<?php

use Illuminate\Database\Migrations\Migration;
use Illuminate\Database\Schema\Blueprint;
use Illuminate\Support\Facades\Schema;

/**
 * Der Datensatz hinter jeder Sperre — unabhängig davon, ob `HostFirewall`
 * sie gerade eintragen konnte oder nicht (siehe deren Kopfkommentar). Genau
 * eines von `host_id`/`instance_id` ist gesetzt: eine Instanz-Sperre hängt am
 * Kunden und verschwindet mit ihm (`cascadeOnDelete`), eine Host-Sperre
 * gehört zum Bestand und überlebt einen gelöschten Host als Protokollzeile
 * (`nullOnDelete`).
 *
 * `expires_at` ist die Wahrheit für „gilt gerade" — nicht ein separates Flag,
 * das mit dem Ablauf im Kernel auseinanderlaufen könnte (die Menge in
 * nftables läuft mit `flags timeout` von selbst ab, siehe HostFirewall).
 *
 * `released_by_type`/`released_by_id` bleiben ausgeschrieben statt über
 * `nullableMorphs()`, im Stil von `provisioning_runs.subject_type` — dieselbe
 * Idee, derselbe Rumpf.
 *
 * Im selben Zug die zwei Cursor, die der Scan-Auftrag (eigene, spätere
 * Aufgabe) braucht, um bei jedem Lauf nur das Neue zu lesen: der
 * Byte-Versatz im Nextcloud-Protokoll je Instanz, der Zeitpunkt der letzten
 * gelesenen SSH-Zeile je Host.
 */
return new class extends Migration
{
    public function up(): void
    {
        Schema::create('security_blocks', function (Blueprint $table) {
            $table->id();
            $table->uuid('uuid')->unique();
            $table->foreignId('host_id')->nullable()->constrained('hosts')->nullOnDelete();
            $table->foreignId('instance_id')->nullable()->constrained('instances')->cascadeOnDelete();
            $table->string('ip', 45);
            $table->string('reason', 32); // instance_login | host_ssh
            $table->unsignedInteger('attempts');
            $table->unsignedTinyInteger('strikes')->default(1);
            $table->timestamp('blocked_at');
            $table->timestamp('expires_at');
            $table->timestamp('released_at')->nullable();
            $table->string('released_by_type')->nullable();
            $table->unsignedBigInteger('released_by_id')->nullable();
            $table->timestamps();

            $table->index(['instance_id', 'ip']);
            $table->index(['host_id', 'ip']);
            $table->index('expires_at');
        });

        Schema::table('instances', function (Blueprint $table) {
            // Versatz im Nextcloud-Protokoll — ab hier liest der nächste Lauf.
            $table->unsignedBigInteger('security_log_offset')->default(0);
        });

        Schema::table('hosts', function (Blueprint $table) {
            // Zeitpunkt der zuletzt gelesenen SSH-Protokollzeile.
            $table->timestamp('security_log_seen_at')->nullable();
        });
    }

    public function down(): void
    {
        Schema::table('hosts', function (Blueprint $table) {
            $table->dropColumn('security_log_seen_at');
        });

        Schema::table('instances', function (Blueprint $table) {
            $table->dropColumn('security_log_offset');
        });

        Schema::dropIfExists('security_blocks');
    }
};
