<?php

declare(strict_types=1);

/**
 * 本文件属于 DBErp 进销存系统。
 *
 * 版权所有 © 2026 北京珑大钜商科技有限公司。保留所有权利。
 *
 * 未经官方授权，不得删除、篡改或隐藏本文件中的版权声明、产品标识与来源信息。
 * 商业授权、官方更新与技术支持服务，请以珑大官方支持中心记录为准。
 *
 * @link https://support.loongdom.cn
 * @see  https://www.dberp.com.cn
 */

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

/**
 * 拒绝通配 redirect 与任意自定义 scheme。精确匹配仍由 Passport / league 执行。
 */
final class RejectUnsafeOAuthRedirectUri
{
    public function handle(Request $request, Closure $next): Response
    {
        $redirectUri = trim((string) $request->query('redirect_uri', $request->input('redirect_uri', '')));

        if ($redirectUri === '') {
            return $next($request);
        }

        if ($this->isUnsafe($redirectUri)) {
            abort(400, 'Redirect URI is not allowed.');
        }

        return $next($request);
    }

    private function isUnsafe(string $redirectUri): bool
    {
        if (str_contains($redirectUri, '*')) {
            return true;
        }

        $parts = parse_url($redirectUri);

        if (! is_array($parts) || ! isset($parts['scheme'])) {
            return true;
        }

        $scheme = strtolower((string) $parts['scheme']);

        if (in_array($scheme, ['http', 'https'], true)) {
            return false;
        }

        /** @var list<string> $allowedSchemes */
        $allowedSchemes = config('mcp.custom_schemes', []);

        return ! in_array($scheme, $allowedSchemes, true);
    }
}
