# -*- coding: utf-8 -*-
"""会话 Cookie 的编解码（itsdangerous 签名格式，与 Flask 会话同格式）。

存量兼容：本站早期由 Flask 签发会话（`session` cookie，格式
`payload.timestamp.hmac`；盐 `cookie-session`；HMAC-SHA1；密钥派生 `hmac`），
为让**存量 Cookie 无需重新登录即可继续使用**，此处直接调用 itsdangerous——
与 Flask `SecureCookieSessionInterface.get_signing_serializer` 使用同一套参数，
格式逐字节一致，不再手写复刻签名算法（手写密码学原语是负债：难审、易错、
且必须靠测试钉住与上游的字节级一致）。

密钥同源：取自 auth_system.get_secret_key()（data/secret.key）。
"""
import hashlib
from functools import lru_cache
from typing import Any

from itsdangerous import BadData, URLSafeTimedSerializer

# 与 Flask 默认一致：SHA1 + itsdangerous 的 key derivation（HMAC(digest, salt)）
_SALT = 'cookie-session'
_SIGNER_KWARGS: dict[str, Any] = {'key_derivation': 'hmac', 'digest_method': hashlib.sha1}

SESSION_KEY = 'site_uid'


@lru_cache(maxsize=8)
def _serializer(secret: str) -> URLSafeTimedSerializer:
    """构造与 Flask 会话同参数的序列化器（盐 / 派生 / 摘要三项对齐）。

    按密钥缓存：`loads` 位于每个请求的会话解析路径上，每次新建序列化器是
    无谓开销；密钥种类极少（通常只有 data/secret.key 一个），maxsize=8 足够。
    """
    return URLSafeTimedSerializer(secret, salt=_SALT, signer_kwargs=dict(_SIGNER_KWARGS))


def dumps(secret: str, session: dict[str, Any]) -> str:
    """把会话字典序列化为 Flask/itsdangerous 兼容的签名 Cookie 值。"""
    return _serializer(secret).dumps(session)


def loads(secret: str, value: str, max_age: int | None = None) -> dict[str, Any] | None:
    """校验签名并解出会话字典；无效 / 被篡改 / 超龄返回 None。

    ``max_age=None``（默认）不校验签发时间——与本站既有行为一致：会话有效期由
    Cookie 自身的 max_age（登录时 7 天，见 web.routers.register._SESSION_MAX_AGE）
    与库中 login_seq 顶号校验共同约束，服务端不叠加第二层独立过期判定；
    传入秒数即启用 itsdangerous 的签名时间戳校验。
    """
    if not value:
        return None
    try:
        data = _serializer(secret).loads(value, max_age=max_age)
    except BadData:
        # BadSignature / SignatureExpired / BadPayload —— 一律视为无效会话
        return None
    return data if isinstance(data, dict) else None


def get_uid(session: dict[str, Any] | None) -> int | None:
    """取会话中的站点用户 id（Flask 存的是 int，直接可用）。

    非整数一律按未登录处理：签名有效但字段畸形只可能来自密钥泄露后的伪造，
    此时返回 None（当普通未登录）比抛 ValueError 触发 500 更安全。
    """
    if not session:
        return None
    val = session.get(SESSION_KEY)
    if not val:
        return None
    try:
        return int(val)
    except (TypeError, ValueError):
        return None