Notice 是自定义提示语；留空时由 Failed 决定是否显示家族的失败文案。
	Notice string
	// Failed 表示这是一次「提交后」的响应，需要显示登录失败提示。
	Failed bool
	// Redir 为原始请求的查询串（WordPress 风格的 ?redirect_to=），原样回填。
	Redir string
}

// LoginPageTitle 是 WordPress 家族假登录页的标题（与真实登录页一致）。
// 抽成常量：之前 route 层手抄了一份字面量，一处写 `‹`、一处写 `\u2039`，
// 已经出现漂移。
const LoginPageTitle = "Log In ‹ WordPress"

// LoginFailureNotice 是 WordPress 提交凭据后的提示
// （不区分「用户不存在」与「密码错误」，避免响应差异让爆破脚本调整策略）。
const LoginFailureNotice = "ERROR: The password you entered for the username is incorrect."

// baseLoginCSS 是全部家族共用的骨架样式，各家族只叠加自己的配色。
const baseLoginCSS = `*{box-sizing:border-box}body{margin:0;padding:0;font-family:-apple-system,BlinkMacSystemFont,"Segoe UI",Roboto,Arial,sans-serif;background:#f0f0f1;color:#3c434a}` +
	`.card{width:340px;margin:8vh auto;background:#fff;border:1px solid #dcdcde;border-radius:4px;padding:26px 24px 30px}` +
	`h1{margin:0 0 6px;font-size:22px;font-weight:400;text-align:center}` +
	`.tag{margin:0 0 16px;text-align:center;font-size:11px;color:#787c82;letter-spacing:.3px}` +
	`label{display:block;margin-top:12px;font-size:13px}` +
	`input[type=text],input[type=password]{display:block;width:100%;margin-top:5px;padding:7px 9px;border:1px solid #c3c4c7;border-radius:3px;font-size:14px}` +
	`button{display:block;width:100%;margin-top:18px;padding:9px;border:0;border-radius:3px;color:#fff;font-size:14px;cursor:pointer}` +
	`.err{border-left:4px solid #d63638;background:#fcf0f1;padding:10px 12px;margin:0 0 16px;font-size:13px;line-height:1.5}` +
	`.foot{margin:22px auto 0;text-align:center;font-size:12px;color:#787c82;line-height:1.7}`

// fieldIDReplacer 把 user[login] 这类字段名转成合法的 HTML id。
// 提到包级：每次渲染新建一个 Replacer 要分配十几次，而蜜罐是被高频命中的。
var fieldIDReplacer = strings.NewReplacer("[", "_", "]", "")

// RenderFamily 按家族渲染假登录页。
//
// 资源占用刻意压到最低：全部是编译期常量 + 一次 strings.Builder 拼接，
// 没有 html/template 解析、没有文件读取、没有外部请求。一个页面约 1.5–2.5 KB。
//
// 写的时候刻意不用 `"a" + b + "c"`：每个 + 都是一次临时分配。
// 连续 WriteString 走 append，配合一次 Grow，整页只有 2–3 次分配
// （见 family_test.go 的 BenchmarkRenderFamily）。
//
// canary 只放 HTML 注释里，不放进 <meta name="generator">：
// generator 是扫描器的必查项，必须伪装成真实产品，否则等于自曝蜜罐。
func RenderFamily(f Family, vars LoginPageVars) []byte {
	s := skinOf(f)

	action := html.EscapeString(vars.Action)
	title := vars.Title
	if title == "" {
		title = s.title
	}
	brand := vars.Heading
	if brand == "" {
		brand = s.brand
	}
	notice := vars.Notice
	if notice == "" && vars.Failed {
		notice = s.failure
	}

	var b strings.Builder
	b.Grow(3072 + len(s.css))

	b.WriteString("<!DOCTYPE html>\n<html lang=\"en\">\n<head>\n")
	b.WriteString("<meta charset=\"utf-8\">\n")
	b.WriteString("<meta name=\"viewport\" content=\"width=device-width,initial-scale=1\">\n")
	b.WriteString("<meta name=\"robots\" content=\"noindex,nofollow\">\n")
	if s.gen != "" {
		b.WriteString("<meta name=\"generator\" content=\"")
		b.WriteString(html.EscapeString(s.gen))
		b.WriteString("\">\n")
	}
	b.WriteString("<title>")
	b.WriteString(html.EscapeString(title))
	b.WriteString("</title>\n<style>")
	b.WriteString(baseLoginCSS)
	b.WriteString(s.css)
	b.WriteString("</style>\n</head>\n<body class=\"")
	b.WriteString(s.class)
	b.WriteString("\">\n<!-- build: ")
	b.WriteString(CanaryToken)
	b.WriteString(" -->\n<div class=\"card\">\n<h1>")
	b.WriteString(html.EscapeString(brand))
	b.WriteString("</h1>\n")
	if s.tagline != "" {
		b.WriteString("<p class=\"tag\">")
		b.WriteString(s.tagline)
		b.WriteString("</p>\n")
	}
	if notice != "" {
		b.WriteString("<div class=\"err\">")
		b.WriteString(html.EscapeString(notice))
		b.WriteString("</div>\n")
	}
	b.WriteString("<form method=\"post\" action=\"")
	b.WriteString(action)
	b.WriteString("\" name=\"")
	b.WriteString(s.form)
	b.WriteString("\" id=\"")
	b.WriteString(s.form)
	b.WriteString("\">\n")

	for _, fld := range s.fields {
		typ, ac := "text", "username"
		if fld.secret {
			typ, ac = "password", "current-password"
		}
		id := "id_" + fieldIDReplacer.Replace(fld.name)
		b.WriteString("<label for=\"")
		b.WriteString(id)
		b.WriteString("\">")
		b.WriteString(fld.label)
		b.WriteString("<input type=\"")
		b.WriteString(typ)
		b.WriteString("\" name=\"")
		b.WriteString(fld.name)
		b.WriteString("\" id=\"")
		b.WriteString(id)
		b.WriteString("\" value=\"\" autocomplete=\"")
		b.WriteString(ac)
		b.WriteString("\"></label>\n")
	}
	for _, h := range s.hidden {
		v := h[1]
		if v == "$redirect" {
			v = vars.Redir
		}
		b.WriteString("<input type=\"hidden\" name=\"")
		b.WriteString(h[0])
		b.WriteString("\" value=\"")
		b.WriteString(html.EscapeString(v))
		b.WriteString("\">\n")
	}
	if s.submit != "" {
		b.WriteString("<button type=\"submit\">")
		b.WriteString(s.submit)
		b.WriteString("</button>\n")
	}
	b.WriteString("</form>\n")
	if s.footer != "" {
		b.WriteString("<p class=\"foot\">")
		b.WriteString(s.footer)
		b.WriteString("</p>\n")
	}
	b.WriteString("</div>\n</body>\n</html>\n")
	return []byte(b.String())
}

// RenderLoginPage 保留旧签名（WordPress 家族），供既有调用方与测试使用。
func RenderLoginPage(vars LoginPageVars) []byte {
	return RenderFamily(FamilyWordPress, vars)
}

// WriteFamilyPage 写出某个家族的假登录页，并带上该家族的伪装响应头。
//
// Tomcat Manager 未认证时真实返回 401 + WWW-Authenticate，所以这里也照做 ——
// 凭据从 Basic Auth 头取（ExtractCredentials 已支持），比给一个假表单更真。
func WriteFamilyPage(w http.ResponseWriter, f Family, vars LoginPageVars) {
	s := skinOf(f)
	h := w.Header()
	h.Set("Content-Type", "text/html; charset=utf-8")
	h.Set("Cache-Control", "no-store, no-cache, must-revalidate")
	h.Set("X-Robots-Tag", "noindex, nofollow")
	for _, kv := range s.headers {
		h.Set(kv[0], kv[1])
	}
	for _, c := range s.cookies {
		h.Add("Set-Cookie", c)
	}
	status := http.StatusOK
	if s.basicRealm != "" {
		h.Set("WWW-Authenticate", `Basic realm="`+s.basicRealm+`"`)
		status = http.StatusUnauthorized
	}
	w.WriteHeader(status)
	_, _ = w.Write(RenderFamily(f, vars))
}

// WriteLoginPage 保留旧签名（WordPress 家族）。
func WriteLoginPage(w http.ResponseWriter, vars LoginPageVars) {
	WriteFamilyPage(w, FamilyWordPress, vars)
}