<?php
/**
 * DesignOneX CMS — Secure.php
 * ============================================================
 * 보안 관련 코드를 이 파일 한 곳에만 집중합니다.
 *
 * ▶ 보안 패치가 필요하면 이 파일만 수정하세요.
 * ▶ 다른 파일(index.php, functions.php, boards/, admin/ 등)은
 *   보안과 무관합니다. 이 파일을 교체/업데이트하면 됩니다.
 *
 * 담당 기능:
 *   1. 세션 보안 설정 (HttpOnly, Secure, SameSite)
 *   2. CSRF 토큰 발급/검증
 *   3. XSS 방어 (출력 이스케이프)
 *   4. SQL 인젝션 방어 (PDO 바인딩 강제 — Database.php와 협력)
 *   5. 보안 헤더 발행 (X-Frame-Options, CSP 등)
 *   6. 경로 순회(Path Traversal) 방어
 *   7. 안전 난수 생성 (PHP 5.6~8.x)
 *   8. 입력 정제 (Sanitize)
 *   9. 업로드 파일 검증
 *  10. Rate limit 기초 (세션 기반)
 *
 * PHP 5.6+ / IIS·Apache·Nginx·웹호스팅 완전 호환
 * ============================================================
 */

if (!defined('DX_CMS')) exit('Direct access not allowed.');

class Secure
{
    /** @var Secure */
    private static $instance = null;

    /** @var bool HTTPS 여부 (index.php에서 주입) */
    private $isHttps = false;

    /**
     * 사이트별 고유 세션 키 이름 (DX_SECRET_KEY 기반)
     * initSecretKeys() 호출 전: 폴백 고정값 사용
     * initSecretKeys() 호출 후: 사이트마다 다른 값
     */
    private $keySession = 'dx_user';   // Auth 세션 키
    private $keyCsrf    = 'dx_csrf';   // CSRF 토큰 키
    private $keyRl      = 'dx_rl_';    // Rate limit 접두사

    private function __construct() {}

    public static function getInstance()
    {
        if (self::$instance === null) {
            self::$instance = new self();
        }
        return self::$instance;
    }

    // ============================================================
    // 0. 시크릿 키 주입 — STEP3(DB 로드) 직후 호출
    // ============================================================

    /**
     * DX_SECRET_KEY 기반으로 세션/CSRF/RateLimit 키 이름을 사이트별로 도출
     *
     * 효과:
     *   - 소스코드를 공개해도 키 이름을 알 수 없음 (사이트마다 다름)
     *   - 동일 서버에 여러 사이트 설치 시 세션 충돌 방지
     *   - Rate limit 키 예측 불가
     *
     * @param string $secret  dx_config('secret_key') 값
     */
    public function initSecretKeys($secret)
    {
        if (!$secret) return; // 빈값이면 폴백 유지

        // 각 용도별로 서로 다른 컨텍스트로 HMAC 도출
        // substr 12자리: 세션 키로 충분히 고유, 너무 길면 쿠키 헤더 낭비
        $this->keySession = '_s' . substr(hash_hmac('sha256', 'session', $secret), 0, 12);
        $this->keyCsrf    = '_c' . substr(hash_hmac('sha256', 'csrf',    $secret), 0, 12);
        $this->keyRl      = '_r' . substr(hash_hmac('sha256', 'rl',      $secret), 0, 8) . '_';
    }

    /** Auth.php 에서 세션 키 이름 조회 */
    public function getSessionKey() { return $this->keySession; }

    /** 외부에서 CSRF 키 직접 접근이 필요한 경우 (upload.php 등) */
    public function getCsrfKey()    { return $this->keyCsrf; }

    // ============================================================
    // 1. 초기화 — index.php에서 세션 시작 전 호출
    // ============================================================

    /**
     * 세션 보안 설정 (session_start() 전에 반드시 호출)
     * PHP 5.6~8.x / IIS·Apache·Nginx·웹호스팅 완전 호환
     *
     * @param bool $isHttps HTTPS 여부
     */
    public function initSession($isHttps = false)
    {
        $this->isHttps = $isHttps;

        // 이미 세션이 시작된 경우 ini_set은 무시됨 — 방어
        if (function_exists('session_status') && session_status() === PHP_SESSION_ACTIVE) {
            return;
        }

        // ── 세션 저장 경로 ──────────────────────────────────────
        $sessionPath = DX_ROOT . '/data/sessions';
        if (!is_dir($sessionPath)) {
            @mkdir($sessionPath, 0755, true);
        }
        if (is_dir($sessionPath) && is_writable($sessionPath)) {
            session_save_path($sessionPath);
        } else {
            // 웹호스팅 등 data/ 쓰기 불가 환경 → sys_get_temp_dir 폴백
            $sysTmp = sys_get_temp_dir();
            if ($sysTmp && is_writable($sysTmp)) {
                session_save_path($sysTmp);
            }
            // 그래도 안 되면 PHP 기본 경로 사용 (ini 설정 유지)
        }

        // ── HttpOnly: JS에서 쿠키 탈취 방지 ────────────────────
        @ini_set('session.cookie_httponly', 1);

        // ── 쿠키 경로 ───────────────────────────────────────────
        @ini_set('session.cookie_path', '/');

        // ── 세션 유효 시간 2시간 ─────────────────────────────────
        @ini_set('session.gc_maxlifetime', 7200);
        @ini_set('session.cache_limiter', 'nocache');

        // ── HTTPS Secure 쿠키 ───────────────────────────────────
        if ($isHttps) {
            @ini_set('session.cookie_secure', 1);
        }

        // ── SameSite=Lax (PHP 7.3+ ini 방식) ───────────────────
        if (version_compare(PHP_VERSION, '7.3.0', '>=')) {
            @ini_set('session.cookie_samesite', 'Lax');
        }

        // ── strict mode (PHP 7.1+만 안정적) ─────────────────────
        // IIS FastCGI에서 PHP 7.0 이하는 strict mode가 세션 유실 유발
        if (version_compare(PHP_VERSION, '7.1.0', '>=')) {
            @ini_set('session.use_strict_mode', 1);
        }
    }

    /**
     * 세션 시작
     * PHP 5.6~8.x 호환 — session_status() 없는 환경 방어
     */
    public function startSession()
    {
        if (function_exists('session_status')) {
            if (session_status() === PHP_SESSION_NONE) {
                @session_start();
            }
        } else {
            // PHP 5.3 이하 폴백 (session_status 없음)
            if (!isset($_SESSION)) {
                @session_start();
            }
        }

        // ── PHP < 7.3: SameSite 수동 헤더 (IIS 포함 모든 환경) ──
        if (version_compare(PHP_VERSION, '7.3.0', '<') && session_id()) {
            $p = session_get_cookie_params();
            $cv = session_name() . '=' . urlencode(session_id())
                . '; Path=' . $p['path']
                . '; HttpOnly'
                . '; SameSite=Lax'
                . ($this->isHttps ? '; Secure' : '');
            if (!empty($p['domain'])) {
                $cv .= '; Domain=' . $p['domain'];
            }
            // headers_sent() 체크 — ob_start가 없는 저가형 호스팅 방어
            if (!headers_sent()) {
                header('Set-Cookie: ' . $cv, false);
            }
        }
    }

    // ============================================================
    // 2. 보안 헤더 발행
    //    headers_sent() 체크로 저가형 호스팅 출력 버퍼 없는 환경 방어
    // ============================================================

    /**
     * 보안 헤더 발행
     * .htaccess / web.config 가 없는 환경에서도 PHP 레벨로 보장
     */
    public function sendSecurityHeaders()
    {
        if (headers_sent()) return;

        // 클릭재킹 방지
        header('X-Frame-Options: SAMEORIGIN');

        // MIME 스니핑 방지
        header('X-Content-Type-Options: nosniff');

        // XSS 필터 (구형 IE용)
        header('X-XSS-Protection: 1; mode=block');

        // PHP 버전 노출 방지
        header_remove('X-Powered-By');

        // Referrer 정책
        header('Referrer-Policy: strict-origin-when-cross-origin');
    }

    // ============================================================
    // 3. CSRF
    // ============================================================

    /**
     * CSRF 토큰 생성/반환
     * 세션 시작 후 호출해야 함
     */
    public function csrfToken()
    {
        $key = $this->keyCsrf;
        if (empty($_SESSION[$key])) {
            $_SESSION[$key] = self::randomHex(64);
        }
        return $_SESSION[$key];
    }

    /** CSRF hidden field HTML */
    public function csrfField()
    {
        return '<input type="hidden" name="_csrf" value="'
            . self::esc($this->csrfToken()) . '">';
    }

    /**
     * CSRF 토큰 검증
     * 실패 시 즉시 403 종료
     */
    public function csrfCheck()
    {
        $key   = $this->keyCsrf;
        $token = isset($_POST['_csrf']) ? (string)$_POST['_csrf'] : '';
        if (!$token
            || empty($_SESSION[$key])
            || !self::hashEquals($_SESSION[$key], $token)
        ) {
            http_response_code(403);
            exit('CSRF 토큰 오류. 페이지를 새로고침 후 다시 시도하세요.');
        }
    }

    // ============================================================
    // 4. 안전 난수 생성 (PHP 5.6~8.x 완전 호환)
    // ============================================================

    /**
     * 암호학적으로 안전한 랜덤 바이트
     * PHP 5.6+: openssl_random_pseudo_bytes
     * PHP 7.0+: random_bytes
     */
    public static function randomBytes($length)
    {
        $length = (int)$length;

        // PHP 7.0+
        if (function_exists('random_bytes')) {
            try {
                return random_bytes($length);
            } catch (Exception $e) {
                // 폴백으로 계속
            }
        }

        // PHP 5.x + OpenSSL (거의 모든 서버에 있음)
        if (function_exists('openssl_random_pseudo_bytes')) {
            $strong = false;
            $bytes  = openssl_random_pseudo_bytes($length, $strong);
            if ($bytes !== false) return $bytes;
        }

        // PHP 5.x + mcrypt (구형 서버 — PHP 7.2에서 제거됨)
        if (function_exists('mcrypt_create_iv')) {
            // 상수 존재 확인
            $source = defined('MCRYPT_DEV_URANDOM') ? MCRYPT_DEV_URANDOM : 0;
            $bytes  = @mcrypt_create_iv($length, $source);
            if ($bytes !== false && strlen($bytes) === $length) return $bytes;
        }

        // 최후 폴백: mt_rand (보안 강도 낮음 — CSRF 토큰 제외 용도로만)
        $bytes = '';
        for ($i = 0; $i < $length; $i++) {
            $bytes .= chr(mt_rand(0, 255));
        }
        return $bytes;
    }

    public static function randomHex($length = 32)
    {
        return bin2hex(self::randomBytes((int)ceil($length / 2)));
    }

    // ============================================================
    // 5. 출력 이스케이프 (XSS 방어)
    // ============================================================

    /**
     * HTML 이스케이프 — PHP 5.6~8.x 호환
     * PHP 5.6: htmlspecialchars 4번째 인자(double_encode)는 5.2.3+에서 지원
     */
    public static function esc($str)
    {
        if ($str === null) return '';
        return htmlspecialchars((string)$str, ENT_QUOTES, 'UTF-8', true);
    }

    /**
     * URL 안전성 검사 — javascript:, data: 등 차단
     */
    public static function safeUrl($url)
    {
        $url = trim((string)$url);
        if ($url === '') return '#';
        // 허용 스킴 화이트리스트
        if (preg_match('/^(https?:\/\/|\/|#)/i', $url)) return $url;
        // javascript:, data:, vbscript: 등 차단
        if (preg_match('/^(javascript|data|vbscript|file):/i', $url)) return '#';
        // 상대경로 허용
        return $url;
    }

    // ============================================================
    // 6. 경로 순회(Path Traversal) 방어
    // ============================================================

    /**
     * 경로가 허용 베이스 안에 있는지 검증
     * Windows 백슬래시 안전 처리
     */
    public static function pathInside($path, $base)
    {
        $path = self::normalizePath($path);
        $base = self::normalizePath($base);
        if ($path === false || $base === false) return false;
        $base = rtrim($base, '/');
        // Windows(IIS)는 대소문자 무감, Linux는 감지
        if (DIRECTORY_SEPARATOR === '\\') {
            return stripos($path, $base . '/') === 0
                || strtolower($path) === strtolower($base);
        }
        return strpos($path, $base . '/') === 0 || $path === $base;
    }

    private static function normalizePath($path)
    {
        $path = str_replace('\\', '/', $path);
        $real = realpath($path);
        if ($real === false) return false;
        return str_replace('\\', '/', $real);
    }

    // ============================================================
    // 7. 입력 정제
    // ============================================================

    /**
     * 타입별 입력 정제
     * @param mixed  $val
     * @param string $type string|int|float|bool|slug|filename
     * @return mixed
     */
    public static function sanitize($val, $type = 'string')
    {
        switch ($type) {
            case 'int':
                return (int)$val;
            case 'float':
                return (float)$val;
            case 'bool':
                return (bool)$val;
            case 'slug':
                // URL 세그먼트 — 영문/숫자/하이픈/언더스코어
                return preg_replace('/[^a-zA-Z0-9\-_]/', '', (string)$val);
            case 'filename':
                // 파일명 — 경로 구분자·특수문자 제거
                $name = basename((string)$val);
                $name = preg_replace('/[^a-zA-Z0-9가-힣\-_\.]/', '', $name);
                // .. 제거
                return str_replace('..', '', $name);
            case 'html':
                // 내용 허용 (XSS는 출력 시 esc()로 처리)
                return (string)$val;
            case 'string':
            default:
                // null 바이트 제거 (DB 인젝션 방어)
                $str = str_replace("\0", '', (string)$val);
                // 앞뒤 공백 제거
                return trim($str);
        }
    }

    // ============================================================
    // 8. 업로드 파일 검증
    // ============================================================

    /**
     * 업로드 파일 안전성 검증
     *
     * @param array  $file     $_FILES['field']
     * @param array  $allowExt 허용 확장자 배열 (예: ['jpg','png','pdf'])
     * @param int    $maxSize  최대 바이트 (기본 10MB)
     * @return array ['ok' => bool, 'error' => string, 'ext' => string]
     */
    public static function validateUpload($file, $allowExt = array(), $maxSize = 10485760)
    {
        $result = array('ok' => false, 'error' => '', 'ext' => '');

        if (!isset($file['tmp_name']) || !is_uploaded_file($file['tmp_name'])) {
            $result['error'] = '유효하지 않은 파일입니다.';
            return $result;
        }

        if ($file['error'] !== UPLOAD_ERR_OK) {
            $errors = array(
                UPLOAD_ERR_INI_SIZE   => '서버 설정 최대 용량 초과',
                UPLOAD_ERR_FORM_SIZE  => '폼 최대 용량 초과',
                UPLOAD_ERR_PARTIAL    => '파일 업로드 불완전',
                UPLOAD_ERR_NO_FILE    => '파일이 선택되지 않았습니다',
                UPLOAD_ERR_NO_TMP_DIR => '임시 폴더 없음',
                UPLOAD_ERR_CANT_WRITE => '디스크 쓰기 실패',
                UPLOAD_ERR_EXTENSION  => 'PHP 확장에 의해 차단됨',
            );
            $result['error'] = isset($errors[$file['error']]) ? $errors[$file['error']] : '업로드 오류';
            return $result;
        }

        if ($file['size'] > $maxSize) {
            $result['error'] = '파일 크기 초과 (최대 ' . round($maxSize / 1048576, 1) . 'MB)';
            return $result;
        }

        // 확장자 추출 및 검증
        $origName = isset($file['name']) ? $file['name'] : '';
        $dotPos   = strrpos($origName, '.');
        $ext      = $dotPos !== false ? strtolower(substr($origName, $dotPos + 1)) : '';

        if (!empty($allowExt) && !in_array($ext, $allowExt, true)) {
            $result['error'] = '허용되지 않는 파일 형식입니다. (' . $ext . ')';
            return $result;
        }

        // 이중 확장자 공격 방어 (file.php.jpg 등)
        $dangerExt = array('php','php3','php4','php5','php7','phtml','phar',
                           'asp','aspx','jsp','jspx','cfm','cgi','pl','exe','sh','bat','cmd');
        $nameParts = explode('.', basename($origName));
        foreach ($nameParts as $part) {
            if (in_array(strtolower($part), $dangerExt, true)) {
                $result['error'] = '실행 파일 업로드는 허용되지 않습니다.';
                return $result;
            }
        }

        // MIME 타입 기반 이미지 검증 (이미지 파일인 경우)
        $imgExt = array('jpg','jpeg','png','gif','webp','bmp');
        if (in_array($ext, $imgExt, true)) {
            if (function_exists('getimagesize')) {
                $imgInfo = @getimagesize($file['tmp_name']);
                if ($imgInfo === false) {
                    $result['error'] = '유효하지 않은 이미지 파일입니다.';
                    return $result;
                }
            }
        }

        $result['ok']  = true;
        $result['ext'] = $ext;
        return $result;
    }

    // ============================================================
    // 9. Rate Limit (세션 기반 — Redis 없는 환경 지원)
    // ============================================================

    /**
     * 세션 기반 Rate Limit
     * 저가형 호스팅(Redis/Memcached 없음)에서도 동작
     *
     * @param string $key    식별자 (예: 'login', 'comment_write')
     * @param int    $limit  허용 횟수
     * @param int    $window 시간 윈도우 (초, 기본 60초)
     * @return bool  true = 허용, false = 차단
     */
    public static function rateLimit($key, $limit = 10, $window = 60)
    {
        if (!isset($_SESSION)) return true; // 세션 없으면 패스

        $sKey = $this->keyRl . $key;
        $now  = time();

        if (!isset($_SESSION[$sKey])) {
            $_SESSION[$sKey] = array('count' => 0, 'reset' => $now + $window);
        }

        // 윈도우 만료 시 리셋
        if ($now >= $_SESSION[$sKey]['reset']) {
            $_SESSION[$sKey] = array('count' => 0, 'reset' => $now + $window);
        }

        $_SESSION[$sKey]['count']++;

        return $_SESSION[$sKey]['count'] <= $limit;
    }

    // ============================================================
    // 10. 타이밍 안전 비교 (해시 비교용)
    //     PHP 5.6+: hash_equals 내장
    //     PHP 5.5 이하: 수동 구현
    // ============================================================

    public static function hashEquals($known, $user)
    {
        if (function_exists('hash_equals')) {
            return hash_equals((string)$known, (string)$user);
        }
        // PHP 5.5 이하 수동 타이밍-안전 비교
        $known = (string)$known;
        $user  = (string)$user;
        if (strlen($known) !== strlen($user)) return false;
        $result = 0;
        for ($i = 0; $i < strlen($known); $i++) {
            $result |= ord($known[$i]) ^ ord($user[$i]);
        }
        return $result === 0;
    }

    // ============================================================
    // 11. 비밀번호 해싱 (PHP 5.6~8.x 호환)
    // ============================================================

    /**
     * 비밀번호 해시 생성
     * PHP 5.5+: password_hash (bcrypt)
     * PHP 5.4 이하: crypt SHA512 폴백
     */
    public static function hashPassword($plain)
    {
        if (function_exists('password_hash')) {
            return password_hash((string)$plain, PASSWORD_DEFAULT);
        }
        // PHP 5.4 이하 폴백 (crypt SHA-512)
        $salt = '$6$' . substr(str_replace('+', '.', base64_encode(self::randomBytes(16))), 0, 16) . '$';
        return crypt((string)$plain, $salt);
    }

    /**
     * 비밀번호 검증
     * PHP 5.5+: password_verify
     * PHP 5.4 이하: crypt 비교
     */
    public static function verifyPassword($plain, $hash)
    {
        if (function_exists('password_verify')) {
            return password_verify((string)$plain, (string)$hash);
        }
        // PHP 5.4 이하 폴백
        return self::hashEquals(crypt((string)$plain, (string)$hash), (string)$hash);
    }

    /**
     * 재해싱 필요 여부 (PHP 5.5+만 의미있음)
     */
    public static function needsRehash($hash)
    {
        if (function_exists('password_needs_rehash')) {
            return password_needs_rehash((string)$hash, PASSWORD_DEFAULT);
        }
        return false;
    }
}