{% extends "base.html" %}
{% set active_page = "settings_ldap" %}
{% set can_edit = current_user.has_permission('settings_ldap.edit') %}
{% block page_title %}LDAP / Active Directory{% endblock %}
{% block page_sub %}<div class="topbar-sub">Anmeldung mit dem Domänen-Passwort, zusätzlich zu lokalen Konten</div>{% endblock %}

{% block content %}
<div class="settings-grid" style="grid-template-columns: repeat(auto-fit, minmax(420px, 1fr));">

  <div class="card card-pad">
    <div class="section-head" style="margin-bottom:16px;">
      <div>
        <h2 style="font-size:16px;">Verbindung</h2>
        <div class="hint">Server, Bind-Konto und Suchparameter für die Anbindung an AD/LDAP.</div>
      </div>
    </div>
    {% if can_edit %}
    <form method="post">
      <div class="field">
        <label class="switch-check" style="display:inline-flex; align-items:center; gap:8px;">
          <input type="checkbox" name="ldap_enabled" {% if ldap.enabled %}checked{% endif %}>
          <span class="track"></span>
          <span>LDAP-Anmeldung aktivieren</span>
        </label>
      </div>
      <div class="field"><label>Server</label>
        <input type="text" name="ldap_server" value="{{ ldap.server }}" placeholder="z.B. 192.168.1.1 oder dc01.firma.local">
        <div class="field-hint">DNS-Name oder IP-Adresse — beides wird genau so gespeichert und beim Verbinden verwendet.</div>
      </div>
      <div class="field">
        <label class="switch-check" style="display:inline-flex; align-items:center; gap:8px;">
          <input type="checkbox" name="ldap_use_ssl" id="ldap_use_ssl" {% if ldap.use_ssl %}checked{% endif %}
                 onchange="document.getElementById('ldap_port').value = this.checked ? 636 : 389;">
          <span class="track"></span>
          <span>LDAPS/TLS verwenden</span>
        </label>
        <div class="field-hint">Ohne LDAPS wird das Passwort unverschlüsselt übertragen — nur für interne Tests geeignet, vor Produktivbetrieb LDAPS auf dem Domain Controller einrichten. Stellt beim Umschalten den Port automatisch auf 636/389 — unten weiterhin manuell änderbar.</div>
      </div>
      <div class="field"><label>Port</label>
        <input type="number" name="ldap_port" id="ldap_port" min="1" max="65535" value="{{ ldap.port }}">
      </div>
      <div class="field">
        <label class="switch-check" style="display:inline-flex; align-items:center; gap:8px;">
          <input type="checkbox" name="ldap_tls_skip_verify" {% if ldap.tls_skip_verify %}checked{% endif %}>
          <span class="track"></span>
          <span>Zertifikatsprüfung überspringen (nur LDAPS)</span>
        </label>
        <div class="field-hint">Akzeptiert jedes Server-Zertifikat, auch selbstsignierte/nicht vertrauenswürdige — praktisch für interne Tests, schützt dann aber nicht mehr vor einem gefälschten Server. Vor Produktivbetrieb ein echtes, vertrauenswürdiges Zertifikat einrichten und diese Option deaktivieren.</div>
      </div>
      <div class="field"><label>Bind-Konto (Service-Account)</label>
        <input type="text" name="ldap_bind_dn" value="{{ ldap.bind_dn }}" placeholder="z.B. ldap@ad.firma.local">
        <div class="field-hint">Ein normales, unprivilegiertes Domänenkonto reicht — es wird nur zum Suchen von Benutzern verwendet, keine Admin-Rechte nötig. Ein neu gespeichertes Konto ersetzt das bisherige vollständig.</div>
      </div>
      <div class="field"><label>Bind-Passwort</label>
        <input type="password" name="ldap_bind_password" placeholder="{{ '(unverändert lassen)' if ldap.bind_password_enc else '' }}">
      </div>
      <div class="field"><label>Base-DN</label>
        <input type="text" name="ldap_base_dn" value="{{ ldap.base_dn }}" placeholder="Leer = automatisch ermitteln">
      </div>
      <div class="field"><label>Attribut für Benutzername</label>
        <input type="text" name="ldap_user_filter_attr" value="{{ ldap.filter_attr }}" placeholder="sAMAccountName">
        <div class="field-hint">Für Active Directory: sAMAccountName. Für generisches LDAP (z.B. OpenLDAP): meist uid. Anmeldung per userPrincipalName (E-Mail/UPN) funktioniert unabhängig davon immer zusätzlich.</div>
      </div>
      <div class="field"><label>Standardgruppe für neue AD-Benutzer</label>
        <select name="ldap_default_group">
          <option value="">Systemstandard ({{ ldap_groups|selectattr('is_default')|map(attribute='name')|first or 'Benutzer' }})</option>
          {% for g in ldap_groups %}
          <option value="{{ g['id'] }}" {% if ldap.default_group == g['id']|string %}selected{% endif %}>{{ g['name'] }}</option>
          {% endfor %}
        </select>
        <div class="field-hint">Wird nur zugewiesen, wenn unten keine AD-Gruppenzuordnung greift — siehe Karte „AD-Gruppenzuordnungen“.</div>
      </div>
      <div class="flex gap-2" style="flex-wrap:wrap;">
        <button type="submit" name="save_ldap" value="1" class="btn btn-primary">
          <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M20 6L9 17l-5-5"/></svg>
          Speichern
        </button>
        <button type="submit" name="test_ldap" value="1" class="btn btn-secondary" formnovalidate>
          Verbindung testen
        </button>
      </div>
    </form>
    {% if ldap.bind_dn %}
    <form method="post" data-confirm="LDAP-Bind-Konto wirklich löschen? Die LDAP-Anmeldung wird dabei deaktiviert." style="margin-top:10px;">
      <input type="hidden" name="clear_ldap_bind" value="1">
      <button type="submit" class="btn btn-sm" style="color:var(--danger); background:transparent; border-color:var(--danger-dim);">
        Bind-Konto löschen
      </button>
    </form>
    {% endif %}
    {% else %}
    <p class="text-faint" style="font-size:12.5px;">Für Änderungen fehlt das Recht „LDAP/AD-Konfiguration speichern“.</p>
    {% endif %}
  </div>

  <div class="card card-pad">
    <div class="section-head" style="margin-bottom:16px;">
      <div>
        <h2 style="font-size:16px;">AD-Gruppenzuordnungen</h2>
        <div class="hint">
          Ist ein AD-Benutzer (rekursiv, auch über verschachtelte Gruppen) Mitglied einer hier zugeordneten
          AD-Gruppe, erhält er beim Login zusätzlich die zugeordnete App-Rechtegruppe — additiv, mehrere
          Zuordnungen können gleichzeitig greifen. Wird keine Zuordnung getroffen, gilt die Standardgruppe oben.
        </div>
      </div>
      {% if can_edit %}
      <button type="button" class="btn btn-primary" data-open-modal="addLdapMappingModal">
        <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round"><path d="M12 5v14M5 12h14"/></svg>
        Zuordnung hinzufügen
      </button>
      {% endif %}
    </div>

    {% if mappings %}
    <div class="table-wrap">
      <div style="overflow-x:auto;">
      <table class="data-table">
        <thead><tr><th>AD-Gruppe</th><th>App-Rechtegruppe</th><th style="width:1%;">Aktionen</th></tr></thead>
        <tbody>
          {% for m in mappings %}
          <tr>
            <td>{{ m.ad_group_name }}<div class="text-faint mono" style="font-size:11px;">{{ m.ad_group_dn }}</div></td>
            <td>{{ m.app_group_name or '—' }}</td>
            <td>
              {% if can_edit %}
              <form method="post" data-confirm="Zuordnung „{{ m.ad_group_name }} → {{ m.app_group_name }}“ löschen?">
                <input type="hidden" name="delete_ldap_group_mapping" value="{{ m.id }}">
                <button type="submit" class="icon-btn" style="color:var(--danger);" title="Löschen">
                  <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M3 6h18M8 6V4a2 2 0 012-2h4a2 2 0 012 2v2m3 0l-1 14a2 2 0 01-2 2H7a2 2 0 01-2-2L4 6"/></svg>
                </button>
              </form>
              {% endif %}
            </td>
          </tr>
          {% endfor %}
        </tbody>
      </table>
      </div>
    </div>
    {% else %}
    <p class="text-faint" style="font-size:12.5px;">Noch keine Zuordnung angelegt — alle neuen AD-Benutzer erhalten nur die Standardgruppe.</p>
    {% endif %}
  </div>

</div>

{% if can_edit %}
<div class="modal-overlay" id="addLdapMappingModal">
  <div class="modal">
    <form method="post">
      <input type="hidden" name="add_ldap_group_mapping" value="1">
      <div class="modal-header">
        <h3>AD-Gruppenzuordnung hinzufügen</h3>
        <button type="button" class="modal-close" data-close-modal>&times;</button>
      </div>
      <div class="modal-body">
        <div class="field">
          <label>AD-Gruppe</label>
          <div class="flex gap-2">
            <select name="ad_group_dn" id="ldapMappingAdGroup" required style="flex:1;">
              <option value="">— zuerst laden —</option>
            </select>
            <button type="button" class="btn btn-secondary btn-sm" id="ldapMappingLoadGroupsBtn">Gruppen laden</button>
          </div>
          <input type="hidden" name="ad_group_name" id="ldapMappingAdGroupName">
          <div class="field-hint" id="ldapMappingLoadStatus">Fragt live per Bind-Konto alle Gruppen aus dem Verzeichnis ab.</div>
        </div>
        <div class="field"><label>App-Rechtegruppe</label>
          <select name="app_group_id" required>
            <option value="">— auswählen —</option>
            <option value="admin">Admin (alle Rechte)</option>
            {% for g in ldap_groups %}
            <option value="{{ g['id'] }}">{{ g['name'] }}</option>
            {% endfor %}
          </select>
        </div>
      </div>
      <div class="modal-footer">
        <button type="button" class="btn btn-secondary" data-close-modal>Abbrechen</button>
        <button type="submit" class="btn btn-primary">Speichern</button>
      </div>
    </form>
  </div>
</div>

<script>
(function () {
  var btn = document.getElementById('ldapMappingLoadGroupsBtn');
  var select = document.getElementById('ldapMappingAdGroup');
  var nameField = document.getElementById('ldapMappingAdGroupName');
  var status = document.getElementById('ldapMappingLoadStatus');
  if (!btn) return;

  btn.addEventListener('click', function () {
    status.textContent = 'Lade Gruppen …';
    fetch("{{ url_for('settings_ldap_ad_groups') }}")
      .then(function (r) { return r.json(); })
      .then(function (groups) {
        if (!Array.isArray(groups)) {
          status.textContent = groups.error || 'Fehler beim Laden.';
          return;
        }
        select.innerHTML = '';
        if (!groups.length) {
          select.innerHTML = '<option value="">Keine Gruppen gefunden</option>';
          status.textContent = 'Keine Gruppen gefunden — Verbindung/Bind-Konto prüfen.';
          return;
        }
        groups.forEach(function (g) {
          var opt = document.createElement('option');
          opt.value = g.dn;
          opt.textContent = g.name;
          opt.dataset.name = g.name;
          select.appendChild(opt);
        });
        nameField.value = select.options[select.selectedIndex].dataset.name || '';
        status.textContent = groups.length + ' Gruppe(n) geladen.';
      })
      .catch(function () { status.textContent = 'Fehler beim Laden — Verbindung/Bind-Konto prüfen.'; });
  });

  select.addEventListener('change', function () {
    var opt = select.options[select.selectedIndex];
    nameField.value = (opt && opt.dataset.name) || '';
  });
})();
</script>
{% endif %}
{% endblock %}