package jnpf.bizcommon.audit.controller;

import cn.dev33.satoken.same.SaSameUtil;
import jnpf.audit.model.AuditEventDTO;
import jnpf.bizcommon.audit.service.AuditEventService;
import jnpf.bizcommon.audit.service.DataInterfaceSignAuditService;
import jnpf.base.ActionResult;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

/**
 * 审计事件内部接收端点：只服务 {@link jnpf.audit.AuditEventApi} 的 Feign 调用，
 * 走平台内部鉴权链，不经网关白名单暴露给外部。path 与 AuditEventApi 的 @FeignClient
 * path 保持字面一致（/Internal/audit + /events）。
 *
 * <p><b>写端点鉴权（权威安全边界）</b>：本方法首行的服务侧
 * {@link SaSameUtil#checkCurrentRequestToken()} 是审计写端点的<b>权威安全边界</b>——它拒绝一切
 * 不携带合法 {@code SA-SAME-TOKEN} 的请求，覆盖网关层的<b>所有绕过变体</b>（Discovery Locator
 * 自动路由 {@code /jnpf-audit/**}、大小写变体、多斜杠、white-ip 白名单跳过 block 等），
 * 使本端点<b>只接受携带有效 {@code SA-SAME-TOKEN} 的服务间 Feign 调用</b>：
 * jnpf-common-feign 的 {@code FeignConfig} 请求拦截器对所有 Feign 出站请求自动注入
 * {@code SA-SAME-TOKEN = UserProvider.getInnerAuthToken() = SaSameUtil.getToken()}（已反编译实证）；
 * 而网关转发的外部请求只被注入 {@code SA-SAME-TOKEN_GATEWAY}（MvcSecurityConfig），<b>不带
 * {@code SA-SAME-TOKEN}</b>，故 {@code checkCurrentRequestToken()} 读不到 header 即抛
 * {@link cn.dev33.satoken.exception.SameTokenInvalidException}（sa-token 1.44.0 的 same-token 校验异常，
 * 该版本无 {@code SaSameException}）拒收——堵住任意登录用户经网关伪造投递审计事件、破坏 append-only 完整性的漏洞。
 * 该校验与请求路径大小写、前缀形态无关，是伪造防线的最终裁定层。
 *
 * <p><b>网关 block-url 是纵深第一层（非权威边界）</b>：router.yaml 的 {@code gateway.block-url}
 * 已覆盖数据面标准路径 {@code /api/audit/Internal/**}（前端/DB 数据接口用）与
 * {@code /jnpf-audit/Internal/**}（Discovery Locator 自动路由标准路径）；
 * <b>2026-08-11 审计搬入 jnpf-biz-common 后又多出两条到达路径，已一并补堵</b>：
 * {@code /api/biz/Internal/**}（biz-common 的对外前缀同样 StripPrefix=2，
 * {@code /api/biz/Internal/audit/events} 去掉两段后正是本端点）与
 * {@code /jnpf-biz-common/Internal/**}（Locator 按新服务名生成；原 {@code /jnpf-audit/**}
 * 那条仍须保留，因为 discovery.yaml 里 jnpf-audit 作为别名依然注册）。它是纵深第一层，
 * 按用户决策<b>只覆盖数据面标准路径、不穷尽所有变体</b>：大写/混合大小写变体（如
 * {@code /JNPF-AUDIT/Internal/audit/events}）实测在下游 Spring MVC 因 controller 路径映射
 * 大小写敏感直接 404（不达本方法），多斜杠变体被平台"非法请求"过滤器拦截——均无法落库，
 * 兜底全部由上述服务侧 SAME-TOKEN 承担。网关层完整覆盖（全局 {@code /Internal} 屏蔽 +
 * Discovery Locator 收敛）作为独立平台加固项另议。
 *
 * <p><b style="color:red">⚠ 新增任何 /Internal 写端点，必须在方法首行复制
 * {@code SaSameUtil.checkCurrentRequestToken()} 校验</b>——网关 block-url 不保证覆盖新路径，
 * 服务侧 SAME-TOKEN 才是权威边界，漏写即等于对外开放伪造投递面。
 */
@RestController
@RequestMapping("/Internal/audit")
public class AuditInternalController {
    @Autowired
    private AuditEventService auditEventService;

    @Autowired
    private DataInterfaceSignAuditService dataInterfaceSignAuditService;

    @PostMapping("/events")
    public ActionResult<Integer> record(@RequestBody AuditEventDTO dto) {
        // 权威安全边界：仅放行携带有效 SA-SAME-TOKEN 的服务间 Feign 调用；网关转发的普通登录请求
        // 无此 header，抛 SameTokenInvalidException（映射 AD106）——覆盖一切网关绕过变体（见类注释）
        SaSameUtil.checkCurrentRequestToken();
        int rows = auditEventService.saveIdempotent(dto);
        dataInterfaceSignAuditService.recordRelatedSign(dto);
        return ActionResult.success(rows);
    }
}