<?php
require_once __DIR__ . '/config.php';
require_once __DIR__ . '/includes/ptero_api.php';
require_once __DIR__ . '/includes/otp.php';
require_once __DIR__ . '/includes/turnstile.php';
require_once __DIR__ . '/includes/wa_bot.php';
require_once __DIR__ . '/includes/wa_otp.php';
// Baca feature flags
$_flags = json_decode(file_get_contents(__DIR__ . '/data/feature_flags.json'), true) ?? [];
$wa_otp_enabled = $_flags['wa_otp_register'] ?? true;


if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    header('Location: /index.php');
    exit;
}

// Turnstile check
if (!verify_turnstile($_POST['cf-turnstile-response'] ?? '')) {
    header('Location: /index.php?error=' . urlencode('Verifikasi keamanan gagal [ERR-TURNSTILE-001] — Bot protection Cloudflare menolak request ini. Alasan: sesi verifikasi tidak valid atau kedaluwarsa. Solusi: refresh halaman dan coba lagi, pastikan JavaScript aktif di browser kamu.'));
    exit;
}

// CSRF check
if (empty($_POST['csrf_token']) || $_POST['csrf_token'] !== ($_SESSION['csrf_token'] ?? '')) {
    header('Location: /index.php?error=' . urlencode('Request ditolak [ERR-CSRF-001] — Token keamanan tidak cocok atau sudah kedaluwarsa. Alasan: kemungkinan tab terlalu lama dibuka atau ada aktivitas mencurigakan. Solusi: refresh halaman dan ulangi dari awal.'));
    exit;
}

$username = trim($_POST['username'] ?? '');
$email = trim($_POST['email'] ?? '');
$password = $_POST['password'] ?? '';
// REVERT: field name aslinya emang wa_country/wa_number (sesuai HTML), bukan country/number
$wa_country = preg_replace('/[^0-9]/', '', $_POST['wa_country'] ?? '62');
$wa_number_raw = preg_replace('/[^0-9]/', '', trim($_POST['wa_number'] ?? ''));
$wa_number_raw = ltrim($wa_number_raw, '0');
// Guard anti-dobel country code kalau user keburu ngetik manual termasuk 62/60 di depan
if ($wa_number_raw !== '' && strpos($wa_number_raw, $wa_country) === 0) {
    $wa_number_raw = substr($wa_number_raw, strlen($wa_country));
}
$wa_number_raw = $wa_country . $wa_number_raw;

// Validasi
if (!preg_match('/^[a-zA-Z0-9_]{3,20}$/', $username)) {
    header('Location: /index.php?error=' . urlencode('Username hanya boleh huruf, angka, underscore, 3-20 karakter.'));
    exit;
}
require_once __DIR__ . '/deteksi_username_tidak_pantas.php';
if (is_username_tidak_pantas($username)) {
    header('Location: /index.php?error=' . urlencode('Username mengandung kata yang tidak pantas. Silakan gunakan username lain.'));
    exit;
}
if (!filter_var($email, FILTER_VALIDATE_EMAIL) || strlen($password) < 8) {
    header('Location: /index.php?error=' . urlencode('Data tidak valid [ERR-VALIDASI-002] — Email tidak sesuai format atau password terlalu pendek. Alasan: password minimal 8 karakter dan email harus format yang benar (contoh: nama@gmail.com). Solusi: periksa kembali email dan password kamu.'));
    exit;
}

if (!preg_match('/@gmail\.com$/i', $email)) {
    header('Location: /index.php?error=' . urlencode('Email tidak didukung [ERR-EMAIL-001] — Saat ini NexHost hanya menerima email Gmail (@gmail.com). Alasan: kebijakan registrasi untuk memastikan akun yang valid. Solusi: gunakan akun Gmail kamu untuk mendaftar.'));
    exit;
}

$wa_number = preg_replace('/[^0-9]/', '', $wa_number_raw);
if ($wa_otp_enabled && !preg_match('/^(60|62)[0-9]{8,13}$/', $wa_number)) {
    header('Location: /index.php?error=' . urlencode('Nomor WhatsApp tidak valid [ERR-WA-001] — Nomor harus diawali kode negara yang didukung: 62 (Indonesia) atau 60 (Malaysia). Alasan: NexHost saat ini hanya melayani pengguna Indonesia dan Malaysia. Solusi: masukkan nomor dengan format 628xxxxxxxxxx atau 601xxxxxxxxx.'));
    exit;
}

if (find_user_by_email($email)) {
    header('Location: /index.php?error=' . urlencode('Email sudah digunakan [ERR-EMAIL-002] — Alamat email ini sudah terdaftar di NexHost. Alasan: setiap email hanya bisa digunakan untuk satu akun. Solusi: gunakan email lain, atau login jika kamu sudah punya akun. Lupa password? Gunakan fitur reset password.'));
    exit;
}

// Pastikan nomor WA sudah diverifikasi via OTP WhatsApp
if ($wa_otp_enabled && !is_wa_otp_verified($wa_number)) {
    header('Location: /index.php?error=' . urlencode('WhatsApp belum diverifikasi [ERR-WA-002] — Nomor WhatsApp kamu belum melewati verifikasi OTP. Alasan: verifikasi WA wajib untuk memastikan nomor aktif dan milik kamu. Solusi: klik tombol "Kirim OTP WA" di form registrasi, lalu masukkan kode OTP yang dikirim ke WhatsApp kamu.'));
    exit;
}

$otp = generate_otp();
$dob_d = intval($_POST['mob_dob_day'] ?? 0);
$dob_m = intval($_POST['mob_dob_month'] ?? 0);
$dob_y = intval($_POST['mob_dob_year'] ?? 0);
$tanggal_lahir = ($dob_y && $dob_m && $dob_d) ? sprintf("%04d-%02d-%02d", $dob_y, $dob_m, $dob_d) : trim($_POST['tanggal_lahir'] ?? '');
if ($tanggal_lahir && !preg_match('/^[0-9]{4}-[0-9]{2}-[0-9]{2}$/', $tanggal_lahir)) {
    $tanggal_lahir = '';
}

// Hash password sebelum simpan ke OTP payload
$passwordHash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);

save_otp($email, $otp, [
    'username' => $username,
    'email' => $email,
    'password' => $password, // masih butuh plaintext untuk dikirim ke Pterodactyl
    'password_hash' => $passwordHash, // hash untuk local auth
    'wa_number' => $wa_number,
    'tanggal_lahir' => $tanggal_lahir ?: null
]);

if (send_otp_email($email, $otp)) {
    header('Location: /verify.php?email=' . urlencode($email));
} else {
    header('Location: /index.php?error=' . urlencode('Gagal kirim email [ERR-SMTP-001] — Server gagal mengirim email verifikasi ke alamat kamu. Alasan: kemungkinan layanan email sedang gangguan sementara. Solusi: tunggu beberapa menit lalu coba daftar ulang, atau hubungi admin NexHost jika masalah berlanjut.'));
}
exit;