<?php
declare(strict_types=1);

use PHPUnit\Framework\TestCase;

/**
 * Unit tests for TMDO_Options_Manager 的受保護選項守衛。
 *
 * 背景：register_settings_group() 會以 pre_update_option_{key} 回傳 $old_value，
 * 讓選項不再落地 wp_options、改存專屬設定表。但 NinjaFirewall Full WAF 走
 * auto_prepend_file，在 WordPress 載入前就以原生 mysqli 直查 wp_options 取
 * nfw_options / nfw_rules。若這些鍵被重導向，WAF 會讀不到設定而靜默停止防護
 * （不報錯、不寫 log），因此必須在註冊階段就擋下。
 *
 * 註：混合「受保護 + 一般」鍵的情境需要走到 dbDelta()，而單元測試 bootstrap
 * 沒有該 stub（ABSPATH 為假路徑），故此處只覆蓋純受保護鍵與常數契約 —— 這已
 * 足以鎖住「受保護鍵絕不會被掛上攔截 filter」這個核心保證。
 */
class OptionsManagerProtectedTest extends TestCase {

	/** 每個測試前清空靜態註冊表，避免跨測試污染。 */
	protected function setUp(): void {
		parent::setUp();

		$prop = new ReflectionProperty( 'TMDO_Options_Manager', 'redirected_options' );
		$prop->setAccessible( true );
		$prop->setValue( null, array() );
	}

	// ── 常數契約 ────────────────────────────────────────────────────────────

	public function test_protected_options_covers_ninjafirewall_keys(): void {
		$ref       = new ReflectionClass( 'TMDO_Options_Manager' );
		$protected = $ref->getConstant( 'PROTECTED_OPTIONS' );

		$this->assertIsArray( $protected );
		foreach ( array( 'nfw_options', 'nfw_rules', 'nfw_checked' ) as $key ) {
			$this->assertContains(
				$key,
				$protected,
				"{$key} 必須列入 PROTECTED_OPTIONS，否則重導向後 NinjaFirewall Full WAF 會靜默失效"
			);
		}
	}

	// ── 註冊守衛 ────────────────────────────────────────────────────────────

	public function test_protected_options_are_not_registered(): void {
		TMDO_Options_Manager::register_settings_group(
			'waf_guard_test',
			array( 'nfw_options', 'nfw_rules', 'nfw_checked' )
		);

		$this->assertSame(
			array(),
			TMDO_Options_Manager::get_redirected_options(),
			'受保護的選項不得進入重導向清單'
		);
	}

	public function test_protected_options_get_no_interception_filters(): void {
		TMDO_Options_Manager::register_settings_group(
			'waf_guard_test',
			array( 'nfw_options', 'nfw_rules' )
		);

		$hooks = $GLOBALS['_wp_filter_callbacks'] ?? array();

		foreach ( array( 'nfw_options', 'nfw_rules' ) as $key ) {
			$this->assertArrayNotHasKey(
				"pre_option_{$key}",
				$hooks,
				"pre_option_{$key} 不得被掛上 —— 會讓 WAF 讀到轉址後的值"
			);
			$this->assertArrayNotHasKey(
				"pre_update_option_{$key}",
				$hooks,
				"pre_update_option_{$key} 不得被掛上 —— 會讓設定不再寫回 wp_options"
			);
		}
	}

	/** 全部鍵都被擋下時應提前返回，不建立設定表。 */
	public function test_all_protected_keys_skips_table_creation(): void {
		global $wpdb;

		$before = $wpdb->last_query ?? null;

		TMDO_Options_Manager::register_settings_group(
			'waf_guard_test',
			array( 'nfw_options' )
		);

		$this->assertSame(
			$before,
			$wpdb->last_query ?? null,
			'不應對資料庫發出任何查詢'
		);
	}
}