<?php
/**
 * One-off idempotente: aggiunge un utente all'organizzazione Agile Technology SRL (org 129).
 * Sicuro/rilanciabile: se l'email esiste NON duplica; aggiunge solo la membership mancante.
 * Eseguire sull'HOST Hetzner:  php /var/www/nis2-agile/scripts/add-agile-user.php
 */
if (!defined('BASE_PATH')) define('BASE_PATH', dirname(__DIR__));
if (!defined('APP_PATH'))  define('APP_PATH', BASE_PATH . '/application');
require_once APP_PATH . '/config/env.php';
require_once APP_PATH . '/config/config.php';
require_once APP_PATH . '/config/database.php';

// ── Parametri richiesta ──────────────────────────────────────────────
const EMAIL      = 'cristiano.benassati@gmail.com';
const PASSWORD   = 'Silvia1978!@';
const FULL_NAME  = 'Cristiano Benassati';
const ORG_ID     = 129;            // Agile Technology SRL
const ORG_ROLE   = 'org_admin';    // ruolo nell'organizzazione
const GLOBAL_ROLE= 'org_admin';    // ruolo globale (enum users.role)
const FIRM_ID    = null;           // null = NESSUN accesso firm-wide (least privilege). Mettere 1 per parità con Fattori/Tagliavini.
const IS_PRIMARY = 0;

$pdo = Database::getInstance();
$report = [];

// 1) Utente esiste già?
$u = Database::fetchOne('SELECT id, email, full_name, role, is_active, sso_identity_id, consulting_firm_id FROM users WHERE email = ?', [EMAIL]);

if ($u) {
    $report['user'] = "ESISTE GIÀ (id={$u['id']}, role={$u['role']}, " . ($u['sso_identity_id'] ? "SSO#{$u['sso_identity_id']}" : 'locale') . ')';
    $userId = (int) $u['id'];
    // Aggiorna password SOLO se locale (su utenti SSO verrebbe sovrascritta dal cron sync)
    if (empty($u['sso_identity_id'])) {
        $hash = password_hash(PASSWORD, PASSWORD_DEFAULT);
        Database::query('UPDATE users SET password_hash = ?, is_active = 1 WHERE id = ?', [$hash, $userId]);
        $report['password'] = 'aggiornata (utente locale)';
    } else {
        $report['password'] = 'NON toccata (utente SSO: la password è gestita dal sync SSO)';
    }
} else {
    $hash = password_hash(PASSWORD, PASSWORD_DEFAULT);
    $userId = Database::insert('users', [
        'email'              => EMAIL,
        'password_hash'      => $hash,
        'full_name'          => FULL_NAME,
        'role'               => GLOBAL_ROLE,
        'consulting_firm_id' => FIRM_ID,
        'is_active'          => 1,
        'email_verified_at'  => date('Y-m-d H:i:s'),
        'password_version'   => 1,
    ]);
    $report['user'] = "CREATO (id={$userId}, role=" . GLOBAL_ROLE . ', locale)';
    $report['password'] = 'impostata';
}

// Verifica hash
$chk = Database::fetchOne('SELECT password_hash FROM users WHERE id = ?', [$userId]);
$report['password_verify'] = password_verify(PASSWORD, $chk['password_hash']) ? 'OK ✓' : 'FALLITO ✗';

// 2) Membership org 129
$m = Database::fetchOne('SELECT id, role FROM user_organizations WHERE user_id = ? AND organization_id = ?', [$userId, ORG_ID]);
if ($m) {
    $report['membership'] = "già presente (role={$m['role']})";
} else {
    Database::insert('user_organizations', [
        'user_id'         => $userId,
        'organization_id' => ORG_ID,
        'role'            => ORG_ROLE,
        'is_primary'      => IS_PRIMARY,
    ]);
    $report['membership'] = 'AGGIUNTA (org 129, role=' . ORG_ROLE . ')';
}

echo "=== Risultato ===\n";
foreach ($report as $k => $v) printf("  %-16s %s\n", $k . ':', $v);

// 3) Stato finale membri org 129
echo "\n=== Membri attuali org 129 ===\n";
$rows = Database::fetchAll(
    'SELECT uo.user_id, u.full_name, u.email, uo.role, uo.is_primary
     FROM user_organizations uo JOIN users u ON u.id = uo.user_id
     WHERE uo.organization_id = ? ORDER BY uo.is_primary DESC, uo.user_id', [ORG_ID]);
foreach ($rows as $r) {
    printf("  #%d  %-22s %-32s %-14s %s\n", $r['user_id'], $r['full_name'], $r['email'], $r['role'], $r['is_primary'] ? '(primario)' : '');
}