<?php

declare(strict_types=1);

namespace App\Core;

/**
 * Démarrage unique et durci de la session PHP.
 *
 * Les mêmes garanties sont posées ici et dans docker/php/php.ini : le php.ini
 * ne s'applique qu'au conteneur fourni, alors que ce code protège aussi les
 * déploiements sur un serveur PHP existant dont la configuration est inconnue.
 */
final class Session
{
    private static bool $started = false;

    public static function start(): void
    {
        if (self::$started || session_status() === PHP_SESSION_ACTIVE) {
            self::$started = true;
            return;
        }

        if (!headers_sent()) {
            ini_set('session.use_only_cookies', '1');
            ini_set('session.use_strict_mode', '1');
            session_set_cookie_params([
                'lifetime' => 0,
                'path' => '/',
                'domain' => '',
                'secure' => self::isHttps(),
                'httponly' => true,
                'samesite' => 'Lax',
            ]);
        }

        session_start();
        self::$started = true;
    }

    /**
     * Vrai si la requête courante arrive en HTTPS, directement ou via un proxy
     * de confiance. Sans cette détection, le cookie de session serait marqué
     * « secure » sur une installation HTTP et la session ne fonctionnerait plus.
     */
    public static function isHttps(): bool
    {
        if (($_SERVER['HTTPS'] ?? '') !== '' && strtolower((string) $_SERVER['HTTPS']) !== 'off') {
            return true;
        }

        if ((int) ($_SERVER['SERVER_PORT'] ?? 0) === 443) {
            return true;
        }

        return strtolower((string) ($_SERVER['HTTP_X_FORWARDED_PROTO'] ?? '')) === 'https';
    }
}