#找回密码逻辑：集成 Flask-Mail 发送验证邮件

# app/extensions.py
from flask_mail import Mail

mail = Mail()

# app/__init__.py
from flask import Flask
from dotenv import load_dotenv
import os
from app.extensions import mail

# 加载 .env 环境变量
load_dotenv()

def create_app():
    app = Flask(__name__)
    
    # 基础 Flask 配置
    app.config["SECRET_KEY"] = os.getenv("SECRET_KEY")
    
    # Flask-Mail 核心配置
    app.config["MAIL_SERVER"] = "smtp.gmail.com"
    app.config["MAIL_PORT"] = 587
    app.config["MAIL_USE_TLS"] = True  # Gmail 强制 TLS
    app.config["MAIL_USERNAME"] = os.getenv("MAIL_USERNAME")  # 你的 Gmail 地址
    app.config["MAIL_PASSWORD"] = os.getenv("MAIL_PASSWORD")  # Gmail 应用专用密码
    app.config["MAIL_DEFAULT_SENDER"] = ("道满博客", os.getenv("MAIL_USERNAME"))  # 邮件显示的发件人
    
    # 延迟绑定扩展
    mail.init_app(app)
    
    return app

# app/utils/token.py
from itsdangerous import URLSafeTimedSerializer, BadData
from flask import current_app

class PasswordResetTokenManager:
    """密码重置专属 Token 管理器"""
    SALT = "password-reset-salt-v1"  # 建议带版本号，方便后续换加密策略
    DEFAULT_EXPIRATION = 3600  # 默认 1 小时（秒为单位）

    @classmethod
    def generate(cls, email: str) -> str:
        """生成 URL 安全的限时 Token"""
        serializer = URLSafeTimedSerializer(current_app.config["SECRET_KEY"])
        return serializer.dumps(email, salt=cls.SALT)

    @classmethod
    def verify(cls, token: str, expiration: int | None = None) -> str | None:
        """验证 Token，返回绑定的邮箱，失败返回 None"""
        if expiration is None:
            expiration = cls.DEFAULT_EXPIRATION

        serializer = URLSafeTimedSerializer(current_app.config["SECRET_KEY"])
        try:
            # 同时校验：签名是否有效、是否在有效期内、盐是否匹配
            return serializer.loads(token, salt=cls.SALT, max_age=expiration)
        except BadData:  # 捕获所有签名/过期异常
            return None

# app/routes/auth.py
from flask import Blueprint, render_template, redirect, url_for, flash
from flask_mail import Message
from app.extensions import mail, db
from app.models.user import User
from app.forms.auth import ForgotPasswordForm, ResetPasswordForm
from app.utils.token import PasswordResetTokenManager

auth_bp = Blueprint("auth", __name__, url_prefix="/auth")

@auth_bp.route("/forgot-password", methods=["GET", "POST"])
def forgot_password():
    form = ForgotPasswordForm()
    if form.validate_on_submit():
        user = User.query.filter_by(email=form.email.data.lower()).first()  # 邮箱大小写统一
        
        if user:
            # 1. 生成 Token
            token = PasswordResetTokenManager.generate(user.email)
            # 2. 构造外部可访问的重置链接（_external=True 补全域名）
            reset_url = url_for("auth.reset_password", token=token, _external=True)
            # 3. 发送邮件
            msg = Message(
                subject="【道满博客】紧急：您的密码重置请求",
                recipients=[user.email],
                body=f"""
您好，{user.username or user.email.split('@')[0]}：

我们于 {datetime.now().strftime('%Y-%m-%d %H:%M:%S UTC')} 收到了您对道满博客账户「{user.email}」的密码重置请求。

请在 1 小时内点击以下链接设置新密码：
{reset_url}

⚠️ 如果这不是您本人的操作，请**立即忽略此邮件**，您的账户密码不会被修改，账户安全也不会受到影响。

如有疑问，请联系 support@daoman.blog

—— 道满博客安全团队
                """,
                html=f"""
<p>您好，{user.username or user.email.split('@')[0]}：</p>
<p>我们于 <strong>{datetime.now().strftime('%Y-%m-%d %H:%M:%S UTC')}</strong> 收到了您对道满博客账户「{user.email}」的密码重置请求。</p>
<p>请在 1 小时内点击以下链接设置新密码：</p>
<p><a href="{reset_url}" style="background:#4CAF50;color:white;padding:10px 20px;text-decoration:none;border-radius:4px;display:inline-block;">立即重置密码</a></p>
<p>如果链接无法点击，请复制到浏览器地址栏打开：<br>{reset_url}</p>
<hr>
<p>⚠️ 如果这不是您本人的操作，请<strong>立即忽略此邮件</strong>，您的账户密码不会被修改，账户安全也不会受到影响。</p>
<p>如有疑问，请联系 <a href="mailto:support@daoman.blog">support@daoman.blog</a></p>
<p>—— 道满博客安全团队</p>
                """
            )
            mail.send(msg)

        # 无论用户是否存在都统一提示（防枚举攻击）
        flash("如果该邮箱已注册，我们已发送带有重置链接的邮件，请查收。", "info")
        return redirect(url_for("auth.login"))

    return render_template("auth/forgot_password.html", form=form)

# app/routes/auth.py（续）
from datetime import datetime

@auth_bp.route("/reset-password/<token>", methods=["GET", "POST"])
def reset_password(token):
    # 第一步：校验 Token 有效性
    email = PasswordResetTokenManager.verify(token)
    if not email:
        flash("重置链接已过期或无效，请重新申请密码重置。", "danger")
        return redirect(url_for("auth.forgot_password"))

    # 第二步：再查一次用户（防止 Token 生成后用户被删除的极端情况）
    user = User.query.filter_by(email=email.lower()).first()
    if not user:
        flash("该账户不存在，请检查您的注册邮箱或重新注册。", "danger")
        return redirect(url_for("auth.register"))

    form = ResetPasswordForm()
    if form.validate_on_submit():
        # 第三步：更新密码（自动哈希）
        user.password = form.new_password.data
        user.updated_at = datetime.utcnow()  # 可选：记录更新时间
        db.session.commit()

        flash("密码重置成功！请使用新密码登录。", "success")
        return redirect(url_for("auth.login"))

    return render_template("auth/reset_password.html", form=form, token=token)