<?php

declare(strict_types=1);

/**
 * 本文件属于 DBErp 进销存系统。
 *
 * 版权所有 © 2026 北京珑大钜商科技有限公司。保留所有权利。
 *
 * 未经官方授权，不得删除、篡改或隐藏本文件中的版权声明、产品标识与来源信息。
 * 商业授权、官方更新与技术支持服务，请以珑大官方支持中心记录为准。
 *
 * @link https://support.loongdom.cn
 * @see  https://www.dberp.com.cn
 */

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

/**
 * 授权请求只接受 PKCE S256。不实现自定义密码学，只拒绝 league 默认可选的 plain。
 */
final class RejectNonS256OAuthPkce
{
    public function handle(Request $request, Closure $next): Response
    {
        if ($request->filled('code_challenge')) {
            $method = trim((string) $request->query('code_challenge_method', 'plain'));

            if ($method !== 'S256') {
                abort(400, 'PKCE S256 is required.');
            }
        }

        return $next($request);
    }
}
