group :development, :test do
  gem "dotenv-rails"
end

PUSHPASSKEY_API_KEY=ここにAPIキーを記載してください
PUSHPASSKEY_TEST_MODE=true
PUSHPASSKEY_TEST_USER_KEY=pushpasskey_test_user
PUSHPASSKEY_CONNECT_TIMEOUT=5
PUSHPASSKEY_REQUEST_TIMEOUT=15

require "net/http"
require "json"
require "uri"

class PushPasskeyController < ApplicationController
  PUSHPASSKEY_API_BASE = "https://auth.jintec.com"
  COMPLETED_STATUSES = %w[success failed expired cancelled].freeze

  # passkey.jsはJSONを送信するため、Rails標準のフォーム用CSRFトークンを
  # 送信しません。このエンドポイントだけ標準検証を外し、代わりに
  # verify_same_origin!でOriginを検証します。
  skip_forgery_protection only: :endpoint
  before_action :verify_same_origin!, only: :endpoint

  def test
    @status = params[:pp_status].to_s.strip
    @show_buttons = @status.empty?
    @authenticated_user_key =
      session[:pushpasskey_authenticated_user_key].to_s
  end

  def endpoint
    case body_params["action"].to_s.strip
    when "regist_start"  then regist_start
    when "auth_start"    then auth_start
    when "regist_result" then regist_result
    when "auth_result"   then auth_result
    else
      render_json({ ok: false, message: "処理の指定が正しくありません。" }, :bad_request)
    end
  rescue StandardError => e
    Rails.logger.error("[Push! Passkey] #{e.class}: #{e.message}")
    render_json(
      { ok: false, message: "Push! Passkeyの処理を完了できませんでした。" },
      :internal_server_error
    ) unless performed?
  end

  private

  # ==========================================================
  # 本番接続時に変更する箇所 1
  # ログイン中のユーザーを一意に識別する文字列を返します。
  # ==========================================================
  def logged_in_user_key
    # 例：current_userを利用している場合
    # return current_user.id.to_s if current_user

    if test_mode?
      return ENV.fetch("PUSHPASSKEY_TEST_USER_KEY", "").to_s.strip
    end

    ""
  end

  # ==========================================================
  # 本番接続時に変更する箇所 2
  # パスキー登録成功後の処理です。
  # ==========================================================
  def after_regist_success(_result)
    session[:passkey_message] = "パスキーの登録が完了しました。"
    # 必要に応じて登録済み状態や登録日時をDBへ保存します。
  end

  # ==========================================================
  # 本番接続時に変更する箇所 3
  # パスキー認証成功後のログイン処理です。
  # ==========================================================
  def after_auth_success(result)
    user_key = result["user_key"].to_s.strip
    raise "認証ユーザーを確認できません。" if user_key.empty?

    # 実運用ではuser_keyに一致する有効なユーザーをDBから取得し、
    # reset_session後に自社サイトのログインセッションを発行します。
    reset_session
    session[:pushpasskey_authenticated_user_key] = user_key
    session[:pushpasskey_authenticated_at] = Time.current.to_i
  end

  def regist_start
    user_key = logged_in_user_key
    return render_json({ ok: false, message: "ログイン状態を確認できません。" }, :unauthorized) if user_key.empty?

    result = call_pushpasskey("/regist_url", {
      "api_key" => api_key,
      "user_key" => user_key,
      "return_page_url" => return_page_url
    })

    if result["ok"] && result["request_id"].present?
      save_pending_request(result["request_id"].to_s, "regist", user_key)
    end
    render_json(result)
  end

  def auth_start
    result = call_pushpasskey("/auth_url", {
      "api_key" => api_key,
      "return_page_url" => return_page_url
    })
    if result["ok"] && result["request_id"].present?
      save_pending_request(result["request_id"].to_s, "auth")
    end
    render_json(result)
  end

  def regist_result
    request_id = required_request_id
    return if performed?
    pending = pending_request(request_id, "regist")
    return if performed?

    result = call_pushpasskey("/regist_result", {
      "api_key" => api_key, "request_id" => request_id
    })
    if result["is_success"]
      raise "登録ユーザーが一致しません。" unless result["user_key"].to_s == pending["user_key"].to_s
      after_regist_success(result)
    end
    clear_pending_request(request_id) if result["is_completed"]
    render_json(result)
  end

  def auth_result
    request_id = required_request_id
    return if performed?
    pending_request(request_id, "auth")
    return if performed?

    result = call_pushpasskey("/auth_result", {
      "api_key" => api_key, "request_id" => request_id
    })
    status = result["status"].to_s.strip.downcase
    success = result["is_success"] || status == "success"
    if success
      raise "認証は成功しましたが、user_keyが返されていません。" if result["user_key"].to_s.strip.empty?
      after_auth_success(result)
    end
    completed = result["is_completed"] || COMPLETED_STATUSES.include?(status)
    clear_pending_request(request_id) if completed
    render_json(result)
  end

  def body_params
    @body_params ||= request.request_parameters.to_h.deep_stringify_keys
  end

  def required_request_id
    request_id = body_params["request_id"].to_s.strip
    if request_id.empty?
      render_json({ ok: false, message: "処理情報を確認できません。" }, :bad_request)
    end
    request_id
  end

  def call_pushpasskey(path, payload)
    key = api_key
    raise "Push! Passkeyの設定を確認してください。" if key.empty?

    uri = URI.join(PUSHPASSKEY_API_BASE, path)
    http = Net::HTTP.new(uri.host, uri.port)
    http.use_ssl = true
    http.open_timeout = ENV.fetch("PUSHPASSKEY_CONNECT_TIMEOUT", "5").to_i
    http.read_timeout = ENV.fetch("PUSHPASSKEY_REQUEST_TIMEOUT", "15").to_i

    request_data = Net::HTTP::Post.new(uri.request_uri)
    request_data["Content-Type"] = "application/json"
    request_data["Accept"] = "application/json"
    request_data.body = JSON.generate(payload)
    response = http.request(request_data)
    result = JSON.parse(response.body)
    result["ok"] = false unless response.is_a?(Net::HTTPSuccess)
    result
  rescue JSON::ParserError
    raise "Push! Passkeyから正しい応答を取得できません。"
  rescue Timeout::Error, SocketError, SystemCallError, OpenSSL::SSL::SSLError => e
    raise "Push! Passkeyへ接続できません。", cause: e
  end

  def save_pending_request(request_id, kind, user_key = "")
    requests = session[:pushpasskey_requests] || {}
    requests[request_id] = {
      "kind" => kind, "user_key" => user_key, "created_at" => Time.current.to_i
    }
    session[:pushpasskey_requests] = requests
  end

  def pending_request(request_id, kind)
    data = (session[:pushpasskey_requests] || {})[request_id]
    unless data.is_a?(Hash) && data["kind"] == kind
      render_json(
        { ok: false, message: "処理情報を確認できません。最初からやり直してください。" },
        :bad_request
      )
      return nil
    end
    data
  end

  def clear_pending_request(request_id)
    requests = session[:pushpasskey_requests] || {}
    requests.delete(request_id)
    session[:pushpasskey_requests] = requests
  end

  def return_page_url
    value = body_params["return_page_url"].to_s.strip
    uri = URI.parse(value)
    return "" unless uri.is_a?(URI::HTTP) && uri.host == request.host
    value
  rescue URI::InvalidURIError
    ""
  end

  def verify_same_origin!
    origin = request.headers["Origin"].to_s
    return if origin.empty?
    origin_uri = URI.parse(origin)
    return if origin_uri.host == request.host

    render_json({ ok: false, message: "このページからは処理を開始できません。" }, :forbidden)
  rescue URI::InvalidURIError
    render_json({ ok: false, message: "このページからは処理を開始できません。" }, :forbidden)
  end

  def api_key
    ENV.fetch("PUSHPASSKEY_API_KEY", "").to_s.strip
  end

  def test_mode?
    ActiveModel::Type::Boolean.new.cast(
      ENV.fetch("PUSHPASSKEY_TEST_MODE", "false")
    )
  end

  def render_json(data, status = :ok)
    render json: data, status: status
  end
end

get  "/pushpasskey/test",     to: "push_passkey#test"
post "/pushpasskey/endpoint", to: "push_passkey#endpoint"

<% content_for :head do %>
  <script src="https://auth.jintec.com/js/passkey.js" defer></script>
<% end %>

<h1>Push! Passkey動作確認</h1>

<div <%= "hidden" unless @show_buttons %>>
  <p>最初にパスキー登録を行い、続いて認証を確認してください。</p>

  <button type="button"
    data-pushpasskey="regist"
    data-endpoint="/pushpasskey/endpoint"
    data-success-url="/pushpasskey/test">
    パスキーを登録する
  </button>

  <button type="button"
    data-pushpasskey="auth"
    data-endpoint="/pushpasskey/endpoint"
    data-success-url="/pushpasskey/test">
    パスキーで認証する
  </button>
</div>

<div id="resultMessage" role="alert" aria-live="polite"></div>

<% if @authenticated_user_key.present? %>
  <p>認証したuser_key：<%= @authenticated_user_key %></p>
<% else %>
  <p>認証したuser_keyはまだありません。</p>
<% end %>

<% unless @show_buttons %>
  <p>認証結果を確認しています。</p>
<% end %>