package middleware

import (
	"net/http/httptest"
	"testing"
)

// 默认不信任任何代理头：X-Forwarded-For 不能改变客户端 IP，否则登录限流可被绕过。
func TestClientIPIgnoresForwardedHeadersByDefault(t *testing.T) {
	t.Cleanup(func() { _ = SetTrustedProxies(nil) })
	if err := SetTrustedProxies(nil); err != nil {
		t.Fatalf("清空可信代理: %v", err)
	}

	r := httptest.NewRequest("POST", "/api/auth/login", nil)
	r.RemoteAddr = "127.0.0.1:54321"
	r.Header.Set("X-Forwarded-For", "203.0.113.9")
	r.Header.Set("X-Real-IP", "203.0.113.10")

	if got := ClientIP(r); got != "127.0.0.1" {
		t.Fatalf("默认应使用 RemoteAddr，得到 %q", got)
	}
}

// 仅当直连对端在可信代理白名单内时才采信代理头，并从右往左取第一个非代理地址。
func TestClientIPTrustsForwardedHeadersOnlyFromProxies(t *testing.T) {
	t.Cleanup(func() { _ = SetTrustedProxies(nil) })
	if err := SetTrustedProxies([]string{"10.0.0.0/8"}); err != nil {
		t.Fatalf("设置可信代理: %v", err)
	}

	r := httptest.NewRequest("POST", "/api/auth/login", nil)
	r.RemoteAddr = "10.0.0.5:12345"
	r.Header.Set("X-Forwarded-For", "198.51.100.7, 10.0.0.6")

	if got := ClientIP(r); got != "198.51.100.7" {
		t.Fatalf("可信代理应解析出真实客户端，得到 %q", got)
	}

	// 直连对端不可信时，即便伪造代理头也以 RemoteAddr 为准。
	r.RemoteAddr = "203.0.113.1:12345"
	if got := ClientIP(r); got != "203.0.113.1" {
		t.Fatalf("不可信对端应使用 RemoteAddr，得到 %q", got)
	}
}