# backend/routers/sso.py
# Fusion ACC-3.1 (#216) — Points d'entrée SSO de l'émettrice.
#
# GET /sso/authorize?return_to=<url> : point d'entrée des autres
# applications — valide le return_to (liste blanche *.dracodev.net,
# anti open-redirect) puis redirige vers la page de connexion
# d'ObsiGate en conservant le paramètre ; après connexion, le
# frontend repart vers l'application demanderesse (le cookie
# draco_session posé à la connexion couvre tout le domaine parent).
#
# GET /api/sso/revocations : liste des jti révoqués, réservée aux
# autres applications (clé machine DRACO_SSO_MACHINE_KEY, en-tête
# X-Draco-Machine-Key) qui la mettent en cache 60 s (design §5.2).

from __future__ import annotations

import os
from urllib.parse import quote

from fastapi import APIRouter, HTTPException, Request
from fastapi.responses import RedirectResponse

from backend import draco_session

router = APIRouter(tags=["SSO"])


@router.get("/sso/authorize")
async def sso_authorize(return_to: str = ""):
    target = draco_session.validate_return_to(return_to)
    if target:
        return RedirectResponse(
            url=f"/?return_to={quote(target, safe='')}", status_code=302)
    return RedirectResponse(url="/", status_code=302)


@router.get("/api/sso/revocations")
async def sso_revocations(request: Request):
    machine_key = os.environ.get("DRACO_SSO_MACHINE_KEY", "")
    if not machine_key:
        raise HTTPException(404, "Non configuré")
    if request.headers.get("X-Draco-Machine-Key") != machine_key:
        raise HTTPException(401, "Clé machine invalide")
    return {"revoked": draco_session.revoked_list()}