rikx-beheer/app/experts/actions.ts

"use server";

import { revalidatePath } from "next/cache";
import { headers } from "next/headers";
import { redirect } from "next/navigation";
import { createSession, requireAdmin } from "../../lib/auth";
import { getDb } from "../../lib/db";
import { UITNODIGING_GELDIG_DAGEN, createInvite, getExpert, setExpertRondes } from "../../lib/experts";
import { isMailConfigured, sendMail } from "../../lib/mail";

export type InviteState =
  | { status: "idle" }
  | { status: "error"; message: string }
  | { status: "sent"; message: string }
  | { status: "link"; message: string; link: string };

function escapeHtml(value: string): string {
  return value.replace(/[&<>"']/g, (c) => ({ "&": "&amp;", "<": "&lt;", ">": "&gt;", '"': "&quot;", "'": "&#39;" })[c]!);
}

const EMAIL_RE = /^[^\s@]+@[^\s@]+\.[^\s@]+$/;

function readRondeIds(formData: FormData): number[] {
  const bestaand = new Set(
    (getDb().prepare("SELECT id FROM rikx_rondes").all() as { id: number }[]).map((r) => r.id)
  );
  return formData
    .getAll("ronde_ids")
    .map(Number)
    .filter((id) => bestaand.has(id));
}

async function baseUrl(): Promise<string> {
  const h = await headers();
  const host = h.get("x-forwarded-host") ?? h.get("host") ?? "localhost:3000";
  const proto = h.get("x-forwarded-proto") ?? (host.startsWith("localhost") ? "http" : "https");
  return `${proto}://${host}`;
}

// Maakt een uitnodiging en mailt die; zonder SMTP komt de link terug om zelf door te geven.
async function invite(userId: number, name: string, email: string): Promise<InviteState> {
  const link = `${await baseUrl()}/uitnodiging/${createInvite(userId)}`;
  if (!isMailConfigured()) {
    return {
      status: "link",
      message: `E-mail is nog niet ingesteld (SendGrid of SMTP). Geef deze link zelf door aan ${name}; hij is ${UITNODIGING_GELDIG_DAGEN} dagen geldig.`,
      link,
    };
  }
  try {
    await sendMail({
      to: email,
      toName: name,
      subject: "Uitnodiging Rikx expertteam",
      text: `Beste ${name},\n\nJe bent uitgenodigd voor het Rikx expertteam. Via onderstaande link stel je je wachtwoord in en kun je de projecten in waardebepaling beoordelen.\n\n${link}\n\nDe link is ${UITNODIGING_GELDIG_DAGEN} dagen geldig.\n\nMet vriendelijke groet,\nRikx`,
      html: `<p>Beste ${escapeHtml(name)},</p>
<p>Je bent uitgenodigd voor het Rikx expertteam. Via onderstaande knop stel je je wachtwoord in en kun je de projecten in waardebepaling beoordelen.</p>
<p><a href="${link}" style="display:inline-block;background:#3d0a0a;color:#fff;padding:10px 18px;border-radius:8px;text-decoration:none">Wachtwoord instellen</a></p>
<p style="color:#666;font-size:13px">De link is ${UITNODIGING_GELDIG_DAGEN} dagen geldig. Werkt de knop niet? Kopieer dan deze link: ${link}</p>
<p>Met vriendelijke groet,<br>Rikx</p>`,
    });
    return { status: "sent", message: `Uitnodiging verstuurd naar ${email}.` };
  } catch (err) {
    console.error("Uitnodiging versturen mislukt:", err);
    return {
      status: "link",
      message: `Versturen van de e-mail is mislukt. Geef deze link zelf door aan ${name}; hij is ${UITNODIGING_GELDIG_DAGEN} dagen geldig.`,
      link,
    };
  }
}

export async function createExpert(_prev: InviteState, formData: FormData): Promise<InviteState> {
  await requireAdmin();

  const name = ((formData.get("name") as string) ?? "").trim();
  const email = ((formData.get("email") as string) ?? "").trim().toLowerCase();
  if (!name || !EMAIL_RE.test(email)) return { status: "error", message: "Vul een naam en een geldig e-mailadres in." };

  const db = getDb();
  if (db.prepare("SELECT id FROM users WHERE lower(email) = ?").get(email)) {
    return { status: "error", message: "Er bestaat al een gebruiker met dit e-mailadres." };
  }
  // Lege password_hash: inloggen kan pas na het instellen van een wachtwoord via de uitnodiging
  const result = db
    .prepare("INSERT INTO users (email, password_hash, name, role) VALUES (?, '', ?, 'expert')")
    .run(email, name);
  const id = Number(result.lastInsertRowid);
  setExpertRondes(id, readRondeIds(formData));
  // Lijst bovenaan de pagina bijwerken (het formulier blijft staan om de link te tonen)
  revalidatePath("/experts");

  return invite(id, name, email);
}

export async function resendInvite(_prev: InviteState, formData: FormData): Promise<InviteState> {
  await requireAdmin();
  const expert = getExpert(Number(formData.get("id")));
  if (!expert) return { status: "error", message: "Expert niet gevonden." };
  return invite(expert.id, expert.name, expert.email);
}

export async function updateExpert(formData: FormData) {
  await requireAdmin();

  const id = Number(formData.get("id"));
  const expert = getExpert(id);
  if (!expert) redirect("/experts");

  const name = ((formData.get("name") as string) ?? "").trim();
  const email = ((formData.get("email") as string) ?? "").trim().toLowerCase();
  if (!name || !EMAIL_RE.test(email)) redirect(`/experts/${id}?error=missing`);

  const db = getDb();
  if (db.prepare("SELECT id FROM users WHERE lower(email) = ? AND id != ?").get(email, id)) {
    redirect(`/experts/${id}?error=email`);
  }
  db.prepare("UPDATE users SET name = ?, email = ? WHERE id = ? AND role = 'expert'").run(name, email, id);
  setExpertRondes(id, readRondeIds(formData));

  redirect("/experts");
}

export async function deleteExpert(formData: FormData) {
  await requireAdmin();
  const id = Number(formData.get("id"));
  // Beoordelingen, rondes en uitnodigingen van de expert verdwijnen mee (ON DELETE CASCADE)
  if (id) getDb().prepare("DELETE FROM users WHERE id = ? AND role = 'expert'").run(id);
  redirect("/experts");
}

// "Inloggen als": de admin bekijkt de expertpagina zoals deze expert hem ziet (alleen lezen).
// Terug via "Terug naar beheer" op de expertpagina (app/expert/actions.ts).
export async function impersonateExpert(formData: FormData) {
  const admin = await requireAdmin();
  const expert = getExpert(Number(formData.get("id")));
  if (!expert) redirect("/experts");
  await createSession({ userId: expert.id, email: expert.email, name: expert.name, impersonatorId: admin.id });
  redirect("/expert");
}