global $pdo;

$magic_token = preg_replace('/[^a-f0-9]/', '', (string)($_GET['magic'] ?? ''));
$magic_error = null;

if (isset($_GET['caducada'])) {
    $magic_error = "Tu sesión temporal de auditoría (10 minutos máximo) ha expirado y se ha cerrado por seguridad.";
}

if (!empty($magic_token)) {
    try {
        $stmt_tok = $pdo->prepare("SELECT * FROM usuarios_tokens_impersonate WHERE token = ? AND usado = 0 AND expira_en >= NOW() LIMIT 1");
        $stmt_tok->execute([$magic_token]);
        $tok = $stmt_tok->fetch(PDO::FETCH_ASSOC);

        if ($tok) {
            // Marcar inmediatamente como usado (estricto un solo uso)
            $pdo->prepare("UPDATE usuarios_tokens_impersonate SET usado = 1, usado_en = NOW(), ip_origen = ? WHERE id = ?")
                ->execute([$_SERVER['REMOTE_ADDR'] ?? '0.0.0.0', $tok['id']]);

            // Iniciar sesión temporal sin cookie remember persistente
            $ok = login_adm_por_id($tok['usuario_id'], false);
            if ($ok) {
                $_SESSION['impersonated_audit'] = true;
                $_SESSION['impersonated_by_id'] = $tok['creado_por_id'];
                $_SESSION['impersonated_by_name'] = $tok['creado_por_nombre'];
                $_SESSION['impersonated_expires_at'] = time() + 600; // 10 minutos exactos

                if (function_exists('auditar')) {
                    auditar([
                        'evento'         => 'impersonacion',
                        'modulo'         => 'acceso',
                        'entidad'        => 'usuarios',
                        'entidad_id'     => $tok['usuario_id'],
                        'descripcion'    => 'Acceso como usuario (Auditoría en Incógnito) iniciado por ' . $tok['creado_por_nombre'],
                        'resultado'      => 'ok',
                        'severidad'      => 'alerta',
                        'usuario_id'     => $tok['creado_por_id'],
                        'usuario_nombre' => $tok['creado_por_nombre'],
                        'datos'          => [
                            'usuario_auditado_id' => $tok['usuario_id'],
                            'token'               => $tok['token'],
                            'expira_en'           => date('Y-m-d H:i:s', time() + 600)
                        ]
                    ]);
                }

                redirect('/inicio');
                exit;
            } else {
                $magic_error = "La cuenta del usuario a auditar no está activa o se encuentra bloqueada.";
            }
        } else {
            $magic_error = "El enlace de acceso seguro no es válido o ya caducó (los enlaces caducan en 1 minuto). Genera uno nuevo.";
        }
    } catch (\Exception $e) {
        $magic_error = "Error al procesar el enlace de acceso: " . $e->getMessage();
    }
}

if (is_admin() && empty($magic_error)) {
    redirect('/');
}

$error = $magic_error ?: get("error");
$html = new html("Acceso al Sistema");
$html->bodyTag = 'class="auth-body"';
$html->start();
?>
<style>
    /* Estilos Premium para la pantalla de acceso de Obrador Fresnillo */
    body.auth-body {
        background: radial-gradient(circle at 50% 50%, #ffffff 0%, #f5f5f7 100%);
        min-height: 100vh;
        display: flex;
        align-items: center;
        justify-content: center;
        overflow-x: hidden;
        position: relative;
        font-family: -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Helvetica, Arial, sans-serif;
    }

    .bg-orb {
        position: absolute;
        width: 600px;
        height: 600px;
        border-radius: 50%;
        background: radial-gradient(circle, rgba(10, 132, 255, 0.06) 0%, rgba(10, 132, 255, 0) 70%);
        z-index: 1;
        pointer-events: none;
    }
    .orb-1 { top: -200px; left: -200px; }
    .orb-2 { bottom: -200px; right: -200px; }

    .auth-card {
        background: rgba(255, 255, 255, 0.85);
        border: 1px solid rgba(0, 0, 0, 0.08);
        backdrop-filter: blur(20px);
        -webkit-backdrop-filter: blur(20px);
        border-radius: 24px;
        padding: 40px 35px;
        width: 100%;
        max-width: 440px;
        z-index: 2;
        box-shadow: 0 20px 40px rgba(0,0,0,0.06);
        transition: all 0.3s ease;
    }

    .auth-logo-text {
        font-size: 1.8rem;
        font-weight: 800;
        letter-spacing: -0.03em;
        background: linear-gradient(135deg, #1d1d1f 0%, #86868b 100%);
        -webkit-background-clip: text;
        -webkit-text-fill-color: transparent;
        margin-bottom: 5px;
    }

    .auth-subtitle {
        color: #86868b;
        font-size: 0.88rem;
        margin-bottom: 25px;
    }

    .label-sm {
        font-size: 0.78rem;
        font-weight: 600;
        text-transform: uppercase;
        letter-spacing: 0.05em;
        color: #86868b;
        margin-bottom: 8px;
        display: block;
    }

    .input-icon-wrap {
        position: relative;
        margin-bottom: 20px;
    }

    .input-icon-wrap .icon {
        position: absolute;
        left: 16px;
        top: 50%;
        transform: translateY(-50%);
        color: #86868b;
        font-size: 0.95rem;
        pointer-events: none;
    }

    .auth-input {
        background: rgba(0, 0, 0, 0.02) !important;
        border: 1px solid rgba(0, 0, 0, 0.1) !important;
        color: #1d1d1f !important;
        padding: 14px 16px 14px 44px !important;
        font-size: 0.95rem;
        border-radius: 12px !important;
        transition: all 0.2s ease !important;
    }

    .auth-input:focus {
        border-color: #0A84FF !important;
        box-shadow: 0 0 0 4px rgba(10, 132, 255, 0.15) !important;
        outline: none !important;
    }

    .btn-auth {
        background: #0A84FF;
        color: #ffffff;
        border: none;
        width: 100%;
        padding: 14px;
        border-radius: 12px;
        font-size: 0.95rem;
        font-weight: 600;
        cursor: pointer;
        transition: all 0.2s ease;
        display: flex;
        align-items: center;
        justify-content: center;
        gap: 8px;
    }

    .btn-auth:hover {
        background: #0071e3;
        transform: translateY(-1px);
    }

    .btn-auth:active {
        transform: translateY(0);
    }

    .badge-adm-tag {
        background: rgba(10, 132, 255, 0.1);
        border: 1px solid rgba(10, 132, 255, 0.2);
        color: #0A84FF;
        padding: 6px 14px;
        border-radius: 50px;
        font-size: 0.75rem;
        font-weight: 600;
        display: inline-flex;
        align-items: center;
        gap: 6px;
    }

    .eye-toggle {
        position: absolute;
        right: 16px;
        top: 50%;
        transform: translateY(-50%);
        background: none;
        border: none;
        color: #86868b;
        cursor: pointer;
        padding: 0;
    }

    .eye-toggle:hover {
        color: #1d1d1f;
    }
</style>

<div class="bg-orb orb-1"></div>
<div class="bg-orb orb-2"></div>

<div class="auth-card">
    <div class="text-center mb-4">
        <h1 class="auth-logo-text">OBRADOR FRESNILLO</h1>
        <p class="auth-subtitle">Sistema Integral de Administración</p>
        <div>
            <span class="badge-adm-tag">
                <i class="fas fa-user-shield"></i>
                Acceso Administrativo
            </span>
        </div>
    </div>

    
    <form method="POST" action="https://erp-test.obradorfresnillo.com/acceso/login">
        <div class="mb-3">
            <label class="label-sm">Usuario</label>
            <div class="input-icon-wrap">
                <i class="fas fa-user icon"></i>
                <input type="text" name="usuario" class="form-control auth-input" required autofocus
                    placeholder="Introduce tu usuario">
            </div>
        </div>
        <div class="mb-4">
            <label class="label-sm">NIP de Seguridad</label>
            <div class="input-icon-wrap">
                <i class="fas fa-key icon"></i>
                <input type="password" name="nip" id="nipInput" class="form-control auth-input"
                    required placeholder="••••••">
                <button type="button" class="eye-toggle" onclick="toggleNip()">
                    <i class="fas fa-eye" id="eyeIcon"></i>
                </button>
            </div>
        </div>

        <label class="d-flex align-items-center gap-2 mb-4" style="cursor:pointer;">
            <input type="checkbox" name="remember" class="form-check-input m-0" style="width:15px;height:15px;">
            <span style="color:#86868b;font-size:0.78rem;">Mantener sesión iniciada</span>
        </label>

        <button type="submit" class="btn-auth">
            <i class="fas fa-arrow-right-to-bracket" style="font-size:0.9rem;"></i>
            Iniciar Sesión
        </button>
    </form>
</div>

<script>
    function toggleNip() {
        const inp = document.getElementById('nipInput');
        const icon = document.getElementById('eyeIcon');
        inp.type = inp.type === 'password' ? 'text' : 'password';
        icon.className = inp.type === 'password' ? 'fas fa-eye' : 'fas fa-eye-slash';
    }
</script>