<?php
namespace App\Model\Table;

use Cake\ORM\Table;
use Cake\ORM\TableRegistry;
use Cake\Auth\DefaultPasswordHasher;
use Cake\Core\Exception\Exception;

class LdapConnectionsTable extends AppTable
{

    public $useTable = false;

    private $host;

    private $port;

    private $baseDn;

    private $authenticationType;

    private $filter;
    
    /*MCM*/
    // EP
    //private $anonymous;
    private $ldap_authentified;
    private $bindDn;
    private $bindPass;
    /* fin MCM*/

    private $LDAP_USED = TRUE;

    private $fakeLDAPUsers = [];

    public function __construct()
    {
        parent::__construct();
    }

    // EP
    public function useFakeLdap()
    {
        return ! $this->useLdap();
    }

    public function useLdap()
    {
        $this->checkConfiguration();
        return $this->LDAP_USED;
    }

    private function buildFakeLdapUsers()
    {
        return $this->buildFakeLdapUsersFromDB();
    }

    private function buildFakeLdapUsersFromDB()
    {
        $users = TableRegistry::get('Users')->find();
        
        $ldapUsers = [];
        
        foreach ($users as $user) {
            $names = explode(" ", $user['nom']);
            if (isset($names[1])) {
                $ldapUsers[] = [
                    'sn' => [
                        $names[0]
                    ],
                    'mail' => [
                        $user['email']
                    ],
                    'givenname' => [
                        $names[1]
                    ],
                    $this->authenticationType => [
                        $user['username']
                    ],
                    'userpassword' => [
                        $user['password']
                    ]
                ];
            } else {
                $ldapUsers[] = [
                    'sn' => [
                        $names[0]
                    ],
                    'mail' => [
                        $user['email']
                    ],
                    'givenname' => " ",
                    $this->authenticationType => [
                        $user['username']
                    ],
                    'userpassword' => [
                        $user['password']
                    ]
                ];
            }
        }
        
        /* EP (aout 2017)
         * ATTENTION : Utilisateur IMPORTANT.
         * Avec cet utilisateur, on simule un utilisateur qui n'est PAS dans la table utilisateurs
         * Il devrait donc se voir attribuer un role "Utilisateur" sans pour autant que ça soit écrit dans la table !!!
         * login = '_NouvelUtilisateur_username'
         * pass = '_NouvelUtilisateur_password'
         * $prefix = "_NouvelUtilisateur_";
         */
        $ldapUsers[] = [
            'sn' => [
                'UTILISATEUR'
            ],
            'givenname' => [
                'FAKE_LDAP'
            ],
            // 'mail' => [$login.'email'],
            'mail' => [
                'fakeldapuser@domain.fr'
            ],
            // $this->authenticationType => [$prefix.'username'],
            $this->authenticationType => [
                $this->getTheFakeLdapUser()['login']
            ],
            // $this->authenticationType => ['usere'],
            'userpassword' => [
                $this->getTheFakeLdapUser()['pass']
            ]
            // 'userpassword' => ['toto'],
        ];
        
        return $ldapUsers;
    }

    private function checkConfiguration()
    {
		$config = TableRegistry::getTableLocator()->get('Configurations')
			->find()
            ->where(['id =' => 1])
            ->first();
            
        
        $this->LDAP_USED = $config->ldap_used;
        if (! $this->LDAP_USED) {
            //$this->authenticationType = $config->authentificationType_ldap;
            $this->authenticationType = $config->ldap_authenticationType;
            if (empty($this->fakeLDAPUsers))
                $this->fakeLDAPUsers = $this->buildFakeLdapUsers();
            return true;
        }
        // debug($this->fakeLDAPUsers);
        
        $ldapConfig = $config->toArray();
        
        if (! empty($config->ldap_host) && ! empty($config->ldap_port) && ! empty($config->ldap_baseDn) && ! empty($config->ldap_authenticationType) && ! empty($config->ldap_filter)) {
            $this->host = $config->ldap_host;
            $this->port = $config->ldap_port;
            $this->baseDn = $config->ldap_baseDn;
            $this->filter = $config->ldap_filter;
            $this->authenticationType = $config->ldap_authenticationType;
            $this->ldap_authentified = $config->ldap_authentified;
            $this->bindDn = $config->ldap_bindDn;
            $this->bindPass = $config->ldap_bindPass;
            
            return true;
        }
        
        throw new Exception('The ldap configuration is not valid : <br />
			<ul>
				<li>host = ' . @$ldapConfig['host'] . '</li>
				<li>port = ' . @$ldapConfig['port'] . '</li>
				<li>baseDn = ' . @$ldapConfig['baseDn'] . '</li>
				<li>filter = ' . @$ldapConfig['filter'] . '</li>
				<li>authenticationType = ' . @$ldapConfig['authenticationType'] . '</li>
			</ul>');
    }
    
    
    
    // REAL LDAP only
    /**
     * @return array or boolean : all users from DB (CACHE of the LDAP) or FALSE (if table emtpy or expired data)
     */
    private function fetchAllUsersFromDB() {
        // On remet à jour tous les 7 jours
        $PEREMPTION_NB_DAYS = 7;
        
        // Doit aussi retourner FALSE si la ligne FAKE de la table users
        // (celle qui contient le user_name "FAKE_USER")
        // a une date "updated" périmée (now - updated > $PEREMPTION_NB_DAYS)
        // (update automatique de tous les users, chaque semaine, pour rester synced avec le LDAP)
        // By default, no user in CACHE
        return FALSE;
    }
    
    // REAL LDAP only
    // Sauvegarde de tous les users du LDAP en BD (avec un rythme de mise à jour hebdo)
    // Seulement les champs: nom, pnom, login, pass, email, create, updated, profile
    private function saveAllUsersInDB($users_fetched) {
        
        // START TRANSACTION
        // 1) Update (ou création) de la ligne FAKE (contient le user_name "FAKE_USER") => avec une date "updated"
        // 2) Update (ou création) de chaque user contenu dans $users_fetched
        // Attention à ne pas perdre l'attribut "profile", surtout pour les users privilégiés!!! (les autres ont un profile = "Utilisateur")
        // END TRANSACTION (COMMIT)
        
        // SAVE s'est bien passé
        return TRUE;
    }
    
    /**
     * @return $users_fetched or FALSE
     */
    // REAL or FAKE LDAP
    public function getAllLdapUsers()
    {
        try {
            if ($this->checkConfiguration()) {
                
                // REAL LDAP
                if ($this->LDAP_USED) {
                    
                    $ldapConnection = ldap_connect($this->host, $this->port);
                    ldap_set_option($ldapConnection, LDAP_OPT_PROTOCOL_VERSION, 3);
                    
                    $results = ldap_search($ldapConnection, $this->baseDn, $this->filter);
                    
                    $res = ldap_get_entries($ldapConnection, $results);
                }                // FAKE LDAP
                else {
                    $res = $this->fakeLDAPUsers;
                }
                return $res;
            }
        } catch (Exception $e) {}
        return false;
    }
    
        

    // TODO: avirer, VIEUX CODE, à remplacer par getLdap1UserOrAllUsersAttributes()
    // $userName = login
    public function getUserAttributes($userName)
    {
        try {
            
            if ($this->checkConfiguration()) {
                if ($this->LDAP_USED) {
                    $ldapConnection = ldap_connect($this->host, $this->port);
                    ldap_set_option($ldapConnection, LDAP_OPT_PROTOCOL_VERSION, 3);
                    $results = ldap_search($ldapConnection, $this->baseDn, '(' . $this->authenticationType . '=' . $userName . ')');
                    return ldap_get_entries($ldapConnection, $results);
                } else
                    return array(
                        $this->getFakeLdapUser($userName)
                    );
            }
        } catch (Exception $e) {}
        
        return false;
    }
    
    
    
    
    // REAL LDAP only
    /*
     * @param string $ldapConnection
     * @param string $filter
     * @param array $just_these
     * @param string $userName (= login) => for FAKE LDAP only
     * @return $res = ldap search result (1 user or all users attributes) or FALSE
     */
    //public function getUserAttributes($userName, $ldapConnection='', $filter='', $just_these=[])
    //public function getUserAttributes($ldapConnection='', $filter='', $just_these=[], $userName=NULL)
    //public function getLdapUsersAttributes($ldapConnection, $filter='', $just_these=[])
    public function getLdap1UserOrAllUsersAttributes($ldapConnection, $filter='', $just_these=[])
    {
        try {
            if ($this->checkConfiguration()) {
                
                // LDAP mode
                //if ($this->LDAP_USED) {
                /* (EP)
                 Fonction ldap_search ($link_identifier, $base_dn, $filter, array $attributes = null, $attrsonly = null, $sizelimit = null, $timelimit = null, $deref = null)
                 Concernant le paramètre $attributes (ici, $just_these) :
                 - An array of the required attributes, e.g. array("mail", "sn", "cn").
                 - Note that the "dn" is always returned irrespective of which attributes types are requested.
                 Telle que notre connexion au LDAP est conçue, on s'attend à recevoir AU MINIMUM
                 ces attributs dans la réponse de la fonction ldap_search():
                 - 'sn'
                 - 'mail'
                 - 'givenname'
                 - 'uid'
                 - 'userpassword'
                 Pour récupérer tous ces attributs, il ne faut pas utiliser la variable $just_these,
                 ou alors il faut qu'elle soit égale à un tableau vide ([]).
                 (par exemple, si elle vaut "['cn']" ça signifie qu'on veut "seulement l'attribut 'cn'")
                 Quand on n'utilise pas $just_these, la fonction ldap_search() retourne TOUS les attributs disponibles,
                 donc c'est le comportement qu'on veut ici.
                 */
                
                //$ldapConnection = ldap_connect($this->host, $this->port);
                //ldap_set_option($ldapConnection, LDAP_OPT_PROTOCOL_VERSION, 3);
                // OLD: $results = ldap_search($ldapConnection, $this->baseDn, '(' . $this->authenticationType . '=' . $userName . ')');
                // NEW: $filter = "(&".$this->filter."(".$this->authenticationType . '=' . $user_login."))";
                
                // OLD à virer
                $filter = '(' . $this->authenticationType . '=' . $userName . ')';
                $just_these = [];
                
                $results = ldap_search($ldapConnection, $this->baseDn, $filter, $just_these)
                or die("Could not search to LDAP server  response was: " . ldap_error($ldapConnection) );
                $res = ldap_get_entries($ldapConnection, $results);
                //echo $info["count"]." entries returned\n";
                return $res;
                //}
                
                // FAKE LDAP mode
                //else return array( $this->getFakeLdapUser($userName) );
                //else return $this->fakeLDAPUsers;
                
            }
        } catch (Exception $e) {
            echo 'Exception LDAP : ',  $e->getMessage(), "\n";
        }
        
        return false;
    }
    
    
    
    public function getAuthenticationType()
    {
        return $this->authenticationType;
    }

    // EP added
    public function getFakeLdapUser($login)
    {
        foreach ($this->fakeLDAPUsers as $user) {
            if ($login == $user[$this->authenticationType][0])
                return $user;
        }
        return FALSE;
    }

    /**
     * Return a list of Users with key = username & value = email
     */
    public function getUsersWithNameAndEmail() {
        $usersWithNameAndEmail = [];
        // Get all users (with ALL their attributes)
        $u = $this->getAllLdapUsers();
        // Sort users
        //sort($u);
        //debug($u);
        // (EP) Refactorisation pour éviter code redondant ci-dessous, c'était pourtant pas compliqué, poil dans la main...
        $nb_users = $this->LDAP_USED ? $u['count'] : sizeof($u)-1;
        for ($i = 0; $i < $nb_users; $i ++)
            // $utilisateurs["Pallier Etienne"] = ["email"]
            $usersWithNameAndEmail[ $u[$i]['sn'][0].' '.$u[$i]['givenname'][0] ] = $u[$i]['mail'][0];
            //debug($usersWithNameAndEmail);
            // Sort users (without modifying the keys, don't use sort() but asort() !!!!!!!!!!!!!)
            ksort($usersWithNameAndEmail);
            return $usersWithNameAndEmail;
    }
    
    /**
     * Return a list of Users with key = username & value = username
     */
    public function getListUsers()
    {
        $utilisateurs = [];
        
        // Get all users (with ALL their attributes)
        $u = $this->getAllLdapUsers();
        // Sort users
        //sort($u);
        //debug($u);
        
        // (EP) Refactorisation pour éviter code redondant ci-dessous, c'était pourtant pas compliqué, poil dans la main...
        $nb_users = $this->LDAP_USED ? $u['count'] : sizeof($u)-1;
        // $utilisateurs["Pallier Etienne"] = "Pallier Etienne"
        for ($i = 0; $i < $nb_users; $i ++)
            $utilisateurs[ $u[$i]['sn'][0].' '.$u[$i]['givenname'][0] ] = $u[$i]['sn'][0].' '.$u[$i]['givenname'][0];
		//debug($utilisateurs);
		// Sort users (without modifying the keys, don't use sort() but asort() !!!!!!!!!!!!!)
		ksort($utilisateurs);
		//debug($utilisateurs);
		return $utilisateurs;
    }
    
    
    /**
     * Return a list of login ofUsers with key = username & value = login
     */
    public function getListLoginUsers()
    {
        $u = $this->getAllLdapUsers();
        $utilisateurs = [];
        
        if ($this->LDAP_USED) {
            for ($i = 0; $i < $u['count']; $i ++) {
                $utilisateurs[$u[$i]['sn'][0] . ' ' . $u[$i]['givenname'][0]] = $u[$i][$this->authenticationType][0];
            }
        } else {
            for ($i = 0; $i < sizeof($u) - 1; $i ++) {
                $utilisateurs[$u[$i]['sn'][0] . ' ' . $u[$i]['givenname'][0]] = $u[$i][$this->authenticationType][0];
            }
        }
        
        return $utilisateurs;
    }

    /**
     * Return a list of mail of Users with key = username & value = mail
     */
    public function getListEmailUsers()
    {
        $u = $this->getAllLdapUsers();
        $utilisateurs = [];
        
        if ($this->LDAP_USED) {
            for ($i = 0; $i < $u['count']; $i ++) {
                if (isset($u[$i]['mail'][0])) {
                    $utilisateurs[$u[$i]['sn'][0] . ' ' . $u[$i]['givenname'][0]] = $u[$i]['mail'][0];
                } else {
                    $utilisateurs[$u[$i]['sn'][0] . ' ' . $u[$i]['givenname'][0]] = 'N/A';
                }
            }
        } else {
            for ($i = 0; $i < sizeof($u) - 1; $i ++) {
                $utilisateurs[$u[$i]['sn'][0] . ' ' . $u[$i]['givenname'][0]] = $u[$i]['mail'][0];
            }
        }
        
        return $utilisateurs;
    }

    /**
     * Return size of list users
     */
    public function getNbUsers()
    {
        $u = $this->getAllLdapUsers();
        
        if ($this->LDAP_USED) {
            $nbUsers = $u['count'];
        } else {
            $nbUsers = sizeof($u) - 1;
        }
        return $nbUsers;
    }

    // Utilisateur du ldap qui n'est pas dans la table utilisateurs
    // => il a donc le role "Utilisateur" PAR DEFAUT
    private function getTheFakeLdapUser()
    {
        return [
            'login' => '_fake_ldap_user_',
            'pass' => '_fake_ldap_user_pass'
        ];
    }
    
    

    // TODO: implement
    // REAL LDAP only
    private function checkAndFetchUserFromDB($user_login, $user_password) {
        // Doit aussi return false si ce user_login est "périmé" (sa date "created" est > 2 mois par exemple),
        // ce qui obligera à relire ses données dans le LDAP et donc se mettre à jour
        // By default, user is not in DB
        return FALSE;
    }
    
    
    // REAL LDAP only
    private function searchLdap($filter, $just_these, $user_login=NULL, $user_password=NULL) {
        
        // CONNEXION
        $ldapConnection = ldap_connect($this->host, $this->port)
        or die("Could not connect to $this->host (port $this->port)");
        
        if ($ldapConnection) {
            
            // OPTIONS
            ldap_set_option($ldapConnection, LDAP_OPT_PROTOCOL_VERSION, 3);
            
            // BINDING
            
            // - Authentified
            if ($this->ldap_authentified)
                $ldapbind = ldap_bind($ldapConnection, $this->bindDn, $this->bindPass);
                // or die("Could not bind to LDAP server.". ldap_error($ldapConnection) );
                
                // - Anonymous
                // En cas de LDAP anonyme, binding quand même pour vérifier le mot de passe de l'utilisateur.
                // Sans cette ligne, on passe avec n'importe quel password !!!
                else {
                    $ldapbind = TRUE;
                    // function ldap_bind ($link_identifier, $bind_rdn = null, $bind_password = null)
                    //debug("log, pass= " . $user_login . ' ' . $user_password);
                    //if ($user_login && $user_password) $ldapbind = ldap_bind($ldapConnection, $this->authenticationType.'='.$user_login, $user_password);
                    if ($user_login && $user_password)
                        $ldapbind = ldap_bind($ldapConnection, $this->authenticationType . '=' . $user_login . ',' . $this->baseDn, $user_password);
                        //debug("ldapbind " . $ldapbind);
                }
                
                // SEARCH
                if ($ldapbind) {
                    //$search = $this->getLdapUserAttributes($ldapConnection, $filter, $just_these, $user_login);
                    $search = $this->getLdap1UserOrAllUsersAttributes($ldapConnection, $filter, $just_these);
                    if ($search === FALSE) die("Could not get user attributes from LDAP server, response was: " . ldap_error($ldapConnection) );
                    //return $search[0];
                    return $search;
                }
                
        }
        
        // Il y a eu un pb, utilisateur non reconnu
        return FALSE;
        
    }
    
    
    
    
    // REAL LDAP only
    private function checkAndFetchUserFromLdap($user_login, $user_password) {
        // Set LDAP parameters
        // - Liste des attributs à récupérer dans le ldap (vide = TOUS les attributs)
        $just_these = [];
        // TODO: vérifier si cette ligne est bien utile ou pas... (avant on faisait ça)
        if (! $this->ldap_authentified) $just_these = array("cn");
        
        /* Examples :
         *
         * - ANONYMOUS LDAP (IRAP) :
         * $this->authenticationType = 'uid'
         * $this->baseDn = "ou=users,dc=irap,dc=omp,dc=eu"
         *
         * - AUTHENTIFIED LDAP connection (CRAL) :
         * $this->authenticationType = 'sAMAccountName'
         * $this->baseDn = "dc=univ-lyon1,dc=fr"
         * $binddn="CN=svc_ldap_cral,OU=users,OU=27,OU=sim,OU=univ-lyon1,DC=univ-lyon1,DC=fr";
         * ($binddn = "CN=svc_ldap_cral,OU=users,OU=27,OU=sim,OU=univ-lyon1,".$this->baseDn;)
         * $filter = "(&(objectClass=person)(memberOf:1.2.840.113556.1.4.1941:=cn=ucbl.osu.cral,ou=groups,ou=27,ou=sim,ou=univ-lyon1,dc=univ-lyon1,dc=fr))";
         */
        // Construction du filtre avec le filtre de la base de données avec un & sur le login de l'utilisateur
        // Si aucun filtre n'est défini dans la base de données on aura juste (& ($this->authenticationType=$user_login))
        // ex: "(&(objectClass=person)(memberOf:1.2.840.113556.1.4.1941:=cn=ucbl.osu.cral,ou=groups,ou=27,ou=sim,ou=univ-lyon1,dc=univ-lyon1,dc=fr)(sAMAccountName=$user_login))";
        $filter = "(&".$this->filter."(".$this->authenticationType . '=' . $user_login."))";
        
        //TODO: optimisation, refactoriser si comportement général
        //$binddn .= ','.$this->baseDn;
        
        $res = $this->searchLdap($filter, $just_these, $user_login, $user_password);
        if ($res != FALSE) return $res[0];
        
        /*
         // CONNEXION
         $ldapConnection = ldap_connect($this->host, $this->port)
         or die("Could not connect to $this->host (port $this->port)");
         
         if ($ldapConnection) {
         
         // OPTIONS
         ldap_set_option($ldapConnection, LDAP_OPT_PROTOCOL_VERSION, 3);
         
         // BINDING
         if ($this->ldap_authentified)
         $ldapbind = ldap_bind($ldapConnection, $this->bindDn, $this->bindPass); // or die("Could not bind to LDAP server.". ldap_error($ldapConnection) );
         // En cas de LDAP anonyme, binding quand même pour vérifier le mot de passe de l'utilisateur.
         // Sans cette ligne, on passe avec n'importe quel password !!!
         else
         $ldapbind = ldap_bind($ldapConnection, $this->authenticationType.'='.$user_login, $user_password);
         
         // SEARCH
         if ($ldapbind) {
         $search = $this->getUserAttributes($user_login, $ldapConnection, $filter, $just_these);
         if ($search === false) die("Could not get user attributes from LDAP server, response was: " . ldap_error($ldapConnection) );
         return $search[0];
         }
         
         }
         */
         
         // Il y a eu un pb, utilisateur non reconnu
         return FALSE;
    }
    
    
    // TODO: implement
    private function saveNewUserInDB($user_fetched) {
        // SAVE new user in DB
        return TRUE;
    }
    
    
    
    
    /*
     * @param string $user_login
     * @param string $user_password
     * @return logged user LDAP attributes or FALSE if user not found in LDAP
     */
    public function ldapAuthentication($user_login, $user_password) {
        try {
            if ($this->checkConfiguration()) {
                
                if ($this->LDAP_USED) {
                    if (strlen(trim($user_password)) == 0)
                        return FALSE;
                    $ldapConnection = ldap_connect($this->host, $this->port);
                    ldap_set_option($ldapConnection, LDAP_OPT_PROTOCOL_VERSION, 3);
                    if (@ldap_bind($ldapConnection, $this->authenticationType . '=' . $user_login . ',' . $this->baseDn, $user_password)) {
                        return $this->getUserAttributes($user_login)[0];
                        /*
                         * } else {
                         * return false;
                         */
                    }
                } else {
                    $user = $this->getFakeLdapUser($user_login);
                    // debug($user);
                    if ($user === false)
                        return FALSE;
                    // $this->authenticationType peut valoir "uid" ou "cn"... (par défaut "uid" pour le fake ldap, à confirmer...)
                    // if ($user['uid'][0] == "_NouvelUtilisateur_username" && $user['userpassword'][0] == "_NouvelUtilisateur_password") return $user;
                    // if ($user[$this->authenticationType][0] == "_NouvelUtilisateur_username" && $user['userpassword'][0] == "_NouvelUtilisateur_password") return $user;
                    if ($user[$this->authenticationType][0] == $this->getTheFakeLdapUser()['login'] && $user['userpassword'][0] == $this->getTheFakeLdapUser()['pass'])
                        return $user;
                        if ((new DefaultPasswordHasher())->check($user_password, $user['userpassword'][0]))
                        return $user;
                    // if ($user != false && $user['userpassword'][0] == $password) {
                }
            }
        } catch (Exception $e) {
            //echo 'Exception LDAP : ',  $e->getMessage(), "\n";
        }
        
        // Il y a eu un problème, l'utilisateur n'est pas reconnu        
        return FALSE;
    } // end ldapAuthentication()
 
    
    
}
?>